Cybersicherheit wird zunehmend zu einer rechtlichen Produkteigenschaft. Ein digitales Produkt muss nicht erst Opfer eines Cyberangriffs werden, damit Sicherheitsanforderungen relevant werden. Bereits bei seiner Entwicklung, seiner Bereitstellung auf dem europäischen Markt und während seines gesamten Lebenszyklus muss die Cybersicherheit berücksichtigt werden. Genau hier setzt der Cyber Resilience Act (CRA) an.
Mit der Verordnung (EU) 2024/2847 hat die Europäische Union erstmals einen horizontalen Rechtsrahmen geschaffen, der verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Erfasst werden dabei sowohl Hardware als auch Software, die auf dem europäischen Markt bereitgestellt werden. Der CRA ist bereits seit dem 10. Dezember 2024 in Kraft. Während die wesentlichen Anforderungen erst ab dem 11. Dezember 2027 vollständig gelten, wird eine erste zentrale Verpflichtung bereits jetzt konkret: Ab dem 11. September 2026 gelten die neuen Meldepflichten für bestimmte Sicherheitsvorfälle und Schwachstellen.
Für betroffene Hersteller bedeutet das: Die Zeit, sich lediglich mit den Anforderungen des CRA vertraut zu machen, ist vorbei. Unternehmen müssen zunehmend in der Lage sein, Sicherheitsvorfälle und Schwachstellen nicht nur technisch zu erkennen, sondern sie innerhalb sehr kurzer Fristen zu bewerten und die erforderlichen Meldungen vorzunehmen.
Der Cyber Resilience Act – Hintergrund
Der CRA verfolgt einen anderen Ansatz als beispielsweise die NIS-2-Richtlinie. Während NIS2 vor allem bestimmte Unternehmen und Einrichtungen sowie deren Netz- und Informationssysteme adressiert, nimmt der CRA die Sicherheit digitaler Produkte selbst in den Blick. Ziel ist es, dafür zu sorgen, dass Hard- und Software bereits bei ihrer Konzeption und Entwicklung sicherer gestaltet und während ihres gesamten Lebenszyklus angemessen geschützt werden.
Unter den Begriff „Produkte mit digitalen Elementen“ fallen zahlreiche Produkte, die eine direkte oder indirekte Verbindung zu einem Gerät oder Netzwerk aufweisen können. Das Spektrum reicht damit von klassischen Hardwareprodukten über Software und Apps bis hin zu vernetzten Geräten und digitalen Komponenten. Für Unternehmen ist deshalb zunächst entscheidend zu prüfen, ob die eigenen Produkte überhaupt in den Anwendungsbereich der Verordnung fallen und welche Rolle das Unternehmen innerhalb der Lieferkette einnimmt.
Der CRA verankert dabei einen umfassenden Sicherheitsansatz. Hersteller müssen Cybersecurity bereits bei Planung, Design und Entwicklung berücksichtigen und Risiken über den gesamten Produktlebenszyklus hinweg behandeln. Dazu gehören unter anderem der Umgang mit Schwachstellen, Sicherheitsupdates und geeignete Prozesse zur Reaktion auf Sicherheitsprobleme. Bei bestimmten, für die Cybersicherheit besonders relevanten Produktkategorien können darüber hinaus zusätzliche Anforderungen an die Konformitätsbewertung gelten.
Damit verschiebt sich die Verantwortung für Cybersicherheit ein Stück weit nach vorne: Sicherheitslücken sollen nicht erst nach einem erfolgreichen Angriff behoben werden. Vielmehr soll bereits die Gestaltung eines Produkts dazu beitragen, dass Schwachstellen möglichst vermieden, erkannt und angemessen behandelt werden.
Erste Meldepflichten Ab dem 11. September 2026
Der aktuelle Handlungsdruck ergibt sich insbesondere aus den Meldepflichten des CRA. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts mit digitalen Elementen betreffen, über die zentrale europäische Meldeplattform melden.
Besonders relevant sind dabei die kurzen Fristen. Wird eine aktiv ausgenutzte Schwachstelle festgestellt, muss grundsätzlich innerhalb von 24 Stunden nach Kenntniserlangung eine Frühwarnung erfolgen. Innerhalb von 72 Stunden ist eine weitergehende Meldung vorzunehmen. Damit wird deutlich, dass der CRA nicht nur eine Frage von Dokumentation und Compliance ist. Er verlangt funktionierende operative Prozesse, die im Ernstfall innerhalb kürzester Zeit greifen. Das heißt die kurzen Meldefristen setzen voraus, dass Unternehmen geeignete Prozesse zur Erkennung, Bewertung und Meldung relevanter Sicherheitsvorfälle und Schwachstellen etablieren und die hierfür erforderlichen Zuständigkeiten klar geregelt sind.
Genau darin dürfte für viele Unternehmen eine der größten Herausforderungen liegen. Ein Sicherheitsvorfall lässt sich nicht immer unmittelbar eindeutig einordnen. Zunächst muss festgestellt werden, was tatsächlich passiert ist, welches Produkt betroffen ist, welche Schwachstelle vorliegt und ob die gesetzlichen Voraussetzungen für eine Meldung erfüllt sind. Gleichzeitig muss geklärt sein, wer intern die Verantwortung für die Bewertung übernimmt und wer eine Meldung auslöst.
Ein Unternehmen, das erst im konkreten Krisenfall damit beginnt, Zuständigkeiten, Kommunikationswege und Meldeprozesse festzulegen, kann dadurch wertvolle Zeit verlieren. Der CRA macht daher deutlich, wie eng Incident Response, Vulnerability Management und regulatorische Compliance inzwischen miteinander verbunden sind.
Neue Leitlinien sollen die Umsetzung erleichtern
Für Unternehmen kommt diese Entwicklung nicht völlig unvorbereitet. Die Europäische Kommission hat am 27. Juli 2026 neue praktische Leitlinien zur Umsetzung des CRA veröffentlicht. Diese sollen insbesondere dabei helfen, den Anwendungsbereich der Verordnung zu bestimmen und offene Fragen zur praktischen Umsetzung zu klären. Behandelt werden unter anderem die Einordnung bestimmter Produkte, wesentliche Produktänderungen, Supportzeiträume, Risikobewertungen und die neuen Meldepflichten.
Bemerkenswert ist dabei der ausdrückliche Fokus auf Kleinstunternehmen sowie kleine und mittlere Unternehmen. Die Kommission stellt insgesamt 67 praktische Beispiele sowie Use Cases, Flussdiagramme und weitere Hilfestellungen bereit, um die Anwendung der Anforderungen zu erleichtern und unnötige administrative Belastungen zu vermeiden. Die Leitlinien sind zwar nicht rechtsverbindlich, sollen Unternehmen aber dabei unterstützen, die Anforderungen des CRA rechtzeitig und einheitlich umzusetzen.
Gerade für kleinere Hersteller und Softwareentwickler ist dies relevant. Der CRA ist keine Regulierung, die ausschließlich große internationale Technologiekonzerne betrifft. Entscheidend ist vielmehr, ob ein Unternehmen Produkte mit digitalen Elementen auf dem Unionsmarkt bereitstellt und welche Rolle es dabei einnimmt. Deshalb sollten auch kleinere Unternehmen frühzeitig prüfen, ob und in welchem Umfang sie betroffen sind.
Was sollten Unternehmen jetzt prüfen?
Auch wenn die vollständige Anwendung des CRA erst Ende 2027 beginnt, sollten betroffene Unternehmen die Vorbereitung nicht aufschieben. Die ab September geltenden Meldepflichten zeigen bereits deutlich, dass wesentliche Teile der praktischen Umsetzung unmittelbar bevorstehen. Die Europäische Kommission führt den 11. September 2026 ausdrücklich als Beginn der Anwendung der Berichtspflichten und den 11. Dezember 2027 als Zeitpunkt der vollständigen Anwendung des CRA.
Am Anfang sollte eine belastbare Betroffenheitsanalyse stehen. Unternehmen sollten klären, welche ihrer Produkte als Produkte mit digitalen Elementen einzustufen sind, welche Rolle sie als Hersteller, Importeur oder Händler einnehmen und welche konkreten Anforderungen daraus entstehen. Darauf aufbauend müssen insbesondere die Prozesse für Cybersecurity-Risikobewertungen, Schwachstellenmanagement und Sicherheitsupdates betrachtet werden.
Besondere Aufmerksamkeit verdient das Incident- und Vulnerability-Management. Unternehmen sollten nicht erst im Ernstfall überlegen müssen, wer eine Schwachstelle bewertet, wann eine Meldung erforderlich ist und welche Informationen dafür benötigt werden. Verantwortlichkeiten, Eskalationswege und Kommunikationsprozesse sollten bereits im Vorfeld festgelegt und regelmäßig überprüft werden.
Darüber hinaus sollte der CRA nicht isoliert betrachtet werden. Je nach Unternehmen können gleichzeitig Anforderungen aus anderen europäischen und nationalen Regelwerken relevant sein, etwa aus der NIS2-Regulierung, dem Datenschutzrecht oder weiteren produktspezifischen Vorschriften. Ein funktionierendes Cybersecurity-Management muss deshalb verschiedene regulatorische Anforderungen miteinander verbinden, anstatt für jedes Gesetz einen vollständig separaten Prozess aufzubauen.
Fazit
Der Cyber Resilience Act wird jetzt operativ: Ab dem 11. September 2026 gelten die ersten Meldepflichten – und bei aktiv ausgenutzten Schwachstellen kann bereits die erste Meldung innerhalb von 24 Stunden erforderlich sein. Die vollständige Anwendung des CRA folgt zwar erst Ende 2027, doch Unternehmen sollten die verbleibende Zeit zur strukturierten Vorbereitung nutzen.
Entscheidend ist dabei nicht allein die Frage, ob ein Unternehmen vom CRA betroffen ist. Entscheidend ist auch, ob die notwendigen Prozesse im Ernstfall tatsächlich funktionieren.
Sie möchten prüfen, ob Ihr Unternehmen oder Ihre Produkte unter den Cyber Resilience Act fallen und welche organisatorischen und technischen Anforderungen sich daraus ergeben? Wir unterstützen Sie bei der datenschutzrechtlichen und organisatorischen Einordnung sowie bei der strukturierten Umsetzung der relevanten Anforderungen.
Folgende Beiträge könnten Sie auch interessieren:
- Agentic AI – Neue Herausforderungen Durch Autonome KI-Systeme
- Wenn KI Beginnt, Eigene Angriffswege Zu Finden – Was Unternehmen Aus Dem Aktuellen OpenAI-Vorfall Lernen Sollten
- Datenschutz Im Homeoffice 2026 – Warum Unternehmen Ihre Regelungen Jetzt Überprüfen Sollten
.