Ratgeber - Überblick
Was verlangt der Cyber Resilience Act von Softwareherstellern?
Vier Pflichtenwerke, zwei Stichtage
Der CRA verlangt Pflichten auf drei Ebenen: die Herstellung eines sicheren Produkts, den Nachweis seiner Sicherheit und die Meldung von Schwachstellen und Vorfällen. Die Meldepflicht gilt ab dem 11. September 2026, der Rest ab dem 11. Dezember 2027.
Die Kurzfassung
Der CRA verlangt ein sicheres Produkt, den Nachweis seiner Sicherheit und die Meldung von Schwachstellen
Ein Produkt mit digitalen Elementen ist Software oder Hardware mit einer Datenverbindung, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung diese Verbindung einschließt. Der CRA verlangt vom Hersteller solcher Produkte drei Dinge: Er muss das Produkt sicher entwickeln und Schwachstellen über den gesamten Unterstützungszeitraum behandeln, er muss die Sicherheit nachweisen und das Produkt mit einer CE-Kennzeichnung versehen, und er muss aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle binnen 24 Stunden melden. Die Stichtage fallen auseinander: Die Meldung gilt ab dem 11. September 2026, die Konformität ab dem 11. Dezember 2027.
Vom Produkt bis zur Meldung
Die Pflichten der Verordnung im Überblick
Vier Pflichtenwerke, jeder mit eigenem Anlass
| Pflicht | Was verlangt ist | Wann es gilt | Artikel |
|---|---|---|---|
| Sichere Entwicklung | Schwachstellen über den gesamten Unterstützungszeitraum behandeln, Entwicklungsumgebung schützen | ab 11.12.2027 | Art. 13 |
| Konformität und CE | Technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung der ausgelieferten Komponente | ab 11.12.2027 | Anhang I, III |
| Meldepflicht | Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht je Meldestrang | seit 11.09.2026 | Art. 14 |
| Marktaufsicht | Zusammenarbeit mit CSIRT und Marktüberwachungsbehörde, Nutzer unterrichten | laufend | Art. 14 Abs. 6, 8 |
Die Reihenfolge der Tabelle ist die des Lebenszyklus, nicht die der Verordnung. Ein Hersteller entwickelt zuerst, bringt dann in Verkehr und meldet zuletzt, wenn etwas passiert. Wer den CRA einführen will, fängt deshalb bei der Entwicklung an, nicht bei der Meldung.
Die Zeitachse
Die Meldepflicht gilt seit September 2026, die Konformität ab Dezember 2027
Warum es zwei Stichtage gibt
Die Verordnung ist am 11. Dezember 2024 in Kraft getreten, aber nicht sofort anwendbar. Artikel 71 setzt zwei Stichtage: Für die Meldepflichten nach Artikel 14 ist der 11. September 2026 gesetzt, weil sie die Vorfälle und Schwachstellen treffen, die ein Produkt jetzt und fortlaufend treffen können. Für die Konformitätsanforderungen mit CE-Kennzeichnung, Konformitätsbewertung und technischer Dokumentation gilt der 11. Dezember 2027, weil die Hersteller Zeit brauchen, ihre Produkte umzustellen.
Zwischen den beiden Stichtagen liegt eine Phase, in der ein Hersteller meldepflichtig sein kann, ohne dass er bereits CE-pflichtig ist. Ein Hersteller, der seit Jahren eine Software verkauft und die CE-Kennzeichnung erst 2027 einführen wird, meldet ab dem 11. September 2026 trotzdem. Die Übergangsregel für Altprodukte macht dafür eine ausdrückliche Ausnahme.
GrundlageArt. 71 CRAArt. 69 Abs. 3 CRAArt. 69 Abs. 2 CRA
Wer die CE-Kennzeichnung auf 2027 schiebt, schiebt die Meldepflicht nicht mit.
Wer betroffen ist
Nur Produkte mit digitalen Elementen fallen unter die Verordnung
Drei Prüfungen entscheiden
Ob die Verordnung ein Angebot erfasst, entscheiden drei Prüfungen nacheinander: Ist ein Produkt mit digitalen Elementen vorhanden, greift keine Ausnahme, und hat der Betroffene die Rolle des Herstellers inne. Nur der Hersteller, nicht der Händler oder Einführer, trägt die Meldepflicht des Artikels 14.
Der Anwendungsbereich hat Grenzen: Reines Software-as-a-Service, das nur über den Browser genutzt wird, fällt nicht darunter, und für Medizinprodukte und Kraftfahrzeuge gilt vorrangiges Sektorrecht. Diese Abgrenzungen laufen leicht schief, wenn sie aus dem Gedächtnis getroffen werden.
GrundlageArt. 2 CRAArt. 3 Nr. 1 CRA
Der Grund
Warum die Union einen Produktnormansatz für Cybersicherheit gewählt hat
Das Interesse hinter der Verordnung
Die Verordnung knüpft nicht an das Unternehmen an, sondern an das Produkt. Das ist bewusst: Eine Produktnorm gilt für jeden Hersteller, der die Union beliefert, auch für einen ohne EU-Niederlassung. Die Cybersicherheit tausender unzusammenhängender nationaler Regeln wird so an einer Stelle verbindlich. Wer bezahlt, ist der Hersteller, und wer profitiert, ist der Nutzer, der ein Produkt kauft, dessen Sicherheit ein Verfahren geprüft hat.
Vertiefung