Cyber Resilience Act – Sicherheit ab Werk.
Damit Ihre Produkte marktfähig bleiben.
Wir unterstützen Hersteller, Importeure und Händler von Produkten mit digitalen Elementen dabei, die Anforderungen des Cyber Resilience Act (CRA) einzuordnen und umzusetzen.
Ein neuer Rechtsrahmen für die Cybersicherheit von Produkten
Mit dem Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) entstehen erstmals einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen innerhalb der Europäischen Union. Ziel der Verordnung ist es, Produkte über ihren gesamten Lebenszyklus sicherer zu machen und Hersteller stärker in die Verantwortung zu nehmen. Cybersicherheit wird damit zur Voraussetzung für den Marktzugang.
Die Verordnung ist seit dem 10. Dezember 2024 in Kraft und wird stufenweise anwendbar. Die Meldepflichten für Hersteller gelten bereits seit dem 11. September 2026. Die übrigen Pflichten folgen ab dem 11. Dezember 2027. Unternehmen stehen vor der Aufgabe, Cybersicherheit von der Entwicklung bis zur Außerbetriebnahme systematisch in ihre Produkte und Prozesse zu integrieren.
Die glacier unterstützt Unternehmen dabei, die Anforderungen des CRA einzuordnen und praxisnah umzusetzen. Der Fokus liegt auf einer nachhaltigen Integration in bestehende Organisations-, Sicherheits- und Compliance-Strukturen.
Was ist der Cyber Resilience Act?
Beim Cyber Resilience Act handelt es sich um eine europäische Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Dazu zählen Hardware- und Softwareprodukte sowie deren Fernverarbeitungslösungen, sofern sie direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können.
Die Regulierung folgt einem risikobasierten Ansatz. Produkte werden in Standardprodukte sowie wichtige und kritische Produkte eingeteilt. Je nach Einstufung gelten unterschiedliche Anforderungen an das Konformitätsbewertungsverfahren. Der CRA ergänzt bestehende Regelwerke wie NIS2 und berücksichtigt neben technischen auch organisatorische Aspekte. Cybersicherheit wird damit nicht isoliert betrachtet, sondern als Bestandteil von Produktentwicklung, Betrieb und Compliance.
Wen betrifft der Cyber Resilience Act?
Der CRA betrifft Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, die in der EU bereitgestellt werden. Dazu gehören etwa vernetzte Geräte, Embedded-Systeme, Maschinen- und Anlagensteuerungen, Software und Apps. Die Unternehmensgröße spielt dabei keine entscheidende Rolle. Auch mittelständische Unternehmen sind ausdrücklich adressiert.
Darüber hinaus gilt die Verordnung für Organisationen mit Sitz außerhalb der Europäischen Union, sofern ihre Produkte auf dem EU-Markt angeboten werden. Für bestimmte Produktbereiche, etwa Medizinprodukte oder Fahrzeuge, bestehen Sonderregelungen, da hier bereits eigene Vorgaben gelten. In der Praxis führt dies dazu, dass sich viele Unternehmen erstmals strukturiert mit der Cybersicherheit ihrer Produkte und den damit verbundenen Rollen und Pflichten auseinandersetzen müssen.
Welche Pflichten ergeben sich für Unternehmen?
Welche Pflichten für ein Unternehmen entstehen, hängt maßgeblich von der Rolle (Hersteller, Importeur, Händler) und der Einstufung der Produkte ab. Voraussetzung dafür ist eine systematische Übersicht darüber, welche Produkte mit digitalen Elementen angeboten werden und welche Softwarekomponenten darin enthalten sind.
Hersteller müssen unter anderem:
- Cybersicherheit bereits bei Design und Entwicklung berücksichtigen (Security by Design und Security by Default)
- Risikobewertungen durchführen und eine technische Dokumentation erstellen
- Schwachstellen über den gesamten Supportzeitraum behandeln und Sicherheitsupdates bereitstellen
- Softwarekomponenten nachvollziehbar dokumentieren (Software Bill of Materials, SBOM)
- Ein Konformitätsbewertungsverfahren durchlaufen und das Produkt mit der CE-Kennzeichnung versehen
- Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden
Die Meldepflicht ist bereits wirksam: Sie gilt seit dem 11. September 2026 und erfasst auch Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Erforderlich sind eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden sowie ein Abschlussbericht. Bei Verstößen drohen empfindliche Bußgelder.
Eine frühzeitige Auseinandersetzung mit diesen Anforderungen hilft dabei, spätere Anpassungen zu vermeiden und den organisatorischen Aufwand besser zu steuern.
Zusammenhang mit Informationssicherheit und Regulatorik
Die Anforderungen des CRA stehen in engem Zusammenhang mit Informationssicherheit, NIS2 und weiteren Regelwerken. Viele Vorgaben lassen sich nicht unabhängig von bestehenden Sicherheits- und Compliance-Strukturen umsetzen, etwa beim Schwachstellenmanagement, bei der Incident-Response oder bei der Absicherung der Lieferkette.
Ein funktionierendes Informationssicherheits-Managementsystem (ISMS), etwa nach ISO 27001, ist eine wichtige Grundlage für eine nachhaltige Umsetzung. Bestehende Managementsysteme können genutzt und gezielt erweitert werden, um neue Anforderungen effizient zu integrieren. Auch Produkte mit KI-Komponenten sind betroffen: Hier greifen CRA und EU AI Act ineinander.
Wie die glacier bei der Umsetzung unterstützt
Wir begleiten Sie bei der Umsetzung des Cyber Resilience Act – von der Einordnung Ihrer Produkte und Rollen bis zu konkreten Maßnahmen, etwa dem Aufbau von Melde- und Schwachstellenprozessen.
Wir gehen praxisnah und risikoorientiert vor. Ziel ist es, die Anforderungen sinnvoll in bestehende Strukturen zu integrieren und Ihre unternehmerische Flexibilität zu erhalten. Technische, organisatorische und rechtliche Aspekte betrachten wir gemeinsam.
Häufige Fragen zum Cyber Resilience Act
Was ist das Ziel des Cyber Resilience Act?
Ziel der Verordnung ist es, die Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus zu verbessern und einen einheitlichen, verlässlichen Rahmen für den EU-Binnenmarkt zu schaffen.
Gilt der Cyber Resilience Act auch für mittelständische Unternehmen?
Ja. Die Anforderungen gelten unabhängig von der Unternehmensgröße, sofern Produkte mit digitalen Elementen hergestellt, importiert oder vertrieben werden.
Welche Produkte fallen unter den CRA?
Der CRA gilt für Hardware- und Softwareprodukte, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können, einschließlich zugehöriger Fernverarbeitungslösungen. Für einzelne Bereiche wie Medizinprodukte oder Fahrzeuge gelten Sonderregelungen. Reine Online-Dienste (SaaS) ohne Produktbezug sind in der Regel nicht erfasst, werden aber teilweise über NIS2 reguliert.
Ab wann gelten die Pflichten des CRA?
Der CRA ist seit dem 10. Dezember 2024 in Kraft. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit dem 11. September 2026. Die übrigen Anforderungen, einschließlich CE-Kennzeichnung, gelten ab dem 11. Dezember 2027.
Was muss ich melden und in welcher Frist?
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Vorgesehen sind eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und ein Abschlussbericht. Die Meldung erfolgt über die zentrale europäische Meldeplattform.
Welche Rolle spielt Informationssicherheit beim CRA?
Informationssicherheit ist ein zentraler Bestandteil der Anforderungen, insbesondere beim Schwachstellenmanagement, bei der Absicherung der Lieferkette und bei der Reaktion auf Sicherheitsvorfälle. Ein bestehendes ISMS bietet dafür eine gute Grundlage.
Wie verhält sich der CRA zu NIS2?
Beide Regelwerke ergänzen sich. NIS2 richtet sich an die Cybersicherheit von Organisationen und deren Betrieb, der CRA an die Sicherheit von Produkten. Unternehmen können von beiden betroffen sein, zum Beispiel als Hersteller und als Betreiber kritischer Dienste.
Ab wann sollten Unternehmen aktiv werden?
Da die Meldepflichten bereits gelten und die übrigen Anforderungen ab Dezember 2027 folgen, ist eine frühzeitige Einordnung und Vorbereitung sinnvoll, um Risiken zu reduzieren und den Umsetzungsaufwand planbar zu machen.
Den CRA rechtzeitig umsetzen
Gemeinsam klären wir, welche Ihrer Produkte und Rollen betroffen sind, und bauen mit Ihnen die nötigen Prozesse auf – von der Schwachstellenbehandlung bis zur Meldung. Wir arbeiten mit Ihrem Team, nicht an ihm vorbei, damit Ihre Produkte marktfähig und rechtssicher bleiben.
Wir freuen uns darauf, Sie kennenzulernen!