Mit dem Cyber Resilience Act (CRA) hat die Europäische Union zum ersten Mal verbindliche Anforderungen an die Cybersicherheit für digitale Produkte gesetzt. Schon ab dem 11. September 2026 greifen erste Meldeverpflichtungen, ab dem 11. Dezember 2027 dürfen nur noch CRA-konform ausgelegte Produkte in der EU verkauft werden. Wer als Mittelständler Hardware, Software oder vernetzte Geräte auf den Markt bringt, sollte frühzeitig aktiv werden – die Übergangsphase ist kürzer, als sie scheint.

Stellen Sie sich vor, ein Produzent liefert eine vernetzte Maschinensteuerung an einen Industriekunden – und drei Jahre später wird eine Schwachstelle in einer eingesetzten Open-Source-Bibliothek bekannt. Inzwischen ist die Frage, wer wann patcht, meistens eine Sache des guten Willens. Ab Ende 2027 ist es eine Frage des geltenden Rechts. Der Cyber Resilience Act verpflichtet Hersteller, Importeure wie auch Händler dazu, Cybersicherheit über den vollständigen Lebenszyklus des Produkts systematisch sicherzustellen.

Die EU reagiert damit auf eine zunehmend angespannte Gefährdungslage: Allein 2024 wurden europaweit über 100 neue Sicherheitslücken pro Tag gemeldet, viele davon in netzwerkfähigen Produkten (https://www.iem.fraunhofer.de/de/im-fokus/cyber-resilience-act.html). Die EU-Kommission schätzt, dass rund 25.000 Unternehmen in der EU vom CRA betroffen sind – und ein großer Anteil davon kommt aus dem Mittelstand.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act – mit der offiziellen Bezeichnung „Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“ – ist die erste EU-weite Verordnung, die ein verbindliches Mindestniveau an IT-Sicherheit für digital vernetzte Produkte festlegt. Publiziert wurde der Rechtsakt am 20. November 2024 im Amtsblatt der Europäischen Union, in Kraft getreten ist er am 10. Dezember 2024 (https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html).

Anders als die NIS-2-Richtlinie, die auf die organisatorische IT-Sicherheit von Unternehmen abzielt, behandelt der CRA die Sicherheit der Produkte selbst. Er ist außerdem eine EU-Verordnung und gilt damit unmittelbar in allen EU-Mitgliedstaaten – ohne dass es einer nationalen Umsetzung wie beim deutschen NIS-2-Umsetzungsgesetz bedarf. Erfasst sind alle Produkte, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz umfasst: vom Sensor im Internet der Dinge über die Steuerung für Smart Homes bis zur Industriemaschine, vom Operating System über die mobile App bis zur kommerziellen Open-Source-Bibliothek.

Wer ist betroffen?

Vorab eine wichtige Botschaft: Der CRA macht keinerlei Unterschied zwischen Großunternehmen und Unternehmen des Mittelstands. Die Anforderungen knüpfen an das Handelsgut an, keinesfalls an die Firmengröße (https://bitmi.de/it-sicherheitsblog-cyber-resilience-act-einordnung-und-leitfaden-fuer-mittelstaendische-unternehmen/). Wer in der EU vernetzte Produkte produziert, importiert oder unter eigenem Markennamen vertreibt, fällt generell unter die Regelung.

Insbesondere betroffen sind:

• Hersteller digital vernetzter Hardware: Maschinen- und Anlagenbauer, IoT-Produzenten, Fertiger von Smart-Home- und Industriegeräten, Steuerungssystemen, Embedded Systems.
• Softwarehersteller: gewerbliche Software, mobile Anwendungen, Betriebssysteme, Sicherheitssoftware und kommerziell vertriebene Open-Source-Lösungen.
• Importeure sowie Händler: Wer Produkte aus Nicht-EU-Staaten unter eigenem Namen oder eigenem Markennamen vertreibt (klassisches White-Labelling) bzw. ein Produkt so modifiziert, dass sich das Risikoniveau ändert, gilt nach Artikel 21 ebenso als Hersteller.

Ausgenommen sind Produkte, die schon durch andere EU-Vorschriften reguliert werden – beispielsweise Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt und Schiffsausrüstung. Auch nichtkommerzielle Open-Source-Software ohne Erwerbsabsicht bleibt außen vor. Wer nicht sicher ist, ob das eigene Erzeugnis unter den CRA fällt, sollte zunächst eine strukturierte Portfolioanalyse vornehmen.

Cyber Resilience Act Anforderungen Schritt für Schritt

Der CRA verlangt von Produzenten nicht einzelne Maßnahmen, sondern einen lückenlosen Cybersicherheitsprozess vom ersten Strich am Reißbrett bis zum Ende des Supports. Die zentralen Anforderungen lassen sich in fünf Blöcke gliedern:

• Secure by Design und Secure by Default: Cybersicherheit muss bereits in der Konzeption berücksichtigt werden. Sicher konfigurierte Voreinstellungen, kein standardmäßig gesetztes „admin/admin“, verschlüsselte Datenverarbeitung und eine möglichst geringe Angriffsfläche sind verbindlich.
• Risikobewertung und Technikdokumentation: Für jedes Produkt ist eine Risikobewertung durchzuführen und eine vollständige technische Dokumentation nach Anhang II zu erarbeiten – Produktbeschreibung, Sicherheitsarchitektur, Testberichte, Konformitätserklärung. Diese ist zehn Jahre aufzubewahren.
• Software-Stückliste (SBOM): Hersteller müssen eine maschinell lesbare Aufstellung aller verwendeten Softwarekomponenten erstellen. Anerkannte Formate sind nach BSI-Richtlinie TR-03183 in der Praxis CycloneDX oder SPDX. Die SBOM muss nicht veröffentlicht werden, aber jederzeit auf Anfrage der Marktüberwachungsbehörde vorliegen.
• Schwachstellenmanagement und Meldepflichten: Werden Sicherheitslücken aktiv ausgenutzt, müssen Hersteller das verantwortliche nationale Computer Security Incident Response Team (in Deutschland das BSI) und die EU-Cybersicherheitsagentur ENISA innerhalb von 24 Stunden mit einer Frühwarnung informieren, innerhalb von 72 Stunden einen ausführlichen Bericht einreichen und nach 14 Tagen einen abschließenden Bericht vorlegen.
• Sicherheitsaktualisierungen über den vollständigen Unterstützungszeitraum: In der Regel sind das mindestens fünf Jahre nach Markteinführung. In dieser Zeit müssen Sicherheitsupdates kostenfrei zur Verfügung gestellt werden – ebenfalls dann, wenn das Produkt selbst bereits nicht mehr vermarktet wird.

Hinzu kommt die CE-Kennzeichnung als offizielles Compliance-Zeichen. Je nach Risikoeinstufung des Produkts variieren die Konformitätsbewertungsverfahren. Für Standardprodukte (laut Schätzungen rund 90 Prozent aller betroffenen Produkte) genügt die Eigenbewertung nach Modul A. Relevante Produkte der Klasse II – etwa Betriebssysteme, Hypervisoren, Firewalls oder Router – sowie Produkte der kritischen Kategorie wie Hardware-Sicherheitsmodule oder intelligente Zähler erfordern die Bewertung durch eine benannte Prüfstelle.

Die wichtigsten Stichtage und Strafen im Überblick

Wir sehen in der Unternehmenspraxis, dass viele Mittelständler das Datum „Dezember 2027“ hören und annehmen, sie hätten noch reichlich Luft. Diese Einschätzung greift zu kurz. Der CRA entfaltet seine Wirkung schon deutlich früher, und die Strafen sind erheblich.

Die zentralen Stichtage:

• 11. September 2026: Die Meldepflichten für aktiv ausgenutzte Sicherheitslücken und erhebliche Sicherheitsvorfälle gelten. Diese Pflicht trifft auch vorhandene Produkte, die bereits vor diesem Datum am Markt waren.
• 11. Dezember 2026: Bis zu diesem Datum müssen die Mitgliedstaaten eine hinreichende Anzahl notifizierter Stellen für Konformitätsbewertungsverfahren sicherstellen.
• 11. Dezember 2027: Volle Anwendung des CRA. Ab diesem Zeitpunkt dürfen nur noch CRA-konform ausgelegte Produkte mit CE-Kennzeichen erstmals auf den Markt gebracht werden.

Bei Verstößen drohen empfindliche Bußgelder, welche nach BSI bei bis zu 15 Millionen Euro oder 2,5 Prozent des globalen Jahresumsatzes liegen können – je nachdem, welcher Betrag höher ist (https://audit-professionals.de/cyber-resilience-act/). Bei Verstößen gegen Meldepflichten oder Verfahrenspflichten sind es bis zu 10 Millionen Euro bzw. 2 Prozent des weltweiten Jahresumsatzes. Zusätzlich drohen Marktzugangsbeschränkungen und im Extremfall ein angeordneter Produktrückruf. Wer nicht konform ist, wird im Endeffekt nicht nur sanktioniert, sondern aus dem Markt genommen.

Praktische Sofortmaßnahmen für betroffene Unternehmen

Eine vollständige CRA-Umsetzung dauert nach Erfahrungen aus der Praxis 14 bis 20 Monate (https://www.bos-kg.de/cyber-resilience-act/). Wer 2026 startet, kommt rechtzeitig ins Ziel – wer auf 2027 setzt, hat ein Problem. Aus unserer Erfahrung als IT-Serviceanbieter empfehlen wir folgende Schritte als Einstieg:

• Produktportfolio erfassen: Welche unternehmenseigenen Produkte enthalten digitale Elemente? Welche werden im EU-Markt vertrieben? Welche fallen unter Anhang III oder IV der Verordnung? Diese Inventarisierung ist die Grundlage aller weiteren Maßnahmen.
• Gap-Analyse durchführen: Wo stehen die internen Prozesse heute, gemessen an den CRA-Anforderungen? Häufig sind ISO-27001-zertifizierte Unternehmen bereits zu 60 bis 70 Prozent der Governance-Vorgaben entsprechend aufgestellt, die produktspezifischen Pflichten kommen aber zusätzlich hinzu.
• SBOM-Prozess aufbauen: Tools wie Syft oder Trivy lassen sich innerhalb weniger Tage in eine bestehende CI/CD-Pipeline integrieren und liefern eine anfängliche maschinenlesbare Stückliste – häufig mit unerwarteten Erkenntnissen über veraltete Open-Source-Komponenten.
• PSIRT aufbauen: Ein Product Security Incident Response Team muss spätestens ab September 2026 funktionieren. Dazu gehören eindeutige Eskalationsprozesse zwischen Entwicklung, Geschäftsleitung und Rechtsabteilung sowie technische Schnittstellen zum BSI und zur ENISA.
• Synergien mit NIS-2 und ISO 27001 nutzen: Wer bereits Schwachstellenmanagement, Risikobewertungen und Update-Prozesse betreibt, kann viele vorhandene Strukturen ausbauen, statt neu aufzusetzen.

Zudem lohnt es sich, Lieferanten und Open-Source-Komponenten systematisch zu prüfen. Komponenten, die seit Jahren nicht mehr weiterentwickelt werden, gehören aus dem Produkt – oder müssen selbst gepatcht werden. Spätestens 2027 ist die Zeit der „das nutzen wir schon immer so“-Komponenten vorbei.

Cyber Resilience Act – mehr als nur Regulierung

Der Cyber Resilience Act ist kein freiwilliger Zusatz und keine Probe für Großkonzerne. Er ist die größte Veränderung der europäischen Produktgesetzgebung der letzten zehn Jahre und betrifft mittelständische Hersteller, Importeure und Händler von Hardware, Software und vernetzten Geräten direkt. Wer die Vorgaben frühzeitig aufgreift, verhindert nicht nur empfindliche Bußgelder und Marktzugangsbeschränkungen, sondern positioniert sich als verlässlicher Partner in immer sicherheitskritischeren Lieferketten. IT-Sicherheit „Made in EU“ wird in den kommenden Jahren zu einem entscheidenden Wettbewerbsvorteil – wenn man sich rechtzeitig auf den Weg macht.

Bis 2027 wirkt weit entfernt. Mit Bestandsaufnahme des Produktportfolios, SBOM-Aufbau und PSIRT-Prozessen sind es realistisch eher 18 als 36 Monate Arbeit. Wer heute startet, hat 2027 ein Produktportfolio, das den Zugang zum Markt sichert – und einen Vorteil, den Wettbewerber nicht mehr aufholen können.

Sie wollen wissen, ob Ihre Produkte unter den Cyber Resilience Act fallen und wie Sie eine SBOM, das Schwachstellenmanagement oder Ihre Technikdokumentation aufsetzen? Kontaktieren Sie uns gerne – als Ihr IT-Dienstleister unterstützen wir Sie von der ersten Gap-Analyse bis zum CE-Konformitätskennzeichen.