Neu: EU CAPTCHA – DSGVO-konformer Bot-Schutz. Jetzt 3 Monate kostenlos testen.
Home>
Cyber Resilience Act
CRA: Ziele und Pflichten
Der CRA verfolgt diese Ziele:
Gewährleistung, dass die Hersteller die Sicherheit von Produkten mit digitalen Elementen schon ab der Konzeptions- und Entwicklungsphase sowie über den gesamten Lebenszyklus hinweg verbessern.
Gewährleistung eines kohärenten Cybersicherheitsrahmens, der den Hardware- und Softwareherstellern die Einhaltung der Vorschriften erleichtert.
Erhöhung der Transparenz der Sicherheitseigenschaften von Produkten mit digitalen Elementen.
Befähigung von Unternehmen sowie Verbraucherinnen und Verbrauchern, damit sie Produkte mit digitalen Elementen sicher verwenden können.
Was bedeutet der CRA für die Hersteller?
Verpflichtung zu Security by Design: Cybersicherheit muss in der kompletten Planungs-, Entwurfs-, Entwicklungs-, Produktions-, Liefer- und Wartungsphase von Produkten berücksichtigt und umgesetzt werden.
Umfangreiche Dokumentations- und Meldepflichten von Schwachstellen und Sicherheitsvorfällen gegenüber Unternehmenskunden, Verbraucherinnen und Verbrauchern sowie den zuständigen Aufsichtsbehörden.
02
Geltungsbereich: Welche Produkte sind betroffen?
Die Verordnung betrifft in erster Linie alle Produkte mit digitalen Elementen. Diese sind durch den CRA in drei Klassen eingeordnet. Die Standardkategorie soll rund 90 % aller Produkte umfassen, sie setzt sich aus handelsüblichen Geräten und Programmen mit niedriger Kritikalität zusammen, wie etwa Fotobearbeitungssoftware, Videospiele oder smarte Lautsprecher.
Die übrigen 10 % entfallen auf Produkte der kritischen Klassen I und II, von denen ein höheres Cybersicherheitsrisiko ausgeht. Daher sind hier besondere Konformitätsbewertungsverfahren anzuwenden, einschließlich der externen Bewertung durch Dritte.
Ausgenommen vom CRA sind reine Software-as-a-Service-Lösungen (SaaS), die als eigenständige Cloud-Dienste betrieben werden. Jedoch fallen „Fernverarbeitungslösungen“ unter den CRA, wenn sie für die Funktionalität eines Produkts mit digitalen Elementen zwingend erforderlich sind. Nicht-kommerzielle Open-Source-Software ist ebenfalls ausgenommen; kommerzielle FOSS-Produkte hingegen sind reguliert.
Insgesamt ist der Geltungsbereich bewusst weit gefasst und umfasst:
Klassische IT- und Consumer-Produkte wie Router, Smart-Home-Geräte, Kameras, Wearables und vernetzte Haushaltsgeräte.
Softwareprodukte wie Betriebssysteme, Anwendungen, Browser, VPNClients, Security-Lösungen oder Cloud-Software.
Industrielle und KRITIS-nahe Systeme, etwa Steuerungen, Netzkomponenten, OT/ICS-Lösungen und eingebettete Systeme in Maschinen.
Ausgenommen sind u.a. bestimmte Medizinprodukte, Fahrzeuge, Luftfahrtprodukte sowie rein unentgeltlich bereitgestellte OpenSourceSoftware ohne kommerzielle Nutzung.
04
Ab wann gilt der CRA?
Für die Gewährleistung von CRA-Compliance ist der Zeitplan zentral, da sich die von der Regularie ableitenden Pflichten stufenweise aufbauen.
11. Juni 2026: Die Regeln für die Notifizierung und Arbeit der Konformitätsbewertungsstellen (Chapter IV) werden anwendbar. Hersteller können dann Produkte mit digitalem Element durch benannte Stellen prüfen lassen.
11. September 2026: Artikel 14 (Reporting-Pflichten) tritt in Kraft; ab diesem Datum gelten die 24‑h‑/72‑h‑Fristen für das Berichten von aktiv ausgenutzten Schwachstellen und schweren Incidents.
11. Dezember 2027: Der CRA wird in Gänze anwendbar; ab diesem Datum dürfen neue Produkte nur noch CRA-konform auf den EU-Markt gebracht werden. Dies gilt auch für neu ausgelieferte Chargen oder neu veröffentlichte Versionen bestehender Produktlinien.
Für Hersteller bedeutet das: Die Zeit bis Ende 2027 ist faktisch Migrationszeit, in der Entwicklungs- und Security-Prozesse, Produktportfolios und Lieferantenlandschaften schrittweise auf CRA-Compliance ausgerichtet werden müssen.
Sie wollen mehr über unsere Lösungen, Anwendungsbeispiele und Best Practices zur Angriffsabwehr erfahren? In unserem Downloadbereich finden Sie Product Sheets, Fact Sheets, Whitepaper und Case Studies.
Was sind die wichtigsten CRA-Anforderungen für Hersteller, Importeure und Händler?
Produkte mit digitalen Elementen (Produkte) werden nur dann auf dem Markt zugelassen, wenn sie die „grundlegenden Cybersicherheitsanforderungen“ erfüllen, die in Abschnitt 1 von Anhang I des CRA aufgeführt sind. Diese Anforderungen sind darauf ausgelegt, die Sicherheit, Vertraulichkeit und Integrität digitaler Produkte sicherzustellen. Dabei setzt die EU-Kommission auf Best Practices wie Verschlüsselung, Datenminimierung oder eine präventive Absicherung vor Angriffen. Beispiel: Die Produkte müssen „die Verfügbarkeit wesentlicher Funktionen, einschließlich der Abwehrfähigkeit gegen Überlastungsangriffe auf Server (Denial-of-Service-Angriffe) und deren Eindämmung gewährleisten“.