Cyber Resilience Act: Was Hersteller tun müssen und ab wann

Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, legt horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen auf dem Unionsmarkt fest. Er betrifft sowohl die Sicherheit des Produkts als auch die Verfahren zur Behandlung von Schwachstellen. Dieser Überblick erläutert die wesentlichen Fragen für Hersteller. Er dient der Information und ersetzt weder eine Rechtsberatung noch die Prüfung eines konkreten Produkts.

Welche Produkte fallen darunter?

Ausgangspunkt ist das tatsächlich bereitgestellte Produkt. Art. 2 Abs. 1 erfasst Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Es geht also nicht nur um Internetverbindungen. Nach Art. 3 Nr. 1 können auch gesondert in Verkehr gebrachte Software- und Hardwarekomponenten erfasst sein.

Zur Produktdefinition gehören auch Fernverarbeitungslösungen unter den Voraussetzungen von Art. 3 Nr. 2: Die Verarbeitung wurde vom Hersteller oder unter seiner Verantwortung konzipiert; ohne sie könnte das Produkt eine seiner Funktionen nicht erfüllen. Betrachten Sie das Produkt zusammen mit seinen Abhängigkeiten. Dass ein Cloud-Dienst beteiligt ist, entscheidet noch nicht über den Anwendungsbereich.

Art. 2 enthält bestimmte Ausnahmen, etwa für Produkte unter den dort genannten Medizinprodukte- und Fahrzeugvorschriften, bestimmte Luftfahrtprodukte, Schiffsausrüstung, bestimmte identische Ersatzteile sowie ausschließlich für nationale Sicherheits- oder Verteidigungszwecke entwickelte oder geänderte Produkte. Jede Ausnahme hat eigene Voraussetzungen. Eine Branchenbezeichnung genügt nicht. Auch bei kostenloser Bereitstellung oder einer Open-Source-Lizenz sind die Art der Bereitstellung und die Rolle des Beteiligten gesondert zu prüfen.

Wer ist Hersteller?

Hersteller nach Art. 3 Nr. 13 ist die natürliche oder juristische Person, die ein Produkt entwickelt oder herstellt oder es konzipieren, entwickeln oder herstellen lässt und unter ihrem Namen oder ihrer Marke vermarktet. Die Definition umfasst die entgeltliche Bereitstellung, Monetarisierung und unentgeltliche Bereitstellung. Auch bei ausgelagerter Entwicklung muss der verantwortliche Hersteller daher bestimmt werden.

Halten Sie die juristische Person, das Produkt und den Namen fest, unter dem es vermarktet wird. Grenzen Sie die Rolle von Einführer, Händler und Verwalter quelloffener Software ab. Bei kommerziell bereitgestellter Open-Source-Software ist die öffentliche Verfügbarkeit des Quellcodes allein nicht entscheidend. Der CRA unterscheidet Hersteller und Verwalter quelloffener Software; seine Erwägungsgründe behandeln außerdem die nichtkommerzielle Open-Source-Entwicklung. Klären Sie diese Fragen, bevor Sie ein Konformitätsbewertungsverfahren wählen.

Drei Termine mit unterschiedlichen Folgen

Art. 71 Abs. 2 legt die folgenden Termine fest. An ihnen beginnen unterschiedliche Regelungsbereiche:

• 11. Juni 2026: Kapitel IV mit den Art. 35–51 gilt seit diesem Datum. Es betrifft die Notifizierung von Konformitätsbewertungsstellen und ist nicht der allgemeine Beginn der produktbezogenen Herstellerpflichten.
• 11. September 2026: Die Meldepflichten nach Art. 14 gelten seit diesem Datum. Sie betreffen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit.
• 11. Dezember 2027: Die Verordnung gilt ab diesem Datum grundsätzlich, einschließlich der wesentlichen Herstellerpflichten zu Produktanforderungen, Schwachstellenbehandlung und Konformität.

Ein früheres Inverkehrbringen befreit nicht automatisch von der Meldepflicht. Art. 69 Abs. 3 erstreckt Art. 14 auch auf erfasste Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Art. 69 Abs. 2 regelt getrennt davon andere Anforderungen, wenn diese Produkte ab diesem Datum wesentlich geändert werden. Bereiten Sie den Meldeprozess und die Bewertung künftiger Produktversionen deshalb als getrennte Aufgaben vor.

Sichere Entwicklung beginnt bei der Risikobewertung

Art. 13 Abs. 1–4 verknüpft Konzeption, Entwicklung und Herstellung mit Anhang I Teil I. Hersteller müssen Cybersicherheitsrisiken bewerten und die Ergebnisse in Planung, Konzeption, Entwicklung, Herstellung, Lieferung und Wartung berücksichtigen. Die Bewertung wird dokumentiert und während des Unterstützungszeitraums bei Bedarf aktualisiert. Sie berücksichtigt den bestimmungsgemäßen Zweck, vorhersehbare Verwendung, Einsatzbedingungen und erwartete Nutzungsdauer.

Anhang I behandelt unter anderem sichere Standardeinstellungen, den Schutz vor unbefugtem Zugriff, Vertraulichkeit und Integrität von Daten, Angriffsflächen und Sicherheitsaktualisierungen. Welche Anforderungen greifen, ergibt sich aus der Risikobewertung und den gesetzlichen Voraussetzungen. Für nicht anwendbare Anforderungen braucht die technische Dokumentation eine klare Begründung. Zur Vorbereitung empfiehlt es sich, jede einschlägige Anforderung mit einer technischen Entscheidung und den zugehörigen Prüfnachweisen zu verbinden.

Schwachstellenbehandlung endet nicht mit der Auslieferung

Art. 13 Abs. 8 verlangt eine wirksame Behandlung von Schwachstellen des Produkts und seiner Komponenten beim Inverkehrbringen und während des Unterstützungszeitraums. Anhang I Teil II umfasst die Behebung, regelmäßige Sicherheitstests und Überprüfungen, koordinierte Offenlegung, eine Meldekontaktadresse und die sichere Verteilung von Aktualisierungen. Zulieferkomponenten bleiben Teil der eigenen Bewertung des Herstellers.

Der Unterstützungszeitraum muss die erwartete Nutzung und die Faktoren aus Art. 13 Abs. 8 berücksichtigen. Er beträgt mindestens fünf Jahre, sofern die erwartete Nutzung nicht kürzer ist; dann entspricht er dieser Nutzungsdauer. Praktisch sollten eine verantwortliche Person für eingehende Meldungen, die Zuordnung zu betroffenen Produktversionen und eine Aufzeichnung der Korrekturmaßnahmen vorgesehen sein. Das sind Arbeitsempfehlungen; maßgeblich bleiben die gesetzlichen Anforderungen.

Die Software-Stückliste unterstützt den Prozess

Anhang I Teil II Nr. 1 verlangt, Schwachstellen und Komponenten zu ermitteln und zu dokumentieren, unter anderem durch eine Software-Stückliste in einem gängigen maschinenlesbaren Format mit mindestens den obersten Abhängigkeiten. Die Vorschrift nennt keinen verbindlichen SBOM-Standard. Die Bestandsaufnahme sollte das bewertete Produkt beschreiben, nicht eine davon abweichende Entwicklungsumgebung.

Eine SBOM allein belegt nicht, dass sämtliche Cybersicherheitsanforderungen erfüllt sind. Der CRA begründet auch keine allgemeine Pflicht, jede SBOM uneingeschränkt zum Download zu veröffentlichen. Der Leitfaden zu den CRA-SBOM-Anforderungen unterscheidet zwischen der Erstellung, der Einbindung in die technische Dokumentation und der Bereitstellung in den gesetzlich vorgesehenen Fällen.

Technische Dokumentation macht die Nachweise nachvollziehbar

Vor dem Inverkehrbringen müssen Hersteller nach Art. 13 Abs. 12 die technische Dokumentation erstellen. Art. 31 und Anhang VII beschreiben ihren Umfang. Sie enthält die einschlägigen Informationen darüber, wie Produkt und Herstellerprozesse die Anforderungen aus Anhang I erfüllen, darunter Risikobewertung und Verfahren zur Schwachstellenbehandlung. Die Dokumentation ist nach Art. 31 Abs. 2 aktuell zu halten.

Verbinden Sie zur Vorbereitung Produktidentifikation, Entwurfsentscheidungen, Komponenteninformationen und Prüfberichte miteinander. Kennzeichnen Sie offene Annahmen, statt sie als gesicherte Tatsachen darzustellen. Ein Ordner mit einer SBOM und einem Scan-Export ist für sich genommen noch nicht die vollständige technische Dokumentation, die die Verordnung beschreibt.

Art. 14 hat eigene Auslöser und Fristen

Art. 14 unterscheidet eine aktiv ausgenutzte Schwachstelle im Produkt von einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf dessen Sicherheit. Ein Befund muss anhand des gesetzlichen Auslösers bewertet werden. Frühwarnung und Meldung müssen unverzüglich erfolgen, spätestens innerhalb von 24 beziehungsweise 72 Stunden ab Kenntnis des Herstellers. Die Übermittlung der Frühwarnung setzt die 72-Stunden-Frist nicht neu in Gang.

Beim Abschlussbericht unterscheiden sich die maßgeblichen Ereignisse: bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme, bei Sicherheitsvorfällen innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls. Lesen Sie den Leitfaden zu Art. 14, bevor Sie den Fristenrechner nutzen. Der Leitfaden zur ENISA-Meldeplattform erläutert Empfänger und Vorbereitung. Ein gespeicherter Entwurf ist keine übermittelte Meldung.

Das Verfahren muss zur tatsächlichen Produktkategorie passen

Art. 32 regelt die Konformitätsbewertungsverfahren. Wichtige Produkte in Anhang III sind in die Klassen I und II eingeteilt; kritische Produkte stehen in Anhang IV. Entscheidend sind Kernfunktionalität und gesetzliche Voraussetzungen. Die Integration einer wichtigen Komponente macht das Gesamtprodukt nach Art. 7 Abs. 1 nicht schon für sich genommen zu einem wichtigen Produkt.

Das verfügbare Verfahren hängt von Kategorie, einschlägigen Normen oder Spezifikationen und gegebenenfalls Cybersicherheitszertifizierung ab. Interne Kontrolle steht nicht für jede Kategorie unter denselben Bedingungen offen. Ist die Konformität im einschlägigen Verfahren nachgewiesen, folgen nach Art. 13 Abs. 12 die EU-Konformitätserklärung und CE-Kennzeichnung. Prüfen Sie vor der Auswahl aktuelle Durchführungs- und delegierte Rechtsakte. Dieser Überblick bestimmt kein Verfahren für ein konkretes Produkt.

Wo Sie weiterarbeiten können

Für eine vorläufige Einschätzung von Anwendungsbereich und Kategorie nutzen Sie den Selbstcheck. Er ist auf Englisch und Deutsch verfügbar. Das Glossar hilft bei Begriffen vor der produktspezifischen Prüfung. Die kostenlosen Ressourcen von crAcken bündeln diese Werkzeuge und die ausführlichen Leitfäden.

Quellen und Grenzen

• Verordnung (EU) 2024/2847 auf EUR-Lex (öffnet sich in einem neuen Tab): Wortlaut des Amtsblatts, insbesondere Art. 2, 3, 7, 8, 13, 14, 31, 32, 69 und 71 sowie Anhänge I, III, IV und VII.
• ENISA: Schwachstellendienste und zentrale Meldeplattform (öffnet sich in einem neuen Tab): Hintergrund zur Meldung und Zugang zu Plattforminformationen.

Nutzen Sie für Ihr Produkt den anwendbaren Rechtstext und aktuelle amtliche Hinweise. Diese Einführung stellt weder den Anwendungsbereich für ein Produkt noch die Meldepflicht für ein Ereignis oder die Eignung eines bestimmten Bewertungsverfahrens fest.