CVD Portal
Cyber Resilience Act

Was ist der Cyber Resilience Act (CRA)?

Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847. Der CRA verpflichtet Hersteller von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Lebenszyklus, zur Meldung aktiv ausgenutzter Schwachstellen und zur CE-Kennzeichnung.

Wichtigste Punkte

  • Der CRA gilt unmittelbar in allen EU-Mitgliedstaaten und muss nicht in nationales Recht umgesetzt werden.
  • Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an ENISA und das zuständige nationale CSIRT melden.
  • Ab dem 11. Dezember 2027 gilt der CRA vollständig, einschließlich CE-Kennzeichnung und EU-Konformitätserklärung.
  • Der CRA ist eine Verordnung. Suchanfragen nach „CRA-Richtlinie“ oder „Cyberresilienz-Verordnung“ meinen denselben Rechtsakt.
  • Der CRA teilt Produkte in vier Stufen ein: Standardprodukte, wichtige Produkte der Klasse I, wichtige Produkte der Klasse II und kritische Produkte.

Für wen gilt der Cyber Resilience Act?

Der Cyber Resilience Act gilt für Hersteller, Importeure und Händler, die Produkte mit digitalen Elementen in der EU auf den Markt bringen. Ein Produkt mit digitalen Elementen ist ein Hardware- oder Softwareprodukt, dessen Datenverbindung zu einem Gerät oder Netz zur Funktion gehört.

Der Anwendungsbereich ist breit. Er reicht von vernetzten Verbrauchsgeräten und Industriesteuerungen bis zu Betriebssystemen, Bibliotheken und eigenständig vertriebener Software. Für Open-Source-Software kennt der CRA eine eigene Rolle, den Verwalter von Open-Source-Software.

Produkt kostenlos klassifizieren

Ist der Cyber Resilience Act eine Verordnung oder eine Richtlinie?

Der Cyber Resilience Act ist eine Verordnung. Als Verordnung (EU) 2024/2847 gilt der CRA unmittelbar in jedem Mitgliedstaat, ohne dass ein nationales Umsetzungsgesetz erforderlich ist.

Der Unterschied hat praktische Folgen. Bei einer Richtlinie legt jeder Mitgliedstaat eigene Umsetzungsfristen und Details fest. Beim CRA gelten in Deutschland, Österreich und allen anderen Mitgliedstaaten dieselben Anforderungen und dieselben Fristen.

Welche Fristen gelten für den Cyber Resilience Act?

Der CRA gilt in zwei Stufen. Die Meldepflichten beginnen am 11. September 2026, die vollständige Anwendung einschließlich CE-Kennzeichnung folgt am 11. Dezember 2027.

DatumWas giltRechtsgrundlage
11. September 2026Meldepflichten beginnen. Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an ENISA und das zuständige nationale CSIRT.Artikel 13, Artikel 14
11. Dezember 2027Der CRA gilt vollständig, einschließlich CE-Kennzeichnung und EU-Konformitätserklärung.Verordnung (EU) 2024/2847

Die Meldefristen nach Artikel 14 betragen 24 Stunden, 72 Stunden und 14 Tage.

In welche Klassen teilt der CRA Produkte ein?

Der CRA teilt Produkte mit digitalen Elementen in vier Stufen ein. Die Stufe bestimmt, ob eine Selbstbewertung genügt oder ob eine benannte Stelle eingebunden werden muss.

StufeKonformitätsbewertung
StandardprodukteSelbstbewertung durch den Hersteller nach Modul A
Wichtige Produkte, Klasse I (Anhang III)Benannte Stelle oder europäisches Cybersicherheitszertifizierungsschema
Wichtige Produkte, Klasse II (Anhang III)Benannte Stelle oder europäisches Cybersicherheitszertifizierungsschema
Kritische Produkte (Anhang IV)Benannte Stelle oder europäisches Cybersicherheitszertifizierungsschema

Welche Pflichten hat ein Hersteller nach dem CRA?

Ein Hersteller klassifiziert das Produkt, erstellt eine Risikobewertung, erfüllt die grundlegenden Anforderungen aus Anhang I, führt die technische Dokumentation, stellt die EU-Konformitätserklärung aus, behandelt Schwachstellen und meldet meldepflichtige Vorfälle nach Artikel 14.

  • Produktklassifizierung nach Anhang III und Anhang IV
  • Risikobewertung der Cybersicherheit
  • Grundlegende Anforderungen nach Anhang I
  • Technische Dokumentation nach Anhang VII
  • EU-Konformitätserklärung
  • Schwachstellenbehandlung und koordinierte Offenlegung
  • Meldung nach Artikel 14 an ENISA und das nationale CSIRT

Gibt es den Cyber Resilience Act auf Deutsch?

Ja. Die Verordnung (EU) 2024/2847 ist in allen 24 Amtssprachen der EU rechtsverbindlich. Die deutsche Fassung steht im Amtsblatt der Europäischen Union und hat denselben Rechtsstand wie die englische.

Der englische Begriff „Cyber Resilience Act“ wird auch im deutschen Sprachraum verwendet. Die amtliche deutsche Bezeichnung lautet „Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“. Die Kurzform „Cyberresilienz-Verordnung“ meint denselben Rechtsakt.

Quellen

Zuletzt aktualisiert am 4. September 2026

CRA-Konformität in einem Arbeitsbereich

CVD Portal ist eine Compliance-Plattform für den Cyber Resilience Act (CRA). Die Plattform deckt den Weg von der Produktklassifizierung über Anhang I und die EU-Konformitätserklärung bis zur Meldung nach Artikel 14 ab.

Mein kostenloses CVD-Portal erstellenIhr kostenloses CVD-Portal erstellen