Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act (CRA) ist die EU-Verordnung 2024/2847. Der CRA verpflichtet Hersteller von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Lebenszyklus, zur Meldung aktiv ausgenutzter Schwachstellen und zur CE-Kennzeichnung.
Wichtigste Punkte
- Der CRA gilt unmittelbar in allen EU-Mitgliedstaaten und muss nicht in nationales Recht umgesetzt werden.
- Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an ENISA und das zuständige nationale CSIRT melden.
- Ab dem 11. Dezember 2027 gilt der CRA vollständig, einschließlich CE-Kennzeichnung und EU-Konformitätserklärung.
- Der CRA ist eine Verordnung. Suchanfragen nach „CRA-Richtlinie“ oder „Cyberresilienz-Verordnung“ meinen denselben Rechtsakt.
- Der CRA teilt Produkte in vier Stufen ein: Standardprodukte, wichtige Produkte der Klasse I, wichtige Produkte der Klasse II und kritische Produkte.
Für wen gilt der Cyber Resilience Act?
Der Cyber Resilience Act gilt für Hersteller, Importeure und Händler, die Produkte mit digitalen Elementen in der EU auf den Markt bringen. Ein Produkt mit digitalen Elementen ist ein Hardware- oder Softwareprodukt, dessen Datenverbindung zu einem Gerät oder Netz zur Funktion gehört.
Der Anwendungsbereich ist breit. Er reicht von vernetzten Verbrauchsgeräten und Industriesteuerungen bis zu Betriebssystemen, Bibliotheken und eigenständig vertriebener Software. Für Open-Source-Software kennt der CRA eine eigene Rolle, den Verwalter von Open-Source-Software.
Produkt kostenlos klassifizierenIst der Cyber Resilience Act eine Verordnung oder eine Richtlinie?
Der Cyber Resilience Act ist eine Verordnung. Als Verordnung (EU) 2024/2847 gilt der CRA unmittelbar in jedem Mitgliedstaat, ohne dass ein nationales Umsetzungsgesetz erforderlich ist.
Der Unterschied hat praktische Folgen. Bei einer Richtlinie legt jeder Mitgliedstaat eigene Umsetzungsfristen und Details fest. Beim CRA gelten in Deutschland, Österreich und allen anderen Mitgliedstaaten dieselben Anforderungen und dieselben Fristen.
Welche Fristen gelten für den Cyber Resilience Act?
Der CRA gilt in zwei Stufen. Die Meldepflichten beginnen am 11. September 2026, die vollständige Anwendung einschließlich CE-Kennzeichnung folgt am 11. Dezember 2027.
| Datum | Was gilt | Rechtsgrundlage |
|---|---|---|
| 11. September 2026 | Meldepflichten beginnen. Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an ENISA und das zuständige nationale CSIRT. | Artikel 13, Artikel 14 |
| 11. Dezember 2027 | Der CRA gilt vollständig, einschließlich CE-Kennzeichnung und EU-Konformitätserklärung. | Verordnung (EU) 2024/2847 |
Die Meldefristen nach Artikel 14 betragen 24 Stunden, 72 Stunden und 14 Tage.
In welche Klassen teilt der CRA Produkte ein?
Der CRA teilt Produkte mit digitalen Elementen in vier Stufen ein. Die Stufe bestimmt, ob eine Selbstbewertung genügt oder ob eine benannte Stelle eingebunden werden muss.
| Stufe | Konformitätsbewertung |
|---|---|
| Standardprodukte | Selbstbewertung durch den Hersteller nach Modul A |
| Wichtige Produkte, Klasse I (Anhang III) | Benannte Stelle oder europäisches Cybersicherheitszertifizierungsschema |
| Wichtige Produkte, Klasse II (Anhang III) | Benannte Stelle oder europäisches Cybersicherheitszertifizierungsschema |
| Kritische Produkte (Anhang IV) | Benannte Stelle oder europäisches Cybersicherheitszertifizierungsschema |
Welche Pflichten hat ein Hersteller nach dem CRA?
Ein Hersteller klassifiziert das Produkt, erstellt eine Risikobewertung, erfüllt die grundlegenden Anforderungen aus Anhang I, führt die technische Dokumentation, stellt die EU-Konformitätserklärung aus, behandelt Schwachstellen und meldet meldepflichtige Vorfälle nach Artikel 14.
- Produktklassifizierung nach Anhang III und Anhang IV
- Risikobewertung der Cybersicherheit
- Grundlegende Anforderungen nach Anhang I
- Technische Dokumentation nach Anhang VII
- EU-Konformitätserklärung
- Schwachstellenbehandlung und koordinierte Offenlegung
- Meldung nach Artikel 14 an ENISA und das nationale CSIRT
Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex CELEX:32024R2847
- Der CRA Artikel für Artikel (englisch)
- CRA-Normen und harmonisierte Normen (englisch)
- Deutschsprachige Fachbeiträge
Zuletzt aktualisiert am 26. August 2026
CRA-Konformität in einem Arbeitsbereich
CVD Portal ist eine Compliance-Plattform für den Cyber Resilience Act (CRA). Die Plattform deckt den Weg von der Produktklassifizierung über Anhang I und die EU-Konformitätserklärung bis zur Meldung nach Artikel 14 ab.
Kostenlos starten