Was ist der Cyber Resilience Act?
Die EU-Verordnung (EU) 2024/2847 legt erstmals EU-weit verbindliche horizontale Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen fest.
Für wen gilt er?
Für Wirtschaftsakteure im EU-Binnenmarkt: Hersteller vernetzter Hard- und Software, Bevollmächtigte, Importeure und Händler (Art. 13–19). Reine nicht-kommerzielle Open-Source-Entwicklung außerhalb einer geschäftlichen Tätigkeit ist ausgenommen; für Open-Source-Software-Stewards gilt Art. 24. Hersteller, die FOSS-Komponenten integrieren, bleiben für die Cybersicherheit des Gesamtprodukts verantwortlich.
Was verlangt er?
Sicherheit durch Design und Default (Art. 13 & Anhang I Teil I), Minimierung von Angriffsflächen, Schwachstellenmanagement und Erstellung einer maschinenlesbaren SBOM für mindestens die First-Level-Abhängigkeiten (Anhang I Teil II Pkt. 1). Bestimmung des Supportzeitraums nach Art. 13 Abs. 8, Nutzerinformation nach Art. 13 Abs. 19 & Anhang II sowie kostenlose Sicherheitsupdates nach Anhang I Teil II Pkt. 8.
Meldepflichten aktiv
Verpflichtende Meldung nach Art. 14 ab dem 11. September 2026: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen binnen 24 Stunden (Frühwarnung) bzw. 72 Stunden an zuständige CSIRTs und die ENISA gemeldet werden.
CE-Kennzeichnung & Konformität
Vor dem Inverkehrbringen (verbindlich ab 11. Dezember 2027) ist ein Konformitätsbewertungsverfahren nach Art. 32 & Anhang VIII durchzuführen: Standardprodukte via interne Fertigungskontrolle (Modul A); wichtige Produkte (Art. 7 & Anhang III Teil I / II) via Modul A (bei vollständiger Normenanwendung) oder benannte Stelle; kritische Produkte (Art. 8 & Anhang IV) via Drittprüfung oder europäisches Cybersicherheitszertifikat. Ausstellung der EU-Konformitätserklärung nach Art. 28 & Anhang V/VI und technische Dokumentation nach Art. 31 & Anhang VII.
Sanktionen
Bei Nichteinhaltung drohen empfindliche behördliche Maßnahmen: Verkaufsverbote, Produktrückrufe und Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (Art. 64).
So funktioniert die strukturierte Vorbereitung
1. Produkt- und Rollen-Scoping
Bestimmung des Produkttyps (Hardware, Software, Komponente) und Ihrer Rolle als Hersteller, Importeur oder Händler nach Art. 2 und Art. 13–19.
2. Gap-Analyse der Sicherheitsanforderungen
Prüfung der grundlegenden Sicherheitsanforderungen nach Art. 13 & Anhang I Teil I (Zugriffskontrolle, Verschlüsselung, Integrität, sichere Vorkonfiguration).
3. Schwachstellen- & SBOM-Erfassung
Bewertung des Schwachstellenmanagements (Anhang I Teil II), strukturierte Patch-Verfahren und Erfassung einer maschinenlesbaren Software-Stückliste (SBOM) für mindestens die First-Level-Abhängigkeiten.
4. Maßnahmen- und CE-Fahrplan
Priorisierte Übersicht über identifizierte Lücken, erforderliche Dokumente der technischen Dokumentation (Art. 31 & Anhang VII), EU-Konformitätserklärung (Art. 28 & Anhang V) und den zutreffenden Konformitätsbewertungsweg (Art. 32 & Anhang VIII).
Was Sie mit CRASteps erhalten
Einstufung & Konformitätspfad
Klare Bestimmung, ob Ihr Produkt als Standardprodukt, als wichtiges Produkt (Klasse I oder II nach Anhang III) oder als kritisches Produkt (Anhang IV) einzustufen ist.
Transparente Lückenanalyse
Eindeutige Kennzeichnung fehlender Nachweise bei Schwachstellenbehandlung, Dokumentation, SBOM und Incident-Meldeprozessen.
Priorisierte Vorbereitung
Konkrete Empfehlungen zur Vorbereitung der technischen Unterlagen vor dem CE-Stichtag am 11. Dezember 2027.
CRA-Architektur im Überblick
Die künftige Bewertungs-Engine von CODEX Steps Core wird die wesentlichen Säulen der Verordnung (EU) 2024/2847 systematisch abbilden:
1. Grundlegende Sicherheitsanforderungen (Art. 13 & Anhang I)
Anhang I Teil I: Sicherheit ab Werk (Secure-by-Default), Integritätsschutz, Zugriffskontrollen, Angriffsflächenminimierung und kostenfreie Sicherheitsaktualisierungen während des Supportzeitraums.
2. Produktklassifizierung (Art. 6, 7 & Anhänge III, IV)
Einstufung in Standardprodukte mit digitalen Elementen, wichtige Produkte (Klasse I & II nach Anhang III) sowie kritische Produkte (Anhang IV) mit differenzierten Konformitätspfaden.
3. Meldepflichten nach Art. 14 (Aktiv seit 11.09.2026)
Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und schwerer Sicherheitsvorfälle binnen 24 Stunden (Frühwarnung) bzw. 72 Stunden an zuständige CSIRTs und die ENISA.
4. Schwachstellenmanagement & SBOM (Anhang I Teil II)
Anhang I Teil II: Maschinenlesbare Software-Stückliste (SBOM), koordinierte Offenlegung von Sicherheitslücken, Bereitstellung von Sicherheitsaktualisierungen und technische Dokumentation (Anhang VII).
Unabhängige Methodik & Begleitung
Unsere Vorbereitungslogik orientiert sich strikt an den finalen Vorgaben der Verordnung (EU) 2024/2847, den Leitlinien der Europäischen Kommission sowie den Veröffentlichungen der ENISA. Wir unterstützen Entwickler und Hersteller bei der frühzeitigen Vorbereitung.
Gültig für den gesamten Europäischen Wirtschaftsraum (EWR).
Europäischer Cybersicherheitsrahmen
Der Cyber Resilience Act ist eine tragende Säule der europäischen Cybersicherheitsstrategie und schließt die Lücke zwischen allgemeinen Organisationspflichten und konkreter Produktsicherheit im digitalen Binnenmarkt.
Häufige Fragen zum Cyber Resilience Act
Ab wann gilt der Cyber Resilience Act verbindlich?
Die Verordnung (EU) 2024/2847 wurde am 20. November 2024 im Amtsblatt veröffentlicht und trat am 10. Dezember 2024 in Kraft. Die Vorschriften für Konformitätsbewertungsstellen (Kapitel IV) gelten ab 11. Juni 2026. Die Meldepflichten für aktiv ausgenutzte Schwachstellen (Art. 14) gelten ab 11. September 2026. Die vollständigen Produkt- und CE-Vorschriften sind ab dem 11. Dezember 2027 verbindlich.
Welche Fristen müssen Hersteller jetzt beachten?
Hersteller müssen ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen binnen 24 bzw. 72 Stunden an CSIRTs und ENISA melden (Art. 14). Bis zum 11. Dezember 2027 müssen alle grundlegenden Cybersicherheitsanforderungen (Art. 13 & Anhang I), Supportfristen (Art. 13 Abs. 8), die technische Dokumentation (Art. 31 & Anhang VII) sowie die Konformitätsbewertung (Art. 32 & Anhang VIII) umgesetzt sein.
Gilt der CRA auch für Open-Source-Software?
Freie und quelloffene Software, die außerhalb einer geschäftlichen Tätigkeit entwickelt oder bereitgestellt wird, fällt nicht in den Anwendungsbereich des CRA. Für Open-Source-Software-Stewards gilt ein eigenständiges Regime nach Art. 24. Integriert ein Hersteller FOSS-Komponenten in sein kommerzielles Produkt, muss er die Cybersicherheit und SBOM sicherstellen; die bloße kommerzielle Integration macht den Upstream-Entwickler jedoch nicht zum Hersteller.
Was ist eine Software Bill of Materials (SBOM)?
Eine Software-Stückliste (SBOM) ist ein maschinenlesbares Verzeichnis von Komponenten und Abhängigkeiten. Der gesetzliche Mindeststandard nach Anhang I Teil II Pkt. 1 verlangt die Erfassung mindestens der First-Level-Abhängigkeiten. Die lückenlose Erfassung transitiver Abhängigkeiten wird als technische Best Practice empfohlen.
Wie unterscheidet sich der CRA von der NIS2-Richtlinie?
NIS2 regelt das Cyber-Risikomanagement von Organisationen und Betreibern kritischer Infrastrukturen. Der CRA hingegen stellt verbindliche Sicherheitsanforderungen an konkrete Produkte, die auf den europäischen Markt gebracht werden. NIS2-Einrichtungen werden künftig CRA-konforme Produkte einsetzen müssen.
Frühzeitiger Zugang & Fachberatung
Möchten Sie zu den ersten Herstellern gehören, die ihre Produkte mit der kommenden Steps Core Engine auf CRA-Konformität prüfen? Kontaktieren Sie unser Expertenteam.
Ihre Daten werden vertraulich gemäß unserer Datenschutzerklärung verarbeitet.