Was ist der Cyber Resilience Act?
Die EU-Verordnung (EU) 2024/2847 legt erstmals EU-weit verbindliche horizontale Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen fest.
Für wen gilt er?
Für Wirtschaftsakteure im EU-Binnenmarkt: Hersteller vernetzter Hard- und Software, Bevollmächtigte, Importeure und Händler (Art. 13–19). Reine nicht-kommerzielle Open-Source-Entwicklung außerhalb einer geschäftlichen Tätigkeit ist ausgenommen; für Open-Source-Software-Stewards gilt Art. 24. Hersteller, die FOSS-Komponenten integrieren, bleiben für die Cybersicherheit des Gesamtprodukts verantwortlich.
Was verlangt er?
Sicherheit durch Design und Default (Art. 13 & Anhang I Teil I), Minimierung von Angriffsflächen, Schwachstellenmanagement und Erstellung einer maschinenlesbaren SBOM für mindestens die First-Level-Abhängigkeiten (Anhang I Teil II Pkt. 1). Bestimmung des Supportzeitraums nach Art. 13 Abs. 8, Nutzerinformation nach Art. 13 Abs. 19 & Anhang II sowie kostenlose Sicherheitsupdates nach Anhang I Teil II Pkt. 8.
Meldepflichten aktiv
Verpflichtende Meldung nach Art. 14 ab dem 11. September 2026: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen binnen 24 Stunden (Frühwarnung) bzw. 72 Stunden an zuständige CSIRTs und die ENISA gemeldet werden.
CE-Kennzeichnung & Konformität
Vor dem Inverkehrbringen (verbindlich ab 11. Dezember 2027) ist ein Konformitätsbewertungsverfahren nach Art. 32 & Anhang VIII durchzuführen: Standardprodukte via interne Fertigungskontrolle (Modul A); wichtige Produkte (Art. 7 & Anhang III Teil I / II) via Modul A (bei vollständiger Normenanwendung) oder benannte Stelle; kritische Produkte (Art. 8 & Anhang IV) via Drittprüfung oder europäisches Cybersicherheitszertifikat. Ausstellung der EU-Konformitätserklärung nach Art. 28 & Anhang V/VI und technische Dokumentation nach Art. 31 & Anhang VII.
Welche Sanktionen drohen bei Verstößen?
Bei Nichteinhaltung drohen empfindliche behördliche Maßnahmen: Verkaufsverbote, Produktrückrufe und Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (Art. 64).
So funktioniert es
Antworten
Acht kurze Fragen mit vorgegebenen Antworten — keine Formulierungsarbeit.
Prüfen
Überblick über alle Antworten, mit direkter Möglichkeit zur Änderung.
Ergebnis & Beratung
Sofortiger Bereitschaftsbericht im Browser (lokal gespeichert) und Option zur Expertenberatung.
Fahrplan & Zertifizierung
Erste Einstufung, rechtliche Fristen und ein konkreter Umsetzungsfahrplan zur Konformität.
Was bietet Ihnen CRASteps?
Erste Einordnung
Hinweise zu möglicher CRA-Produkteinstufung, deterministisch aus Ihren Angaben berechnet.
Offene Punkte
Klar benannt, wo Antworten fehlen oder fachliche Prüfung nötig ist — nie stillschweigend übergangen.
Nächste Schritte
Bis zu drei konkrete, aus Ihren Antworten begründete Handlungsempfehlungen.
Beispielergebnis
Beispiel — Demonstrationsdaten
Geltungsbereich: EU · Formularversion 1 · Bewertet am 11.9.2026
Festgestellter Handlungsbedarf
- Automatisierte Erstellung und Aktualisierung von SBOM (CycloneDX / SPDX) — Handlungsbedarf
Empfohlene nächste Schritte
Verpflichtend für Sicherheitsüberprüfungen und Third-Party-Dependencies während des gesamten Produktlebenszyklus.
Frühwarnung innerhalb von 24 Stunden bei aktiv ausgenutzten Schwachstellen nach Art. 14 verpflichtend.
Erforderlich vor dem Inverkehrbringen auf dem EU-Binnenmarkt.
Erste Einschätzung auf Basis Ihrer Angaben — kein Zertifikat, keine vollständige Prüfung.
Methodik und Grenzen
Unsere Vorbereitungslogik orientiert sich strikt an den finalen Vorgaben der Verordnung (EU) 2024/2847, den Leitlinien der Europäischen Kommission sowie den Veröffentlichungen der ENISA. Wir unterstützen Entwickler und Hersteller bei der frühzeitigen Vorbereitung.
Gültig für den gesamten Europäischen Wirtschaftsraum (EWR).
Europäischer Cybersicherheitsrahmen
Der Cyber Resilience Act ist eine tragende Säule der europäischen Cybersicherheitsstrategie und schließt die Lücke zwischen allgemeinen Organisationspflichten und konkreter Produktsicherheit im digitalen Binnenmarkt.
Häufige Fragen zum Cyber Resilience Act
Ab wann gilt der Cyber Resilience Act verbindlich?
Die Verordnung (EU) 2024/2847 wurde am 20. November 2024 im Amtsblatt veröffentlicht und trat am 10. Dezember 2024 in Kraft. Die Vorschriften für Konformitätsbewertungsstellen (Kapitel IV) gelten ab 11. Juni 2026. Die Meldepflichten für aktiv ausgenutzte Schwachstellen (Art. 14) gelten ab 11. September 2026. Die vollständigen Produkt- und CE-Vorschriften sind ab dem 11. Dezember 2027 verbindlich.
Welche Fristen müssen Hersteller jetzt beachten?
Hersteller müssen ab dem 11. September 2026 aktiv ausgenutzte Schwachstellen binnen 24 bzw. 72 Stunden an CSIRTs und ENISA melden (Art. 14). Bis zum 11. Dezember 2027 müssen alle grundlegenden Cybersicherheitsanforderungen (Art. 13 & Anhang I), Supportfristen (Art. 13 Abs. 8), die technische Dokumentation (Art. 31 & Anhang VII) sowie die Konformitätsbewertung (Art. 32 & Anhang VIII) umgesetzt sein.
Gilt der CRA auch für Open-Source-Software?
Freie und quelloffene Software, die außerhalb einer geschäftlichen Tätigkeit entwickelt oder bereitgestellt wird, fällt nicht in den Anwendungsbereich des CRA. Für Open-Source-Software-Stewards gilt ein eigenständiges Regime nach Art. 24. Integriert ein Hersteller FOSS-Komponenten in sein kommerzielles Produkt, muss er die Cybersicherheit und SBOM sicherstellen; die bloße kommerzielle Integration macht den Upstream-Entwickler jedoch nicht zum Hersteller.
Was ist eine Software Bill of Materials (SBOM)?
Eine Software-Stückliste (SBOM) ist ein maschinenlesbares Verzeichnis von Komponenten und Abhängigkeiten. Der gesetzliche Mindeststandard nach Anhang I Teil II Pkt. 1 verlangt die Erfassung mindestens der First-Level-Abhängigkeiten. Die lückenlose Erfassung transitiver Abhängigkeiten wird als technische Best Practice empfohlen.
Wie unterscheidet sich der CRA von der NIS2-Richtlinie?
NIS2 regelt das Cyber-Risikomanagement von Organisationen und Betreibern kritischer Infrastrukturen. Der CRA hingegen stellt verbindliche Sicherheitsanforderungen an konkrete Produkte, die auf den europäischen Markt gebracht werden. NIS2-Einrichtungen werden künftig CRA-konforme Produkte einsetzen müssen.
Dedizierter Umsetzungspfad und Konformitätsaudit
Überprüfen Sie Ihre Produkte mit digitalen Elementen auf CRA-Konformität. Klären Sie Klassifizierung, SBOM-Pflichten und technische Dokumentation mit den Auditoren von SKOPION Intelligence.
Ihre Daten werden vertraulich gemäß unserer Datenschutzerklärung verarbeitet.