Mit dem Cyber Resilience Act (CRA) hat die Europäische Union zum ersten Mal verbindliche Cybersicherheitsanforderungen für digitale Produkte gesetzt. Bereits ab dem 11. September 2026 greifen erste Meldeverpflichtungen, ab dem 11. Dezember 2027 dürfen nur noch CRA-konform ausgelegte Produkte in der EU verkauft werden. Wer als Mittelständler Hardware, Software oder vernetzte Geräte auf den Markt führt, sollte jetzt handeln – die Übergangsphase ist kürzer, als sie wirkt.

Nehmen wir an, ein Hersteller liefert eine netzwerkfähige Maschinensteuerung an einen Industriebetrieb – und drei Jahre später wird eine Schwachstelle in einer verwendeten Open-Source-Bibliothek bekannt. Heute ist die Frage, wer wann patcht, meistens eine Sache des guten Willens. Ab Ende 2027 ist es eine Thematik des geltenden Rechts. Der Cyber Resilience Act verpflichtet Hersteller, Importeure wie auch Händler dazu, IT-Sicherheit über den gesamten Produktlebenszyklus systematisch zu gewährleisten.

Die EU antwortet damit auf eine zunehmend angespannte Bedrohungslage: Bereits 2024 wurden europaweit über 100 neue Sicherheitslücken täglich gemeldet, viele davon in netzwerkfähigen Produkten (https://www.iem.fraunhofer.de/de/im-fokus/cyber-resilience-act.html). Die EU-Kommission geht davon aus, dass rund 25.000 Hersteller in der Europäischen Union vom CRA betroffen sind – und ein erheblicher Teil davon kommt aus dem Mittelstand.

Worum es beim Cyber Resilience Act geht

Der Cyber Resilience Act – mit der offiziellen Bezeichnung „Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen“ – ist die erste EU-weite Verordnung, die ein verbindliches Mindestmaß an IT-Sicherheit für vernetzte Produkte vorschreibt. Veröffentlicht wurde der Rechtsakt am 20. November 2024 im Amtsblatt der EU, in Kraft getreten ist er am 10. Dezember 2024 (https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html).

Im Gegensatz zur NIS-2-Richtlinie, die auf die organisatorische IT-Sicherheit von Firmen abzielt, regelt der CRA die Sicherheit der Produkte selbst. Er ist außerdem eine EU-Verordnung und gilt damit direkt in allen EU-Mitgliedstaaten – ohne dass es einer nationalen Umsetzung wie beim deutschen NIS-2-Umsetzungsgesetz bedarf. Erfasst sind alle Produkte, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt: vom IoT-Sensor über die Smart-Home-Steuerung bis zur Industrieanlage, vom Operating System über die Mobilanwendung bis zur kommerziellen Open-Source-Bibliothek.

Anwendungsbereich des CRA – auch der Mittelstand muss handeln

Eine wichtige Botschaft vorweg: Der CRA macht keinen Unterschied zwischen Großunternehmen und mittelständischen Unternehmen. Die Anforderungen knüpfen an das Handelsgut an, keinesfalls an die Firmengröße (https://bitmi.de/it-sicherheitsblog-cyber-resilience-act-einordnung-und-leitfaden-fuer-mittelstaendische-unternehmen/). Wer in der EU digital vernetzte Produkte produziert, einführt oder unter eigenem Markennamen vertreibt, fällt grundsätzlich unter die Verordnung.

Insbesondere betroffen sind:

• Hersteller vernetzter Hardware: Maschinen- und Anlagenbauer, IoT-Produzenten, Hersteller von Smart-Home- und Industriegeräten, Steuerungstechnik, Embedded Systems.

• Softwareanbieter: kommerzielle Software, Mobilanwendungen, Betriebssysteme, Sicherheitssoftware und kommerziell vertriebene Open-Source-Softwarelösungen.

• Importeure wie auch Händler: Wer Produkte aus Nicht-EU-Staaten unter eigener Bezeichnung oder eigenem Markennamen vertreibt (typisches White-Labelling) oder ein Produkt so modifiziert, dass sich das Risikoprofil ändert, gilt nach Artikel 21 selbst als Produzent.

Nicht erfasst sind Produkte, die bereits durch andere EU-Rechtsvorschriften reguliert werden – etwa Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt und Schiffsausrüstung. Auch nicht gewerblich bereitgestellte Open-Source-Software ohne Gewinnerzielungsabsicht bleibt ausgenommen. Wer nicht zweifelsfrei ist, ob das eigene Erzeugnis unter den CRA fällt, sollte zuerst eine strukturierte Portfolioanalyse vornehmen.

Pflichten und Anforderungen entlang des Produktlebenszyklus

Der CRA fordert von Produzenten nicht einzelne Maßnahmen, sondern einen lückenlosen Cybersicherheitsprozess vom ersten Strich am Reißbrett bis zum Ablauf des Supportzeitraums. Die zentralen Anforderungen lassen sich in fünf Bereiche unterteilen:

• Secure by Design und Secure by Default: IT-Sicherheit muss bereits in der Konzeption berücksichtigt werden. Sichere Standardeinstellungen, kein voreingestelltes „admin/admin“, verschlüsselte Datenverarbeitung und eine möglichst geringe Angriffsfläche sind verbindlich.

• Risikoanalyse und Technikdokumentation: Für jedes Produkt ist eine Risikobewertung durchzuführen und eine vollständige technische Dokumentation nach Anhang II zu erstellen – Produktbeschreibung, Sicherheitsarchitektur, Testberichte, Konformitätserklärung. Diese ist zehn Jahre zu archivieren.

• Software Bill of Materials (SBOM): Hersteller müssen eine maschinenlesbare Aufstellung aller eingesetzten Softwarekomponenten erstellen. Anerkannte Formate sind nach BSI TR-03183 in der Praxis CycloneDX oder SPDX. Die SBOM muss nicht öffentlich zugänglich sein, aber stets auf Anforderung der zuständigen Marktüberwachungsbehörde vorliegen.

• Management von Sicherheitslücken und Meldepflichten: Werden Schwachstellen aktiv ausgenutzt, müssen Hersteller das verantwortliche nationale CSIRT (in Deutschland das BSI) und die Europäische Agentur für Cybersicherheit ENISA innerhalb von 24 Stunden mit einer Frühwarnung informieren, innerhalb von 72 Stunden detailliert berichten und nach 14 Tagen einen abschließenden Bericht vorlegen.

• Sicherheitsupdates über den vollständigen Unterstützungszeitraum: Meist sind das mindestens fünf Jahre nach Einführung im Markt. In dieser Zeit müssen Sicherheitsaktualisierungen unentgeltlich bereitgestellt werden – ebenfalls dann, wenn das Produkt selbst längst nicht mehr vermarktet wird.

Hinzu kommt die CE-Kennzeichnung als sichtbares Konformitätskennzeichen. Je nach Risikoeinstufung des Produkts variieren die Konformitätsbewertungsverfahren. Für Standardprodukte (laut Schätzungen rund 90 Prozent aller erfassten Produkte) genügt die Selbstbewertung nach Modul A. Wichtige Produkte der Klasse II – beispielsweise Betriebssysteme, Hypervisoren, Firewalls oder Router – sowie kritische Produkte wie Hardware-Sicherheitsmodule oder Smart Meter erfordern die Prüfung durch eine notifizierte Stelle.

CRA-Fristen 2026 und 2027 – was wann gilt

Wir beobachten in der Unternehmenspraxis, dass viele Mittelständler den Stichtag „Dezember 2027“ hören und annehmen, sie hätten noch reichlich Luft. Diese Sicht ist zu kurz gedacht. Der CRA wirkt schon deutlich früher, und die Strafen sind beträchtlich.

Die zentralen Stichtage:

• 11. September 2026: Die Meldeverpflichtungen für aktiv ausgenutzte Sicherheitslücken und erhebliche Sicherheitsvorfälle gelten. Diese Verpflichtung trifft auch Bestandsprodukte, die bereits vor diesem Zeitpunkt am Markt waren.

• 11. Dezember 2026: Bis zu diesem Datum müssen die Mitgliedstaaten eine hinreichende Anzahl notifizierter Stellen für Konformitätsbewertungsverfahren sicherstellen.

• 11. Dezember 2027: Vollständige Geltung des CRA. Ab diesem Zeitpunkt dürfen nur noch CRA-konforme Produkte mit CE-Kennzeichen neu in Verkehr gebracht werden.

Bei Zuwiderhandlungen drohen erhebliche Geldbußen, welche nach BSI bei bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes liegen können – je nachdem, welcher Wert höher ist (https://audit-professionals.de/cyber-resilience-act/). Bei Verstößen gegen Meldeverpflichtungen oder Verfahrensanforderungen sind es bis zu 10 Millionen Euro bzw. 2 Prozent des weltweiten Jahresumsatzes. Zusätzlich drohen Marktzugangsbeschränkungen und im Extremfall ein angeordneter Produktrückruf. Wer nicht die Vorgaben erfüllt, wird im Ergebnis nicht nur sanktioniert, sondern vom Markt ausgeschlossen.

Vom Produktinventar zum Konformitätsnachweis

Eine vollständige CRA-Umsetzung dauert nach praktischen Erfahrungen 14 bis 20 Monate (https://www.bos-kg.de/cyber-resilience-act/). Wer 2026 startet, kommt fristgerecht zum Abschluss – wer auf 2027 setzt, hat ein ernsthaftes Risiko. Aus unserer Praxis als IT-Serviceanbieter empfehlen wir die folgenden Maßnahmen als Ausgangspunkt:

• Produktportfolio inventarisieren: Welche unternehmenseigenen Produkte enthalten digitale Elemente? Welche werden im EU-Markt verkauft? Welche fallen unter Anhang III oder IV der Verordnung? Diese Inventarisierung ist die Basis aller weiteren Maßnahmen.

• Lückenanalyse erstellen: Wo stehen die unternehmensinternen Prozesse heute, im Vergleich zu den CRA-Vorgaben? Häufig sind ISO-27001-zertifizierte Unternehmen bereits zu 60 bis 70 Prozent der Governance-Vorgaben entsprechend aufgestellt, die produktspezifischen Anforderungen kommen aber zusätzlich hinzu.

• SBOM-Prozess aufbauen: Tools wie Syft oder Trivy lassen sich innerhalb weniger Tage in eine bestehende CI/CD-Pipeline einbinden und liefern eine erste maschinell lesbare Stückliste – häufig mit überraschenden Erkenntnissen über veraltete Open-Source-Komponenten.

• PSIRT etablieren: Ein Product Security Incident Response Team muss spätestens ab September 2026 einsatzbereit sein. Dazu gehören klare Eskalationswege zwischen Entwicklung, Geschäftsleitung und Rechtsabteilung sowie technische Schnittstellen zum BSI und zur ENISA.

• Synergien zu NIS-2 und ISO 27001 nutzen: Wer bereits ein Schwachstellenmanagement, Risikobewertungen und Aktualisierungsprozesse betreibt, kann viele bestehende Strukturen ausbauen, statt neu aufzusetzen.

Zudem lohnt es sich, Lieferanten und Open-Source-Komponenten systematisch zu überprüfen. Komponenten, die seit Jahren nicht mehr weiterentwickelt werden, gehören aus dem Produkt – oder sollten selbst gepatcht werden. Allerspätestens 2027 ist die Zeit der „das nutzen wir schon immer so“-Komponenten vorbei.

Fazit: Der CRA ist Pflicht – und Chance zugleich

Der Cyber Resilience Act ist kein optionales Beiwerk und keine Übung für Großkonzerne. Er ist die größte Veränderung der europäischen Produktregulierung der letzten zehn Jahre und betrifft mittelständische Hersteller, Importeure und Händler von Hardware, Software und vernetzten Geräten unmittelbar. Wer die Vorgaben frühzeitig aufgreift, vermeidet nicht nur empfindliche Bußgelder und Marktzugangsbeschränkungen, sondern positioniert sich als verlässlicher Partner in immer sicherheitskritischeren Lieferketten. IT-Sicherheit „Made in EU“ wird in den nächsten Jahren zu einem echten Verkaufsargument – wenn man sich rechtzeitig auf den Weg macht.

Bis 2027 erscheint lang. Mit Portfolio-Inventur, Einführung eines SBOM-Prozesses und PSIRT-Prozessen sind es realistisch eher 18 als 36 Monate Arbeit. Wer heute beginnt, hat 2027 ein Produktangebot, das den Marktzugang sichert – und einen Vorteil, den Wettbewerber nicht mehr aufholen können.

Sie wollen wissen, ob Ihre Produkte unter den Cyber Resilience Act fallen und wie Sie eine SBOM, das Management von Sicherheitslücken oder Ihre technische Dokumentation erstellen? Kontaktieren Sie uns gerne – als Ihr IT-Servicepartner begleiten wir Sie von der ersten Lückenanalyse bis zum CE-Kennzeichen.