Die Auswirkungen des Cyber Resilience Act (CRA) reichen von regulatorischen Anforderungen über technische Entwicklungsprozesse bis hin zu Dokumentation, Organisationsstrukturen und Haftungsrisiken. Der folgende Beitrag legt dar, warum der CRA zu den weitreichendsten regulatorischen Veränderungen für Hersteller digitaler Produkte der vergangenen Jahre zählt und welche sechs Dimensionen er betrifft.
Sechs Veränderungen, auf die sich Hersteller einstellen müssen
1. Regulatorische Veränderung: Cybersicherheit wird zur gesetzlichen Pflicht
Mit dem Cyber Resilience Act führt die Europäische Union erstmals verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen ein. Anders als eine Richtlinie gilt der CRA als Verordnung unmittelbar in allen EU-Mitgliedstaaten. Ziel ist es, ein einheitliches Mindestniveau an Cybersicherheit über den gesamten europäischen Binnenmarkt hinweg sicherzustellen.
Die Umsetzung erfolgt schrittweise. Seit Dezember 2024 ist die Verordnung in Kraft. Ab dem 11. September 2026 werden die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle wirksam. Dabei gelten teilweise sehr kurze Fristen: Hersteller müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die zuständigen Behörden melden. Ab dem 11. Dezember 2027 müssen sämtliche Anforderungen des CRA vollständig eingehalten werden.
Darüber hinaus verankert die Verordnung grundlegende Sicherheitsprinzipien wie Security by Design und Security by Default. Sicherheit darf künftig nicht mehr nachträglich ergänzt werden, sondern es gilt, sie bereits während Konzeption und Entwicklung zu berücksichtigen. Produkte müssen außerdem mit sicheren Standardeinstellungen ausgeliefert werden.
2. Veränderung auf Marktteilnehmer- und Produktebene: Wen der CRA betrifft – und wen nicht
Der CRA betrifft nahezu alle Produkte mit digitalen Elementen, die in der Europäischen Union verkauft werden. Dazu zählen sowohl vernetzte Hardwareprodukte wie Smartphones, Laptops, Smart-Home-Geräte, Smartwatches oder Industriekomponenten als auch Softwareprodukte wie Apps, Computerspiele oder Unternehmenssoftware. Selbst einzelne Software- und Hardwarekomponenten können unter die Verordnung fallen.
Gleichzeitig adressiert der CRA die gesamte Liefer- und Wertschöpfungskette. Zu den betroffenen Marktteilnehmern gehören Hersteller, Importeure, Händler und Bevollmächtigte. Hersteller tragen dabei die Hauptverantwortung für die Einhaltung der Vorgaben, insbesondere für sichere Entwicklung, Schwachstellenmanagement und Sicherheitsupdates. Eine Sonderrolle nehmen Software- und Cloud-Angebote ein. Reine SaaS-Lösungen fallen grundsätzlich eher in den Regelungsbereich von NIS2 oder nationalen Cybersicherheitsgesetzen. Sie können jedoch unter den CRA fallen, wenn sie als Datenfernverarbeitungslösung für ein Produkt mit digitalen Elementen erforderlich sind. Entscheidend ist dabei die konkrete technische und vertragliche Einbindung in das Produkt.
Nicht betroffen sind insbesondere nicht-kommerzielle Open-Source-Projekte sowie bestimmte Sonderbereiche wie Medizinprodukte, Fahrzeuge, die zivile Luftfahrt oder Schiffsausrüstung, sofern diese bereits sektorspezifischen Sicherheitsvorschriften unterliegen.
Darüber hinaus unterscheidet der CRA verschiedene Produktkategorien. Während die Mehrheit der Produkte als Standardprodukte eingestuft wird und in der Regel über eine Hersteller-Selbstbewertung konformitätsbewertet werden kann, gelten für wichtige und kritische Produkte strengere Anforderungen und teilweise verpflichtende externe Prüfungen.
3. Technologische Veränderung: Security wird Teil des Produktdesigns
Für viele Entwicklungsabteilungen stellt der CRA einen grundlegenden Perspektivwechsel dar. Cybersicherheit wird künftig nicht mehr als zusätzliche Funktion betrachtet, sondern als integraler Bestandteil des Produktdesigns. Ein zentrales Konzept hierfür ist Security by Design. Sicherheitsanforderungen wie Zugriffskontrollen, Datenschutz, Authentifizierung oder sichere Kommunikationsmechanismen müssen von Beginn an in Entwicklungsprozesse integriert werden. Unternehmen vermeiden dadurch aufwendige und kostspielige Nachbesserungen kurz vor Markteinführung.
Secure-by-Design-Praktiken reduzieren nicht nur den Aufwand für spätere Nachbesserungen. Sie unterstützen gleichzeitig die Erstellung der erforderlichen Nachweisdokumentationen und helfen dabei, Risiken in der Lieferkette frühzeitig zu identifizieren. Dies gewinnt insbesondere vor dem Hintergrund der zunehmenden Nutzung von Drittanbieter-Komponenten und Open-Source-Bausteinen an Bedeutung.
Des Weiteren verlangt der CRA ein kontinuierliches Management von Schwachstellen über den gesamten Produktlebenszyklus hinweg. Sicherheitslücken müssen identifiziert, bewertet und beseitigt werden. Es gilt, den Nutzern Sicherheitsupdates und Patches während des gesamten Supportzeitraums bereitzustellen und regelmäßig Tests durchzuführen. Sie helfen Unternehmen dabei, ihre Sicherheitsmaßnahmen unter realen Bedingungen zu überprüfen, Schwachstellen frühzeitig zu erkennen und die Wirksamkeit der implementierten Schutzmaßnahmen nachzuweisen. Das Ziel sind robuste Prozesse, in denen Sicherheitsupdates, Patching und kontinuierliches Risikomanagement von Beginn an mitgedacht werden.
4. Organisatorische Veränderung: Neue Prozesse und Verantwortlichkeiten werden erforderlich
Neben technischen Anforderungen bringt der CRA erhebliche organisatorische Veränderungen mit sich. Unternehmen müssen Prozesse schaffen, um Sicherheitsvorfälle und Schwachstellen systematisch zu erfassen und zu bearbeiten. Ein zentrales Element ist die sogenannte Coordinated Vulnerability Disclosure (CVD). Hersteller sind verpflichtet, externe Meldungen zu Schwachstellen entgegenzunehmen, zu bewerten und angemessen bearbeiten zu können. Dazu zählen Meldekanäle für Sicherheitsforscher ebenso wie klare Abläufe für die Bewertung der Kritikalität und die Priorisierung von Gegenmaßnahmen.
Unternehmen müssen zudem sicherstellen, dass eingehende Meldungen an die zuständigen Produkt- oder Sicherheitsverantwortlichen weitergeleitet und notwendige Sofortmaßnahmen eingeleitet werden. Nach der Analyse einer Schwachstelle heißt es geeignete Sicherheitsupdates oder Konfigurationsänderungen zu entwickeln, zu testen und bereit zu stellen. Ebenso gehört eine transparente Kommunikation mit Betroffenen und Meldenden zu einem funktionierenden CVD-Prozess.
Im Fokus steht dabei eine handlungsfähige Reaktionsstruktur. Viele Unternehmen werden hierfür ein Product Security Incident Response Team (PSIRT) oder vergleichbare Verantwortlichkeiten etablieren müssen. Ziel ist es, sicherzustellen, dass Meldungen nicht in allgemeinen Postfächern verloren gehen, sondern zeitnah bewertet und bearbeitet werden. Zusätzlich verpflichtet der CRA Hersteller dazu, bekannte Schwachstellen zu beheben, beispielsweise durch das Bereitstellen entsprechende Sicherheitsupdates. Dazu gehören technische Maßnahmen ebenso wie die Kommunikation mit Kunden, Partnern und gegebenenfalls Behörden.
Auch die Update-Verpflichtung hat organisatorische Konsequenzen. Für die meisten Produkte müssen Hersteller über einen Zeitraum von mindestens fünf Jahren Sicherheitsupdates bereitstellen oder für die gesamte vorgesehene Produktlebensdauer, sofern diese kürzer ist.
5. Veränderung bei Nachweis und Dokumentation: Sicherheit muss belegbar werden
Der CRA verlangt nicht nur sichere Produkte. Unternehmen sind in der Pflicht, ihre Sicherheitsmaßnahmen künftig auch umfassend zu dokumentieren und gegenüber Behörden nachweisen zu können. Eine zentrale Rolle spielt dabei die Software Bill of Materials (SBOM), also eine Software-Stückliste. Sie dokumentiert die verwendeten Softwarekomponenten und schafft Transparenz in der Lieferkette. Im Schwachstellenmanagement ermöglicht sie eine schnellere Identifikation betroffener Komponenten und Systeme.
Hinzu kommt die technische Dokumentation. Hersteller müssen darin nachweisen, wie ihre Produkte die Anforderungen des CRA erfüllen. Diese Dokumentation gilt es vor dem Inverkehrbringen zu erstellen und anschließend mindestens zehn Jahre aufzubewahren. Auch die CE-Kennzeichnung erhält eine neue Bedeutung. Künftig umfasst sie nicht mehr nur klassische Produktsicherheit, sondern schließt auch die Cybersicherheit ein. Hersteller müssen deshalb nachweisen können, dass die Security-Anforderungen während des gesamten Supportzeitraums eingehalten werden.
Der CRA schreibt darüber hinaus vor, dass Hersteller das Ende des Supportzeitraums transparent angeben. Nutzer sollen dadurch nachvollziehen können, bis zu welchem Zeitpunkt Sicherheitsupdates bereitgestellt werden. Für viele Produktkategorien bedeutet dies eine deutlich höhere Transparenz und Planungssicherheit als bisher.
Abhängig von der jeweiligen Produktklasse kommen unterschiedliche Konformitätsbewertungsverfahren zum Einsatz. Für viele Standardprodukte ist eine Hersteller-Selbstbewertung im Rahmen von Modul A ausreichend. Wichtige und kritische Produkte müssen dagegen teilweise Verfahren mit benannten Stellen durchlaufen, etwa über die Module B+C oder Modul H. In bestimmten Fällen kann auch ein europäisches Cybersicherheitszertifikat als Nachweis dienen. Die Wahl des Verfahrens hat direkten Einfluss auf Aufwand, Kosten und Markteinführungszeiten.
6. Veränderung auf Risiko- und Haftungsebene: Untätigkeit wird teuer
Mit dem CRA steigen auch die wirtschaftlichen Risiken für Hersteller erheblich. Bei Verstößen gegen die Verordnung drohen Bußgelder von bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes. Bei falschen oder irreführenden Angaben gegenüber Behörden oder Konformitätsbewertungsstellen können zusätzliche Geldbußen verhängt werden.
Noch gravierender können jedoch behördliche Maßnahmen wie Vertriebsverbote oder Produktrückrufe sein. In Deutschland soll das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Marktüberwachung übernehmen und entsprechende Maßnahmen anordnen können.
Gleichzeitig stehen viele Unternehmen vor einer besonderen Herausforderung: Zahlreiche harmonisierte Normen befinden sich noch in der Entwicklung. Wer jedoch auf vollständig ausgearbeitete Normen wartet, verliert wertvolle Vorbereitungszeit. Die verbleibende Übergangsfrist sollte deshalb für den Aufbau von Prozessen, Kompetenzen und Sicherheitsstrukturen genutzt werden.
Fazit: Jetzt die Voraussetzungen für CRA-Compliance schaffen
Der Cyber Resilience Act verändert weit mehr als einzelne Sicherheitsanforderungen. Die Verordnung wirkt auf regulatorischer, technischer, organisatorischer und wirtschaftlicher Ebene. Unternehmen müssen Sicherheit künftig über den gesamten Produktlebenszyklus hinweg denken, dokumentieren und nachweisen können.
Für Hersteller empfiehlt es sich daher, frühzeitig die notwendigen Kompetenzen und Strukturen aufzubauen. TQ verfolgt hierfür einen konsequenten Security-by-Design-Ansatz und unterstützt Unternehmen mit CRA-Assessments, Bedrohungsanalysen, Security Testing, Dokumentation, Vulnerability Management und kontinuierlichen Sicherheitsprüfungen. Ziel ist es, regulatorische Anforderungen effizient umzusetzen und gleichzeitig die langfristige Sicherheit und Zukunftsfähigkeit digitaler Produkte zu stärken.
