Blackout·Check Industrie

Verordnung (EU) 2024/2847 · in Kraft seit 10. Dezember 2024 ·

Cyber Resilience Act:
Was Hersteller & Importeure jetzt wissen müssen

Der CRA verpflichtet Unternehmen, die vernetzte Produkte in der EU verkaufen, zu Security by Design, CE-Kennzeichnung und Schwachstellen-Meldepflichten. Ab Dezember 2027 gilt er vollständig.

Bin ich vom CRA betroffen?

Zwei kurze Fragen – sofort wissen, ob und in welcher Klasse der CRA für Sie gilt.
Schritt 1 von 2 – Welche Rolle haben Sie?
Schritt 2 von 2 – In welche Kategorie fällt das Produkt?

Direkt betroffen

Als Hersteller oder Importeur fallen Sie direkt unter den CRA. Sie müssen Security by Design umsetzen, eine SBOM erstellen, Schwachstellen melden und das CE-Kennzeichen führen. Die Anforderungen gelten ab 11. Dezember 2027, die Meldepflicht gilt bereits seit dem 11. September 2026.

Indirekt betroffen

Als Betreiber trifft Sie der CRA nicht direkt. Sie sollten aber Ihre Einkaufspraxis anpassen: Verlangen Sie von Lieferanten CRA-konforme Produkte (CE-Kennzeichen, SBOM, Update-Support). Wer Produkte intern weiterverarbeitet und dann in Verkehr bringt, kann als Hersteller eingestuft werden.

Möglicherweise ausgenommen

Ihr Produkt könnte unter eine Ausnahme fallen (Medizinprodukte/MDR, Kfz/UNECE R155, Luftfahrt, reine SaaS ohne eigenes Produkt). Prüfen Sie dennoch, ob Schnittstellen zu CRA-pflichtigen Produkten bestehen. Eine Rechtsberatung im Einzelfall ist empfehlenswert.

Was ist der Cyber Resilience Act?

Die EU-Verordnung (EU) 2024/2847 schließt die Lücke zwischen Produktsicherheit und Cybersicherheit – erstmals für alle vernetzten Produkte.

EU-Verordnung – direkt anwendbar

Der CRA ist eine EU-Verordnung, keine Richtlinie. Die Anforderungen an Hersteller gelten in allen 27 Mitgliedstaaten unmittelbar und gleich – anders als beim NIS2UmsuCG gibt es keine deutschen Sonderregeln dazu, was zu tun ist. Nationales Recht regelt nur, wer die Einhaltung überwacht: Das hat der Bundestag am 15. Oktober 2026 mit dem Durchführungsgesetz entschieden.

Fokus: Produkte, nicht Betreiber

NIS2 regelt Betreiber. Der CRA regelt Produkte mit digitalen Elementen – also Hardware mit vernetzten Funktionen und reine Software-Produkte, die auf Geräten laufen.

Gesamter Lebenszyklus

Hersteller müssen Sicherheitsupdates für mindestens 5 Jahre (oder die erwartete Nutzungsdauer) bereitstellen – nicht nur bis zum Verkauf. CVD-Prozesse (Coordinated Vulnerability Disclosure) sind Pflicht.

CE-Kennzeichen als Pflicht

Produkte dürfen ohne CRA-konformes CE-Kennzeichen ab Dezember 2027 nicht mehr in der EU in Verkehr gebracht werden. Für den Binnenmarkt wird die Konformität über notifizierte Stellen oder Selbstbewertung nachgewiesen.

Die vier Produktklassen

Die Klasse bestimmt, welcher Konformitätspfad gilt. Anhang III und IV des CRA listen die zugeordneten Produkttypen.
Default

Standardprodukte

Alle Produkte, die nicht in Klasse I, II oder Kritisch eingestuft sind. Konformitätsnachweis durch Selbstbewertung (Konformitätserklärung). Beispiele: einfache IoT-Geräte, Office-Software, Consumer-Gadgets ohne erhöhtes Risiko.
Klasse I

Erhöhtes Risiko

Produkte mit erhöhtem Risikopotenzial (z.B. Passwort-Manager, Browser, Antivirensoftware, Smart-Home-Hubs). Selbstbewertung möglich, sofern harmonisierte Normen angewendet werden; sonst Drittpartei-Prüfung.
Klasse II

Hohes Risiko

Produkte mit hohem Risiko (z.B. Industrie-Firewalls, Intrusion Detection, Steuerungssysteme). Drittpartei-Zertifizierung durch eine notifizierte Stelle ist zwingend erforderlich – keine Ausnahme.
Kritisch

Kritische Produkte

Hardware und Software, die zentrale Infrastrukturen absichern (z.B. Smartcard-Chips, Rootkits, Hardware-Sicherheitsmodule). EU-Zertifizierung nach EUCC-Schema (European Cybersecurity Certification) erforderlich.

Quellen: Verordnung (EU) 2024/2847, Anhang III (wichtige Produkte – Klasse I & II) und Anhang IV (kritische Produkte); Europäische Kommission – „The Cyber Resilience Act – Summary of the legislative text". Klasse I und II sind Unterkategorien der „wichtigen Produkte" nach Anhang III; die überwiegende Mehrheit der Produkte fällt in die Default-Kategorie (Selbstbewertung, Modul A). Keine Rechtsberatung.

Kernpflichten für Hersteller

Diese Anforderungen gelten ab dem 11. Dezember 2027 für alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden.

Security by Design

Minimalste Angriffsfläche, sichere Standardkonfiguration, kein bekannter Exploit bei Markteinführung, keine Standard-Passwörter, Verschlüsselung sensibler Daten.

SBOM (Software Bill of Materials)

Maschinenlesbare Liste aller Softwarekomponenten und Drittbibliotheken in den Formaten SPDX oder CycloneDX. Auf Anfrage an Marktüberwachungsbehörden bereitzustellen.

24h / 72h ENISA-Meldung

Aktiv ausgenutzte Schwachstellen: Frühwarnung binnen 24 h, vollständige Meldung binnen 72 h an ENISA. Parallel Unterrichtung der Nutzer über verfügbare Gegenmaßnahmen.

Updates & Support

Sicherheitsupdates müssen mindestens 5 Jahre lang (oder die vorgesehene Nutzungsdauer) bereitgestellt werden. Nutzer müssen über ausstehende Updates informiert werden.

Technische Dokumentation

Vollständige technische Dokumentation, Konformitätserklärung und – je nach Klasse – Zertifikat einer notifizierten Stelle. 10 Jahre Aufbewahrungspflicht nach Markteinführung.

CE-Kennzeichen

Das CE-Kennzeichen bestätigt CRA-Konformität. Es muss sichtbar, lesbar und dauerhaft am Produkt oder, bei digitalen Gütern, in der Software oder Begleitdokumentation angebracht sein.

Fristen & Zeitplan

Der CRA ist bereits in Kraft – aber die Pflichten werden stufenweise anwendbar.
10. Dezember 2024
In Kraft getreten. Die Verordnung (EU) 2024/2847 ist verbindlich. Hersteller sollten jetzt mit dem Konformitätsprojekt starten – 36 Monate sind knapp.
11. September 2026
Meldepflichten gelten – seit diesem Datum in Kraft. Die 24h/72h-Meldepflicht für aktiv ausgenutzte Schwachstellen an ENISA und die zuständigen CSIRTs ist seit dem 11. September 2026 anwendbar – rund 15 Monate vor der vollen Anwendung. Sie gilt auch für Produkte, die schon vor Jahren in Verkehr gebracht wurden.
11. Dezember 2027
Vollständige Anwendung. Alle CRA-Anforderungen gelten. Produkte ohne CRA-konformes CE-Kennzeichen dürfen nicht mehr in der EU in Verkehr gebracht werden.

Quellen: Verordnung (EU) 2024/2847, Art. 71 (Inkrafttreten am 10.12.2024, Geltung ab 11.12.2027); Meldepflichten nach Art. 14 anwendbar ab 11.09.2026; Europäische Kommission – „Shaping Europe's digital future: Cyber Resilience Act".

Bußgelder & Sanktionen

Der CRA sieht gestaffelte Bußgelder vor – je nach Art des Verstoßes. Der jeweils höhere Betrag (absolut oder Umsatzanteil) gilt.
15 Mio. €
oder 2,5 % des weltweiten Jahresumsatzes
Verstöße gegen die wesentlichen Sicherheitsanforderungen (Anhang I) – z.B. fehlende Security by Design, kein CVD-Prozess.
10 Mio. €
oder 2,0 % des weltweiten Jahresumsatzes
Sonstige Pflichten: fehlende SBOM, unzureichende Meldung, fehlende Konformitätserklärung oder technische Dokumentation.
5 Mio. €
oder 1,0 % des weltweiten Jahresumsatzes
Falsche oder irreführende Angaben gegenüber Marktüberwachungsbehörden oder notifizierten Stellen.

Quellen: Verordnung (EU) 2024/2847, Art. 64 (Sanktionen). Verstöße gegen die wesentlichen Anforderungen (Anhang I) sowie Art. 13 und 14 unterliegen dem höchsten Rahmen (15 Mio. € / 2,5 %). Es gilt jeweils der höhere Betrag. Keine Rechtsberatung.

Wer kontrolliert das in Deutschland?

Der CRA sagt, was Hersteller schulden. Wer nachsieht und wer sanktioniert, bestimmt jeder Mitgliedstaat selbst. Für Deutschland steht das seit dem 15. Oktober 2026 fest: Der Bundestag hat das Durchführungsgesetz verabschiedet und benennt darin das BSI.

Marktaufsicht

Das BSI darf Produkte mit digitalen Elementen stichprobenartig oder gezielt prüfen, Nachbesserungen verlangen und Produkte vom Markt nehmen, die die Anforderungen nicht erfüllen. Sanktionen und Bußgelder sind möglich.

Notifizierende Behörde

Es bestätigt die Kompetenz der Stellen, die Produkte und Prozesse auf CRA-Konformität prüfen. Ohne diesen Schritt gibt es keine notifizierten Stellen – und ohne die keinen Konformitätspfad für die kritischen Produktklassen.

Zuständiges CSIRT

Es koordiniert die CRA-Meldungen für Deutschland, nach Angaben des BSI bereits seit dem 11. September 2026 – dem Tag, an dem die Meldepflichten scharf wurden.

Beschwerdestelle

Hinweise auf Verstöße gegen den CRA können beim BSI gemeldet werden. Dazu kommt eine ausdrückliche Pflicht, Wirtschaftsakteure zu unterstützen, besonders kleine und mittlere Unternehmen.

Was im Gesetz steht: Das Durchführungsgesetz fügt einen neuen Teil 9 ins BSI-Gesetz ein, die §§ 66 bis 70 – Marktaufsicht, Notifizierung und Akkreditierung, Unterstützung der Wirtschaftsakteure, Bußgeldvorschriften und Zuständigkeiten. Bemerkenswert ist § 67: Dieselbe Behörde, die prüft und sanktioniert, wird zugleich zur Unterstützung verpflichtet. Der Entwurf veranschlagt dafür auf Bundesebene rund 20,5 Mio. € laufenden und etwa 10 Mio. € einmaligen Erfüllungsaufwand – eine Größenordnung, die gegen eine nur symbolische Zuständigkeit spricht.

Noch offen: Die Verkündung im Bundesgesetzblatt war zum Stand dieser Seite nicht belegt. Bis dahin ist das Gesetz beschlossen, aber nicht in Kraft. Der Regulierungs-Monitor zieht das nach.

Quellen: BSI-Pressemitteilung vom 16. Oktober 2026 zur Verabschiedung des CRA-Durchführungsgesetzes; Referentenentwurf des Bundesministeriums des Innern, Bearbeitungsstand 12. März 2026 (Artikel 1, neuer Teil 9 BSIG §§ 66 bis 70; Erfüllungsaufwand der Verwaltung); Bundestags-Drucksache 21/6134. Keine Rechtsberatung.

CRA vs. NIS2 vs. KRITIS-DachG

Alle drei Regelwerke können ein Unternehmen gleichzeitig treffen – sie ergänzen sich.
Kriterium CRA NIS2 KRITIS-DachG
RechtsformEU-Verordnung (direkt)EU-Richtlinie → NIS2UmsuCGNationales Gesetz (DE)
ZielgruppeHersteller & Importeure vernetzter ProdukteBetreiber wesentlicher & wichtiger EinrichtungenBetreiber kritischer Anlagen (11 Sektoren)
FokusProduktsicherheit, CE-KennzeichenOrganisationspflichten, Incident ReportingPhysische & cyber-physische Resilienz
Vollständig ab11. Dezember 20276. Dezember 2025 (DE: NIS2UmsuCG)17. März 2026 (In Kraft); Registrierung: Start offen (Verordnung ausstehend)
Max. Bußgeld15 Mio. € / 2,5 % Umsatz10 Mio. € / 2 % (WEI: 7 Mio. / 1,4 %)20 Mio. €
RegistrierungKeine (CE-Kennzeichen)BSI-Plattform (NIS2UmsuCG)BBK-Plattform (physisch) + BSI (Cyber)

Quellen: Verordnung (EU) 2024/2847 (CRA); NIS-2-Richtlinie (EU) 2022/2555 & NIS2UmsuCG (BGBl. 2024 I Nr. 307); KRITIS-Dachgesetz (BGBl. 2026) & CER-Richtlinie (EU) 2022/2557. Angaben ohne Gewähr, keine Rechtsberatung.

Häufige Fragen zum Cyber Resilience Act

Antworten auf die wichtigsten Fragen – ohne Juristendeutsch.

Der CRA gilt für alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden – also Hardware mit Software-Komponenten und reine Software-Produkte. Ausgenommen sind u.a. medizinische Geräte (MDR), Kfz (UNECE R155) und Luftfahrt – dort gelten eigene Sektorregeln. Open-Source-Software, die nicht kommerziell vertrieben wird, ist ebenfalls ausgenommen.

Security by Design bedeutet, dass Sicherheitsanforderungen von Beginn der Produktentwicklung an berücksichtigt werden müssen – nicht erst nachträglich. Konkret: minimale Angriffsfläche, Verschlüsselung, keine Standard-Passwörter, sicheres Update-Verfahren und eine dokumentierte Software Bill of Materials (SBOM). Diese Anforderungen gelten für den gesamten Produktlebenszyklus von mindestens fünf Jahren.

Bei aktiv ausgenutzten Schwachstellen gilt eine zweistufige Meldepflicht: Innerhalb von 24 Stunden muss eine Frühwarnung an ENISA erfolgen. Innerhalb von 72 Stunden folgt eine vollständige Meldung mit Schweregrad und verfügbaren Maßnahmen. Die Meldepflichten gelten seit dem 11. September 2026 – also rund 15 Monate vor der vollständigen Anwendung des CRA am 11. Dezember 2027. Sie greifen auch für Produkte, die bereits vor Jahren in Verkehr gebracht wurden.

Eine Software Bill of Materials (SBOM) ist eine maschinenlesbare Liste aller Software-Komponenten, Bibliotheken und Abhängigkeiten eines Produkts – vergleichbar einer Zutatenliste. Der CRA verpflichtet Hersteller, eine SBOM zu erstellen und auf Anfrage Behörden bereitzustellen. Standardformate sind SPDX (ISO/IEC 5962) und CycloneDX. Importeure sollten sicherstellen, dass ihre Lieferanten eine aktuelle SBOM bereitstellen.

NIS2 reguliert Betreiber von wesentlichen und wichtigen Diensten (Organisationspflichten, Incident Reporting). Der CRA reguliert Hersteller und Importeure von Produkten mit digitalen Elementen (Produktsicherheit, CE-Kennzeichen). Beide Regelwerke können ein Unternehmen gleichzeitig treffen: Ein Hersteller vernetzter Industriesteuerungen kann sowohl als Betreiber unter NIS2 als auch als Hersteller unter dem CRA fallen.

Ja – der CRA führt ein CE-Kennzeichen für Produkte mit digitalen Elementen ein. Es bestätigt, dass das Produkt die Sicherheitsanforderungen des CRA erfüllt. Für Default-Klasse-Produkte ist eine Selbstbewertung (Konformitätserklärung) ausreichend. Klasse-I-Produkte können harmonisierte Normen nutzen, Klasse-II-Produkte benötigen zwingend eine Drittpartei-Zertifizierung. Kritische Produkte benötigen eine EU-Zertifizierung nach EUCC-Schema.

Wie es weitergeht

EU-Maschinenverordnung Bei vernetzten Maschinen gelten beide Verordnungen nebeneinander. Keine ersetzt die andere, und für die Maschinenverordnung gibt es keine Übergangsfrist. NIS2 für Produktionsunternehmen Der CRA regelt Ihr Produkt, NIS2 Ihren Betrieb. Wer herstellt und selbst produziert, muss beide Fragen getrennt beantworten. IEC 62443 Die Norm liefert den technischen Unterbau, mit dem sich Security by Design gegenüber einer notifizierten Stelle belegen lässt. TISAX Wer die Automobilindustrie beliefert, trifft neben dem CRA auf Kundenanforderungen.