Blackout·Check Industrie
EU-Verordnung (EU) 2024/2847 · In Kraft seit 10. Dezember 2024

Cyber Resilience Act:
Was Hersteller & Importeure jetzt wissen müssen

Der CRA verpflichtet Unternehmen, die vernetzte Produkte in der EU verkaufen, zu Security by Design, CE-Kennzeichnung und Schwachstellen-Meldepflichten. Ab Dezember 2027 gilt er vollständig.

Bin ich vom CRA betroffen?
Zwei kurze Fragen – sofort wissen, ob und in welcher Klasse der CRA für Sie gilt.
Schritt 1 von 2 – Welche Rolle haben Sie?
Schritt 2 von 2 – In welche Kategorie fällt das Produkt?
⚠️ Direkt betroffen
Als Hersteller oder Importeur fallen Sie direkt unter den CRA. Sie müssen Security by Design umsetzen, eine SBOM erstellen, Schwachstellen melden und das CE-Kennzeichen führen. Die Anforderungen gelten ab 11. Dezember 2027, die Meldepflicht schon ab 11. September 2026.
ℹ️ Indirekt betroffen
Als Betreiber trifft Sie der CRA nicht direkt. Sie sollten aber Ihre Einkaufspraxis anpassen: Verlangen Sie von Lieferanten CRA-konforme Produkte (CE-Kennzeichen, SBOM, Update-Support). Wer Produkte intern weiterverarbeitet und dann in Verkehr bringt, kann als Hersteller eingestuft werden.
✅ Möglicherweise ausgenommen
Ihr Produkt könnte unter eine Ausnahme fallen (Medizinprodukte/MDR, Kfz/UNECE R155, Luftfahrt, reine SaaS ohne eigenes Produkt). Prüfen Sie dennoch, ob Schnittstellen zu CRA-pflichtigen Produkten bestehen. Eine Rechtsberatung im Einzelfall ist empfehlenswert.
Was ist der Cyber Resilience Act?
Die EU-Verordnung (EU) 2024/2847 schließt die Lücke zwischen Produktsicherheit und Cybersicherheit – erstmals für alle vernetzten Produkte.
EU-Verordnung – direkt anwendbar
Der CRA ist eine EU-Verordnung, kein Richtlinie. Er gilt in allen 27 EU-Mitgliedstaaten direkt, ohne nationales Umsetzungsgesetz. Es gibt keine deutschen Sonderregelungen wie beim NIS2UmsuCG.
Fokus: Produkte, nicht Betreiber
NIS2 regelt Betreiber. Der CRA regelt Produkte mit digitalen Elementen – also Hardware mit vernetzten Funktionen und reine Software-Produkte, die auf Geräten laufen.
Gesamter Lebenszyklus
Hersteller müssen Sicherheitsupdates für mindestens 5 Jahre (oder die erwartete Nutzungsdauer) bereitstellen – nicht nur bis zum Verkauf. CVD-Prozesse (Coordinated Vulnerability Disclosure) sind Pflicht.
CE-Kennzeichen als Pflicht
Produkte dürfen ohne CRA-konformes CE-Kennzeichen ab Dezember 2027 nicht mehr in der EU in Verkehr gebracht werden. Für den Binnenmarkt wird die Konformität über notifizierte Stellen oder Selbstbewertung nachgewiesen.
Die vier Produktklassen
Die Klasse bestimmt, welcher Konformitätspfad gilt. Anhang III und IV des CRA listen die zugeordneten Produkttypen.
Default
Standardprodukte
Alle Produkte, die nicht in Klasse I, II oder Kritisch eingestuft sind. Konformitätsnachweis durch Selbstbewertung (Konformitätserklärung). Beispiele: einfache IoT-Geräte, Office-Software, Consumer-Gadgets ohne erhöhtes Risiko.
Klasse I
Erhöhtes Risiko
Produkte mit erhöhtem Risikopotenzial (z.B. Passwort-Manager, Browser, Antivirensoftware, Smart-Home-Hubs). Selbstbewertung möglich, sofern harmonisierte Normen angewendet werden; sonst Drittpartei-Prüfung.
Klasse II
Hohes Risiko
Produkte mit hohem Risiko (z.B. Industrie-Firewalls, Intrusion Detection, Steuerungssysteme). Drittpartei-Zertifizierung durch eine notifizierte Stelle ist zwingend erforderlich – keine Ausnahme.
Kritisch
Kritische Produkte
Hardware und Software, die zentrale Infrastrukturen absichern (z.B. Smartcard-Chips, Rootkits, Hardware-Sicherheitsmodule). EU-Zertifizierung nach EUCC-Schema (European Cybersecurity Certification) erforderlich.

Quellen: Verordnung (EU) 2024/2847, Anhang III (wichtige Produkte – Klasse I & II) und Anhang IV (kritische Produkte); Europäische Kommission – „The Cyber Resilience Act – Summary of the legislative text". Klasse I und II sind Unterkategorien der „wichtigen Produkte" nach Anhang III; die überwiegende Mehrheit der Produkte fällt in die Default-Kategorie (Selbstbewertung, Modul A). Keine Rechtsberatung.

Kernpflichten für Hersteller
Diese Anforderungen gelten ab dem 11. Dezember 2027 für alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden.
🛡️ Security by Design
Minimalste Angriffsfläche, sichere Standardkonfiguration, kein bekannter Exploit bei Markteinführung, keine Standard-Passwörter, Verschlüsselung sensibler Daten.
📋 SBOM (Software Bill of Materials)
Maschinenlesbare Liste aller Softwarekomponenten und Drittbibliotheken in den Formaten SPDX oder CycloneDX. Auf Anfrage an Marktüberwachungsbehörden bereitzustellen.
⏱️ 24h / 72h ENISA-Meldung
Aktiv ausgenutzte Schwachstellen: Frühwarnung binnen 24 h, vollständige Meldung binnen 72 h an ENISA. Parallel Unterrichtung der Nutzer über verfügbare Gegenmaßnahmen.
🔄 Updates & Support
Sicherheitsupdates müssen mindestens 5 Jahre lang (oder die vorgesehene Nutzungsdauer) bereitgestellt werden. Nutzer müssen über ausstehende Updates informiert werden.
📄 Technische Dokumentation
Vollständige technische Dokumentation, Konformitätserklärung und – je nach Klasse – Zertifikat einer notifizierten Stelle. 10 Jahre Aufbewahrungspflicht nach Markteinführung.
✅ CE-Kennzeichen
Das CE-Kennzeichen bestätigt CRA-Konformität. Es muss sichtbar, lesbar und dauerhaft am Produkt oder, bei digitalen Gütern, in der Software oder Begleitdokumentation angebracht sein.
Fristen & Zeitplan
Der CRA ist bereits in Kraft – aber die Pflichten werden stufenweise anwendbar.
10. Dezember 2024
In Kraft getreten. Die Verordnung (EU) 2024/2847 ist verbindlich. Hersteller sollten jetzt mit dem Konformitätsprojekt starten – 36 Monate sind knapp.
11. September 2026
Meldepflichten werden anwendbar. Die 24h/72h-Meldepflicht für aktiv ausgenutzte Schwachstellen an ENISA gilt ab diesem Datum – rund 15 Monate vor der vollen Anwendung.
11. Dezember 2027
Vollständige Anwendung. Alle CRA-Anforderungen gelten. Produkte ohne CRA-konformes CE-Kennzeichen dürfen nicht mehr in der EU in Verkehr gebracht werden.

Quellen: Verordnung (EU) 2024/2847, Art. 71 (Inkrafttreten am 10.12.2024, Geltung ab 11.12.2027); Meldepflichten nach Art. 14 anwendbar ab 11.09.2026; Europäische Kommission – „Shaping Europe's digital future: Cyber Resilience Act".

Bußgelder & Sanktionen
Der CRA sieht gestaffelte Bußgelder vor – je nach Art des Verstoßes. Der jeweils höhere Betrag (absolut oder Umsatzanteil) gilt.
15 Mio. €
oder 2,5 % des weltweiten Jahresumsatzes
Verstöße gegen die wesentlichen Sicherheitsanforderungen (Anhang I) – z.B. fehlende Security by Design, kein CVD-Prozess.
10 Mio. €
oder 2,0 % des weltweiten Jahresumsatzes
Sonstige Pflichten: fehlende SBOM, unzureichende Meldung, fehlende Konformitätserklärung oder technische Dokumentation.
5 Mio. €
oder 1,0 % des weltweiten Jahresumsatzes
Falsche oder irreführende Angaben gegenüber Marktüberwachungsbehörden oder notifizierten Stellen.

Quellen: Verordnung (EU) 2024/2847, Art. 64 (Sanktionen). Verstöße gegen die wesentlichen Anforderungen (Anhang I) sowie Art. 13 und 14 unterliegen dem höchsten Rahmen (15 Mio. € / 2,5 %). Es gilt jeweils der höhere Betrag. Keine Rechtsberatung.

CRA vs. NIS2 vs. KRITIS-DachG
Alle drei Regelwerke können ein Unternehmen gleichzeitig treffen – sie ergänzen sich.
Kriterium CRA NIS2 KRITIS-DachG
RechtsformEU-Verordnung (direkt)EU-Richtlinie → NIS2UmsuCGNationales Gesetz (DE)
ZielgruppeHersteller & Importeure vernetzter ProdukteBetreiber wesentlicher & wichtiger EinrichtungenBetreiber kritischer Anlagen (11 Sektoren)
FokusProduktsicherheit, CE-KennzeichenOrganisationspflichten, Incident ReportingPhysische & cyber-physische Resilienz
Vollständig ab11. Dezember 20276. Dezember 2025 (DE: NIS2UmsuCG)17. März 2026 (In Kraft); Registrierung ab 17. Juli 2026
Max. Bußgeld15 Mio. € / 2,5 % Umsatz10 Mio. € / 2 % (WEI: 7 Mio. / 1,4 %)20 Mio. €
RegistrierungKeine (CE-Kennzeichen)BSI-Plattform (NIS2UmsuCG)BBK-Plattform (physisch) + BSI (Cyber)

Quellen: Verordnung (EU) 2024/2847 (CRA); NIS-2-Richtlinie (EU) 2022/2555 & NIS2UmsuCG (BGBl. 2024 I Nr. 307); KRITIS-Dachgesetz (BGBl. 2026) & CER-Richtlinie (EU) 2022/2557. Angaben ohne Gewähr, keine Rechtsberatung.

Häufige Fragen zum Cyber Resilience Act
Antworten auf die wichtigsten Fragen – ohne Juristendeutsch.

Der CRA gilt für alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden – also Hardware mit Software-Komponenten und reine Software-Produkte. Ausgenommen sind u.a. medizinische Geräte (MDR), Kfz (UNECE R155) und Luftfahrt – dort gelten eigene Sektorregeln. Open-Source-Software, die nicht kommerziell vertrieben wird, ist ebenfalls ausgenommen.

Security by Design bedeutet, dass Sicherheitsanforderungen von Beginn der Produktentwicklung an berücksichtigt werden müssen – nicht erst nachträglich. Konkret: minimale Angriffsfläche, Verschlüsselung, keine Standard-Passwörter, sicheres Update-Verfahren und eine dokumentierte Software Bill of Materials (SBOM). Diese Anforderungen gelten für den gesamten Produktlebenszyklus von mindestens fünf Jahren.

Bei aktiv ausgenutzten Schwachstellen gilt eine zweistufige Meldepflicht: Innerhalb von 24 Stunden muss eine Frühwarnung an ENISA erfolgen. Innerhalb von 72 Stunden folgt eine vollständige Meldung mit Schweregrad und verfügbaren Maßnahmen. Die Meldepflichten gelten ab dem 11. September 2026 – also rund 15 Monate vor der vollständigen Anwendung des CRA am 11. Dezember 2027.

Eine Software Bill of Materials (SBOM) ist eine maschinenlesbare Liste aller Software-Komponenten, Bibliotheken und Abhängigkeiten eines Produkts – vergleichbar einer Zutatenliste. Der CRA verpflichtet Hersteller, eine SBOM zu erstellen und auf Anfrage Behörden bereitzustellen. Standardformate sind SPDX (ISO/IEC 5962) und CycloneDX. Importeure sollten sicherstellen, dass ihre Lieferanten eine aktuelle SBOM bereitstellen.

NIS2 reguliert Betreiber von wesentlichen und wichtigen Diensten (Organisationspflichten, Incident Reporting). Der CRA reguliert Hersteller und Importeure von Produkten mit digitalen Elementen (Produktsicherheit, CE-Kennzeichen). Beide Regelwerke können ein Unternehmen gleichzeitig treffen: Ein Hersteller vernetzter Industriesteuerungen kann sowohl als Betreiber unter NIS2 als auch als Hersteller unter dem CRA fallen.

Ja – der CRA führt ein CE-Kennzeichen für Produkte mit digitalen Elementen ein. Es bestätigt, dass das Produkt die Sicherheitsanforderungen des CRA erfüllt. Für Default-Klasse-Produkte ist eine Selbstbewertung (Konformitätserklärung) ausreichend. Klasse-I-Produkte können harmonisierte Normen nutzen, Klasse-II-Produkte benötigen zwingend eine Drittpartei-Zertifizierung. Kritische Produkte benötigen eine EU-Zertifizierung nach EUCC-Schema.