Cyber Resilience Act: Nachweis- und Prüfpflichten für digitale und vernetzte Produkte

Wenn Dein Unternehmen Software oder digitale Geräte verkauft, einführt oder herstellt, solltest Du die EU-Verordnung zur Cyberresilienz kennen. In diesem Beitrag erfährst Du, für wen ihre Vorschriften gelten und um was es geht.

Der Cyber Resilience Act der EU: Um was geht es dabei?

Unternehmen und Selbstständige, die Software oder digitale und vernetzte Geräte herstellen, importieren oder verkaufen, sollten die Cyberresilienz-Verordnung im Auge haben. Diese EU-Verordnung, oft als Cyber Resilience Act oder kurz CRA bezeichnet, bringt in vielen Fällen neue Dokumentations- und Informationspflichten. Dazu kommen Sicherheitsanforderungen.

Die ersten wirksamen Regelungen betreffen Meldepflichten zu Sicherheitsvorfällen und gelten seit September 2026. Im Dezember 2027 kommen Vorschriften zur Cybersicherheit der Produkte hinzu.

Was sind „Produkte mit digitalen Elementen“?

Der CRA bezieht sich auf Produkte mit digitalen Elementen: Geräte sowie lokal installierbare Software, die eine „direkte oder indirekte, logische oder physische Datenverbindung zu einem Gerät oder Netzwerk“ herstellen können. Gemeint ist Software und Hardware, die bei normaler Nutzung mit einem lokalen Gerät, einer Cloud, einer serverbasierte Anwendung oder anderen Remote-Komponenten Daten austauscht. Eine dazugehörige „Datenfernverarbeitungslösung“, wie ein Cloud-Speicher oder eine Remote-Anwendung, zählt mit zum „Produkt mit digitalen Elementen“.

Hardware

Konkret fallen damit netzfähige digitale Geräte wie Smartphones, Laptops und Tablets unter den CRA, außerdem andere vernetzte Geräte von Smart Locks und Videotürklingeln über Spielgeräte mit Online-Funktionen bis zu Fitness-Trackern und Smartwatches, dazu WLAN-Router und Switches.

Ein Produkt muss weder selbst internetfähig noch programmierbar sein, damit der CRA gilt. Es kann ausreichen, dass es eine Datennahverbindung über Bluetooth, Infrarot oder Kabel aufbauen kann. So erfasst die Verordnung auch beispielsweise Bluetooth-Headsets oder Universal-Fernbedienungen.

Software

Software fällt grundsätzlich dann unter den CRA, wenn sie aus geschäftlichen Motiven bereitgestellt wird und Daten mit entfernten Komponenten, Servern oder Clouds austauscht. Damit ist der Großteil aller Smartphone-Apps sowie der aktuellen Computerprogramme erfasst, von Betriebssystemen und Virenscannern über Games und Buchhaltungssoftware bis zu Plug-ins.

Das gilt auch dann, wenn die Apps oder Programme kostenlos zu haben sind, aber zu Marketingzwecken oder im Tausch gegen den Zugriff auf Nutzerdaten bereitgestellt werden. Software, die rein als Freizeitprojekt oder nur zu gemeinnützigen Zwecken ohne eigenwirtschaftliche Absichten zur Verfügung gestellt wird, ist von der Verordnung ausgenommen. Ebenfalls nicht vom CRA erfasst ist komplett remote gehostete Software wie reine Browseranwendungen, außer wenn ein physisches Produkt oder eine lokal installierte Software zum Funktionieren auf sie angewiesen sind. Stellt ein Hersteller von Smart-Home-Technologie zur Steuerung der Komponenten eine Browseranwendung bereit, fällt diese Weboberfläche als Datenfernverarbeitungslösung unter den CRA.

Generelle Ausnahmen

Vom CRA ausgenommen sind viele Produkte aus den Bereichen Medizintechnik, Schiffs- und Luftfahrttechnik sowie Verteidigungs- und Automobiltechnik. Dort gelten bis auf den Verteidigungsbereich jeweils eigene EU-Verordnungen mit Vorschriften zur Cybersicherheit.

Welche Unternehmen und Selbstständige sind betroffen?

Der CRA kann Dein Unternehmen in drei verschiedenen Rollen betreffen:

• als HerstellerIn oder EntwicklerIn

• als ImporteurIn aus Drittländern in EU-Länder (nicht nur nach Deutschland)

• als HändlerIn

Die Herstellerpflichten sind am umfangreichsten. Für den CRA kannst Du bereits dann als HerstellerIn gelten, wenn Du fremde Produkte unter eigenem Namen oder eigener Marke anbietest oder in wesentlichen Punkten veränderst.

Wenn Du nur als DienstleisterIn für ein anderes Unternehmen tätig wirst, betreffen Dich die CRA-Pflichten in der Regel nicht. Das gilt zum Beispiel für eine Software-Freelancerin, die von einem Softwareunternehmen beauftragt wurde.

Gilt bereits: Meldepflicht bei schwerwiegenden Sicherheitsvorfällen

Schon seit dem 11. September 2026 gelten Meldepflichten, wenn Du HerstellerIn eines Produkts mit digitalen Elementen bist beziehungsweise CRA-relevante Software entwickelst. Sie betreffen alle Fälle, in denen eine Schwachstelle des Geräts oder Programms aktiv ausgenutzt wurde, und jeden schwerwiegenden Sicherheitsvorfall, der Dir bekannt wird.

Abzugeben ist die Meldung über eine EU-weite zentrale Digitalplattform, die CRA Single Reporting Platform (CRA-SRP). Die Oberfläche ist nur auf Englisch verfügbar und erfordert ein EU-Login.

Die Meldung hat abgestuft zu erfolgen. Besonders viel Zeit hast Du dafür nicht:

• Innerhalb von 24 Stunden muss eine Frühwarnung mit ersten Informationen erfolgen, wenn ein schwerwiegender Sicherheitsvorfall vorliegt oder eine Sicherheitslücke ausgenützt wird.

• Nach spätestens 72 Stunden musst Du weitere Informationen nachliefern: die Art des Vorfalls, eine erste Bewertung, die von Dir ergriffenen Maßnahmen, gegebenenfalls auch Hinweise dazu, was betroffene NutzerInnen tun sollten.

• Sobald eine Lösung für eine Schwachstelle gefunden wurde, im CRA-Jargon „Korrektur- oder Risikominderungsmaßnahme“ genannt, bleiben Dir 14 Tage für einen ausführlichen Abschlussbericht.

• Bei schwerwiegenden Vorfällen hast Du für den Abschlussbericht einen Monat Zeit, gerechnet ab der Abgabe der 72-Stunden-Meldung.

Immerhin: Da die übrigen Vorschriften des CRA erst im Dezember 2027 wirksam werden, gilt das auch für die Bußgeldvorschriften. Deshalb drohen bei Verstößen gegen die Meldepflichten bis dahin wohl noch keine Bußgelder.

Was bringt der CRA ab Dezember 2027?

Wenn die EU-Verordnung am 11. Dezember 2027 in vollem Umfang wirksam wird, ergeben sich viele zusätzliche Pflichten. Worauf Du Dich und Dein Unternehmen vorbereiten solltest, hängt von Deiner Rolle in Bezug auf „Produkte mit digitalen Elementen“ ab:

Als HändlerIn

Für Dich gilt dann eine Sorgfaltspflicht. Konkret hast Du folgende Aufgaben:

• Du darfst digitale Geräte und Software, für die der CRA gilt, nur dann verkaufen oder anbieten, wenn sie eine CE-Kennzeichnung haben und eine Konformitätserklärung sowie Nutzerinformationen der HerstellerIn oder ImporteurIn vorliegen.

• Bei Mängeln, etwa einer fehlenden Kennzeichnung, hast Du die LieferantIn zu informieren. Verkaufen darfst Du das mangelhafte Produkt nicht. Wenn ein erhebliches Risiko vorliegt, musst Du es der Aufsichtsbehörde melden.

• Dasselbe gilt bei Schwachstellen wie Sicherheitslücken, von denen Du erfährst. Bei erheblichen Cybersicherheitsrisiken solltest Du das neben der Herstellerfirma auch den Behörden melden.

• Wenn die Herstellerfirma nicht mehr existiert, ist es Deine Aufgabe, Behörden und NutzerInnen darüber zu informieren.

• Du musst zehn Jahre lang angeben können, wer Dir ein bestimmtes CRA-Produkt geliefert hat. Soweit verfügbar, solltest Du auch sagen können, welche gewerblichen KundInnen es gekauft haben.

Als ImporteurIn

• In dieser Rolle hast Du zu prüfen, ob die HerstellerInnen sich um die Konformität gekümmert haben: Gibt es ein Schwachstellenmanagement, wurden die Cybersicherheitsvorgaben erfüllt, liegt die Konformitätserklärung vor?

• Kontrollieren musst Du außerdem, ob die CE-Kennzeichnung der Produkte, die technische Dokumentation sowie Herstellerangaben und Nutzerinformationen vorhanden sind.

• Außerdem hast Du den Produktinformationen Deine eigenen Kontaktangaben hinzuzufügen.

• Du bist verpflichtet, die HerstellerInnen über Schwachstellen zu informieren. Existiert das Herstellerunternehmen nicht mehr, ist es Deine Aufgabe, das den Behörden und NutzerInnen mitzuteilen.

• Außerdem musst Du zehn Jahre lang angeben können, von wem Du ein Produkt bezogen und an welche GeschäftspartnerInnen Du es geliefert hast. Genauso lange musst Du die Konformitätserklärung des herstellenden Unternehmens archivieren.

Als HerstellerIn

Wenn Dein Unternehmen Produkte herstellt oder Software programmiert, die unter den CRA fallen, musst Du ihre Cybersicherheit gewährleisten. Dafür sind die Grundsätze „Security by Design“ (sichere Gestaltung) und „Security by Default“ (sichere Grundeinstellungen) verpflichtend. Du bleibst auch dann für Sicherheitsprobleme und Schwachstellen zuständig, wenn das Produkt bereits bei den NutzerInnen ist.

• Bei jedem Produkt mit digitalen Elementen ist eine Risikobewertung Pflicht.

• Außerdem musst Du für jedes Produkt eine Konformitätsbewertung durchführen und eine EU-Konformitätserklärung erstellen. Damit erklärst Du, dass Dein Produkt die Cybersicherheitsanforderungen erfüllt.

• Für Standardfälle kannst Du die Bewertung selbst durchführen. Für bestimmte Produktklassen („Wichtig Klasse I“, z. B. Betriebssysteme, Passwortmanager oder Gesundheits-Tracker) musst Du mindestens vorgegebene („harmonisierte“) Bewertungsnormen heranziehen. Für die nächsthöhere Produktklasse („Wichtig Klasse II“, z. B. Firewalls und Intrusion-Detection-Software) ist die Bewertung durch Dritte vorgeschrieben. Die höchste Produktklasse („Kritisch“, darunter Hardware-Sicherheitsmodule und Chipkarten) erfordert in vielen Fällen eine EU-Zertifizierung. Bei der Zuordnung hilft dieser Klassifizierungsfinder.

• Weiter muss es zu jedem CRA-Produkt ein Schwachstellenmanagement geben: Dein Unternehmen muss gewährleisten, dass Sicherheitslücken erfasst und behoben werden. Wenn bei Deinem Produkt Schwachstellen ausgenutzt oder Sicherheitslücken bekannt werden, musst Du reagieren können, indem Du gezielt kostenlose Updates oder Patches bereitstellst, die betroffenen Produkte zurückrufst o. Ä.

• Dazu gehört eine maschinenlesbare Liste aller Module und Komponenten, die in eine Software Eingang finden, samt ihren „obersten Abhängigkeiten“ (Software Bill of Materials, SBOM).

• Außerdem musst Du die nötige Infrastruktur bereithalten, um im Fall von Schwachstellen oder Sicherheitsvorfällen die Behörden, Deine GeschäftspartnerInnen und die NutzerInnen der Produkte zu informieren.

• Du musst zu jedem CRA-Produkt einen angemessenen Support-Zeitraum bestimmen und beim Kauf angeben. Der Zeitraum darf nur dann kürzer als fünf Jahre sein, wenn das Produkt voraussichtlich nicht so lang genutzt wird.

• Jedes Produkt, das unter den CRA fällt, benötigt eine CE-Kennzeichnung, ausführliche Produktangaben und eine Herstellerkennzeichnung mit Kontaktdaten. Außerdem musst Du für Nutzerinformationen samt Sicherheitshinweisen und eine technische Dokumentation sorgen.

Was ist mit bereits bestehenden Produkten?

Die Meldepflichten, die seit dem 11. September 2026 gelten (siehe oben), betreffen alle Produkte und Programme, die unter die Definitionen des CRA fallen, unabhängig vom Zeitpunkt, zu dem sie in Verkehr gebracht wurden.

Bei den ab dem 11. Dezember 2027 wirksamen Regelungen ist das anders. Sie betreffen zuvor in Verkehr gebrachte Produkte nur dann, wenn diese ab diesem Zeitpunkt wesentlich verändert werden.

Bußgelder

Der CRA sieht empfindliche Sanktionen bei Verstößen vor. Sie werden allerdings erst ab dem 11. Dezember 2027 verhängt. Die Verordnung ermöglicht Bußgelder bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes im Vorjahr.

„Klein- und Kleinstunternehmen“ im Sinne des EU-Rechts sind von Bußgeldern ausgenommen, wenn sie gegen die 24-Stunden-Frist für Frühwarnungen verstoßen (siehe oben). Die Schwelle für Kleinunternehmen liegt bei unter 50 Beschäftigten und bis zu 10 Millionen Euro Jahresumsatz oder Jahresbilanzsumme. Wohlgemerkt: Die Ausnahme betrifft nur Bußgelder wegen versäumter Frühwarnungen.

Weitere Informationen

• Die Cyberresilienz-Verordnung im Wortlaut findest Du bei der EU.

• Alternativ gibt es die Verordnung und eine Reihe von Tools dazu unter Cyberresilienceact.eu.

• Umfangreiche CRA-Informationen bietet auch das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Lektüretipps

Weiterführende Informationen zu Rechts- und Steuerthemen findest Du im orgaMAX-Blog und im Newsletter-Archiv:

• Digitales Kaufrecht – elektronische Waren, Dienstleistungen und Inhalte

• Rabattaktionen: unbedingt Referenzpreis nennen

• Barrierefreie Online-Shops, Produkte und Dienstleistungen: vorgeschrieben!

• Kassenverknüpfung zur Bürosoftware – effizienter arbeiten

• Datenübergabe zwischen Verkaufsvorgängen: mit orgaMAX Buchhaltung

• Umsatzsteuer auf Gutscheine: Vorsicht, Falle

• Karten akzeptieren, Registrierkassen nutzen: neue Händlerpflichten in Sicht

• E-Rechnung: Das bietet ein gutes Buchhaltungsprogramm

• Digitale Schnittstellen der Finanzverwaltung und die „Beweiskraft der Buchführung“

• Bezahlmöglichkeit per QR-Code anbieten: so einfach geht’s

• Mehrmandantenfähigkeit: getrennt buchen, einheitlich verwalten

• Online-Kundencenter: mit orgaMAX schneller an Dein Geld kommen

• Datenschutz-Checkliste für „kleine“ Online-Händler

• Brutto- oder Nettorechnung: schnell und eingängig erklärt