Cyber Resilience Act

Abkürzung: CRA

Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Sie ist am 10. Dezember 2024 in Kraft getreten.

Damit schließt die europäische Regulierung eine Lücke, die lange offen war. NIS2 und das BSI-Gesetz nehmen den Betreiber in die Pflicht — er soll angemessen absichern, was er einsetzt. Der CRA nimmt den Hersteller in die Pflicht: Was auf den Markt kommt, soll absicherbar sein.

Als Verordnung gilt der CRA unmittelbar in allen Mitgliedstaaten. Ein nationales Umsetzungsgesetz wie beim BSIG gibt es nicht und wird es nicht geben.

Die Fristen

Die Verordnung greift gestaffelt, und die mittlere Stufe ist bereits erreicht:

Die Meldepflicht

Seit September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, und zwar an das zuständige CSIRT sowie an die ENISA:

Entscheidend und oft übersehen: Die Pflicht gilt auch für Produkte, die bereits auf dem Markt sind. Sie wartet nicht auf die volle Geltung im Dezember 2027. Wer heute Geräte oder Software vertreibt, braucht die Meldewege jetzt.

Zwei Meldeketten nebeneinander

Für Unternehmen, die zugleich Hersteller und Betreiber sind — Netzausrüster, Systemhäuser, Softwareanbieter mit eigenem Betrieb — laufen damit zwei Pflichten parallel, und sie sind nicht deckungsgleich:

Derselbe Vorfall kann beide Ketten auslösen, mit unterschiedlichen Adressaten und unterschiedlichen Uhren. Das ist kein Konstruktionsfehler, sondern Folge der unterschiedlichen Rollen — in der Praxis aber eine Stolperfalle, die man vor dem Ernstfall einmal durchdacht haben sollte.

Was Hersteller liefern müssen

Ab der vollen Geltung Ende 2027 gehören zum Produkt unter anderem:

• Sicherheit von Anfang an. Ein Produkt darf nicht mit bekannten ausnutzbaren Schwachstellen ausgeliefert werden; sichere Voreinstellungen statt unsicherer Bequemlichkeit.
• Umgang mit Schwachstellen über den Supportzeitraum. Der Hersteller legt fest, wie lange er Sicherheitsaktualisierungen liefert, und muss diesen Zeitraum angeben.
• Eine Stückliste der Software. Die Software Bill of Materials macht nachvollziehbar, welche Komponenten enthalten sind — die Voraussetzung dafür, bei einer Lücke in einer Bibliothek überhaupt zu wissen, wer betroffen ist.
• Konformitätsbewertung und CE-Kennzeichnung. Je nach Einstufung des Produkts genügt eine Selbstbewertung, oder es muss eine notifizierte Stelle beteiligt werden.

Was das für Netzwerktechnik bedeutet

Router, Switches, Firewalls, Kameras und Steuerungen fallen als Produkte mit digitalen Elementen in den Anwendungsbereich — einschließlich der Firmware.

Für Betreiber ist das mittelbar interessant, weil zwei Dinge künftig am Produkt stehen müssen, nach denen man bisher fragen musste: wie lange es Sicherheitsaktualisierungen gibt, und woraus die Software besteht. Beides sind Beschaffungskriterien, die sich damit prüfen lassen, statt sie zu glauben.

Abgrenzung

BSI-Gesetz und NIS2. Pflichten des Betreibers für den sicheren Einsatz. Der CRA regelt die Eigenschaften des Produkts selbst. Ein Gerät kann CRA-konform und trotzdem unsicher betrieben sein.

Funkanlagenrichtlinie. Enthält für funkfähige Geräte bereits Cybersicherheitsanforderungen. Der CRA geht darüber hinaus und erfasst auch Produkte ohne Funk.

Kritische Infrastrukturen. Knüpft an den Betrieb einer Anlage an, nicht an das Inverkehrbringen eines Produkts.