Die CRA-Pflichten im Überblick

Der CRA erfasst Produkte mit digitalen Elementen, und dieser Begriff ist weiter gefasst, als viele erwarten. Gemeint sind Hardware- und Softwareprodukte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Verbindung zu Daten oder Netzwerken einschließt, sofern sie in der EU bereitgestellt werden. Reine Software fällt ebenso darunter wie das vernetzte Gerät.

Die Hauptlast tragen Hersteller. Importeure und Händler stehen in abgestufter Form ebenfalls in der Pflicht, und wer ein Produkt unter eigenem Namen weitervertreibt, kann selbst zum Hersteller im Sinne der Verordnung werden. Vor jeder Maßnahmenplanung stehen deshalb zwei Fragen: Welche Ihrer Produkte fallen unter den CRA, und in welcher Rolle stehen Sie dabei?

Diese Einordnung entscheidet über alles Weitere. Wer sich fälschlich für nicht betroffen hält, plant weder den Meldeprozess für September 2026 noch die Konformitätsarbeit für Dezember 2027 ein und bemerkt den Irrtum erst, wenn die Fristen bereits laufen. Der Zuschnitt der Verordnung ist bewusst weit: Er deckt Steuerungstechnik in der Fertigung ebenso ab wie vernetzte Maschinen und einzeln verkaufte Anwendungen.

Der CRA sortiert Produkte nach Risiko in drei Kategorien. Den größten Teil bilden Standardprodukte. Darüber liegen die wichtigen Produkte aus Anhang III, die noch einmal in Klasse I und Klasse II unterteilt sind, und an der Spitze die kritischen Produkte aus Anhang IV. Zu Klasse I zählen etwa Passwort-Manager, Identitätsmanagement und Betriebssysteme, zu Klasse II unter anderem Firewalls und Intrusion-Detection-Systeme.

An dieser Einstufung hängt der gesamte Aufwand für den Marktzugang. Sie bestimmt, ob Sie die Konformität im Rahmen der internen Kontrolle selbst feststellen dürfen oder ob eine benannte Stelle hinzukommt, bei kritischen Produkten unter Umständen sogar eine europäische Cybersicherheitszertifizierung. Je höher die Klasse, desto strenger das Verfahren.

Eine falsche Einstufung fällt in beide Richtungen unangenehm aus. Zu hoch angesetzt kostet sie Zeit und Geld für eine Prüfung, die nicht nötig gewesen wäre. Zu niedrig angesetzt führt sie zu einem Produkt, das formal nicht verkehrsfähig ist, weil das vorgeschriebene Verfahren nie durchlaufen wurde. Die Klassifizierung ist deshalb keine Nebenentscheidung, sondern eine, die früh und belegbar getroffen werden sollte.

Zwei Grundsätze prägen diesen Teil der Verordnung: Security by Design und Security by Default. Entwurf, Entwicklung und Fertigung eines Produkts müssen sich daran ausrichten. Welche Sicherheitseigenschaften das Produkt am Ende mitbringen muss, steht in Anhang I Teil I: sichere Voreinstellungen ab Werk, Schutz von Vertraulichkeit und Integrität der verarbeiteten Daten, kontrollierte Zugriffe und eine möglichst kleine Angriffsfläche. Ausgangspunkt ist eine dokumentierte Cybersicherheits-Risikobewertung je Produkt.

Das ist der inhaltliche Kern der Verordnung, auf dem alle formalen Schritte aufsetzen. Fehlt die belegte Risikobewertung, oder sind die Sicherheitsmerkmale nicht nachweisbar umgesetzt, trägt weder eine Konformitätserklärung noch die CE-Kennzeichnung. Die Risikobewertung ist dabei nicht die Pflichtübung am Anfang, sondern der Maßstab, an dem sich später messen lässt, ob die gewählten Sicherheitsmerkmale zum Produkt passen. Die Anforderung endet auch nicht an der Grenze des eigenen Codes, denn die Sorgfaltspflicht erstreckt sich auf integrierte Fremd- und Open-Source-Komponenten.

Verstöße gegen Anhang I fallen in die höchste Bußgeldstufe des CRA. Wer Sicherheit bislang als Zusatz am Ende der Entwicklung behandelt hat, muss den Zeitpunkt verschieben: Der CRA verlangt die Entscheidung im Entwurf, nicht die Nachbesserung kurz vor der Auslieferung.

Mit dem CRA endet die Verantwortung des Herstellers nicht beim Verkauf. Anhang I Teil II verpflichtet ihn, Schwachstellen über einen festgelegten Support-Zeitraum systematisch zu behandeln, Sicherheitsupdates zeitnah und grundsätzlich kostenlos bereitzustellen und eine Software-Stückliste (SBOM) über die eingesetzten Komponenten zu führen. Der Support-Zeitraum ist kein frei gewählter Wert, sondern muss die erwartete Nutzungsdauer des Produkts widerspiegeln.

Das ist die dauerhafteste Pflicht des gesamten Regelwerks, weil sie über die volle Lebensdauer eines Produkts läuft. Für viele mittelständische Hersteller bedeutet sie den Übergang von punktueller Reaktion zu einem festen Ablauf, samt einer erreichbaren Kontaktstelle für die koordinierte Offenlegung gemeldeter Schwachstellen. Der Unterschied ist dabei weniger technischer als organisatorischer Natur: Es braucht eine Zuständigkeit, die auch dann noch greift, wenn das Entwicklungsteam längst am nächsten Produkt arbeitet.

Zu trennen sind dabei Sicherheits- und Funktionsupdates. Sicherheitsupdates müssen grundsätzlich kostenlos bleiben, kostenpflichtige Feature-Updates sind davon unberührt. Und der Support-Zeitraum gehört nicht in eine interne Notiz, sondern muss den Kunden gegenüber klar angegeben werden. Für Versäumnisse in diesem Bereich sieht der CRA den höchsten Bußgeldrahmen vor.

Die Meldepflicht ist die zeitkritischste Anforderung des CRA, weil sie als Erste scharf wird: ab dem 11. September 2026 und damit rund 15 Monate vor den übrigen Pflichten. Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig an das zuständige CSIRT und an die ENISA, abgewickelt über die zentrale Meldeplattform nach Artikel 16. Die Fristenkette von der Frühwarnung bis zum Abschlussbericht ist weiter oben auf dieser Seite im Detail beschrieben.

Zwei Punkte verdienen zusätzliche Aufmerksamkeit. Erfasst sind ausdrücklich auch Produkte, die schon vor diesem Stichtag ausgeliefert wurden. Auf neue Produktgenerationen begrenzen lässt sich die Pflicht also nicht. Und sie setzt voraus, dass meldepflichtige Ereignisse überhaupt bemerkt werden: Ohne Erkennung und Monitoring läuft die 24-Stunden-Frist an, bevor jemand im Unternehmen von dem Vorgang weiß.

Wer die Meldepflicht aus Artikel 14 verletzt, fällt in den höchsten Bußgeldrahmen, den der CRA kennt. Das ist folgerichtig, denn die Meldung ist der Punkt, an dem CSIRT und ENISA von einem laufenden Angriff überhaupt erfahren und andere Betroffene gewarnt werden können.

Die CE-Kennzeichnung wird zur sichtbaren Eintrittskarte in den EU-Markt. Welches Konformitätsbewertungsverfahren dafür zu durchlaufen ist, richtet sich nach der Produktklasse. Bei Standardprodukten genügt die interne Kontrolle, also die Bewertung durch den Hersteller selbst. Wichtige und kritische Produkte verlangen ein Verfahren, in das eine benannte Stelle eingebunden ist. Am Ende steht in beiden Fällen die EU-Konformitätserklärung, und erst danach darf das CE-Zeichen an das Produkt.

Ohne diesen Nachweis ist ein betroffenes Produkt ab dem 11. Dezember 2027 im EU-Markt nicht mehr platzierbar. Wer CE-Verfahren aus anderen Rechtsakten bereits kennt, findet einen vertrauten Ablauf mit neuem Inhalt vor. Für alle anderen ist es ein zusätzlicher, planungsintensiver Schritt, der sich nicht kurzfristig nachholen lässt.

Die zeitliche Falle liegt bei den wichtigen und kritischen Produkten: Prüfkapazitäten benannter Stellen sind begrenzt, und die Nachfrage steigt mit jedem Monat, in dem der Stichtag näher rückt. Wer die externe Prüfung erst kurz vor Marktstart anstößt, ist auf fremde Terminkalender angewiesen. Der Vorlauf gehört deshalb in die Produktplanung und nicht in die Phase der Markteinführung.

Was ein Hersteller intern getan hat, zählt nach dem CRA nur so weit, wie es sich aus seinen Unterlagen ergibt. Genau dafür steht die technische Dokumentation, und Anhang VII gibt vor, was hineingehört: Produktbeschreibung und Architektur, die Cybersicherheits-Risikobewertung, Angaben zu Support-Zeitraum und Schwachstellenmanagement sowie die angewandten Normen samt gewähltem Konformitätsverfahren.

Sie ist damit kein Anhang zum eigentlichen Vorgang, sondern seine Voraussetzung. Ohne vollständige Dokumentation gibt es keine tragfähige Konformitätserklärung, und ohne die ist die CE-Kennzeichnung unzulässig. Im Prüfungsfall ist sie zugleich das Erste, was die Marktüberwachung auf begründetes Verlangen anfordert. Wer sie erst dann zusammenstellt, hat die Konformität faktisch nie belegt, sondern nur behauptet.

Zwei Eigenschaften unterscheiden sie von einem einmaligen Projekt. Sie muss ab dem Inverkehrbringen zehn Jahre aufbewahrt werden, sofern keine längere sektorspezifische Frist greift. Und sie muss aktuell bleiben: Jede wesentliche Produktänderung und jede neu behandelte Schwachstelle verändert den Stand, den die Unterlagen abbilden sollen. Eine Dokumentation, die den Auslieferungsstand von vor drei Jahren beschreibt, belegt wenig.

Der CRA nimmt nicht allein den Hersteller in die Pflicht, sondern die Kette dahinter gleich mit. Ein Importeur darf ein Produkt nur dann in die EU einführen, wenn es die Anforderungen erfüllt, das CE-Zeichen trägt und die erforderlichen Unterlagen vorliegen. Für Händler gilt eine abgestufte Prüfpflicht: Sie müssen mit der gebotenen Sorgfalt feststellen, ob Kennzeichnung und Dokumentation überhaupt vorhanden sind. Reagieren müssen beide, sobald ein Produkt nicht konform ist oder eine Schwachstelle bekannt wird.

Für viele mittelständische Distributoren und Wiederverkäufer digitaler Produkte ist das neu. Bisher war die Konformität eines eingekauften Produkts fremdes Thema, geklärt zwischen Hersteller und Behörde. Mit dem CRA haftet mit, wer ein nicht konformes Produkt einführt oder vertreibt.

Besonders folgenreich ist die Rollenfrage. Wer ein Produkt unter eigenem Namen oder eigener Marke anbietet oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert, gilt selbst als Hersteller und trägt dann sämtliche Herstellerpflichten, von den grundlegenden Anforderungen über die technische Dokumentation bis zur Meldepflicht. Diese Grenze verläuft in der Praxis näher an gängigen Vertriebsmodellen, als es auf den ersten Blick wirkt.

In Kraft ist der Cyber Resilience Act seit dem 10. Dezember 2024, seine Wirkung entfaltet er aber in Stufen. Den Anfang macht am 11. Juni 2026 Kapitel IV mit den Bestimmungen zu den Konformitätsbewertungsstellen. Am 11. September 2026 werden die Meldepflichten nach Artikel 14 verbindlich. Alles Weitere greift zum 11. Dezember 2027.

Inkrafttreten und Anwendung sind dabei zwei verschiedene Dinge, was regelmäßig für Verwirrung sorgt. Seit Dezember 2024 gilt die Verordnung zwar, verlangt aber noch nicht alles auf einmal. Praktisch relevant ist die Staffelung vor allem als Reihenfolgevorgabe für die eigene Vorbereitung: Wer seine Planung ausschließlich am Dezember 2027 ausrichtet, übersieht die deutlich früher greifende Meldepflicht.

Umgekehrt lässt sich die Arbeit für Dezember 2027 nicht beliebig nach hinten schieben. Konformitätsbewertung, technische Dokumentation und belastbare Update-Prozesse brauchen Vorlauf, teils in Abhängigkeit von externen Prüfkapazitäten. Die drei Stichtage sind deshalb weniger ein Countdown als ein Fahrplan, an dem sich die internen Meilensteine ausrichten sollten.

Durchgesetzt wird der CRA von den nationalen Marktüberwachungsbehörden. Sie können Unterlagen anfordern, Produkte prüfen, Korrekturmaßnahmen verlangen und nicht konforme Produkte vom Markt nehmen. Die möglichen Bußgelder sind nach Schwere gestuft. In die oberste Stufe fallen drei Bereiche: die grundlegenden Sicherheitsanforderungen aus Anhang I und die Pflichten aus den Artikeln 13 und 14. Dort reicht der Rahmen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Die Zahl macht deutlich, dass der CRA kein Papiertiger ist. Wirtschaftlich schwerer wiegt für viele Hersteller allerdings die andere Befugnis: Ein Produkt, das vom EU-Markt genommen wird, kostet unabhängig von jeder Geldbuße Umsatz, Kundenbeziehungen und Vertriebszeit, und der Weg zurück in den Markt führt über dasselbe Verfahren, das zuvor versäumt wurde.

Für Kleinst- und Kleinunternehmen sieht die Verordnung Erleichterungen vor, etwa bei den Meldefristen. Die grundlegenden Pflichten entfallen dadurch nicht. Was in der Praxis den Unterschied macht, ist ohnehin weniger die Unternehmensgröße als die Frage, ob im Haus jemand klar für die CRA-Konformität zuständig ist.