Die meiste Aufmerksamkeit bekommt gerade NIS2. Dabei rollt mit dem Cyber Resilience Act (CRA) ein zweites EU-Gesetz heran, das viele Mittelständler viel direkter trifft — nämlich alle, die etwas herstellen, importieren oder verkaufen, das Software enthält. Der CRA ist am 10. Dezember 2024 in Kraft getreten. Ab dem 11. September 2026 greifen die ersten Pflichten, ab dem 11. Dezember 2027 gilt er vollständig.
„Produkt mit digitalen Elementen“ — das sind mehr als IT-Firmen
Der CRA gilt für jedes Produkt mit digitalen Elementen: jede Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann. Das reicht von der App über die Maschinensteuerung und das smarte Türschloss bis zur Firmware im Industriegerät.
Das Tückische: Viele Unternehmen sind Hersteller im Sinne des Gesetzes, ohne sich als Softwarefirma zu verstehen — der Maschinenbauer mit eingebetteter Steuerung, der Anlagenbauer mit Konfigurations-App, das Handwerk mit eigenem IoT-Produkt. Wer ein Produkt unter eigenem Namen in den EU-Markt bringt, trägt die Hauptlast. Aber auch Importeure und Händler stehen in der Pflicht, nur Produkte anzubieten, die den Anforderungen genügen.
„Wir bauen doch keine Software.“
Wenn im Produkt ein Chip mit Code steckt, tun Sie es doch.
Was der CRA verlangt
Im Kern fordert der CRA Security by Design über den gesamten Produktlebenszyklus:
- Grundlegende Sicherheitsanforderungen: keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, sichere Standardkonfiguration, Datenminimierung.
- Schwachstellenmanagement: Schwachstellen über die gesamte Supportzeit erkennen, beheben und kostenlose Sicherheitsupdates bereitstellen.
- Nachweise: technische Dokumentation, Software-Stückliste (SBOM), Konformitätsbewertung und CE-Kennzeichnung.
Die Meldepflicht kommt zuerst — ab September 2026
Noch vor den Produktpflichten greifen die Meldepflichten. Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — nach einem engen Zeitplan:
- Frühwarnung binnen 24 Stunden nach Kenntnis.
- Vollständige Meldung binnen 72 Stunden.
- Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme.
Gemeldet wird zentral über die Single Reporting Platform an das zuständige CSIRT und die EU-Agentur ENISA. Wer die grundlegenden Anforderungen missachtet, riskiert Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes — je nachdem, was höher ist.
Was Sie jetzt tun sollten
- Betroffenheit klären: Bringen Sie Produkte mit digitalen Elementen in den EU-Markt — als Hersteller, Importeur oder Händler?
- Portfolio inventarisieren: Welche Produkte enthalten Software/Firmware, und wie lange werden sie unterstützt?
- Schwachstellen- und Update-Prozess aufbauen: SBOM pflegen, Sicherheitsupdates über den Lebenszyklus sicherstellen.
- Meldeprozess vorbereiten: Verantwortlichkeiten, Erkennung und Meldewege für die 24/72-Stunden-Fristen festlegen.
Die gute Nachricht: Vieles überschneidet sich mit dem, was ohnehin gute Produktentwicklung ausmacht. Wer früh strukturiert, verwandelt eine Pflicht in ein Verkaufsargument — denn Ihre Kunden werden genau diese Nachweise künftig einfordern. Wo Sie stehen, ordnen wir mit einer Bestandsaufnahme im Security-Hub ein.
Quellen: Verordnung (EU) 2024/2847 (Cyber Resilience Act), in Kraft seit 10. Dezember 2024; Europäische Kommission — CRA Reporting obligations (Anwendung ab 11. September 2026, vollständige Anwendung ab 11. Dezember 2027). Dieser Beitrag ersetzt keine Rechtsberatung.