Häufig gestellte Fragen zu Cyber Resilience Act (CRA)

Der CRA ist eine unmittelbar geltende EU-Verordnung mit verbindlichen Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, insbesondere vernetzbare Hardware und Software.

Hersteller werden insbesondere zu zwei Kernpunkten verpflichtet:

• Sicherheit ab Werk (Security by Design): Produkte müssen risikogerecht sicher geplant, entwickelt und hergestellt werden.
• Schwachstellenbehandlung und Sicherheitsupdates: Hersteller müssen Schwachstellen während des festgelegten Supportzeitraums behandeln. Dieser richtet sich nach der erwarteten Nutzungsdauer und beträgt grundsätzlich mindestens fünf Jahre, sofern keine kürzere Nutzungsdauer zu erwarten ist. Sicherheitsupdates sind grundsätzlich kostenlos bereitzustellen. Vor dem Inverkehrbringen sind Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung erforderlich.

Der CRA reguliert vor allem die Produktsicherheit. NIS-2 betrifft dagegen die Cybersicherheits- und Risikomanagementpflichten bestimmter Einrichtungen; beide Regelwerke können parallel anwendbar sein.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Das Hauptziel des CRA ist es, europaweit einheitliche Cybersicherheitsanforderungen für digitale Produkte zu schaffen, Risiken zu verringern und die Transparenz für Nutzer:innen zu erhöhen.

Konkret verfolgt die Verordnung vier Kernziele:

• Cybersicherheitsrisiken senken
• Sicherheit während Entwicklung und Supportzeitraum gewährleisten
• Mehr Transparenz für Kund:innen schaffen
• Einheitliche Regeln im EU-Binnenmarkt herstellen

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Der CRA ergänzt das europäische Cybersicherheitsrecht: Er konzentriert sich auf die Sicherheit von Produkten mit digitalen Elementen, während NIS-2 und DORA vor allem organisatorische Pflichten bestimmter Unternehmen, Einrichtungen und Betreiber regeln.

Ob neben dem CRA auch NIS-2, DORA oder sektorspezifisches Recht gilt, muss gesondert geprüft werden; mehrere Regelwerke können gleichzeitig anwendbar sein.

Der CRA gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten. Er ist seit 10. Dezember 2024 in Kraft; die wesentlichen Produktpflichten gelten ab 11. Dezember 2027.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Der CRA gilt grundsätzlich für Hardware- und Softwareprodukte mit digitalen Elementen, einschließlich separat bereitgestellter Komponenten. Erfasst sein können auch notwendige Datenfernverarbeitungslösungen, ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte.

Voraussetzung ist, dass die bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netz umfasst und das Produkt im Rahmen einer gewerblichen Tätigkeit auf dem Unionsmarkt bereitgestellt wird.

Ausnahmen gelten insbesondere, soweit bestimmte Produkte bereits speziellen EU-Cybersicherheitsvorschriften unterliegen, etwa in Teilbereichen bei Medizinprodukten, Fahrzeugen oder Luftfahrtprodukten. Die Ausnahme ist für das konkrete Produkt zu prüfen.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Ja. Der CRA erfasst sowohl eingebettete als auch eigenständige Software, zum Beispiel Betriebssysteme, mobile Apps, Buchhaltungsprogramme oder Computerspiele, sofern die gesetzlichen Voraussetzungen erfüllt sind.

Die bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung muss eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netz umfassen. Eine dauerhafte Internetverbindung ist nicht erforderlich; auch LAN, Bluetooth, USB oder vergleichbare Schnittstellen können genügen.

Vollständig isolierte Software ohne eine solche vorgesehene oder vorhersehbare Datenverbindung fällt dagegen nicht allein deshalb unter den CRA, weil sie digital ist.

Ab dem 11. Dezember 2027 dürfen erfasste Softwareprodukte grundsätzlich nur noch neu auf dem Unionsmarkt in Verkehr gebracht werden, wenn sie die CRA-Anforderungen erfüllen.

Wichtige Abgrenzung (SaaS): Eine ausschließlich als Dienst erbrachte SaaS-Leistung ohne Bereitstellung eines Softwareprodukts fällt grundsätzlich nicht als solche unter den CRA. Notwendige Datenfernverarbeitungslösungen und bereitgestellte Clients oder Apps können jedoch Bestandteil eines CRA-Produkts oder selbst erfasst sein.

Ob ein SaaS-Anbieter zusätzlich unter NIS-2 fällt, ist separat anhand des Dienstes, des Sektors, der Unternehmensgröße und der nationalen Umsetzung zu prüfen.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Entscheidend ist, ob ein Produkt mit digitalen Elementen im Rahmen einer gewerblichen Tätigkeit für Vertrieb oder Nutzung auf dem Unionsmarkt bereitgestellt wird. Die Überlassung an eine andere Konzerngesellschaft kann diese Voraussetzung erfüllen, ist aber nicht automatisch in jedem Fall eine Marktbereitstellung.

Für die Konzern-IT bedeutet das:

• Möglicherweise betroffen (Konzernstruktur): Entwickelt eine rechtlich selbstständige Konzerngesellschaft ein Softwareprodukt und stellt es anderen Konzerngesellschaften zur Nutzung bereit, kann der CRA anwendbar sein. Rollen, Bereitstellungsweg und gewerbliche Tätigkeit sind konkret zu prüfen.
• Regelmäßig nicht betroffen (reine Inhouse-Nutzung): Wird Software ausschließlich innerhalb derselben juristischen Person für den eigenen Gebrauch entwickelt und nicht auf dem Markt bereitgestellt, fällt dieser Vorgang grundsätzlich nicht unter den CRA.

Wichtig: Eine unentgeltliche Überlassung kann im Rahmen einer gewerblichen Tätigkeit ebenfalls erfasst sein. Ein zentral betriebener interner Dienst ist jedoch nicht ohne Weiteres mit der Bereitstellung eines Softwareprodukts gleichzusetzen; der Einzelfall ist zu prüfen.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Der CRA ist am 10. Dezember 2024 in Kraft getreten. Für Hersteller sind insbesondere zwei Stichtage wichtig:

• Ab dem 11. September 2026 (Meldepflichten): Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit sind über die EU-Meldeplattform zu melden: Frühwarnung grundsätzlich binnen 24 Stunden, Hauptmeldung binnen 72 Stunden und anschließend ein Abschlussbericht.
• Ab dem 11. Dezember 2027 (volle Anwendung): Neu in Verkehr gebrachte Produkte müssen die anwendbaren CRA-Anforderungen erfüllen; vor dem Inverkehrbringen sind insbesondere Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung erforderlich.

Wichtig: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den vollständigen Pflichten grundsätzlich erst bei einer wesentlichen Änderung. Die Meldepflichten gelten ab 11. September 2026 jedoch auch für bereits zuvor bereitgestellte Produkte.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Grundsätzlich gelten die vollständigen CRA-Produktpflichten nicht rückwirkend für Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Eine wichtige Ausnahme betrifft wesentliche Änderungen; außerdem gelten die Meldepflichten bereits ab 11. September 2026 auch für Altprodukte.

Wesentliche Änderung: Wird ein Bestandsprodukt nach dem Stichtag so geändert, dass die Änderung die Konformität mit den wesentlichen Cybersicherheitsanforderungen beeinflusst oder den bestimmungsgemäßen Zweck verändert, muss das geänderte Produkt nach dem CRA neu bewertet werden. Nicht jedes Funktionsupdate ist automatisch wesentlich; entscheidend sind seine tatsächlichen Auswirkungen.

Wichtig: Der Bestandsschutz bezieht sich auf Produkte, die bereits in Verkehr gebracht wurden, nicht pauschal auf eine gesamte Produktfamilie. Bei später bereitgestellten Hardwareeinheiten, Software-Releases oder Nutzungsmodellen ist gesondert zu prüfen, ob ein neues Inverkehrbringen oder nur ein nicht wesentlicher Aktualisierungsvorgang vorliegt.

Nicht jede einzelne Softwarelizenz ist automatisch ein eigenständiges Produkt.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

„Bereitstellung auf dem Markt“ ist jede Abgabe eines Produkts zum Vertrieb oder zur Nutzung auf dem Unionsmarkt im Rahmen einer gewerblichen Tätigkeit, entgeltlich oder unentgeltlich. „Inverkehrbringen“ ist die erstmalige Bereitstellung des betreffenden Produkts auf dem Unionsmarkt.

Das bedeutet für die Praxis:

• Download und App-Stores: Das Anbieten einer herunterladbaren Software über eine Website, einen App-Store oder ein Kundenportal kann eine Marktbereitstellung darstellen. Der bloße Abschluss der Entwicklung genügt nicht. Der reine Fernzugriff auf einen SaaS-Dienst ist nicht automatisch das Inverkehrbringen eines Softwareprodukts.
• Konsequenz für den Stichtag: Softwareprodukte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen grundsätzlich unter die Übergangsregelung. Spätere Releases und Änderungen sind gesondert zu beurteilen; eine wesentliche Änderung kann die vollständige CRA-Anwendung auslösen. Die Meldepflichten gelten unabhängig davon bereits ab 11. September 2026.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.

Die Herstellerpflichten beginnen bei Planung und Entwicklung, müssen vor dem Inverkehrbringen nachgewiesen werden und gelten während des festgelegten Supportzeitraums fort.

Zu den Herstellerpflichten gehören:

• Cybersicherheitsrisikobewertung und sichere Produktentwicklung
• Technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung
• Schwachstellenmanagement einschließlich Drittkomponenten und koordinierter Offenlegung
• Produktüberwachung sowie erforderliche Korrekturmaßnahmen
• Sicherheitsupdates während des Supportzeitraums und Meldungen nach Artikel 14

Die technische Dokumentation muss die Konformitätsbewertung ermöglichen und für die gesetzlich vorgesehene Dauer aufbewahrt werden. Eine allgemeine Pflicht zur Zertifizierung jedes Produkts durch eine externe Stelle besteht nicht: Für viele Standardprodukte ist eine interne Selbstbewertung möglich; bei bestimmten wichtigen oder kritischen Produkten gelten strengere Verfahren bis hin zur Einbindung einer notifizierten Stelle.

Zuletzt aktualisiert am 23.07.2026 von GRUNDIG AKADEMIE.