123% mehr gemeldete CVEs pro Tag in 2026 als im Vorjahr.

Was ist der Cyber Resilience Act?

Das EU-Gesetz, das Cybersicherheitsregeln für Hardware- und Softwareprodukte festlegt, und was es von den Unternehmen verlangt, die sie herstellen

Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt: Hardware und Software, die sich mit einem Gerät oder Netzwerk verbinden, von Routern und Smart-Home-Geräten bis zu Apps, Betriebssystemen und einzeln verkauften Softwarekomponenten. Er trat am 10. Dezember 2024 in Kraft. Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden, und der Rest der Verordnung gilt ab dem 11. Dezember 2027.

Die meisten Pflichten tragen die Hersteller. Sie bewerten das Cybersicherheitsrisiko, bauen Produkte nach den grundlegenden Anforderungen aus Anhang I, führen eine Software-Stückliste (SBOM), behandeln Schwachstellen über einen Unterstützungszeitraum von mindestens fünf Jahren, durchlaufen eine Konformitätsbewertung und bringen die CE-Kennzeichnung an. Einführer und Händler prüfen, ob das geschehen ist. Geldbußen erreichen €15 Millionen oder 2,5 % des weltweiten Jahresumsatzes.

CRACI automatisiert einen wesentlichen Teil der Nachweise, die diese Pflichten erfordern: Es zeichnet die Komponenten, die jeder Build lädt, als SBOM auf, prüft sie nach der Auslieferung erneut auf neue Schwachstellen und exportiert Audit-Nachweise für Ihre technische Dokumentation. Wenn eine Schwachstelle gemeldet werden muss, reicht CRACI die CRA-Meldungen in Ihrem Namen bei den Behörden ein. Siehe wie CRACI die CRA-Compliance unterstützt.

What the Cyber Resilience Act asks manufacturers to do

Der Geltungsbereich der Verordnung (EU) 2024/2847, die Termine, ab denen sie gilt, die Meldefristen und wo die Pflichten zu SBOM und Schwachstellenbehandlung stehen.

Petteri Pulkkinen und Erika Marttinen bei Kubernetes Community Days Helsinki 2026, 8:03 bis 15:20 aus SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.

Wichtige Termine

DatumWas geschieht
23. Oktober 2024 Verordnung (EU) 2024/2847 vom Europäischen Parlament und vom Rat angenommen
20. November 2024 Veröffentlichung im Amtsblatt der Europäischen Union
10. Dezember 2024 Inkrafttreten
11. Juni 2026 Vorschriften zur Notifizierung von Konformitätsbewertungsstellen (Kapitel IV) gelten
11. September 2026 Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle (Artikel 14) gilt, auch für Produkte, die bereits auf dem Markt sind
11. Dezember 2027 Der Rest der Verordnung gilt

Kernpunkte des CRA

Verbindliche Sicherheitsanforderungen

Produkte müssen die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllen, wenn sie in Verkehr gebracht werden, und während des gesamten Unterstützungszeitraums.

Risikobasierte Einstufung

Die meisten Produkte fallen in die Standardkategorie. Für wichtige und kritische Produkte gelten strengere Wege der Konformitätsbewertung.

Umgang mit Schwachstellen

Hersteller führen eine SBOM, beheben Schwachstellen unverzüglich und melden aktiv ausgenutzte innerhalb von 24 Stunden.

CE-Kennzeichnung

Nach einer Konformitätsbewertung unterzeichnet der Hersteller eine EU-Konformitätserklärung und bringt die CE-Kennzeichnung an.

Dokumentation und Transparenz

Die technische Dokumentation wird mindestens 10 Jahre oder für den Unterstützungszeitraum aufbewahrt, und Nutzer erfahren, wann die Unterstützung endet.

Marktüberwachung

Nationale Behörden können Unterlagen anfordern, Korrekturmaßnahmen oder Rückrufe anordnen und Geldbußen verhängen.

The CRA timeline is ticking

Key milestones you need to prepare for under the Cyber Resilience Act.

Notified body rules apply
June 2026
Vulnerability reporting enforcement
September 2026
We are here
Full application of the CRA act
December 2027
€15M
maximum fine, or 2.5% of global annual turnover
24 hours
to send an early warning of an actively exploited vulnerability
72 hours
to follow up with a full vulnerability notification

Wen betrifft der CRA?

Hersteller

Alle, die ein Produkt mit digitalen Elementen entwickeln oder herstellen oder herstellen lassen und es unter eigenem Namen oder eigener Marke vermarkten, ob entgeltlich oder unentgeltlich. Hersteller außerhalb der EU sind erfasst, wenn sie in die EU verkaufen.

Einführer und Händler

Einführer und Händler müssen prüfen, ob ein Produkt die CE-Kennzeichnung trägt und der Hersteller seine Pflichten erfüllt hat, bevor sie es in der EU bereitstellen.

Open-Source-Software

Erfasst ist nur Open Source, die im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Verwalter quelloffener Software unterliegen einer leichten Regelung, und Hersteller bleiben für die Open-Source-Komponenten verantwortlich, die sie einbauen.

Software- und SaaS-Anbieter

Software, die als Produkt verkauft wird, ist erfasst, ebenso das Cloud-Backend, das ein Produkt zum Funktionieren braucht. Software as a Service für sich genommen fällt unter NIS2, nicht unter den CRA.

Nicht erfasst: Produkte, die bereits unter die EU-Vorschriften zu Medizinprodukten, In-vitro-Diagnostika und zur Typgenehmigung von Fahrzeugen fallen, zertifizierte Luftfahrtprodukte, Schiffsausrüstung, identische Ersatzteile sowie Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt werden (Artikel 2).

Produktkategorien und Konformitätsbewertung

Jeder Hersteller führt eine Konformitätsbewertung durch, bevor er ein Produkt in Verkehr bringt. Der Weg hängt von der Kategorie des Produkts ab.

KategorieBeispieleKonformitätsbewertung
Standard Die meisten Produkte mit digitalen Elementen, die nicht in Anhang III oder IV aufgeführt sind Selbstbewertung (interne Kontrolle) ist zulässig
Wichtig, Klasse I (Anhang III) Identitäts- und Zugriffsverwaltung, Browser, Passwortmanager, VPNs, Betriebssysteme, Router und Switches, Sicherheitsprodukte für das Smart Home Selbstbewertung nur bei Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder eines Zertifizierungsschemas; sonst eine benannte Stelle
Wichtig, Klasse II (Anhang III) Hypervisoren und Container-Runtimes, Firewalls und Intrusion-Detection-Systeme, manipulationssichere Mikroprozessoren und Mikrocontroller Bewertung durch Dritte über eine benannte Stelle oder ein europäisches Schema für die Cybersicherheitszertifizierung
Kritisch (Anhang IV) Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Smartcards und Secure Elements Ein europäisches Cybersicherheitszertifikat, wo die Kommission es verlangt; sonst Bewertung durch Dritte

Grundlegende Anforderungen

Anhang I legt zwei Gruppen grundlegender Anforderungen fest. Die erste betrifft das Produkt selbst, auf Basis einer dokumentierten Bewertung der Cybersicherheitsrisiken:

  • Keine bekannten ausnutzbaren Schwachstellen, wenn das Produkt in Verkehr gebracht wird
  • Eine standardmäßig sichere Konfiguration
  • Sicherheitsupdates, wo anwendbar standardmäßig automatisch
  • Schutz vor unbefugtem Zugriff sowie der Vertraulichkeit und Integrität von Daten
  • Datenminimierung, Verfügbarkeit wesentlicher Funktionen und eine begrenzte Angriffsfläche
  • Sichere, dauerhafte Entfernung von Nutzerdaten und Einstellungen

Die zweite betrifft den Umgang des Herstellers mit Schwachstellen:

  • Eine SBOM, die mindestens die obersten Abhängigkeiten erfasst
  • Unverzügliche Behebung von Schwachstellen, mit Sicherheitsupdates getrennt von Funktionsupdates, wo machbar
  • Regelmäßige Sicherheitstests und Überprüfungen
  • Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen und ein Kontakt für Schwachstellenmeldungen
  • Öffentliche Offenlegung behobener Schwachstellen, sobald ein Update verfügbar ist
  • Sichere, kostenlose Verteilung von Updates, mit Hinweismeldungen

Hersteller legen außerdem einen Unterstützungszeitraum von mindestens fünf Jahren fest, sofern das Produkt nicht voraussichtlich kürzer genutzt wird, halten jedes Sicherheitsupdate mindestens 10 Jahre verfügbar und bewahren die technische Dokumentation und die EU-Konformitätserklärung mindestens 10 Jahre oder für den Unterstützungszeitraum auf, je nachdem, welcher Zeitraum länger ist (Artikel 13).

Meldepflichten und Fristen

Seit dem 11. September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die Single Reporting Platform, an das als Koordinator benannte CSIRT im Mitgliedstaat ihrer EU-Hauptniederlassung und zugleich an ENISA (Artikel 14). Das gilt auch für Produkte, die bereits auf dem Markt sind.

SchrittAktiv ausgenutzte SchwachstelleSchwerwiegender Vorfall
Frühwarnung Innerhalb von 24 Stunden nach Kenntniserlangung Innerhalb von 24 Stunden nach Kenntniserlangung
Meldung Innerhalb von 72 Stunden, mit Angaben zum Produkt, zum Exploit und zu etwaigen Abhilfemaßnahmen Innerhalb von 72 Stunden, mit einer ersten Bewertung und etwaigen Abhilfemaßnahmen
Abschlussbericht Spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist Innerhalb eines Monats nach der Meldung des Vorfalls

Hersteller müssen außerdem betroffene Nutzer und gegebenenfalls alle Nutzer informieren und mögliche Abhilfemaßnahmen nennen. Eine 24-Stunden-Frist einzuhalten setzt voraus, dass Sie innerhalb von Stunden wissen, welche Produkte und Releases die verwundbare Komponente enthalten, und genau dafür ist eine SBOM pro Release da.

Sanktionen

Die Mitgliedstaaten legen die Sanktionen innerhalb dieser Höchstgrenzen fest (Artikel 64). Marktüberwachungsbehörden können außerdem Korrekturmaßnahmen, die Rücknahme oder den Rückruf eines Produkts anordnen.

VerstoßMaximale Geldbuße
Grundlegende Cybersicherheitsanforderungen (Anhang I) und Herstellerpflichten (Artikel 13 und 14) Bis zu €15 Millionen oder 2,5 % des weltweiten Jahresgesamtumsatzes, je nachdem, welcher Betrag höher ist
Andere Pflichten, darunter die von Einführern und Händlern, die Konformitätserklärung, die CE-Kennzeichnung, die technische Dokumentation und die Konformitätsbewertung Bis zu €10 Millionen oder 2 % des weltweiten Jahresgesamtumsatzes, je nachdem, welcher Betrag höher ist
Falsche, unvollständige oder irreführende Angaben gegenüber benannten Stellen oder Marktüberwachungsbehörden Bis zu €5 Millionen oder 1 % des weltweiten Jahresgesamtumsatzes, je nachdem, welcher Betrag höher ist

Kleinst- und Kleinunternehmen werden für das Versäumen der 24-Stunden-Frist für die Frühwarnung nicht mit Geldbußen belegt, und Verwalter quelloffener Software werden für keinerlei Verstöße mit Geldbußen belegt.

Open Source und der CRA

Freie und Open-Source-Software ist nur erfasst, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird, und das Hosten eines Projekts in einem offenen Repository oder Paketmanager macht es für sich genommen nicht auf dem Markt verfügbar. Verwalter quelloffener Software, juristische Personen wie Stiftungen, die Open-Source-Projekte für den kommerziellen Einsatz unterstützen, müssen eine dokumentierte Cybersicherheitsstrategie haben, mit Marktüberwachungsbehörden zusammenarbeiten und aktiv ausgenutzte Schwachstellen melden, soweit sie an der Entwicklung beteiligt sind (Artikel 24).

Für Hersteller ist Open Source eine Komponente wie jede andere. Sie müssen bei der Integration die gebotene Sorgfalt walten lassen, gefundene Schwachstellen dem Projekt melden, das sie pflegt, und von ihnen entwickelte Fixes teilen (Artikel 13). Deshalb ist die SBOM so wichtig: Sie hält fest, welche Open-Source-Komponenten in welchen Versionen in jedem Release stecken.

Was der CRA für Entwicklungsteams bedeutet

Ein Produkt besteht heute größtenteils aus dem Code anderer: Open-Source-Bibliotheken, Paketen aus Registries, Container-Basis-Images, SDKs von Drittanbietern sowie den Build-Tools und CI/CD-Pipelines, die alles zusammensetzen. Der SolarWinds-Angriff lief über ein Build-System, und Log4Shell war eine Schwachstelle in einer weit verbreiteten Bibliothek; beide erreichten fertige Produkte. Der CRA macht den Hersteller für all das verantwortlich, einschließlich der Sorgfaltspflicht bei eingebauten Komponenten von Dritten und aus Open Source (Artikel 13).

In der Praxis gehen Teams, die sich auf den CRA vorbereiten, so vor:

  • Sie wissen, was in jedem Release steckt, indem sie aus jedem Build eine SBOM in einem maschinenlesbaren Format wie CycloneDX oder SPDX erzeugen, statt einmalig beim Release
  • Sie überwachen veröffentlichte Versionen, nicht nur den Main-Branch, denn eine nach dem Release gefundene Schwachstelle muss während des Unterstützungszeitraums trotzdem unverzüglich behoben werden
  • Sie vereinbaren Abhängigkeitsrichtlinien: wie neue Komponenten ausgewählt und geprüft werden, wie schnell Updates einfließen und welche Befunde ein Release blockieren
  • Sie proben die 24-Stunden-Frist: wer die aktive Ausnutzung bestätigt, wer die Frühwarnung einreicht und wer die Nutzer informiert
  • Sie sichern Nachweise laufend, denn Build-Aufzeichnungen, SBOMs und Testergebnisse fließen in die technische Dokumentation ein, die mindestens 10 Jahre aufzubewahren ist

Die Anforderungen als Schritt-für-Schritt-Fahrplan finden Sie im CRA-Leitfaden. Siehe auch was der CRA von einer SBOM verlangt und wie CRACI die CRA-Compliance unterstützt.

Cyber Resilience Act: häufig gestellte Fragen

Kurze Antworten auf die Fragen, die Hersteller am häufigsten zum CRA stellen

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Hardware- und Softwareprodukte mit digitalen Elementen auf dem EU-Markt festlegt. Er macht Hersteller für die Sicherheit verantwortlich, vom Design über einen Unterstützungszeitraum von mindestens fünf Jahren, einschließlich des Umgangs mit Schwachstellen, einer SBOM und der Meldung aktiv ausgenutzter Schwachstellen.

Ab wann gilt der Cyber Resilience Act?

Er trat am 10. Dezember 2024 in Kraft. Die Meldepflichten aus Artikel 14 gelten ab dem 11. September 2026, die Vorschriften zu Konformitätsbewertungsstellen ab dem 11. Juni 2026 und der Rest der Verordnung ab dem 11. Dezember 2027.

Gilt der CRA für Software und SaaS?

Software, die als Produkt verkauft oder bereitgestellt wird, ist erfasst, darunter Apps, Betriebssysteme, Firmware und separat in Verkehr gebrachte Softwarekomponenten. Cloud-Dienste sind nur als Datenfernverarbeitung eines Produkts erfasst, zum Beispiel das Cloud-Backend, über das Sie ein Smart-Home-Gerät steuern. Software as a Service für sich genommen fällt stattdessen unter NIS2 (Erwägungsgrund 12).

Gilt der CRA für Open-Source-Software?

Nur für Open Source, die im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Nicht kommerzielle Open-Source-Projekte liegen außerhalb des Anwendungsbereichs. Verwalter quelloffener Software, etwa Stiftungen, die Projekte für den kommerziellen Einsatz unterstützen, unterliegen einer leichten Regelung und können nicht mit Geldbußen belegt werden. Hersteller, die Open-Source-Komponenten in ihre Produkte einbauen, bleiben dafür voll verantwortlich.

Was sind die Meldepflichten des CRA?

Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über die Single Reporting Platform an ihr koordinierendes CSIRT und an ENISA: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen nach einem Fix bei Schwachstellen oder innerhalb eines Monats bei Vorfällen. Außerdem informieren sie betroffene Nutzer.

Verlangt der CRA eine SBOM?

Ja. Anhang I Teil II verlangt eine Software-Stückliste in einem gängigen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten erfasst. Sie gehört zur technischen Dokumentation und geht auf Anfrage an eine Marktüberwachungsbehörde; veröffentlichen müssen Sie sie nicht.

Welche Sanktionen sieht der CRA vor?

Bis zu €15 Millionen oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen oder die Herstellerpflichten, bis zu €10 Millionen oder 2 % bei anderen Pflichten und bis zu €5 Millionen oder 1 % bei Irreführung von Behörden. Kleinst- und Kleinunternehmen werden für das Versäumen der 24-Stunden-Frist für die Frühwarnung nicht mit Geldbußen belegt.

Gilt der CRA für Produkte, die bereits auf dem Markt sind?

Die Meldepflichten schon, ab dem 11. September 2026. Ansonsten fallen Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nur unter den CRA, wenn sie nach diesem Datum wesentlich verändert werden.

Holen Sie sich die Nachweise, die Ihr CRA-Prozess braucht

Sehen Sie, wie CRACI SBOMs aus Ihren Builds aufzeichnet, das Ausgelieferte überwacht und CRA-Meldungen in Ihrem Namen einreicht

Demo buchen Prüfen, ob der CRA für Sie gilt