Der EU Cyber Resilience Act (CRA) ist eine EU-Verordnung, die Hersteller, Importeure und Distributoren von Produkten mit digitalen Elementen zu verbindlichen Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus verpflichtet.
Auf einen Blick
Vernetzte Geräte, Software und cloudbasierte Dienste sind heute integraler Bestandteil nahezu jedes Geschäftsmodells. Gleichzeitig nehmen Cyberangriffe auf diese Produkte deutlich zu und verursachen erhebliche wirtschaftliche Schäden. Mit dem Cyber Resilience Act reagiert die EU auf diese Entwicklung und legt erstmals verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen fest.
Wer Software nicht selbst entwickelt, sondern entwickeln lässt, sollte zunächst klären, ob das Ergebnis unter den CRA fällt und in welcher Rolle das eigene Unternehmen dabei steht.
Der Cyber Resilience Act betrifft nahezu alle Unternehmen, die digitale Produkte im EU-Markt anbieten. Dazu zählen vernetzte Hardware, Softwarekomponenten innerhalb vernetzter Hardware sowie reine Softwareprodukte. Hersteller, Importeure und Distributoren werden verpflichtet, während des gesamten Produktlebenszyklus Sicherheitsmaßnahmen umzusetzen und ihre vollständige Konformität bis Dezember 2027 nachzuweisen. Bei Hardwareprodukten ist die CRA-Konformität zudem Voraussetzung für die CE-Kennzeichnung.
Ausgenommen sind Produkte, die bereits durch sektorspezifische Regulierungen abgedeckt werden, zum Beispiel Medizintechnik, bestimmte Fahrzeugtypen sowie Produkte im Bereich der nationalen Sicherheit oder nichtkommerzielle Open-Source-Software. Unternehmen in regulierten Branchen sollten ihr Portfolio dennoch sorgfältig analysieren, da alle Produkte, die nicht eindeutig durch andere Regime abgedeckt sind, unter den horizontalen CRA-Anwendungsbereich fallen.
Der CRA unterscheidet zwischen drei Produktkategorien: Standard-Produkte mit digitalen Elementen, wichtige Produkte in zwei Klassen sowie kritische Produkte. Die Einstufung bestimmt, welche Anforderungen konkret gelten und ob eine externe Zertifizierung erforderlich ist.
Für betroffene Produkte definiert der CRA sechs Anforderungsbereiche über den gesamten Produktlebenszyklus:
Für Unternehmen, die Individualsoftware entwickeln lassen, entscheidet sich ein Teil des Umsetzungsaufwands bereits bei der Wahl des Entwicklungspartners. Der CRA definiert Anforderungen, die nicht nachträglich ergänzt werden können, sondern in der Entwicklung selbst verankert sein müssen.
Security-by-Design lässt sich nicht nachträglich einbauen
Der CRA verlangt, dass Sicherheit bereits in der Entwicklung mitgedacht und umgesetzt wird. Eine nachträgliche Einbindung führt erfahrungsgemäß zu höherem Nacharbeits- und Kostenaufwand und erhöht das Risiko, zum Stichtag nicht konform zu sein.
SBOM: Vollständige Dokumentation aller Softwarekomponenten
Der CRA verpflichtet dazu, eine Software Bill of Materials in einem maschinenlesbaren Format wie CycloneDX zu führen und zu pflegen. Sie dokumentiert vollständig, welche Softwarekomponenten im Produkt enthalten sind, einschließlich Open-Source-Bibliotheken und zugekaufter Komponenten. Wer ein Softwareprodukt in Auftrag gibt, sollte wissen, ob und wie dieser Nachweis im Projektergebnis enthalten ist.
Vulnerability Management und Sicherheitsupdates als Dauerpflicht
Hersteller sind verpflichtet, Schwachstellen systematisch zu identifizieren, zu bewerten und zu beheben. Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen zusätzlich an CSIRT und ENISA gemeldet werden. Sicherheitsupdates müssen über den Supportzeitraum kostenfrei bereitgestellt werden. Das bedeutet, dass Softwaresicherheit nicht mit der Projektabnahme endet, sondern eine laufende Aufgabe bleibt.
Die Wahl des Entwicklungspartners ist Teil der CRA-Umsetzung
Wer früh mit einem Partner entwickelt, der diese Anforderungen kennt und von Beginn an in die Entwicklung einbringt, reduziert den Aufwand in den späteren Schritten erheblich. Wer Security-by-Design als Prinzip konsequent in Prozesse und Produkte integriert, verkürzt die Time-to-Market, senkt Lifecycle-Kosten und schafft die Basis für neue digitale Services.
devosphere entwickelt Individualsoftware für den Mittelstand, ausgehend vom Geschäftsprozess, mit dem Anspruch, dass Software langfristig betreibbar bleibt.
Ab dem 11. September 2026 greifen Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gegenüber CSIRT und ENISA. Ab dem 11. Dezember 2027 gelten die vollständigen Pflichten einschließlich der CE-Konformität für alle betroffenen Produkte.
Viele Produkte, die im Dezember 2027 auf dem Markt sein sollen, befinden sich bereits heute in der Entwicklung. Wer die CRA-Anforderungen jetzt in laufende und geplante Projekte einbezieht, vermeidet teure Nachbesserungen und beschleunigt die spätere Zertifizierung.
Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Hinzu kommt das Risiko von Reputations- und Haftungsschäden durch Sicherheitsvorfälle rund um vernetzte Produkte.
Quelle: Deloitte, "Cyber Resilience Act (CRA): Anforderungen, Fristen und Umsetzung für Unternehmen", Juni 2026