Der Router im Büro, die App auf dem Smartphone, die Steuerungssoftware in der Fabrik: Jedes vernetzte Produkt kann zum Einfallstor werden. Der Cyber Resilience Act (CRA) soll das ändern. Er macht Cybersicherheit zur Herstellerpflicht, von der ersten Entwurfsskizze bis zum letzten Sicherheitsupdate. 

Seit dem 11. September 2026 gelten die ersten verbindlichen Pflichten: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, für die Erstmeldung bleiben nur 24 Stunden. Vielen Unternehmen war das nicht bekannt: In einer repräsentativen Bitkom-Umfrage unter 1.003 Unternehmen wussten nur 29 Prozent, was der CRA für sie bedeutet. 28 Prozent haben noch nie von ihm gehört. Obwohl bis zum 11. Dezember 2027 auch alle weiteren Anforderungen gelten.  

Was bedeutet der CRA konkret für Unternehmen? Wer ist betroffen? Und wie lässt er sich in der Praxis realisieren? Unser FAQ gibt Orientierung und zeigt, warum es Normung braucht, um die Anforderungen des CRA konkret und praxistauglich zu machen.  

1. Was ist der Cyber Resilience Act? 

Der CRA ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Sie gilt unmittelbar in allen Mitgliedstaaten, eine nationale Umsetzung ist nicht nötig.  

Hersteller müssen Cybersicherheit schon bei Planung und Entwicklung berücksichtigen, Schwachstellen über die gesamte Lebensdauer behandeln und Sicherheitsupdates bereitstellen.  

Wer die Anforderungen erfüllt, bringt sie über das CE-Kennzeichen zum Ausdruck, die Überwachung übernehmen die nationalen Marktüberwachungsbehörden. 

2. Welche Produkte und Unternehmen betrifft der CRA?  

Der CRA betrifft Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können und auf dem EU-Markt in Verkehr gebracht werden. Das reicht von Smartphones, Smart-Home-Produkten und vernetztem Spielzeug über Apps bis zu B2B-Software und industriellen Systemen. Der CRA ist also nicht nur ein Thema für die IT-Branche. 

Nicht jedes Produkt unterliegt allerdings den gleichen Anforderungen. Die meisten Produkte demonstrieren ihre Konformität über eine Selbsterklärung des Herstellers oder Inverkehrbringers. Bei „wichtigen“ und „kritischen“ Produkten, etwa Passwortmanagern, Firewalls oder Smartcards, ist eine unabhängige Bewertung durch benannte Stellen vorgesehen.  

Ob ein konkretes Produkt unter den CRA fällt, muss im Einzelfall anhand der Verordnung geprüft werden. Ausgenommen sind unter anderem Medizinprodukte, Fahrzeuge, zivile Luftfahrt, Schiffsausrüstung und nicht-kommerziell bereitgestellte Open-Source-Software. 

3. Ab wann gelten welche Pflichten?  

Der CRA ist seit dem 10. Dezember 2024 in Kraft und greift in Etappen: 

• 11. Juni 2026: Die Verfahren zur Benennung und Notifizierung von Konformitätsbewertungsstellen wurden anwendbar. 
• 27. Juli 2026: Kommission veröffentlichte praktische Leitlinien für Hersteller, Entwickler und Unternehmen. 
• 11. September 2026: Die Meldepflichten nach Art. 14 von ausgenutzten Schwachstellen und Sicherheitsvorfällen starteten. Dazu gehören: Frühwarnung binnen 24 Stunden, weitere Informationen innerhalb von 72 Stunden, ein Abschlussbericht 14 Tage nach einem Update (bei Schwachstellen) bzw. einen Monat nach der Erstmeldung (bei Vorfällen). Gemeldet wird über eine zentrale Plattform der ENISA. 
• 11. Dezember 2026: Die Mitgliedstaaten stellen sicher, dass es genügend notifizierte Stellen gibt. 
• 11. Dezember 2027: Alle Anforderungen des CRA werden verpflichtend, auch die grundlegenden Cybersicherheitsanforderungen vor dem Inverkehrbringen von Produkten.  
• Produkte, die vor diesem Datum auf den Markt gebracht wurden, unterliegen den CRA-Anforderungen erst bei einer wesentlichen Änderung nach diesem Datum. Die Meldepflichten nach Art. 14 gelten auch für ältere Produkte. 

Wer bis 2027 wartet, für den wird es knapp. Ein Beispiel für die Praxis: Ein Hersteller erfährt, dass eine Schwachstelle in seinem vernetzten Produkt bereits ausgenutzt wird. Dann läuft die Uhr. Wer vorher nicht geklärt hat, wer meldet, wer entscheidet und wer die Informationen liefert, verliert Zeit, die er nicht hat. Unternehmen sollten deshalb jetzt Produkte und Prozesse prüfen, Zuständigkeiten festlegen und Meldewege vorbereiten. Unterstützung bieten die Leitlinien, die die Europäische Kommission veröffentlicht hat. 

4. Welche Rolle spielen Normen und Standards beim CRA?  

Der CRA legt fest, was erreicht werden muss. Das „Wie“ regeln Normen. Harmonisierte Normen können die Anforderungen in konkrete technische Spezifikationen übersetzen – sobald sie entsprechend im Amtsblatt der EU veröffentlicht sind. Die Kommission hat dafür mit dem Normungsauftrag M/606 41 Normen bestellt, die CEN, CENELEC und ETSI gemeinsam mit der Industrie entwickeln.  

Rund 15 horizontale Normen regeln gemeinsame Anforderungen wie das Schwachstellenmanagement. Dazu kommen vertikale, produktspezifische Normen sowie Begleitdokumente zu Begriffen, Risikobewertung und Bedrohungen. Bis zum 30. November 2027 sollten alle 41 Standards vorliegen. Im NA 043-04-13 GA „DIN DKE Gemeinschaftsgremium Cybersecurity" wird die Arbeit des europäischen Komitees CEN/CLC/JTC 13 gespiegelt.  

Normen ersetzen nicht die Verantwortung der Hersteller. Sie bieten jedoch einen wichtigen gemeinsamen Referenzrahmen, um die Anforderungen des CRA nachvollziehbar und einheitlich umzusetzen. 

5. Wie können sich Unternehmen und Fachleute an der Normung beteiligen? 

Gute Normen entstehen dort, wo Praxiserfahrung einfließt. Es braucht die Perspektive derjenigen, die Produkte , entwickeln, herstellen und einsetzen.  

STAN4CRA von CEN, CENELEC und ETSI bündelt Informationen zu den europäischen Normungsaktivitäten. CYBERSTAND.eu ist ein im Rahmen des Programms „Digitales Europa“ gefördertes Konsortium aus führenden europäischen Organisationen, Verbänden und Standardisierungsinstituten. Es unterstützt Interessengruppen dabei, sich bei Normungs- und Konformitätsfragen im Zusammenhang mit dem CRA einzubringen.