Zum Inhalt springen
CRA Navigator
EnglishDeutsch

Verordnung (EU) 2024/2847

Der Cyber Resilience Act, reduziert auf die Pflichten des Herstellers

Der CRA macht Cybersicherheit zur Voraussetzung für den Marktzugang von Produkten mit digitalen Elementen. Er gilt horizontal über alle Branchen, erfasst den gesamten Unterstützungszeitraum statt nur den Verkaufszeitpunkt und sieht Bußgelder von bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes vor.

Meldepflichten
11. Sep. 2026
Vollständige Anwendung
11. Dez. 2027
Höchstbußgeld
15 Mio. EUR / 2,5 %

Die Termine, die Ihre Planung bestimmen

Die Meldepflicht greift mehr als ein Jahr vor der vollständigen Anwendung — und sie gilt auch für Produkte, die Sie bereits ausgeliefert haben. Diesen Termin unterschätzen die meisten Teams.

  1. 10. Dezember 2024

    Inkrafttreten

    Die Verordnung (EU) 2024/2847 tritt nach Veröffentlichung im Amtsblatt in Kraft. Die Übergangsfrist beginnt.

  2. 11. Juni 2026

    Regelungen zu notifizierten Stellen

    Die Vorschriften für Konformitätsbewertungsstellen greifen, damit notifizierte Stellen benannt werden können und verfügbar sind, bevor Hersteller sie benötigen.

  3. 11. September 2026

    Meldepflichten gelten

    Die Meldepflicht nach Artikel 14 beginnt. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an ihr CSIRT und die ENISA melden — auch für Produkte, die bereits im Markt sind.

  4. 11. Dezember 2027

    Vollständige Anwendung

    Alle übrigen Pflichten gelten. Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden, müssen die grundlegenden Anforderungen erfüllen und auf dieser Grundlage die CE-Kennzeichnung tragen.

Schritt eins

Die Klassifizierung bestimmt alles Weitere

Die Produktklasse legt das Konformitätsbewertungsverfahren fest, ob eine notifizierte Stelle eingebunden werden muss und wie viel Vorlaufzeit Sie brauchen. Ein Fehler hier untergräbt die gesamte Planung.

CRA-Produktklassen und die zugehörigen Konformitätsbewertungsverfahren
KlasseBewertungsverfahrenWas darunter fällt
StandardSelbstbewertungDie Mehrheit der Produkte mit digitalen Elementen. Der Hersteller führt die Konformitätsbewertung intern durch und stellt die EU-Konformitätserklärung aus.
Wichtig — Klasse INormen oder DritteProdukte der Klasse I nach Anhang III, etwa Passwortmanager, eigenständige Router, VPNs und Betriebssysteme. Selbstbewertung ist nur möglich, wenn harmonisierte Normen vollständig angewendet werden.
Wichtig — Klasse IIDritte erforderlichProdukte der Klasse II nach Anhang III, etwa Hypervisoren, Firewalls und manipulationssichere Mikroprozessoren. Eine notifizierte Stelle muss in die Konformitätsbewertung eingebunden werden.
KritischEuropäische ZertifizierungProdukte nach Anhang IV, darunter Hardware mit Sicherheitsboxen, Smart-Meter-Gateways und Chipkarten. Kann eine Zertifizierung nach einem EU-Schema für Cybersicherheit erfordern.
Klassifizierung prüfen

Anhang I

Die grundlegenden Cybersicherheitsanforderungen

Teil I betrifft das Produkt selbst. Teil II betrifft die Prozesse, die Sie über den gesamten Unterstützungszeitraum betreiben. Bei Teil II ist der Weg für die meisten Hersteller am längsten.

Teil I

Produktanforderungen

  • 01Auslieferung ohne bekannte ausnutzbare Schwachstellen
  • 02Sichere Standardkonfiguration mit Rücksetzmöglichkeit
  • 03Verfügbare Sicherheitsupdates, wo angemessen automatisch
  • 04Schutz vor unbefugtem Zugriff durch starke Authentifizierung
  • 05Vertraulichkeit gespeicherter, übertragener und verarbeiteter Daten
  • 06Integritätsschutz für Daten, Befehle und Konfiguration
  • 07Datenminimierung auf das für das Produkt Erforderliche
  • 08Verfügbarkeit wesentlicher Funktionen und Widerstandsfähigkeit gegen Denial-of-Service
  • 09Minimierte Angriffsfläche einschließlich exponierter Schnittstellen
  • 10Begrenzung der Auswirkungen von Angriffen durch Härtung und Segmentierung
  • 11Aufzeichnung und Überwachung sicherheitsrelevanter Aktivitäten
  • 12Sicheres und vollständiges Löschen von Daten und Einstellungen auf Verlangen

Teil II

Umgang mit Schwachstellen

  • 01Schwachstellen und Komponenten identifizieren und dokumentieren, einschließlich SBOM
  • 02Schwachstellen unverzüglich durch Sicherheitsupdates beheben
  • 03Regelmäßige Tests und Überprüfungen der Produktsicherheit durchführen
  • 04Behobene Schwachstellen mit Beschreibung und Behebungshinweisen offenlegen
  • 05Eine Politik zur koordinierten Offenlegung von Schwachstellen umsetzen
  • 06Eine Kontaktadresse für die Meldung von Schwachstellen bereitstellen
  • 07Mechanismen zur sicheren Verteilung von Updates bereitstellen
  • 08Sicherheitspatches unverzüglich und kostenlos verbreiten

Artikel 14

Die Meldefristen werden in Stunden gemessen

Sobald Sie von einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt oder von einem schwerwiegenden Sicherheitsvorfall Kenntnis erlangen, läuft die Meldung nach einem festen Eskalationsschema über eine einheitliche Meldeplattform.

  1. 24 h

    Frühwarnung

    Eine erste Meldung an das koordinierende CSIRT und die ENISA mit dem Hinweis, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall festgestellt wurde.

  2. 72 h

    Schwachstellenmeldung

    Ein ausführlicherer Bericht zur Art der Schwachstelle, zu getroffenen oder verfügbaren Korrekturmaßnahmen und zum Status der Ausnutzung.

  3. 14 T

    Abschlussbericht

    Ein abschließender Bericht zur Schwachstelle, ihrem Schweregrad und ihren Auswirkungen sowie zur ausgerollten Behebung. Nutzer sind zu informieren, soweit relevant.

Diese Fristen sind zuerst ein operatives und dann ein rechtliches Problem. Sie brauchen einen definierten Eingangskanal, eine verantwortliche Triage, eine auch außerhalb der Geschäftszeiten erreichbare Entscheidungsinstanz und vorbereitete Meldevorlagen. Das erst nach dem ersten Vorfall aufzubauen, ist zu spät.

Ermitteln Sie Ihren Stand gegenüber Anhang I

Das Readiness-Assessment bewertet Ihre Position über alle acht Themenfelder und liefert eine priorisierte Lückenliste mit Verweis auf konkrete Artikel.

Readiness-Assessment starten