Mit dem Cyber Resilience Act (CRA) hat die EU erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen geschaffen. Die Verordnung trat am 20. November 2024 in Kraft und wird seither in gestaffelten Fristen wirksam – 2026 markiert dabei einen wichtigen Wendepunkt.
Worum es geht
Der CRA verpflichtet Hersteller, Importeure und Händler von Hardware- und Softwareprodukten mit digitalen Elementen – von IoT-Geräten über Betriebssysteme bis zu Industriesteuerungen – dazu, Cybersicherheit von der Entwicklung bis zum Support-Ende mitzudenken. Ziel ist es, das oft unzureichende Sicherheitsniveau vernetzter Produkte anzuheben und Verbrauchern wie Unternehmen mehr Orientierung zu geben, welche Produkte sicher sind.
Die wichtigsten Fristen
Der CRA gilt nicht auf einen Schlag, sondern in mehreren Stufen. Bis zum 11. Juni 2026 müssen die nationalen Behörden die Verfahren zur Benennung von Konformitätsbewertungsstellen etabliert haben. Ab dem 11. September 2026 greift die Meldepflicht für Hersteller: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb von 24 Stunden erstmalig gemeldet werden, nach 72 Stunden folgen weitere Details, und spätestens 14 Tage nach einem Sicherheitsupdate ist ein Abschlussbericht fällig. Bis zum 11. Dezember 2026 müssen die Mitgliedstaaten für eine ausreichende Zahl notifizierter Stellen sorgen. Ab dem 11. Dezember 2027 gelten schließlich alle CRA-Anforderungen vollumfänglich – einschließlich der grundlegenden Cybersicherheitsanforderungen vor Markteinführung, dem Schwachstellenmanagement über den gesamten Produktlebenszyklus und der Transparenzpflichten gegenüber Nutzern.
Was das für Unternehmen bedeutet
Besonders die Meldepflicht ab September 2026 sollte auf dem Radar jedes Unternehmens stehen, das vernetzte Produkte in der EU in Verkehr bringt – die kurzen Fristen von 24 und 72 Stunden erfordern etablierte interne Prozesse und klare Zuständigkeiten. Wer erst reagiert, wenn die Frist beginnt, wird es schwer haben, sie einzuhalten.
Was Unternehmen jetzt tun sollten
Zunächst gilt es zu klären, ob eigene Produkte überhaupt in den Anwendungsbereich des CRA fallen und welcher Risikoklasse sie zuzuordnen sind. Anschließend sollten Prozesse für Schwachstellen- und Vorfallmeldung aufgebaut oder bestehende IT-Sicherheitsprozesse entsprechend angepasst werden. Auch die Softwarelieferkette gehört auf den Prüfstand, da der CRA Verantwortung über den gesamten Produktlebenszyklus vorsieht. Wer frühzeitig mit der Umsetzung beginnt, vermeidet Zeitdruck, wenn die Fristen im Herbst 2026 und Ende 2027 näher rücken.