Der EU Cyber Resilience Act (CRA) verlangt, dass alle Produkte mit digitalen Elementen, die in der EU verkauft werden, bis Dezember 2027 die Cybersicherheitsanforderungen erfüllen. Zu den zentralen Pflichten gehören: Pflege von SBOMs (Software Bills of Materials), Meldung ausgenutzter Schwachstellen an ENISA innerhalb von 24 Stunden (ab September 2026) und Aufbewahrung technischer Dokumentation für 10 Jahre. Geldbußen können bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes betragen. CRA Evidence hilft Herstellern, Importeuren und Händlern bei der Einhaltung durch SBOM-Management, Schwachstellen-Scanning und die Erstellung technischer Dateien.
EU-Cyber-Resilienz-Verordnung (CRA)
Die EU-Verordnung 2024/2847 legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Hier erfahren Sie, was Sie wissen müssen.
Was ist der Cyber Resilience Act?
Der CRA verlangt von Unternehmen, ihre Software-Lieferkette zu dokumentieren, Schwachstellen während des Produktlebenszyklus zu überwachen und technische Unterlagen 10 Jahre aufzubewahren. Das ist viel Papierkram.
Veröffentlicht als Verordnung (EU) 2024/2847 umfasst sie Hardware- und Softwareprodukte, die in der EU verkauft werden: IoT‑Geräte, industrielle Steuerungssysteme, eigenständige Software und mehr.
Die Verordnung schreibt Software-Stücklisten (SBOMs), Prozesse zur Schwachstellenbehandlung, Risikobewertungen und technische Dokumentation vor. Für Hardwareprodukte sind zudem HBOMs erforderlich. VEX-Dokumente kommunizieren den Schwachstellenstatus an nachgelagerte Nutzer.
Wichtige Compliance-Fristen
11. September 2026
Schwachstellen-Meldung beginnt
Hersteller müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden nach Bekanntwerden an ENISA und nationale Behörden melden. Detaillierte Berichte sind innerhalb von 72 Stunden fällig.
11. Dezember 2027
Volle CRA-Durchsetzung
Alle Produkte mit digitalen Elementen müssen die wesentlichen Cybersicherheitsanforderungen erfüllen. Nicht konforme Produkte dürfen nicht auf dem EU-Markt verkauft werden.
Strafen bei Nichteinhaltung
Der CRA führt erhebliche finanzielle Strafen bei Nichteinhaltung ein. Marktüberwachungsbehörden können auch Produktrückrufe anordnen und den Verkauf auf dem EU-Markt verbieten.
Produktklassifizierung
Der CRA kategorisiert Produkte nach ihrem Cybersicherheits-Risikoniveau. Produkte mit höherem Risiko unterliegen strengeren Konformitätsbewertung-Anforderungen.
| Kategorie | Beispiele | Konformitätsbewertung |
|---|---|---|
| Standard | Die meisten Softwareanwendungen, IoT-Geräte, Unterhaltungselektronik | Selbstbewertung zulässig |
| Wichtige Klasse I | Identitätsmanagement, Browser, Passwort-Manager, VPNs, Netzwerkmanagement | Selbstbewertung bei Verwendung von harmonisierte Normen; andernfalls Drittbewertung |
| Wichtige Klasse II | Hypervisoren, Container-Laufzeiten, Firewalls, Einbruchserkennung, sichere Elemente | Konformitätsbewertung durch Dritte erforderlich |
| Kritisch | Hardware-Sicherheitsmodule, Smartcard-Leser, Secure-Boot-Systeme | Strengste Anforderungen (Anhang IV) |
Dokumentationsanforderungen (Anhang VII)
Hersteller müssen technische Dokumentation erstellen und pflegen, die die Einhaltung der wesentlichen Anforderungen nachweist. Diese Dokumentation muss mindestens 10 Jahre nach dem Inverkehrbringen des Produkts aufbewahrt werden.
Risikobewertung
Cybersicherheits-Risikobewertung, die potenzielle Bedrohungen, Schwachstellen und die Maßnahmen zu deren Behebung abdeckt.
EU-Konformitätserklärung
Eine formelle Erklärung, dass das Produkt alle anwendbaren CRA-Anforderungen erfüllt, unterzeichnet von einem bevollmächtigten Vertreter.
Benutzerdokumentation
Anweisungen für sichere Installation, Betrieb und Wartung. Muss Informationen über den Supportzeitraum und Sicherheitsupdates enthalten.
Richtlinie zur Schwachstellenbehandlung
Dokumentierter Prozess zur Identifizierung, Verfolgung und Behebung von Schwachstellen. Muss koordinierte Offenlegungsverfahren enthalten.
Prüfberichte
Nachweis von Sicherheitstests, einschließlich Penetrationstests, Code-Reviews und Überprüfung der wesentlichen Anforderungen.
ENISA-Schwachstellenmeldung
Ab September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen an ENISA (Agentur der Europäischen Union für Cybersicherheit) und ihr nationales CSIRT unter Einhaltung strenger Fristen melden.
Die Nichtmeldung innerhalb der vorgeschriebenen Fristen kann zu erheblichen Strafen und Reputationsschäden führen.
Innerhalb von 24 Stunden
Frühwarnung - Erstmeldung einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls. Grundlegende Informationen über die Bedrohung.
Innerhalb von 72 Stunden
Detaillierter Bericht - Technische Details, betroffene Produkte, Schweregradbewertung und erste Abhilfemaßnahmen.
Innerhalb von 14 Tagen
Abschlussbericht (Schwachstellen) - Vollständige Analyse, Ursachenforschung, vollständige Behebung und Lessons Learned.
Innerhalb von 1 Monat
Abschlussbericht (Vorfälle) - Bei schwerwiegenden Sicherheitsvorfällen ist ein Abschlussbericht innerhalb eines Monats fällig.
Wie CRA Evidence hilft
Der CRA gilt unterschiedlich je nach Ihrer Rolle in der Lieferkette. CRA Evidence passt sich an jede an.
CRA-Verpflichtungen variieren je nach Rolle in der Lieferkette
Hersteller
Artikel 13 legt Ihnen die schwersten Pflichten auf: SBOMs, Schwachstellenbehandlung, Sicherheitsupdates, technische Dokumentation.
- SBOM-Validierung (TR-03183)
- Überwachung von Schwachstellen
- Technischer Datei-Export
- Konformitätserklärung
Importeure
Artikel 19 macht Sie dafür verantwortlich, die Herstellerkonformität zu prüfen, bevor Sie in der EU verkaufen.
- Prüf-Checklisten
- Hersteller-Tracking
- Nachweisspeicherung
- Audit-Trail
Vertriebspartner
Die Pflichten nach Artikel 20 sind leichter: CE-Kennzeichnung prüfen und nicht konforme Produkte korrekt behandeln.
- Sorgfaltspflicht-Checklisten
- Lieferantenverfolgung
- CE-Verifizierung
- Incident-Eskalation
Beginnen Sie jetzt mit den Vorbereitungen
Dezember 2027 ist näher als es scheint. Bereiten Sie Ihre Produkte und Dokumentation vor.