Cyber Resilience Act: Anforderungen verstehen. Umsetzung rechtzeitig vorbereiten.
Der Cyber Resilience Act schafft erstmals einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen in der EU. Unternehmen, die Software, vernetzte Produkte oder digitale Komponenten entwickeln, herstellen, importieren oder vertreiben, sollten ihre Betroffenheit und ihren Handlungsbedarf jetzt strukturiert prüfen.
✓ Frühzeitig Klarheit gewinnen
Wir helfen Ihnen, schnell einzuordnen, ob und in welchem Umfang Ihre Produkte vom CRA betroffen sind.
✓ Regulatorische Anforderungen übersetzen
Wir machen aus komplexen Anforderungen konkrete Handlungsfelder für Produktverantwortung, Entwicklung, Compliance und Dokumentation.
✓ Umsetzung pragmatisch vorbereiten
Wir unterstützen Sie dabei, CRA-Anforderungen wirtschaftlich, realistisch und organisationsfähig anzugehen.
Der Cyber Resilience Act bringt verbindliche Anforderungen für digitale Produkte
Mit dem Cyber Resilience Act hat die Europäische Union ein neues regulatorisches Rahmenwerk für die Cybersicherheit von Produkten mit digitalen Elementen geschaffen. Unternehmen müssen sich frühzeitig mit Anforderungen an Sicherheit, Dokumentation, Schwachstellenmanagement und Konformität befassen.
Verbindliche Fristen erfordern frühzeitige Vorbereitung
Der CRA ist seit Dezember 2024 in Kraft. Ab September 2026 gelten erste Meldepflichten, insbesondere für aktiv ausgenutzte Schwachstellen. Spätestens ab Dezember 2027 müssen die Anforderungen vollständig umgesetzt sein.
CRA-Compliance betrifft mehr als nur Technik
Die Anforderungen wirken sich nicht nur auf Produktfunktionen aus, sondern auch auf Prozesse, Verantwortlichkeiten, Dokumentation und die Zusammenarbeit entlang der Lieferkette. Deshalb ist eine frühzeitige, strukturierte Vorbereitung entscheidend.
Einheitliche Cybersicherheitsstandards für Produkte mit digitalen Elementen
Was regelt der CRA?
Der Cyber Resilience Act ist die erste EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen übergreifend regelt. Ziel ist es, das Sicherheitsniveau digitaler Produkte auf dem europäischen Markt zu erhöhen, Schwachstellen systematisch zu reduzieren und mehr Transparenz gegenüber Anwendern und Geschäftspartnern zu schaffen.
Der CRA betrifft unter anderem:
- vernetzte Verbraucherprodukte
- Software und Plattformkomponenten
- IoT-Lösungen
- Unternehmenssoftware
- industrielle Systeme und digitale Steuerungskomponenten
Gerade bei komplexen Produkten, langen Entwicklungszyklen und vernetzten Lieferketten ist eine frühzeitige Auseinandersetzung wichtig, damit Anforderungen nicht
Wer ist betroffen?
Vom Cyber Resilience Act können insbesondere Unternehmen betroffen sein, die Produkte mit digitalen Elementen entwickeln, herstellen, importieren oder vertreiben. Dazu zählen je nach Geschäftsmodell und Produktportfolio unterschiedliche Rollen entlang der Wertschöpfungskette.
Typischerweise relevant ist der CRA für:
Hersteller digitaler Produkte
Anbieter von Softwarelösungen
Unternehmen mit IoT- oder Smart-Product-Angeboten
Importeure digitaler Produkte
Händler und Vertreiber
Anbieter industrieller Komponenten und vernetzter Systeme
Wie stark die Anforderungen im Einzelfall greifen, hängt unter anderem von der Produktart, dem digitalen Funktionsumfang, der Vernetzung, der Rolle des Unternehmens und der regulatorischen Einordnung ab.
Mit wenigen Schritten eine erste Einschätzung erhalten
CRA-Betroffenheitsprüfung
Mit unserem CRA-Betroffenheitsprüfung können Unternehmen strukturiert prüfen, ob und in welchem Umfang ein Produkt unter die Anforderungen des Cyber Resilience Act fällt. Eine solche Ersteinschätzung hilft dabei, Pflichten, Nachweise und mögliche Aufwände frühzeitig besser einzuordnen.
Sie erhalten Orientierung zu Fragen wie:
- Fällt mein Produkt unter den CRA?
- Welche Anforderungen sind voraussichtlich relevant?
- Wo besteht kurzfristiger Handlungsbedarf?
Wenn Produkte nicht eindeutig einzuordnen sind oder Sonderkonstellationen vorliegen, empfiehlt sich eine vertiefte Bewertung.
CRA-Betroffenheitsprüfung
Schritt 1
Beispiele für digitale Produkte:
- Software & Applikationen
- IoT-Geräte, zum Beispiel Smart Home oder Sensoren
- Eingebettete Software in Hardware
- Cloud-basierte Dienste & SaaS
Warum jetzt handeln?
Die regulatorischen Übergangsfristen wirken auf den ersten Blick lang. In der Praxis betreffen die Anforderungen jedoch Produktentwicklung, Schwachstellenmanagement, technische Dokumentation, interne Prozesse und Rollenmodelle. Je später Unternehmen starten, desto höher werden Koordinationsaufwand und Projektrisiko.
Nicht jedes Produkt ist in gleicher Weise vom CRA betroffen. Maßgeblich sind unter anderem Produktart, digitale Funktionen, Vernetzung, Rolle in der Lieferkette und die jeweilige regulatorische Einordnung. Eine strukturierte Betroffenheitsprüfung schafft hier früh Klarheit.
Der CRA betrifft nicht nur die Entwicklung oder Inverkehrbringung, sondern auch Prozesse nach Markteintritt, etwa im Umgang mit Schwachstellen, Sicherheitsaktualisierungen und Meldungen. Unternehmen sollten deshalb nicht isoliert auf einzelne Nachweispflichten schauen, sondern den gesamten Produktlebenszyklus einbeziehen.
In vielen Organisationen steht der CRA nicht allein, sondern im Zusammenhang mit weiteren regulatorischen oder normativen Anforderungen. Eine klare Abgrenzung und Verzahnung mit bestehenden Strukturen hilft dabei, Doppelarbeit und unnötige Komplexität zu vermeiden.
Warum HiSolutions?
Ihr Partner für CRA, Regulatorik und praxisnahe Umsetzung
HiSolutions unterstützt Unternehmen dabei, regulatorische Anforderungen in belastbare und umsetzbare Maßnahmen zu übersetzen. Unser Anspruch ist es, Komplexität zu reduzieren und aus abstrakten Vorgaben konkrete Entscheidungs- und Handlungsgrundlagen zu machen.
Wir begleiten Sie unter anderem bei:
- der Bewertung Ihrer CRA-Betroffenheit
- der Einordnung von Produktkategorien und Rollen
- der Identifikation relevanter Anforderungen
- der Entwicklung einer realistischen Umsetzungsroadmap
- der Abstimmung zwischen Fachbereichen, Entwicklung, Security, Compliance und Management
Dabei verbinden wir regulatorisches Verständnis mit technischer und organisatorischer Umsetzbarkeit.
Unser Vorgehen – Schritt für Schritt
So begleiten wir Sie bei der Vorbereitung auf den CRA
Praxisbeispiele
CRA-Einordnung für Hersteller vernetzter Produkte
Bewertung von Betroffenheit, Produktkategorie und regulatorischen Pflichten für ein Unternehmen mit mehreren digitalen Produktlinien.
Abgleich von CRA-Anforderungen mit bestehenden Security-Strukturen
Identifikation von Überschneidungen und Lücken in bestehenden Prozessen, etwa im Zusammenspiel von Product Security, ISMS und Compliance.
Vorbereitung von Rollen, Prozessen und Nachweisen
Entwicklung eines strukturierten Zielbilds für Dokumentation, Schwachstellenmanagement und interne Verantwortlichkeiten entlang des Produktlebenszyklus.
Ihr Ansprechpartner
Jan Klose
Ob ISO 27001, IT-Grundschutz oder Risikomanagement – ich unterstütze Sie beim Aufbau und der Weiterentwicklung wirksamer Informationssicherheitsmanagementsysteme. Lassen Sie uns sprechen – Ihre Informationssicherheit beginnt mit einem klaren Konzept.
Jan Klose ist Consultant bei HiSolutions. Er berät Unternehmen und Behörden beim Aufbau und der Weiterentwicklung von ISMS nach ISO/IEC 27001 und IT-Grundschutz sowie zu Risikoanalysen, BCM und KRITIS-Anforderungen.
Unverbindliches Erstgespräch vereinbaren
Häufig gestellte Fragen zum Cyber Resilience Act
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Ziel ist es, das Sicherheitsniveau digitaler Produkte in Europa zu erhöhen und den Umgang mit Schwachstellen, Sicherheitsupdates und Produktverantwortung verbindlich zu regeln.
Der CRA ist seit Dezember 2024 in Kraft. Ab September 2026 gelten erste konkrete Pflichten, insbesondere im Zusammenhang mit der Meldung aktiv ausgenutzter Schwachstellen und Sicherheitsvorfälle. Ab Dezember 2027 sind die Anforderungen grundsätzlich vollständig anzuwenden.
Vom CRA können insbesondere Unternehmen betroffen sein, die Produkte mit digitalen Elementen entwickeln, herstellen, importieren oder vertreiben. Dazu zählen vor allem Hersteller, Importeure und Händler. Ob und in welchem Umfang Pflichten bestehen, hängt unter anderem von der Produktart, der Rolle in der Lieferkette und der konkreten Einordnung des Produkts ab.
Unsere CRA-Betroffenheitsprüfung bietet einen sinnvollen ersten Schritt für eine strukturierte Ersteinschätzung.
Ja. Der CRA erfasst nicht nur physische Produkte, sondern grundsätzlich auch Produkte mit digitalen Elementen. Dazu kann je nach Ausgestaltung auch Software zählen, insbesondere wenn sie eigenständig bereitgestellt wird oder Bestandteil eines vernetzten Produkts ist.
Unsere CRA-Betroffenheitsprüfung bietet einen sinnvollen ersten Schritt für eine strukturierte Ersteinschätzung.
Ein sinnvoller erster Schritt ist eine strukturierte Ersteinschätzung. Diese kann beispielsweise über unserer CRA-Betroffenheitsprüfung erfolgen oder im Rahmen einer fachlichen Bewertung durch unsere Expertinnen und Experten. So lässt sich frühzeitig einschätzen, ob Handlungsbedarf besteht und welche Anforderungen voraussichtlich relevant sind.
Nicht zwingend. Bestehende Produkte müssen nicht automatisch vollständig neu entwickelt werden. Hersteller müssen jedoch prüfen und belegen können, dass das Produkt die relevanten Cybersicherheitsanforderungen angemessen erfüllt. Dazu gehören insbesondere eine Cybersecurity-Risikobewertung, die Durchführung der Konformitätsbewertung, die Erstellung der EU-Konformitätserklärung, die CE-Kennzeichnung sowie Prozesse für den angemessenen Umgang mit Schwachstellen.
Freie und Open-Source-Software kann unter den CRA fallen, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Nicht jede Bereitstellung von Open-Source-Software ist daher automatisch reguliert. Entscheidend ist insbesondere, ob mit der Software unmittelbar oder mittelbar ein geschäftlicher Zweck verfolgt wird.
Für die Einordnung kann unter anderem relevant sein,
• ob für die Software ein Preis verlangt wird,
• ob darüber verbundene Dienstleistungen monetarisiert werden,
• ob personenbezogene Daten über sicherheitsbezogene Zwecke hinaus verarbeitet werden,
• oder ob Spenden faktisch Voraussetzung für den Zugang sind.
Wesentliche Merkmale von freier und Open-Source-Software sind, dass der Quellcode öffentlich zugänglich ist und die Software unter einer freien Open-Source-Lizenz veröffentlicht wird.
Eine wesentliche Veränderung liegt vor, wenn ein Produkt nach seinem Inverkehrbringen so geändert wird, dass sich entweder die Einhaltung der wesentlichen Cybersicherheitsanforderungen verändert oder sich der beabsichtigte Verwendungszweck des Produkts ändert. Wer eine solche wesentliche Veränderung vornimmt, kann regulatorisch als Hersteller des veränderten Produkts angesehen werden und damit die entsprechenden Pflichten übernehmen.
Die Unterstützung muss grundsätzlich für einen Zeitraum erfolgen, der der zu erwartenden Nutzungsdauer des Produkts entspricht. In vielen Fällen beträgt dieser Zeitraum mindestens fünf Jahre. Fünf Jahre sind jedoch nicht pauschal der Regelfall für alle Produkte. Wenn ein Produkt typischerweise länger genutzt wird, kann auch ein entsprechend längerer Unterstützungszeitraum erforderlich sein. Der vorgesehene Zeitraum beziehungsweise das Enddatum der Unterstützung sollte zum Zeitpunkt des Kaufs klar angegeben werden.