Ihr Produkt beinhaltet Software? Dann geht Sie der CRA etwas an.
Der Cyber Resilience Act macht Cybersicherheit zur Produkteigenschaft: Wer Hardware oder Software mit digitalen Elementen in der EU vertreibt, muss Sicherheit über den gesamten Lebenszyklus nachweisen. Die Hauptpflichten greifen Ende 2027, Meldepflichten für ausgenutzte Schwachstellen schon ab September 2026. Klingt weit weg? Produktentwicklungszyklen sind länger.
Sicherheit wird zur Marktzugangsvoraussetzung, wie einst die Maschinenrichtlinie.
Drei Baustellen, die Sie heute schon angehen können
Schwachstellenmanagement aufbauen
Der CRA verlangt einen geregelten Umgang mit Schwachstellen im Produkt, inklusive koordinierter Offenlegung und Sicherheitsupdates. Wer das erst 2027 aufsetzt, tut es unter Zeitdruck.
Wissen, was im Produkt steckt
Ohne Übersicht über verwendete Komponenten und Bibliotheken lässt sich keine Schwachstelle bewerten. Eine Software-Stückliste ist die Grundlage, auf der alles andere aufsetzt.
Produktsicherheit im ISMS verankern
Entwicklungsprozesse, Risiken und Vorfälle rund ums Produkt gehören in dasselbe Managementsystem wie der Rest Ihrer Sicherheit. In VANTARIS ist der CRA dann eine weitere Sicht statt ein Parallelprojekt.
Was der CRA im Detail verlangt
Risikobewertung pro Produkt
Jedes Produkt braucht eine dokumentierte Cybersicherheits-Risikobewertung, die Entwicklung, Produktion und den vorgesehenen Einsatz abdeckt.
Grundlegende Sicherheitsanforderungen
Sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Datenminimierung und Update-Fähigkeit. Sicherheit ab Werk statt per Handbuch-Hinweis.
Support-Zeitraum mit Updates
Sicherheitsupdates müssen über den erwarteten Nutzungszeitraum bereitgestellt werden, im Regelfall mindestens fünf Jahre. Das gehört in Ihre Produktkalkulation, und zwar heute.
Technische Dokumentation & CE
Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung. Je nach Produktklasse als Selbstbewertung oder mit benannter Stelle.
Meldungen binnen 24 Stunden
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen frühzeitig gemeldet werden, die Frühwarnung binnen 24 Stunden. Diese Pflichten greifen bereits ab September 2026.
Nicht jedes Produkt wird gleich behandelt
Der CRA teilt Produkte nach Kritikalität ein. Für die große Mehrheit gilt die Standardkategorie mit Selbstbewertung durch den Hersteller. „Wichtige“ Produkte wie Passwortmanager, Firewalls oder VPNs unterliegen strengeren Konformitätsverfahren, „kritische“ Produkte wie Smartcards noch einmal schärferen Regeln.
Für Ihre Planung heißt das: Zuerst das Portfolio klassifizieren, dann den Aufwand schätzen. Ein Produkt in der Standardkategorie ist gut machbar, ein wichtiges Produkt der Klasse II braucht deutlich mehr Vorlauf und gegebenenfalls eine benannte Stelle mit freiem Terminkalender. Von denen gibt es erfahrungsgemäß nicht unbegrenzt viele.
In VANTARIS führen Sie Produkte als Assets mit Risikobewertung, Schwachstellenprozess und Nachweisen. Der CRA wird damit Teil Ihres Managementsystems statt ein Inseldokument in der Entwicklungsabteilung.
CRA in Kürze
Betrifft der CRA auch reine Softwarehersteller?
Ja. Der CRA erfasst Produkte mit digitalen Elementen, also Hardware ebenso wie Software, die in der EU in Verkehr gebracht wird. Ausnahmen gelten etwa für bereits sektoral regulierte Produkte und bestimmte Open-Source-Konstellationen. Die Einordnung Ihres Portfolios lohnt eine genaue Betrachtung.
Wir sind Zulieferer eines Herstellers. Müssen wir etwas tun?
Direkt verpflichtet ist der Hersteller, der das Produkt in Verkehr bringt. Praktisch reicht er Anforderungen an Komponenten und Software aber an seine Lieferkette weiter. Wer früh liefern kann, was Hersteller brauchen, wird zum bevorzugten Lieferanten.
Reicht es, 2027 mit der Umsetzung zu beginnen?
Für die Meldepflichten kommen Sie damit zu spät, die greifen bereits ab September 2026. Und Security by Design lässt sich schlecht nachträglich in ein fertig entwickeltes Produkt einbauen. Produkte, die Sie heute entwerfen, sind beim Geltungsbeginn auf dem Markt.
Was hat es mit der Software-Stückliste auf sich?
Hersteller müssen die Komponenten ihrer Produkte kennen und dokumentieren, mindestens die obersten Abhängigkeiten. Ohne diese Übersicht können Sie weder Schwachstellen bewerten noch die Meldepflichten erfüllen. Wer heute eine SBOM-Praxis aufbaut, erfüllt morgen eine Pflicht und beantwortet übermorgen Kundenfragen in Minuten.
Vertiefende Ratgeber
Mehr zu dem Cyber Resilience Act aus unserem Ratgeber
Bauen Sie Sicherheit ins Produkt, nicht in die Pressemitteilung danach.
Besprechen Sie im Strategiegespräch, was der CRA für Ihr Portfolio bedeutet und welcher Fahrplan realistisch ist.