Kurz gesagt: Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist seit dem 10.12.2024 in Kraft. Für Hersteller von Produkten mit digitalen Elementen zählen zwei Termine: Ab dem 11.09.2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, ab dem 11.12.2027 gelten alle Anforderungen, von der sicheren Entwicklung bis zu Sicherheitsupdates über den gesamten Unterstützungszeitraum.
Stand: 03.11.2026
Welche Fristen gelten beim Cyber Resilience Act?
Die Verordnung wurde am 23.10.2024 verabschiedet und am 20.11.2024 im Amtsblatt der EU veröffentlicht. Sie gilt als EU-Verordnung direkt in allen Mitgliedstaaten, ein deutsches Umsetzungsgesetz ist nicht nötig. Das BSI nennt folgende Stichtage:
| Datum | Was gilt |
|---|---|
| 10.12.2024 | Inkrafttreten der Verordnung, 20 Tage nach Veröffentlichung im Amtsblatt |
| 11.06.2026 | Behörden müssen Verfahren für Bewertung, Benennung und Notifizierung von Konformitätsbewertungsstellen etabliert haben |
| 11.09.2026 | Meldepflicht für Hersteller bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen |
| 11.12.2026 | Mitgliedstaaten sollen eine ausreichende Zahl notifizierter Stellen sicherstellen |
| 11.12.2027 | Alle Anforderungen gelten: Cybersicherheit vor dem Inverkehrbringen, Schwachstellenbehandlung über den Lebenszyklus, Transparenz gegenüber Nutzern |
Für dich als Hersteller heißt das: Die Meldepflicht kommt zuerst und trifft dich schon in weniger als einem Jahr ab dem jetzigen Stand. Die Produktanforderungen folgen gut ein Jahr später, brauchen aber die längere Vorbereitung, weil sie in Entwicklung, Dokumentation und Support eingreifen.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wer ist vom Cyber Resilience Act betroffen?
Betroffen sind Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen, unabhängig davon, ob sie ihren Sitz in oder außerhalb der EU haben. Das umfasst Hardware wie Smartphones, Smarthome-Produkte, Mikroprozessoren oder Firewalls ebenso wie reine Software, etwa Buchhaltungssoftware, Apps oder Computerspiele. Händler und Importeure müssen sicherstellen, dass die Produkte den Vorschriften entsprechen.
Ausgenommen sind laut BSI Produkte, für die bereits eigene Regeln gelten: Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt und Schiffsausrüstung. Ebenfalls ausgenommen sind Produkte ausschließlich für die nationale Sicherheit, nicht-kommerzielle Open-Source-Software und identische Ersatzteile für Bestandsprodukte.
Wenn du als Maschinenbauer oder Industriebetrieb Steuerungen, Sensoren oder Software mit Netzwerkanbindung in deine Produkte einbaust oder selbst entwickelst, solltest du prüfen, ob du damit zum Hersteller im Sinne der Verordnung wirst.
Welche Pflichten kommen auf Hersteller zu?
Das BSI fasst die wichtigsten Pflichten so zusammen:
- Secure by Design und Secure by Default: Cybersicherheit wird schon in der Entwicklung berücksichtigt, inklusive Risikobewertung. Schwache Standardpasswörter sind ein Beispiel für das, was nicht mehr geht.
- Software Bill of Materials (SBOM): Hersteller erstellen eine Stückliste der enthaltenen Softwarekomponenten. Sie muss nicht veröffentlicht werden.
- Konformitätserklärung und CE-Kennzeichnung: Je nach Produktkategorie bewertet der Hersteller selbst oder eine notifizierte Stelle.
- Sicherheitsupdates: Während des Unterstützungszeitraums stellt der Hersteller kostenlose Sicherheitsupdates bereit und behandelt Schwachstellen. Der Zeitraum beträgt laut BSI in der Regel fünf Jahre; die Erwägungsgründe der Verordnung nennen mindestens fünf Jahre, sofern das Produkt nicht kürzer genutzt wird.
- Support-Enddatum: Der Hersteller gibt klar an, bis wann das Produkt unterstützt wird.
Wie funktioniert die Meldepflicht ab dem 11.09.2026?
Meldungen zu aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen laufen über die zentrale CRA Single Reporting Platform, die die EU-Agentur ENISA aufbaut. Die Fristen sind gestaffelt:
- Frühwarnung innerhalb von 24 Stunden, nachdem der Hersteller Kenntnis erlangt hat.
- Weitere Informationen innerhalb von 72 Stunden, soweit sie verfügbar sind.
- Abschlussbericht: Bei Schwachstellen spätestens 14 Tage nach einem Sicherheitsupdate oder Workaround, bei Vorfällen einen Monat nach der ersten Meldung.
Praktisch bedeutet das: Du brauchst einen Prozess, der Schwachstellenmeldungen entgegennimmt, bewertet und innerhalb eines Tages eine erste Meldung auslöst. Das BSI stellt mit der Technischen Richtlinie TR-03183 Hilfen bereit, unter anderem zu SBOM-Vorgaben und zum Umgang mit Schwachstellenmeldungen.
Welche Produktkategorien gibt es?
Der Aufwand für die Konformitätsbewertung hängt von der Kategorie ab:
- Standardprodukte: Die meisten Produkte. Der Hersteller bewertet die Konformität in der Regel selbst.
- Wichtige Produkte (Anhang III): Zum Beispiel Passwortmanager und Firewalls. In Klasse 1 reicht eine Selbstbewertung nach harmonisierter Norm, sofern eine verfügbar ist, sonst prüft eine notifizierte Stelle. In Klasse 2 ist eine notifizierte Stelle oder eine europäische Zertifizierung nötig.
- Kritische Produkte (Anhang IV): Zum Beispiel Smartcards und Smart-Meter-Gateways. Hier ist eine Zertifizierung nach einem europäischen Schema zwingend.
Wichtig für Bestandsprodukte: Die Verordnung gilt für das einzelne Produkt, nicht für die Produktlinie. Physische Produkte, die ab Ende 2027 in Verkehr gebracht werden, fallen unter den CRA, auch wenn die Produktlinie schon lange existiert. Ein bereits verkauftes Produkt gilt nach einer wesentlichen Änderung, etwa einem umfangreichen Update, als neu in Verkehr gebracht.
Was solltest du jetzt tun?
- Produktportfolio sichten: Welche Produkte enthalten Software oder Netzwerkanbindung und fallen unter die Verordnung?
- Kategorie bestimmen: Standard, wichtig oder kritisch.
- Meldeprozess aufbauen: Zuständigkeiten, Erreichbarkeit, Vorlagen für die 24-Stunden-Frühwarnung.
- SBOM und Schwachstellenmanagement in die Entwicklung einbauen.
- Unterstützungszeitraum und Update-Prozess festlegen und in Produktunterlagen aufnehmen.
So unterstützen wir dich
Wir betreuen Industrie- und Produktionsbetriebe in Osnabrück und Umgebung und helfen beim technischen Teil der Umsetzung: Netzwerktrennung, sichere Fernzugänge, Patchmanagement und die Infrastruktur für dein Schwachstellenmanagement. Weiter entfernte Kunden betreuen wir per Fernwartung. Mehr findest du auf unserer Seite IT für Industrie und Produktion.
Häufige Fragen
Gilt der Cyber Resilience Act auch für Software ohne Hardware?
Ja. Reine Software wie Buchhaltungsprogramme, Apps oder Spiele fällt ebenso darunter wie vernetzte Hardware.
Muss ich bereits verkaufte Produkte nachrüsten?
Die Verordnung gilt für Produkte, die nach dem jeweiligen Stichtag in Verkehr gebracht werden. Ein Bestandsprodukt gilt aber nach einer wesentlichen Änderung als neu in Verkehr gebracht.
Wo melde ich eine ausgenutzte Schwachstelle?
Über die CRA Single Reporting Platform der ENISA. Die Meldepflicht gilt ab dem 11.09.2026, die Frühwarnung muss innerhalb von 24 Stunden erfolgen.
Betrifft der CRA auch Betreiber von IT, nicht nur Hersteller?
Die Pflichten richten sich an Hersteller, Importeure und Händler. Als Betreiber profitierst du davon, dass Produkte Sicherheitsupdates über einen festgelegten Zeitraum bekommen und das Support-Ende klar angegeben wird.
Quellen
- Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act) (EUR-Lex, abgerufen am 03.11.2026)
- Cyber Resilience Act (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 03.11.2026)
