Was ist der Cyber Resilience Act?

Der Cyber Resilience Act einfach erklärt

Bei Elektrogeräten ist es selbstverständlich: Ein Toaster muss elektrisch sicher sein, sonst darf er nicht verkauft werden. Für die digitale Sicherheit gab es lange keine vergleichbare, übergreifende Pflicht. Der Cyber Resilience Act, kurz CRA, schließt diese Lücke. Er macht Cybersicherheit zur Voraussetzung dafür, ein Produkt in der EU auf den Markt zu bringen – erkennbar am bekannten CE-Kennzeichen.

Offiziell heißt das Gesetz Verordnung (EU) 2024/2847. Als Verordnung gilt es unmittelbar in allen EU-Staaten. Es betrifft „Produkte mit digitalen Elementen“: Hard- und Software, die sich direkt oder indirekt mit einem Gerät oder Netzwerk verbinden kann. Dazu zählen Router, Überwachungskameras, Smart-Home-Geräte und Industriesteuerungen, aber auch Apps, Betriebssysteme und andere Software, die auf dem Markt bereitgestellt wird.

Das regelt der Cyber Resilience Act

Die Pflichten treffen vor allem Hersteller, in geringerem Umfang auch Importeure und Händler. Die wichtigsten Bausteine:

1. Sicherheit von Anfang an: Hersteller bewerten die Cyberrisiken ihres Produkts und entwickeln es danach („Security by Design“). Es darf keine bekannten ausnutzbaren Schwachstellen enthalten und muss mit sicheren Voreinstellungen ausgeliefert werden.
2. Schwachstellen behandeln: Während des Unterstützungszeitraums müssen Hersteller Lücken beheben und Sicherheitsupdates bereitstellen. Dieser Zeitraum beträgt mindestens fünf Jahre – kürzer nur, wenn das Produkt voraussichtlich kürzer genutzt wird.
3. Komponenten dokumentieren: Hersteller müssen festhalten, aus welchen Bausteinen ihre Software besteht, unter anderem in einer SBOM, einer maschinenlesbaren Software-Stückliste.
4. Regelmäßig testen: Die Sicherheit des Produkts muss wirksam und regelmäßig getestet und überprüft werden.
5. Melden: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden Hersteller über eine zentrale EU-Plattform an das zuständige nationale Computer-Notfallteam (CSIRT) und an die EU-Agentur für Cybersicherheit ENISA. Fällig sind eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und später ein Abschlussbericht. Auch die betroffenen Nutzenden müssen informiert werden.
6. Konformität nachweisen: Hersteller müssen belegen, dass ihr Produkt die Anforderungen erfüllt. Für die meisten Produkte genügt dafür eine Selbstbewertung. Für „wichtige“ Produkte wie Passwortmanager, Router oder Firewalls und für „kritische“ Produkte gelten strengere Verfahren, teils mit unabhängigen Prüfstellen.

Die Pflichten greifen gestaffelt. In Kraft getreten ist der CRA am 10. Dezember 2024. Die Meldepflichten gelten seit dem 11. September 2026 – auch für Produkte, die schon vorher auf den Markt gekommen sind. Der Großteil der übrigen Anforderungen gilt ab dem 11. Dezember 2027. Ausgenommen sind Bereiche mit eigenen Regeln wie Medizinprodukte und Fahrzeuge. Reine Cloud-Dienste (Software as a Service) fallen grundsätzlich nicht unter den CRA; für sie kann NIS2 gelten.

Ein Beispiel aus der Praxis

Ein typisches Szenario: Ein mittelständischer Hersteller entwickelt eine vernetzte Steuerung für Heizungsanlagen. Kunden bedienen sie per App, Updates kommen über die Cloud. Bisher wurde die Firmware – die fest eingebaute Gerätesoftware – vor allem auf ihre Funktion getestet.

Mit Blick auf den CRA erstellt das Team eine SBOM. Dabei fällt auf: Eine eingebundene Open-Source-Bibliothek, also ein frei verfügbarer Programmbaustein, ist veraltet und hat eine bekannte Schwachstelle. Ein Sicherheitstest deckt zusätzlich ein fest einprogrammiertes Wartungspasswort auf. Beides wird vor der nächsten Version behoben. Außerdem richtet der Hersteller eine Kontaktadresse für Schwachstellenmeldungen ein und legt fest, wer im Ernstfall die Frühwarnung binnen 24 Stunden absetzt.

Warum ist das für Unternehmen wichtig?

Für Hersteller ist der CRA Pflicht: Ab dem 11. Dezember 2027 dürfen nur noch Produkte neu auf den Markt gebracht werden, die die Anforderungen erfüllen. Bei Verstößen gegen die grundlegenden Anforderungen und die Herstellerpflichten drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Maßgeblich ist der höhere Betrag. Die Meldepflichten laufen bereits.

Auch wer selbst nichts entwickelt, kann betroffen sein. Wer Produkte unter eigenem Namen vertreibt oder wesentlich verändert, gilt unter Umständen rechtlich als Hersteller. Und Unternehmen, die vernetzte Geräte oder Software einkaufen, können künftig sicherere Produkte und verlässliche Sicherheitsupdates erwarten.

Was Unternehmen jetzt tun sollten

• Betroffenheit klären: Prüfen Sie, welche Ihrer Produkte digitale Elemente enthalten und in welche Kategorie sie fallen.
• Meldeprozess einrichten: Legen Sie fest, wer aktiv ausgenutzte Schwachstellen erkennt, bewertet und fristgerecht meldet.
• SBOM einführen: Erfassen Sie alle Komponenten und Abhängigkeiten und halten Sie die Liste aktuell.
• Sicher entwickeln: Verankern Sie Sicherheitsanforderungen, Prüfungen des Quellcodes (Code Reviews) und Tests im Entwicklungsprozess.
• Unabhängig testen lassen: Lassen Sie Firmware, Apps, Schnittstellen und Cloud-Anbindung vor der Markteinführung prüfen.
• Updates planen: Legen Sie den Unterstützungszeitraum fest und sorgen Sie für einen sicheren Update-Mechanismus.
• Meldungen ermöglichen: Richten Sie eine Kontaktstelle und eine Richtlinie für den Umgang mit gemeldeten Schwachstellen ein.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung.

Wie Rootsektor unterstützt

Mit Code Review & Reverse Engineering prüfen wir Quellcode, Firmware und Abhängigkeiten Ihrer Produkte auf Schwachstellen und unterstützen Sie bei Erstellung und Prüfung einer SBOM. Vernetzte Geräte samt App und Cloud-Anbindung testen wir im Rahmen unserer Leistung OT, ICS/SCADA & IoT. Bericht und Prüfbescheinigung stützen Ihre technische Dokumentation. Für Ihren Penetrationstest erhalten Sie nach dem Scoping innerhalb von 24 Stunden (an Werktagen) ein Festpreisangebot über unser Pentest-Angebot.