Cyber Resilience Act — was Hersteller jetzt wissen müssen.
Der CRA definiert klare Anforderungen an Produkte mit digitalen Elementen. Ich helfe dir zu verstehen, was das für dich bedeutet — und einen strukturierten Weg zu finden.
Was ist der Cyber Resilience Act?
15 Mio. €
Max. Bußgeld (oder 2,5 % des globalen Jahresumsatzes)
2027
Vollständige Anwendung ab Oktober 2027
EU-weit
Alle Hersteller, Importeure & Distributoren betroffen
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen einführt — von der vernetzten Glühbirne bis zur industriellen Steuerungsanlage.
Das Prinzip: Security by Design, nicht Security by Afterthought. Sicherheit muss von Anfang an in die Produktentwicklung integriert werden. Schwachstellen müssen aktiv gesucht, gemeldet und behoben werden.
Auch für den Mittelstand relevant: Wer Hardware oder Software mit Netzwerkanbindung herstellt, importiert oder vertreibt, sollte prüfen, ob der CRA greift. Ich helfe dir, das schnell und unkompliziert einzuordnen.
Wer ist betroffen?
Standardprodukte
Alle Produkte mit digitalen Elementen, die nicht als kritisch eingestuft sind. Vereinfachtes Konformitätsbewertungsverfahren (Selbstbewertung möglich).
Kritische Produkte Klasse I
Erhöhte Anforderungen. Konformitätsbewertung durch akkreditierte Stelle oder Nachweis über harmonisierte Normen.
Kritische Produkte Klasse II
Strenge Anforderungen. Zwingend Drittpartei-Konformitätsbewertung durch notifizierte Stelle erforderlich.
Was der CRA konkret fordert
Security by Design
Cybersicherheit muss von Anfang an in die Produktentwicklung integriert werden. Minimale Angriffsfläche, sichere Standardkonfigurationen, keine bekannten ausnutzbaren Schwachstellen zum Auslieferungszeitpunkt.
Vulnerability Management
Aktive Schwachstellensuche, koordinierte Offenlegung (CVDP), zeitnahe Sicherheitsupdates über den gesamten Produktlebenszyklus (mindestens 5 Jahre). SBOM (Software Bill of Materials) erforderlich.
Meldepflicht
Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen innerhalb von 24 Stunden an ENISA und nationale Behörden gemeldet werden.
Konformitätserklärung & CE-Kennzeichnung
Technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung erforderlich. Das CE-Zeichen wird um Cybersicherheitsanforderungen erweitert.
Prüfen wir gemeinsam, was der CRA für deine Produkte bedeutet.
In einem kostenlosen Erstgespräch schauen wir gemeinsam, ob und wie der CRA für deine Produkte gilt — und was sinnvolle nächste Schritte wären.
Kostenloses Erstgespräch buchen →