Cyber Resilience Act (CRA): Was auf Hersteller jetzt zukommt

Nach NIS2 kommt die nächste EU-Cybersicherheits-Pflicht – diesmal für Produkte: Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen“. Die erste harte Frist steht kurz bevor: Meldepflichten ab dem 11. September 2026.

Wen trifft der CRA?

Alle, die Hard- oder Software mit digitalen Elementen in der EU auf den Markt bringen – vom vernetzten Maschinenbau-Produkt über Steuerungen und IoT-Geräte bis zur verkauften Software (auch B2B). Typische Betroffene in unserer Region: Maschinen- und Anlagenbau, Elektrotechnik, Gerätehersteller, Software-Häuser. Nicht erfasst sind reine Cloud-/SaaS-Dienste (dafür gilt NIS2) sowie Bereiche mit eigenen Regimen (z. B. Medizinprodukte, Kfz). Wichtig: Viele Unternehmen trifft beides – NIS2 als Betreiber ihrer eigenen IT und der CRA für ihre Produkte.

Die Fristen im Überblick

Datum	Was gilt
10.12.2024	CRA in Kraft getreten (Übergangsphase läuft)
11.09.2026	Meldepflichten: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Produktbezug müssen gemeldet werden – Frühwarnung binnen 24 Stunden, Details binnen 72 Stunden, Abschlussbericht binnen 14 Tagen (Schwachstelle) bzw. 1 Monat (Vorfall), über die zentrale ENISA-Meldeplattform
11.12.2027	Vollanwendung: Security by Design & Default, Schwachstellen-Management über den Support-Zeitraum, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung unter dem CRA

Bei Verstößen drohen Bußgelder bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.

CRA und NIS2 – was ist der Unterschied?

Kurz: NIS2 schützt Organisationen, der CRA schützt Produkte. NIS2 verpflichtet Einrichtungen, ihre eigene IT und Prozesse abzusichern (Risikomanagement, Meldung eigener Vorfälle ans BSI). Der CRA verpflichtet Hersteller, ihre Produkte sicher zu entwickeln, zu pflegen und Produkt-Schwachstellen an die ENISA zu melden. Die Melde-Logik ähnelt sich stark (24 h / 72 h / Abschluss) – wer seinen NIS2-Meldeprozess sauber aufgebaut hat, kann ihn für den CRA erweitern statt neu zu erfinden.

Was Hersteller jetzt tun sollten

1. Produktinventar: Welche Ihrer Produkte enthalten digitale Elemente (Firmware, Software, Konnektivität)? 2. Zuständigkeit klären: Wer meldet ab September 2026 binnen 24 Stunden – auch am Wochenende? 3. Schwachstellen-Prozess aufsetzen:Eingang (z. B. security.txt, Kontaktadresse), Bewertung, Update-Weg, Meldung. 4. Zulieferer einbinden: Komponenten und Bibliotheken (SBOM) gehören ab 2027 in die Pflicht-Dokumentation. 5. Mit NIS2 zusammendenken: ein Meldeprozess, zwei Ausgänge (BSI für die Organisation, ENISA für das Produkt).

Unsere Einschätzung für den Mittelstand

Wie bei NIS2 gilt: Wer früh anfängt, erledigt das planvoll statt panisch – und kann es gegenüber Kunden als Qualitätsmerkmal ausspielen. Wir bauen unsere Plattform-Unterstützung für den CRA gerade aus; unsere NIS2-Meldeprozesse folgen bereits derselben Fristen-Logik. Sprechen Sie uns an, wenn Sie NIS2- und CRA-Betroffenheit in einem Termin klären wollen.

Automatisierte Ersteinschätzung, keine Rechtsberatung – maßgeblich sind Verordnungstext (EU) 2024/2847 und die Veröffentlichungen von BSI und ENISA.