01Was ist die Cyberresilienz-Verordnung?
Die Cyberresilienz-Verordnung (Cyber Resilience Act, CRA), Verordnung (EU) 2024/2847, legt einheitliche Cybersicherheitsvorschriften für vernetzte Produkte mit Software oder Hardware fest, die auf dem EU-Markt in Verkehr gebracht werden. Sie verpflichtet Hersteller, Produkte sicher zu konzipieren, Schwachstellen während eines Unterstützungszeitraums zu beheben und aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden zu melden. Die Meldepflicht gilt seit dem 11. September 2026; alle Anforderungen gelten ab dem 11. Dezember 2027.
Die neuesten Entwicklungen bei der Umsetzung (Normen, Rechtsakte der Kommission, ENISA-Plattform, notifizierte Stellen) finden Sie auf der Seite EU-CRA: aktueller Stand.
Cyber Resilience Act: Zusammenfassung
- Wer: Hersteller, die Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen; Einführer und Händler haben Prüfpflichten. Für Ihren Bereich finden Sie Hinweise auf unseren Branchenseiten.
- Was: die Sicherheitsanforderungen aus Anhang I, die Behandlung von Schwachstellen einschließlich einer SBOM, ein Unterstützungszeitraum von mindestens fünf Jahren, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist, die technische Dokumentation und die CE-Kennzeichnung.
- Wie: je nach Produktklasse interne Kontrolle durch den Hersteller oder Bewertung durch eine notifizierte Stelle. Ihre voraussichtliche Klasse zeigt der Klassencheck.
- Wann: Meldepflichten nach Artikel 14 seit dem 11. September 2026, alles Übrige ab dem 11. Dezember 2027.
- Sanktionen: Geldbußen von bis zu 15 Mio. € oder 2,5 % des gesamten weltweiten Jahresumsatzes.
02Zeitplan
- 10. Dezember 2024Verordnung tritt in KraftAm 20. November 2024 im Amtsblatt der Europäischen Union veröffentlicht, 20 Tage später in Kraft getreten.
- 11. Juni 2026Notifizierte StellenDie Bestimmungen über die Notifizierung von Konformitätsbewertungsstellen gelten seitdem.
- 11. September 2026Meldepflichten nach Artikel 14Die Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle gilt seitdem.
- 11. Dezember 2027Vollständige AnwendungAlle Bestimmungen gelten, einschließlich der grundlegenden Anforderungen und der Konformitätsbewertung.
03Wer betroffen ist
Jedes Produkt mit Software oder Hardware, das direkt oder indirekt mit einem Gerät oder Netz verbunden werden kann, gilt als „Produkt mit digitalen Elementen“. Smart-Home-Geräte, industrielle Steuerungen, Netzwerkgeräte, Wearables und die mit ihnen verkaufte Software fallen unter diese Definition.
Die meisten Pflichten liegen beim Hersteller. Einführer und Händler müssen prüfen, ob der Hersteller seine Pflichten erfüllt hat. Ein Einführer oder Händler, der ein Produkt unter eigenem Namen verkauft oder es wesentlich ändert, wird als Hersteller behandelt.
Beispiele und typische Klassen nach Branche: Netzwerk- und Telekommunikationsgeräte, Smart Home und Haushaltsgeräte, Industrieautomation und Elektronik.
Nicht erfasst
- Produkte mit eigenen sektoralen Vorschriften: Medizinprodukte, typgenehmigte Kraftfahrzeuge (Verordnung (EU) 2019/2144), Ausrüstung der Zivilluftfahrt und Schiffsausrüstung
- Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt werden
- Quelloffene Software, die außerhalb einer Geschäftstätigkeit entwickelt wird
- Ersatzteile, die zum Austausch identischer Bauteile hergestellt werden
04Grundlegende Cybersicherheitsanforderungen (Anhang I)
Anhang I besteht aus zwei Teilen. Teil I betrifft das Produkt selbst, Teil II die Behandlung von Schwachstellen durch den Hersteller.
Teil I: Eigenschaften des Produkts
- Inverkehrbringen ohne bekannte ausnutzbare Schwachstellen
- Sichere Standardkonfiguration mit der Möglichkeit, das Produkt in seinen ursprünglichen Zustand zurückzusetzen
- Sicherheitsaktualisierungen lassen sich einspielen, wo möglich automatisch
- Authentifizierung und Zugangskontrolle gegen unbefugten Zugriff
- Vertraulichkeit und Integrität gespeicherter und übertragener Daten
- Minimale Angriffsfläche und Datenminimierung
- Sicherheitsrelevante Ereignisse werden protokolliert und können überwacht werden
- Verfügbarkeit wesentlicher Funktionen und Widerstandsfähigkeit gegen Denial-of-Service-Angriffe
- Möglichst geringe negative Auswirkungen auf Dienste anderer Geräte oder Netze
- Mechanismen zur Eindämmung der Ausnutzung, die die Auswirkungen eines Sicherheitsvorfalls verringern
- Sicheres Löschen von Daten und Einstellungen sowie sichere Übertragung auf ein anderes Produkt
Teil II: Behandlung von Schwachstellen
- Komponenten werden in einer maschinenlesbaren SBOM (Software-Stückliste) dokumentiert, die mindestens die obersten Abhängigkeiten erfasst
- Schwachstellen werden unverzüglich durch Sicherheitsaktualisierungen behoben
- Regelmäßige Tests des Produkts
- Offenlegung behobener Schwachstellen
- Eine Strategie zur koordinierten Offenlegung von Schwachstellen und eine Kontaktadresse
- Sichere Verteilung von Aktualisierungen, Sicherheitspatches werden kostenlos bereitgestellt
05Produktklassen und Konformitätsbewertung
Die Klasse Ihres Produkts entscheidet, ob Sie die Konformität selbst erklären können oder eine unabhängige Stelle die Bewertung durchführen muss.
Die voraussichtliche Klasse Ihres Produkts zeigt unser kurzer Klassencheck; Details finden Sie im Leitfaden zu den Produktklassen.
| Klasse | Beispiele | Konformitätsbewertung |
|---|---|---|
| Standardkategorie | Produkte, die nicht in Anhang III oder IV aufgeführt sind, also die meisten Produkte mit digitalen Elementen | Interne Kontrolle durch den Hersteller (Modul A) |
| Wichtig, Klasse I (Anhang III) | Mikrocontroller und Mikroprozessoren mit Sicherheitsfunktionen, Router und Modems, intelligente Türschlösser, Sicherheitskameras, Alarmanlagen, VPNs, Passwortmanager | Interne Kontrolle bei Anwendung einer harmonisierten Norm, sonst Bewertung durch Dritte |
| Wichtig, Klasse II (Anhang III) | Hypervisoren, Firewalls, Angriffserkennungssysteme, manipulationssichere Mikroprozessoren und Mikrocontroller | Bewertung durch Dritte (notifizierte Stelle) |
| Kritisch (Anhang IV) | Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente | Europäisches Cybersicherheitszertifikat (sofern vorgeschrieben), sonst wie Klasse II |
06Artikel 14: Meldefristen
Erlangt ein Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle in seinem Produkt oder von einem schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, muss er dies über die einheitliche Meldeplattform der ENISA an das als Koordinator benannte CSIRT melden. Diese Pflicht gilt seit dem 11. September 2026 und erfasst auch Produkte, die vor diesem Datum in Verkehr gebracht wurden.
| Stufe | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall |
|---|---|---|
| Frühwarnung | Innerhalb von 24 Stunden nach Kenntniserlangung | Innerhalb von 24 Stunden nach Kenntniserlangung |
| Meldung | Innerhalb von 72 Stunden | Innerhalb von 72 Stunden |
| Abschlussbericht | Spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist | Innerhalb eines Monats nach der Meldung |
Der Hersteller muss außerdem die betroffenen Nutzer informieren und ihnen bei Bedarf mitteilen, welche Maßnahmen sie zur Risikominderung ergreifen können.
07Unterstützungszeitraum und Dokumentation
- Unterstützungszeitraum: Er muss der erwarteten Nutzungsdauer des Produkts entsprechen und mindestens 5 Jahre betragen, sofern das Produkt nicht voraussichtlich kürzer genutzt wird. Während des gesamten Zeitraums müssen Sicherheitsaktualisierungen bereitgestellt werden.
- Technische Dokumentation: Einschließlich Risikobewertung, SBOM und Testergebnissen. Aufzubewahren für 10 Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum, falls dieser länger ist.
- EU-Konformitätserklärung und CE-Kennzeichnung: Werden nach der Konformitätsbewertung ausgestellt bzw. angebracht; das Produkt wird mit der CE-Kennzeichnung in Verkehr gebracht.
08Sanktionen (Artikel 64)
| Verstoß | Höchstbetrag |
|---|---|
| Grundlegende Cybersicherheitsanforderungen nach Anhang I, Artikel 13 und 14 | 15 Mio. € oder 2,5 % des gesamten weltweiten Jahresumsatzes |
| Sonstige Pflichten | 10 Mio. € oder 2 % |
| Falsche, unvollständige oder irreführende Angaben gegenüber Behörden | 5 Mio. € oder 1 % |
Es gilt jeweils der höhere Betrag. Marktüberwachungsbehörden können außerdem verlangen, dass ein nichtkonformes Produkt vom Markt genommen wird.
09Was TegmenSoft dazu abdeckt
Hier sehen Sie, welches Modul unserer Plattform welche Pflicht unterstützt.
Wenn Sie diese Module mit Ihrer eigenen Firmware testen möchten, sehen Sie sich unser Pilotprogramm an.
| Pflicht | Modul |
|---|---|
| Anhang I Teil II Nr. 1: SBOM | Dynamische SBOM-Engine (CycloneDX 1.6, SPDX 2.3) |
| Anhang I Teil II Nr. 2–3: Behebung und Tests | Abgleich mit OSV und NVD, Priorisierung mit CISA KEV und EPSS, VEX (CSAF 2.0, OpenVEX) |
| Art. 13 Abs. 8: Überwachung während des Unterstützungszeitraums | Erneute Prüfung früherer SBOMs, sobald neue Schwachstellendaten vorliegen |
| Art. 14: 24/72 Stunden und Abschlussbericht | CRA-Meldeassistent: Fristüberwachung und Meldungsentwürfe |
| Anhang I Teil I und Teil II Nr. 7–8: sichere Verteilung von Aktualisierungen | Secure-OTA-Manager: signierte Releases, A/B-Slots, Rollback-Schutz |
| Art. 31 und Anhang VII: technische Dokumentation | Entwurf nach Anhang VII, Entwurf der EU-Konformitätserklärung, signierte Nachweispakete, aufbewahrt für 10 Jahre oder den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist |
10Häufig gestellte Fragen
Was ist der Cyber Resilience Act (CRA)?
Der Cyber Resilience Act, auf Deutsch Cyberresilienz-Verordnung, ist die Verordnung (EU) 2024/2847. Sie legt einheitliche Cybersicherheitsvorschriften für vernetzte Produkte mit Software oder Hardware fest, die auf dem EU-Markt in Verkehr gebracht werden: sichere Konzeption, Behebung von Schwachstellen während eines Unterstützungszeitraums und Meldung aktiv ausgenutzter Schwachstellen innerhalb von 24 Stunden. Die Meldepflicht gilt seit dem 11. September 2026; alle Anforderungen gelten ab dem 11. Dezember 2027.
Wann ist der CRA in Kraft getreten und ab wann gilt er?
Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Alle Bestimmungen, einschließlich der grundlegenden Anforderungen und der Konformitätsbewertung, gelten ab dem 11. Dezember 2027.
Wie hoch sind die Bußgelder nach dem CRA?
Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen nach Anhang I sowie gegen Artikel 13 und 14: 15 Mio. € oder 2,5 % des gesamten weltweiten Jahresumsatzes; bei sonstigen Pflichten: 10 Mio. € oder 2 %; bei falschen Angaben gegenüber Behörden: 5 Mio. € oder 1 %. Es gilt jeweils der höhere Betrag. Geregelt ist dies in Artikel 64.
Ist „CRA Artikel 35“ der Artikel über Sanktionen?
Nein. Im verabschiedeten Text, der Verordnung (EU) 2024/2847, regelt Artikel 35 die Notifizierung von Konformitätsbewertungsstellen. Die Sanktionen sind in Artikel 64 festgelegt, mit den oben genannten Beträgen.
Welche Unternehmen unterstützen bei der CRA-Compliance?
An der Umsetzung sind in der Regel Rechtsberater, Prüf- und Zertifizierungsstellen sowie Anbieter technischer Werkzeuge beteiligt. TegmenSoft arbeitet auf der technischen Seite: SBOM, Abgleich von Schwachstellen, Entwürfe für Meldungen nach Artikel 14 und signierte OTA-Updates für Hersteller eingebetteter Systeme und IoT-Geräte.
Was ist der Unterschied zwischen EN 18031 und dem CRA?
Die Normenreihe EN 18031 unterstützt die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED), die seit dem 1. August 2025 für Funkprodukte gelten. Der CRA ist eine eigenständige Verordnung; seine harmonisierten Normen werden von CEN, CENELEC und ETSI erarbeitet.
Gilt der CRA, wenn mein Produkt nicht in der EU verkauft wird?
Der CRA gilt für Produkte, die auf dem EU-Markt bereitgestellt werden. Wird Ihr Produkt über einen Händler oder Einführer in der EU verkauft, gelten die Herstellerpflichten für Sie.
Leitfäden
- CRA Artikel 14: Meldung von Schwachstellen und SicherheitsvorfällenWann, an wen und wie schnell gemeldet wird. 24 Stunden, 72 Stunden und der Abschlussbericht, mit kostenlosem Fristenrechner.
- CRA-Produktklassen, Konformitätsbewertung und CE-KennzeichnungStandardkategorie, wichtige (Klasse I und II) und kritische Produkte; welches Modul gilt und wann Sie eine notifizierte Stelle brauchen.
- EN 18031 und RED: das Verhältnis zum CRACybersicherheitsanforderungen an Funkanlagen, die seit dem 1. August 2025 gelten, und der Übergang zum CRA.
- Leitfaden zur CRA-VorbereitungFür jeden Hersteller, der in die EU verkauft: Rollen, Zeitplan, zusätzliche Punkte für Hersteller außerhalb der EU und eine Checkliste Schritt für Schritt.
- Was ist eine SBOM? Ein Leitfaden für Firmware-TeamsWas in eine SBOM gehört, SPDX und CycloneDX, warum Firmware es schwierig macht, was CRA und BSI TR-03183-2 erwarten, und VEX.
- IEC 62443 und CRA: Abgleich und LückenWo IEC 62443-4-1 und 4-2 CRA Anhang I treffen, welche Pflichten offen bleiben, die CENELEC-Änderungen und der Wert einer Zertifizierung.
- ENISA SRP: vor der ersten MeldungEU Login und Vertreter, Wahl des koordinierenden CSIRT, Fristanzeigen der Plattform, Schließen einer übermittelten Meldung und eine kurze Checkliste.
- EU-CRA: aktueller Stand und ZeitplanZeitplan, harmonisierte Normen, Rechtsakte der Kommission, ENISA-SRP und notifizierte Stellen; monatlich anhand amtlicher Quellen geprüft.
In welche Klasse fällt Ihr Produkt?
Beantworten Sie einige Fragen und sehen Sie die voraussichtliche Klasse Ihres Produkts und das passende Konformitätsbewertungsverfahren; für eine belastbare Einschätzung gehen wir es gern gemeinsam anhand Ihres Produkts durch.