Der Cyber Resilience Act (CRA) ist die EU-Verordnung für die Cybersicherheit von Produkten mit digitalen Elementen — von vernetzter Hardware bis zu reiner Software. Er verpflichtet Hersteller, Sicherheit über den gesamten Produktlebenszyklus zu gewährleisten: Security by Design, Schwachstellenmanagement und kostenlose Sicherheitsupdates über den Unterstützungszeitraum.
Neu ist der Hebel: Ohne CRA-Konformität keine CE-Kennzeichnung — und damit kein EU-Marktzugang. Cybersicherheit wird so vom Qualitätsmerkmal zur Marktzulassungsbedingung; die Pflichten greifen gestaffelt bis Ende 2027.
Was der CRA von Herstellern verlangt
Produkte müssen mit sicheren Voreinstellungen ausgeliefert werden und ohne bekannte ausnutzbare Schwachstellen auf den Markt kommen; eine Risikobewertung und technische Dokumentation gehören zur Konformität. Über den Unterstützungszeitraum sind Schwachstellen aktiv zu behandeln und Updates bereitzustellen — inklusive einer koordinierten Meldemöglichkeit für Sicherheitsforscher.
Dazu kommen scharfe Meldepflichten: aktiv ausgenutzte Schwachstellen und schwere Vorfälle sind binnen 24 Stunden an die ENISA beziehungsweise die nationalen Stellen vorzumelden. Für wichtige und kritische Produktklassen gelten verschärfte Konformitätsverfahren bis zur Drittprüfung.
Wen der CRA betrifft — und wie man sich vorbereitet
- Hersteller vernetzter Produkte und Software für den EU-Markt — auch außerhalb der EU ansässige.
- Importeure und Händler mit eigenen Prüfpflichten in der Kette.
- Vorbereitung: SBOM und Schwachstellenprozesse aufbauen, Update-Fähigkeit über Jahre sichern.
- Einkäufer profitieren: CRA-Konformität wird zum Auswahlkriterium für sichere Produkte.