--- id: CP-370 slug: cyber-resilience-act-cra-de lang: de title: Der Cyber Resilience Act description: "Die EU-Verordnung 2024/2847 legt Cybersicherheitsregeln für Hersteller digitaler Produkte fest: was sie für Sie als Beschäftigte ändert." canonical_url: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ markdown_url: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Der Cyber Resilience Act“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-035 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ fr: https://startbrain.io/cyberpedia/fr/articles/cyber-resilience-act-cra/ en: https://startbrain.io/cyberpedia/en/articles/cyber-resilience-act-cra-explained/ es: https://startbrain.io/cyberpedia/es/articles/reglamento-ciberresiliencia-cra/ sources: - "n": 1 title: Cyber Resilience Act publisher: Commission européenne url: https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act published: "2026-09-07" accessed: "2026-11-03" - "n": 2 title: Secure by Design | CISA publisher: CISA url: https://www.cisa.gov/securebydesign accessed: "2026-11-03" - "n": 3 title: Secure Software Development Framework | CSRC publisher: NIST url: https://csrc.nist.gov/projects/ssdf published: "2026-10-06" accessed: "2026-11-03" - "n": 4 title: Secure-by-Design | CISA publisher: CISA url: https://www.cisa.gov/resources-tools/resources/secure-by-design published: "2023-10-25" accessed: "2026-11-03" --- # Der Cyber Resilience Act Eine vernetzte Uhr, ein Babyphone, eine App oder ein Programm für den Arbeitsplatz: Alle diese Produkte können ein Sicherheitsrisiko bergen, das die Nutzer kaum erkennen. Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, soll dafür sorgen, dass Geräte und Software so entwickelt, aktualisiert und gepflegt werden, dass sie diejenigen schützen, die sie verwenden [1]. Der Text richtet sich zunächst an die Hersteller. Was die Hersteller tun müssen, verändert jedoch, was das Unternehmen einkaufen kann, wie es seine Lieferanten vergleichen kann und was es von ihnen verlangen kann. ## In 30 Sekunden - Wo es auftritt: in Produkten mit digitalen Elementen, Hardware oder Software [1]. - Was der Text will: das niedrige Cybersicherheitsniveau vieler Produkte und den Mangel an rechtzeitigen Sicherheitsupdates verringern [1]. - Der Reflex: Vor dem Kauf oder der Installation eines vernetzten Produkts den Lieferanten fragen, wie er mit Schwachstellen und Updates umgeht. Die CE-Kennzeichnung nach dem CRA folgt danach, die wesentlichen Pflichten gelten ab dem 11. Dezember 2027 [1]. - Falls es schon geschehen ist: Ein Produkt, dessen Hersteller zu seinen Updates nicht antwortet, ist vor jeder Nutzung der IT- oder Einkaufsabteilung zu melden. ## Direkte Fragen ### Was ist der Cyber Resilience Act? Das ist eine europäische Verordnung, die verbindliche Cybersicherheitsanforderungen für Hersteller von Produkten mit digitalen Elementen festlegt. Sie umfasst die Planung, die Konzeption, die Entwicklung und die Wartung dieser Produkte [1]. ### Wer ist betroffen? Die Verordnung schützt Verbraucher und Unternehmen, die Software oder Hardware mit digitalen Elementen kaufen [1]. Die Pflichten treffen die Hersteller und müssen in jeder Phase der Wertschöpfungskette erfüllt werden [1]. Die Seite der Kommission nennt außerdem, dass Hersteller entlang der gesamten Lieferkette eine Verantwortung für die Sicherheit tragen [1]. ### Woran erkennt man ein konformes Produkt? Die Produkte werden die CE-Kennzeichnung tragen, um anzuzeigen, dass sie die Anforderungen der Verordnung erfüllen [1]. Die nationalen Marktüberwachungsbehörden werden auf die Anwendung der Regeln achten [1]. ### Ist die Verordnung schon in Kraft? Sie ist am 10. Dezember 2024 in Kraft getreten [1]. Die Meldepflichten gelten ab dem 11. September 2026 und die wesentlichen Pflichten ab dem 11. Dezember 2027 [1]. ### Muss ein Produkt mit Risiko von Dritten geprüft werden? Bestimmte Produkte, die für die Cybersicherheit besonders wichtig sind, müssen vor dem Verkauf auf dem Markt der Union möglicherweise von einer notifizierten Stelle, also einem Dritten, bewertet werden [1]. ## Was sich für Beschäftigte ändert Die Verordnung überträgt gewöhnlichen Beschäftigten keine Aufgabe. Ihre Wirkung ist indirekt: Die Kommission erklärt, dass Verbraucher und Unternehmen nur schwer erkennen können, welche Produkte sicher sind, und sie schwer richtig konfigurieren können, und dass der CRA die Identifizierung von Produkten mit den richtigen Cybersicherheitsfunktionen erleichtern soll [1]. Bevorzugen Sie vom Unternehmen freigegebene Geräte und Software gegenüber einem vernetzten Produkt, das Sie auf eigene Initiative kaufen oder installieren. Nehmen Sie angebotene Updates an, denn fehlende rechtzeitige Updates gehören zu den Problemen, die der Text beheben will [1]. Ein Produkt, das keine Korrekturen mehr erhält, der IT-Abteilung zu melden, bleibt ein vernünftiger Rat, aber keine Pflicht aus der Verordnung. Die Meldepflichten des CRA richten sich an die Hersteller [1]. ## Was sich für die Geschäftsleitung ändert Im Einkauf werden die Produkte die CE-Kennzeichnung tragen [1]: Die Geschäftsleitung kann sie zu einem Prüfkriterium machen, sobald der Text zur Anwendung kommt. Sie kann die Lieferanten außerdem fragen, wie sie Schwachstellen während der gesamten Lebensdauer des Produkts handhaben, denn die Verordnung verlangt dies von den Herstellern [1]. Die hier zitierten Quellen beschreiben die Rollen von Hersteller, Importeur und Händler nicht im Einzelnen. Eine Geschäftsleitung, die sich diese Frage stellt, sollte den Rechtstext und den praktischen Leitfaden lesen, den die Kommission am 27. Juli 2026 veröffentlicht hat und der sich an Hersteller, Entwickler und Unternehmen jeder Größe richtet [1]. Amerikanische Rahmenwerke beschreiben dieselbe Entwicklung und können als Gesprächsgrundlage mit einem Lieferanten dienen. Auf der Käuferseite veröffentlicht die CISA einen Leitfaden, „Secure by Demand“, der für jeden Softwarekunden in Einkaufsgesprächen mit Wiederverkäufern oder Dienstleistern gedacht ist [2]. Sie erwartet von Produkten, dass sie ab Werk sicher sind, mit Multifaktor-Authentifizierung, Protokollierung und Single Sign-on ohne Aufpreis [2]. Das SSDF-Rahmenwerk des NIST ist eine Sammlung von Praktiken für sichere Entwicklung. Es bietet eine gemeinsame Sprache, mit der Softwarehersteller und ihre Käufer im Einkauf besser miteinander sprechen können [3]. Seine Praktiken sind in vier Gruppen gegliedert: die Organisation vorbereiten, die Software schützen, gut gesicherte Software herstellen und auf Schwachstellen reagieren [3]. Das NIST stellt klar, dass dieses Rahmenwerk keine Checkliste zum Abhaken ist [3]. ## Was der Text sagt Der CRA legt Herstellern verbindliche Cybersicherheitsanforderungen auf, von der Planung bis zur Wartung des Produkts [1]. Die Hersteller müssen Schwachstellen während des gesamten Lebenszyklus ihrer Produkte behandeln [1]. Für bestimmte Produkte kann eine Bewertung durch eine notifizierte Stelle verlangt werden [1]. Die CE-Kennzeichnung wird die Konformität bescheinigen [1]. Die nationalen Marktüberwachungsbehörden werden die Regeln durchsetzen [1]. Der CRA stützt sich auf die Cybersicherheitsstrategie der Union von 2020 und auf die Strategie für die Sicherheitsunion und ergänzt die NIS2-Richtlinie [1]. Die Kommission führt gesonderte Seiten zu Herstellern, Mitgliedstaaten, Konformitätsbewertung, Kleinstunternehmen und KMU, freier Software, Normung und Meldepflichten [1]. Sie wurden für diesen Artikel nicht gelesen. ## Stand der Umsetzung - Am 10. Dezember 2024: Inkrafttreten der Verordnung [1]. - Am 27. Juli 2026: Veröffentlichung eines praktischen Leitfadens durch die Kommission, der Herstellern, Entwicklern und Unternehmen jeder Größe helfen soll, ihre Pflichten zu erfüllen [1]. - Am 11. September 2026: Beginn der Meldepflichten. Die Hersteller müssen aktiv ausgenutzte Schwachstellen melden [1]. - Am 11. Dezember 2027: Anwendung der wesentlichen Pflichten [1]. Die Seite der Kommission wurde zuletzt am 7. September 2026 aktualisiert [1]. Ein Produkt, das heute in Verkehr gebracht wird, unterliegt also noch nicht allen wesentlichen Pflichten, die erst ab Dezember 2027 gelten [1]. Die CISA und 17 amerikanische und internationale Partner haben eine Aktualisierung ihrer Grundsätze „Secure by Design“ veröffentlicht, deren erste Ausgabe vom April 2023 stammt [4]. Diese Grundsätze lauten: die Sicherheitsergebnisse der Kunden verantworten, auf radikale Transparenz und Rechenschaftspflicht setzen und von der Spitze aus führen [4]. Es sind Empfehlungen [4]. ## Quellen 1. Commission européenne, „Cyber Resilience Act“, 7. September 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (abgerufen am 3. November 2026) 2. CISA, „Secure by Design | CISA“. https://www.cisa.gov/securebydesign (abgerufen am 3. November 2026) 3. NIST, „Secure Software Development Framework | CSRC“, 6. Oktober 2026. https://csrc.nist.gov/projects/ssdf (abgerufen am 3. November 2026) 4. CISA, „Secure-by-Design | CISA“, 25. Oktober 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.