Cyberpediavon Brain
DEENFR

Der Cyber Resilience Act

Die EU-Verordnung 2024/2847 legt Cybersicherheitsregeln für Hersteller digitaler Produkte fest: was sie für Sie als Beschäftigte ändert.

In 30 Sekunden

Wo es auftritt
In Produkten mit digitalen Elementen, Hardware oder Software1.
Was der Text will
Das niedrige Cybersicherheitsniveau vieler Produkte und den Mangel an rechtzeitigen Sicherheitsupdates verringern1.
Der Reflex
Vor dem Kauf oder der Installation eines vernetzten Produkts den Lieferanten fragen, wie er mit Schwachstellen und Updates umgeht. Die CE-Kennzeichnung nach dem CRA folgt danach, die wesentlichen Pflichten gelten ab dem 11. Dezember 20271.
Falls es schon geschehen ist
Ein Produkt, dessen Hersteller zu seinen Updates nicht antwortet, ist vor jeder Nutzung der IT- oder Einkaufsabteilung zu melden.

Worum es geht

Eine vernetzte Uhr, ein Babyphone, eine App oder ein Programm für den Arbeitsplatz: Alle diese Produkte können ein Sicherheitsrisiko bergen, das die Nutzer kaum erkennen. Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, soll dafür sorgen, dass Geräte und Software so entwickelt, aktualisiert und gepflegt werden, dass sie diejenigen schützen, die sie verwenden1.

Der Text richtet sich zunächst an die Hersteller. Was die Hersteller tun müssen, verändert jedoch, was das Unternehmen einkaufen kann, wie es seine Lieferanten vergleichen kann und was es von ihnen verlangen kann.

Direkte Fragen

Was ist der Cyber Resilience Act?

Das ist eine europäische Verordnung, die verbindliche Cybersicherheitsanforderungen für Hersteller von Produkten mit digitalen Elementen festlegt. Sie umfasst die Planung, die Konzeption, die Entwicklung und die Wartung dieser Produkte1.

Wer ist betroffen?

Die Verordnung schützt Verbraucher und Unternehmen, die Software oder Hardware mit digitalen Elementen kaufen1. Die Pflichten treffen die Hersteller und müssen in jeder Phase der Wertschöpfungskette erfüllt werden1. Die Seite der Kommission nennt außerdem, dass Hersteller entlang der gesamten Lieferkette eine Verantwortung für die Sicherheit tragen1.

Woran erkennt man ein konformes Produkt?

Die Produkte werden die CE-Kennzeichnung tragen, um anzuzeigen, dass sie die Anforderungen der Verordnung erfüllen1. Die nationalen Marktüberwachungsbehörden werden auf die Anwendung der Regeln achten1.

Ist die Verordnung schon in Kraft?

Sie ist am 10. Dezember 2024 in Kraft getreten1. Die Meldepflichten gelten ab dem 11. September 2026 und die wesentlichen Pflichten ab dem 11. Dezember 20271.

Muss ein Produkt mit Risiko von Dritten geprüft werden?

Bestimmte Produkte, die für die Cybersicherheit besonders wichtig sind, müssen vor dem Verkauf auf dem Markt der Union möglicherweise von einer notifizierten Stelle, also einem Dritten, bewertet werden1.

1Was sich für Beschäftigte ändert1 min

Die Verordnung überträgt gewöhnlichen Beschäftigten keine Aufgabe. Ihre Wirkung ist indirekt: Die Kommission erklärt, dass Verbraucher und Unternehmen nur schwer erkennen können, welche Produkte sicher sind, und sie schwer richtig konfigurieren können, und dass der CRA die Identifizierung von Produkten mit den richtigen Cybersicherheitsfunktionen erleichtern soll1.

Bevorzugen Sie vom Unternehmen freigegebene Geräte und Software gegenüber einem vernetzten Produkt, das Sie auf eigene Initiative kaufen oder installieren. Nehmen Sie angebotene Updates an, denn fehlende rechtzeitige Updates gehören zu den Problemen, die der Text beheben will1. Ein Produkt, das keine Korrekturen mehr erhält, der IT-Abteilung zu melden, bleibt ein vernünftiger Rat, aber keine Pflicht aus der Verordnung. Die Meldepflichten des CRA richten sich an die Hersteller1.

2Was sich für die Geschäftsleitung ändertGeschäftsleitung1 min

Im Einkauf werden die Produkte die CE-Kennzeichnung tragen1: Die Geschäftsleitung kann sie zu einem Prüfkriterium machen, sobald der Text zur Anwendung kommt. Sie kann die Lieferanten außerdem fragen, wie sie Schwachstellen während der gesamten Lebensdauer des Produkts handhaben, denn die Verordnung verlangt dies von den Herstellern1.

Die hier zitierten Quellen beschreiben die Rollen von Hersteller, Importeur und Händler nicht im Einzelnen. Eine Geschäftsleitung, die sich diese Frage stellt, sollte den Rechtstext und den praktischen Leitfaden lesen, den die Kommission am 27. Juli 2026 veröffentlicht hat und der sich an Hersteller, Entwickler und Unternehmen jeder Größe richtet1.

Amerikanische Rahmenwerke beschreiben dieselbe Entwicklung und können als Gesprächsgrundlage mit einem Lieferanten dienen. Auf der Käuferseite veröffentlicht die CISA einen Leitfaden, „Secure by Demand“, der für jeden Softwarekunden in Einkaufsgesprächen mit Wiederverkäufern oder Dienstleistern gedacht ist2. Sie erwartet von Produkten, dass sie ab Werk sicher sind, mit Multifaktor-Authentifizierung, Protokollierung und Single Sign-on ohne Aufpreis2.

Das SSDF-Rahmenwerk des NIST ist eine Sammlung von Praktiken für sichere Entwicklung. Es bietet eine gemeinsame Sprache, mit der Softwarehersteller und ihre Käufer im Einkauf besser miteinander sprechen können3. Seine Praktiken sind in vier Gruppen gegliedert: die Organisation vorbereiten, die Software schützen, gut gesicherte Software herstellen und auf Schwachstellen reagieren3. Das NIST stellt klar, dass dieses Rahmenwerk keine Checkliste zum Abhaken ist3.

3Was der Text sagtAmtlicher Text1 min

Der CRA legt Herstellern verbindliche Cybersicherheitsanforderungen auf, von der Planung bis zur Wartung des Produkts1. Die Hersteller müssen Schwachstellen während des gesamten Lebenszyklus ihrer Produkte behandeln1. Für bestimmte Produkte kann eine Bewertung durch eine notifizierte Stelle verlangt werden1.

Die CE-Kennzeichnung wird die Konformität bescheinigen1. Die nationalen Marktüberwachungsbehörden werden die Regeln durchsetzen1. Der CRA stützt sich auf die Cybersicherheitsstrategie der Union von 2020 und auf die Strategie für die Sicherheitsunion und ergänzt die NIS2-Richtlinie1.

Die Kommission führt gesonderte Seiten zu Herstellern, Mitgliedstaaten, Konformitätsbewertung, Kleinstunternehmen und KMU, freier Software, Normung und Meldepflichten1. Sie wurden für diesen Artikel nicht gelesen.

4Stand der Umsetzung1 min
  • Am 10. Dezember 2024: Inkrafttreten der Verordnung1.
  • Am 27. Juli 2026: Veröffentlichung eines praktischen Leitfadens durch die Kommission, der Herstellern, Entwicklern und Unternehmen jeder Größe helfen soll, ihre Pflichten zu erfüllen1.
  • Am 11. September 2026: Beginn der Meldepflichten. Die Hersteller müssen aktiv ausgenutzte Schwachstellen melden1.
  • Am 11. Dezember 2027: Anwendung der wesentlichen Pflichten1.

Die Seite der Kommission wurde zuletzt am 7. September 2026 aktualisiert1. Ein Produkt, das heute in Verkehr gebracht wird, unterliegt also noch nicht allen wesentlichen Pflichten, die erst ab Dezember 2027 gelten1.

Die CISA und 17 amerikanische und internationale Partner haben eine Aktualisierung ihrer Grundsätze „Secure by Design“ veröffentlicht, deren erste Ausgabe vom April 2023 stammt4. Diese Grundsätze lauten: die Sicherheitsergebnisse der Kunden verantworten, auf radikale Transparenz und Rechenschaftspflicht setzen und von der Spitze aus führen4. Es sind Empfehlungen4.

Merkblatt

Kennung
CP-370
Flügel
6. Governance und GRC
Brain-Kompetenz
Daten schützen (safeguard_data)
Brain-Reflex
cr-035
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
4 Quellen geprüft am 3. November 2026
Quellen4 Quellen
  1. Commission européenne, „Cyber Resilience Act“, 7. September 2026. https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (abgerufen am 3. November 2026)
  2. CISA, „Secure by Design | CISA“. https://www.cisa.gov/securebydesign (abgerufen am 3. November 2026)
  3. NIST, „Secure Software Development Framework | CSRC“, 6. Oktober 2026. https://csrc.nist.gov/projects/ssdf (abgerufen am 3. November 2026)
  4. CISA, „Secure-by-Design | CISA“, 25. Oktober 2023. https://www.cisa.gov/resources-tools/resources/secure-by-design (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Der Cyber Resilience Act“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/

BibTeX 
@misc{brain_cp370_de_2026,
  author = {Brain},
  title = {Der Cyber Resilience Act},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/cyber-resilience-act-cra-de/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0