Cyber Resilience Act: Pflichten & Fristen

Cyber Resilience Act: Pflichten, Fristen und was Hersteller jetzt tun sollten

Der Cyber Resilience Act ist eine EU-Verordnung, die Herstellern, Importeuren und Händlern von Produkten mit digitalen Elementen verbindliche Cybersicherheitspflichten auferlegt – von der Entwicklung bis zum Support-Ende. Diese CRA-Verordnung ist am 11. Dezember 2024 in Kraft getreten und wirkt direkt in allen Mitgliedstaaten, ganz ohne nationales Umsetzungsgesetz (IHK Köln).

21 Monate bleiben Herstellern ab Inkrafttreten Zeit, bis die erste scharfe Pflicht greift: die Meldung aktiv ausgenutzter Schwachstellen binnen 24 Stunden. Diese Cyber Resilience Act Fristen laufen bereits – die erste liegt im September 2026, nicht erst 2027.

Cyber Resilience Act Zusammenfassung: Cybersicherheit wird über den gesamten Produktlebenszyklus hinweg zur Pflicht, Security by Design ist ab sofort Rechtspflicht. Betroffen sind neben Herstellern auch Importeure und Händler, die Produkte mit digitalen Elementen in der EU bereitstellen (Industrieblatt).

Cyber Resilience Act vs. NIS2: Wer wird eigentlich reguliert?

CRA und NIS2 regulieren zwei grundverschiedene Dinge: Organisationen auf der einen, Produkte auf der anderen Seite. NIS2 reguliert Organisationen, also Betreiber kritischer Infrastruktur und deren Sicherheitsprozesse. Der CRA reguliert Produkte. Eine Photovoltaik-Steuerung, eine IoT-Kamera, eine Backend-Software mit Netzwerkanbindung: All das fällt potenziell unter den CRA, unabhängig davon, ob das herstellende Unternehmen selbst als kritisch eingestuft ist. Nur dort, wo bereits spezifische Regime greifen — bei Medizinprodukten, Fahrzeugen, Luftfahrt oder Verteidigung (Physec) etwa —, gelten Ausnahmen.

Bin ich vom CRA betroffen? Produkte, digitale Elemente und Ausnahmen

Höchstwahrscheinlich ja. So lautet die ehrliche Antwort auf die Frage im Titel. Nicht weil Sie ein Tech-Unternehmen führen, sondern weil die Definition des CRA so breit gefasst ist, dass sie fast jeden erwischt, der irgendwo eine Netzwerkschnittstelle verbaut hat.

Was zählt als "Produkt mit digitalen Elementen"?

Die Kernformel lautet: Hardware oder Software mit direkter oder indirekter Netzwerkverbindung. Eine SPS-Steuerung in der Fertigungshalle? Betroffen. Ein Sensor, der Daten per Bluetooth an eine App schickt? Betroffen. Eine SaaS-Anwendung, die Kundendaten verarbeitet? Ebenso. Der Gesetzgeber unterscheidet dabei nicht zwischen IoT-Startup und Maschinenbauer aus dem Mittelstand: wesentlich für die Einordnung ist allein, ob das Produkt über eine Netzwerkschnittstelle verfügt, und nicht, aus welcher Branche der Hersteller kommt. Auch die eigene Unternehmenswebsite kann relevant werden, sobald vernetzte Funktionen wie Kundenportale oder API-Anbindungen ins Spiel kommen – wer hier von Anfang an auf Sicherheit setzt, profitiert von einer strukturierten Website-Erstellung mit Agentur.

Wer haftet: Hersteller, Importeur, Händler

Nur den Entwickler betrifft der CRA eben nicht — das gehört auch dazu. Adressiert werden Hersteller, Importeure und Händler gleichermaßen, sobald sie Produkte mit digitalen Elementen im EU-Binnenmarkt bereitstellen (Industrieblatt). Wer also vernetzte Geräte aus Asien importiert und in Deutschland weiterverkauft, ist genauso in der Pflicht wie der Produzent selbst.

Die Ausnahmen: wer wirklich außen vor bleibt

Medizinprodukte, Fahrzeuge, Luftfahrt, Verteidigung (Physec) — Sektoren mit eigenen, spezifischen Cybersicherheitsregimen sind ausgenommen. Ein zugelassenes Medizingerät gebaut? Dann muss der CRA nicht zusätzlich abgearbeitet werden. Alle anderen: doch.

Open Source und Bestandsprodukte

Für Open-Source-Software gelten angepasste Regeln, dazu später mehr im Detail. Wichtig jetzt schon: Produkte, die vor dem 11. Dezember 2027 rechtmäßig in Verkehr gebracht wurden, sind von den Hauptpflichten in der Regel ausgenommen. Die Meldepflichten aus Artikel 14 greifen für Bestandsprodukte aber bereits ab September 2026 (IHK Köln). Und wer sein Bestandsprodukt nach Dezember 2027 wesentlich verändert? Regulatorisch gilt das dann als neu — und damit greift der CRA voll (Verordnungstext auf EUR-Lex).

Cyber Resilience Act Fristen: Der Zeitplan bis 2027 im Überblick

Vier Daten bestimmen die Roadmap jedes Herstellers. Wer nur auf Dezember 2027 schielt, hat drei davon schon verpasst oder verpasst sie in Kürze.

Datum	Was passiert	Betrifft
11.12.2024	CRA tritt als EU-Verordnung in Kraft, gilt direkt in allen Mitgliedstaaten	Alle Hersteller, Importeure, Händler
11.06.2026	Konformitätsbewertungsstellen können Notifizierung beantragen	Prüfstellen, indirekt betroffene Hersteller
11.09.2026	Meldepflichten für aktiv ausgenutzte Schwachstellen und Sicherheitsvorfälle greifen	Auch Bestandsprodukte
11.12.2027	Vollständige Anwendung inkl. CE-Kennzeichnung: Pflicht für alle neu in Verkehr gebrachten Produkte.

(Quellen: IHK Köln, Cyber-Regulierung.de, Fraunhofer IEM)

Der 11. September 2026 markiert dabei den ersten scharfen Einschnitt in dieser Liste. Ab diesem Tag müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale CRA Single Reporting Platform bei ENISA melden, gestaffelt in 24 Stunden für die Erstmeldung, plus 72 Stunden und 14 Tage für Folgeinformationen (Cyber-Regulierung.de). Das gilt eben nicht nur für brandneue Produkte. Auch wer ein Gerät verkauft, das schon seit Jahren im Feld ist, muss ab diesem Tag melden, sobald eine Schwachstelle aktiv ausgenutzt wird.

Der 11. Juni 2026 betrifft Sie zunächst nur indirekt: Ab dann können Konformitätsbewertungsstellen ihre Notifizierung beantragen (IHK Köln), das schafft die Infrastruktur, die Hersteller später für Zertifizierungen brauchen. Wer bis Dezember 2027 CE-konform sein will, sollte ruhig schon jetzt einen Blick auf verfügbare Prüfstellen werfen. Notifizierte Stellen gibt es nur begrenzt — kurz vor dem Stichtag wird es da schnell eng.

Die Bußgelder bei Verstößen sind erheblich: bis zu 2,5 Prozent des weltweiten Jahresumsatzes (IHK Köln, Deloitte). Ein Blick in den Kalender bringt mehr als jede Ausrede.

Cyber Resilience Act Anforderungen: Was gilt für Hersteller, Importeure und Händler?

"Wir sind doch nur Händler, das betrifft uns nicht": Dieser Einwand hält sich hartnäckig, ist aber rechtlich nicht haltbar und kann im Zweifel den Vertrieb kosten. Der CRA unterscheidet nämlich klar zwischen drei Rollen, Hersteller, Importeur und Händler, mit jeweils eigenen Pflichten.

Hersteller: Die volle Bandbreite

Wer entwickelt oder produziert, trägt die schwerste Last. Security-by-Design war mal eine Empfehlung. Heute ist es Pflicht — von der ersten Risikobewertung bis zur technischen Dokumentation. Und das hört nicht mit dem Verkauf auf. Den gesamten Support-Zeitraum über müssen Updates kommen, nicht nur bis zur nächsten Produktgeneration. Fünf Jahre Support versprochen? Dann eben auch fünf Jahre lang Sicherheitslücken schließen.

Importeure: Prüfen vor dem Inverkehrbringen

Importeure kommen mit einer Sorgfaltspflicht davon, die trotzdem happig ist: Vor dem Inverkehrbringen muss geprüft werden, ob die Konformität tatsächlich vorliegt (Industrieblatt). Wer also Geräte aus Asien einführt und einfach durchreicht, ohne die CRA-Dokumentation des Herstellers zu kontrollieren, haftet mit. Importeure trifft zudem eine Kooperationspflicht mit Marktüberwachungsbehörden — im Ernstfall müssen die liefern, nicht abwiegeln.

Händler: Auch der Weiterverkauf hat Pflichten

Auch beim Weiterverkauf entstehen konkrete Pflichten: Händler müssen Sorgfalt walten lassen und Informationen an Endkunden weitergeben, etwa zu Sicherheitsupdates oder bekannten Schwachstellen. "Wir haben das Produkt nur weiterverkauft" ist juristisch keine Ausrede, wenn das Gesetz ausdrücklich auch Händler adressiert, die Produkte mit digitalen Elementen im EU-Binnenmarkt bereitstellen (Industrieblatt).

Wenn CRA und NIS2 gleichzeitig greifen

Für einige Unternehmen kommt eine zweite Ebene dazu: Wer gleichzeitig unter NIS2 fällt, etwa als Betreiber kritischer Infrastruktur, der eigene vernetzte Produkte herstellt, muss beide Regelwerke parallel bedienen. Der CRA reguliert das Produkt, NIS2 die Organisation dahinter. Wer unsicher ist, ob NIS2 überhaupt greift, findet die Kriterien in unserem Beitrag NIS2 - wer ist betroffen. Sicher ist aber eines: Doppelt betroffen zu sein halbiert die Frist nicht.

Cyber Resilience Act Meldepflicht: Was bedeuten die 24h/72h/14-Tage-Fristen konkret?

24 Stunden. So viel Zeit bleibt, nachdem eine Schwachstelle aktiv ausgenutzt wurde oder ein schwerwiegender Sicherheitsvorfall auffällt, bis die Erstmeldung bei ENISA liegen muss. Kein Werktag-Puffer, kein "wir melden das Montag nach". 24 Stunden, mehr nicht.

Die drei Stufen im Detail

Der CRA staffelt die Meldung in drei Schritten (Cyber-Regulierung.de, IHK Bodensee-Oberschwaben): Erstmeldung binnen 24 Stunden, sobald eine aktive Ausnutzung bekannt wird. Danach eine Folgemeldung binnen 72 Stunden mit mehr Detail zu Ursache und Ausmaß. Und final ein Abschlussbericht innerhalb von 14 Tagen, der den gesamten Vorfall dokumentiert. Drei Fristen, drei völlig unterschiedliche Detailtiefen, und alle drei laufen parallel zu dem, was in Ihrem Unternehmen gerade an Krisenmanagement passiert.

Wo gemeldet wird: die Single Reporting Platform

Gemeldet wird nicht an eine nationale Behörde Ihrer Wahl, sondern zentral über die CRA Single Reporting Platform bei ENISA (Cyber-Regulierung.de). Eine Plattform für die gesamte EU. Das klingt nach Bürokratie-Erleichterung, bedeutet aber auch: Wer den Zugang zur SRP nicht kennt oder die Meldemaske nie geöffnet hat, verliert in der Erstmeldung wertvolle Stunden.

Auch Bestandsprodukte sind betroffen

Diese Pflicht gilt ab dem 11. September 2026 auch für Produkte, die längst im Feld sind und eigentlich von den Hauptanforderungen des CRA ausgenommen wären (IHK Köln). Ihr Gerät ist zehn Jahre alt und läuft beim Kunden? Wird eine Schwachstelle darin aktiv ausgenutzt, müssen Sie trotzdem melden.

Was heißt das praktisch? Wer bis September 2026 keinen internen Prozess getestet hat, also wer meldet, wer entscheidet und wer den Bericht schreibt, testet ihn live, im Ernstfall, unter Zeitdruck. Genau da trennt sich, wer vorbereitet ist.

CRA CE-Kennzeichnung: Was ändert sich bei der Konformitätsbewertung?

Ein Aufkleber, den heute fast niemand hinterfragt, wird ab Dezember 2027 zur Existenzfrage. Ab dem 11. Dezember 2027 gilt: Ohne gültige CE-Kennzeichnung und ohne erfüllte Cybersicherheitsanforderungen darf ein Produkt mit digitalen Elementen in der EU schlicht nicht mehr verkauft werden (Fraunhofer IEM). Kein Übergangsbonus, kein "reicht auch ohne". Die CE-Kennzeichnung wird vom Qualitätssignal zum harten Türsteher am Markteingang.

Selbstbewertung oder notifizierte Stelle: wer entscheidet das?

Nicht jedes Produkt braucht denselben Aufwand. Bei niedrigem Risiko reicht die Selbstbewertung durch den Hersteller. Kritischere Produktklassen brauchen zwingend eine notifizierte Konformitätsbewertungsstelle, die von außen prüft. Welche Klasse Ihr Produkt trifft, legt die Risikoeinstufung im CRA-Anhang fest. Genau diese Einstufung sollten Sie jetzt klären, nicht erst 2027.

Technische Dokumentation als Basis von allem

Egal welcher Weg: Ohne technische Dokumentation läuft nichts. Risikobewertung, Softwarearchitektur, eingesetzte Komponenten — genau hier verschmilzt die CE-Bewertung mit der SBOM, dem Software-Stücklistennachweis. Wer keine saubere Nachweisführung hat, kann auch keine Selbstbewertung glaubhaft unterschreiben.

Vorlauf ab Juni 2026 nutzen

Ab dem 11. Juni 2026 können Konformitätsbewertungsstellen ihre Notifizierung beantragen (IHK Köln). Das klingt nach Verwaltungsakt, ist aber Ihr Startschuss: Wer jetzt Kontakt aufnimmt, sitzt nicht in der Warteschlange von 2027.

CRA-Verstöße: Bußgelder und weitere Konsequenzen

2,5 Prozent. So viel vom weltweiten Jahresumsatz darf die Marktüberwachungsbehörde bei Verstößen gegen grundlegende Anforderungen oder Meldepflichten als Bußgeld verhängen (IHK Köln, Deloitte). Nicht vom EU-Umsatz. Vom weltweiten. Für ein mittelständisches Unternehmen mit 40 Millionen Euro Umsatz sind das eine Million Euro, und zwar für eine verpasste Meldefrist oder eine Dokumentation, die im Audit nicht standhält.

Der Verkaufsstopp trifft öfter als das Bußgeld

Geld ist dabei oft nicht das größte Problem. Die Behörde kann zusätzlich den Vertrieb untersagen (IHK Köln), und ein Produkt, das nicht mehr verkauft werden darf, kostet ungleich mehr als jede Strafe.

Abmahnungen von der Konkurrenz

Noch ein Risiko kommt dazu: Bei CRA-Verstößen können Wettbewerber nach dem UWG abmahnen. Bei einem laxen Konkurrenten wegzusehen — wer soll dazu Grund haben, wenn er selbst sauber aufgestellt ist?

Reputationsschaden ohne fristgerechte Meldung

Was aber, wenn ein Sicherheitsvorfall öffentlich wird, noch bevor die Meldung bei ENISA eingegangen ist? Dann steht nicht nur ein Bußgeldbescheid im Raum, sondern die Frage, warum das Unternehmen erst reagiert hat, als es schon zu spät war.

Der CRA-Fahrplan: Wie Sie die nächsten 24 Monate strukturieren

Vier Fristen sind kein Fahrplan. Sie sind erstmal halt nur Datum plus Handlungsdruck. Ein Fahrplan entsteht erst, wenn Sie die Zeit zwischen heute und Dezember 2027 in Phasen zerlegen, mit klaren Verantwortlichkeiten, und nicht mit einem einzigen "CRA-Projekt", das irgendwo im Backlog verstaubt.

Phase 1: Jetzt bis Q2/2026, Inventur und Risikoklassifizierung

Sie können nichts absichern, was Sie nicht kennen. Deshalb zuerst die vollständige Portfolio-Inventur. Welche Produkte haben eine Netzwerkschnittstelle, direkt oder indirekt? Danach folgt die Risikoklassifizierung nach CRA-Anhang. Ob später Selbstbewertung reicht oder eine notifizierte Stelle ran muss — das entscheidet diese Einstufung.

Phase 2: Bis Q3/2026, Meldeprozess und Incident-Response

Ab dem 11. September 2026 zählen 24 Stunden bis zur Erstmeldung. Genau diese Stunden gehen im Ernstfall verloren, wenn bis dahin kein getesteter Meldeprozess steht. Klären Sie jetzt: Wer meldet an die Single Reporting Platform, wer entscheidet über die Klassifizierung eines Vorfalls, wer schreibt den Abschlussbericht binnen 14 Tagen (Cyber-Regulierung.de).

Phase 3: Bis Q2/2027, Security-by-Design technisch verankern

Hier wird es handwerklich. SBOM-Management, damit Sie überhaupt wissen, welche Komponenten in Ihrer Software stecken. Secure-Update-Mechanismen, die über die gesamte Supportdauer laufen. Security-by-Design ist ab Dezember 2027 Pflicht, nicht Kür. Wer erst dann anfängt, baut unter Zeitdruck, was eigentlich Architektur braucht.

Phase 4: Bis Q4/2027, Konformitätsbewertung und CE-Kennzeichnung

Letzte Phase, höchster Druck: Konformitätsbewertung durchführen, technische Dokumentation finalisieren, CE-Kennzeichnung anbringen. Wer erst hier mit der Suche nach einer notifizierten Stelle beginnt, sitzt in der Warteschlange, denn ab Juni 2026 können sich diese Stellen bereits notifizieren lassen (IHK Köln).

Die Rolle, die niemand vergessen darf

Kein Nice-to-have, sondern Pflicht: ein Product Security Officer, der Legal, Engineering und IT-Security verbindet. Ohne diese Schnittstelle laufen die vier Phasen parallel und aneinander vorbei. Strukturierte Prüfung statt Bauchgefühl — genau hier setzen unsere Compliance-Produkte von Ariside an.

CRA, NIS2 und Co.: Compliance nicht isoliert, sondern integriert denken

Product Security Officer, Meldeprozess, SBOM, CE-Kennzeichnung: Die Liste aus dem letzten Abschnitt klingt nach vier Jahren Vollzeitprojekt. Haben Sie an anderer Stelle bereits vorgearbeitet, sieht die Sache schon anders aus. Denn der CRA steht nicht allein im Raum. Er teilt sich Fundament und Logik mit NIS2 und teilweise auch mit dem EU AI Act. Diese Verbindung bleibt ungenutzt, sobald jedes Gesetz als eigenes Silo behandelt wird.

Wo sich die Regelwerke überschneiden

Risikomanagement, Meldepflichten bei Sicherheitsvorfällen, technische Dokumentation: Das sind keine CRA-Erfindungen, sondern Grundbausteine, die NIS2 für Organisationen genauso fordert wie der CRA für Produkte. Wer NIS2-Prozesse aufgebaut hat, weiß bereits, wie man einen Vorfall klassifiziert, wer intern eskaliert und wie ein Meldebericht strukturiert wird. Diese Prozesse lassen sich für das CRA-Reporting an die Single Reporting Platform mitnutzen, statt sie komplett neu zu erfinden. Stecken KI-Komponenten in vernetzten Produkten, kommt automatisch der EU AI Act ins Spiel. Mehr dazu in unserem Beitrag zur KI-Schulungspflicht nach EU AI Act. Wer NIS2 noch gar nicht angegangen ist, findet den Einstieg in unserem Artikel zur NIS2 Umsetzung.

Compliance als Wettbewerbsvorteil, nicht als Kostenstelle

Hier ein Perspektivwechsel, den wir bei Ariside für wichtig halten: Wer CRA-Konformität nachweisen kann, während der Wettbewerber noch an der Risikoklassifizierung arbeitet, gewinnt Ausschreibungen. CE-Kennzeichnung, dokumentierte Meldeprozesse — bei Vergabeverfahren wird das noch vor dem Preis geprüft. Compliance wird so zum Türöffner, nicht zum Zettel in der Schublade.

Wo genau Ihre Prozesse aus NIS2 oder bestehendem Risikomanagement für den CRA weiterverwendet werden können, lässt sich pauschal nicht beantworten, das hängt schlicht von Ihrem Produktportfolio ab. Was haben Sie schon, was fehlt noch? Genau das zeigt eine individuelle Gap-Analyse. Ein unverbindliches Erstgespräch reicht, dann schauen wir gemeinsam, wo Ihr Unternehmen wirklich steht.

Zur Einordnung: Dieser Beitrag ist eine redaktionelle Zusammenfassung auf Basis öffentlicher Quellen und keine Rechtsberatung. Ob und wie der CRA Ihre konkreten Produkte trifft, klären Sie verbindlich mit einem Fachanwalt für IT-Recht oder einer benannten Stelle — wir unterstützen mit Software-gestützter Vorprüfung.

Der Beitrag „Cyber Resilience Act: Pflichten & Fristen“ entstand mit KI-Unterstützung bei Recherche und Text. Christopher Kohn hat ihn redaktionell geprüft und verantwortet die Inhalte.