Der EU Cyber Resilience Act (CRA) (Verordnung (EU) 2024/2847) ist eine EU-weite Verordnung. Er gilt für Produkte mit digitalen Elementen, die direkt oder indirekt eine Datenverbindung zu einem anderen Gerät oder Netzwerk herstellen. Der CRA ist im Dezember 2024 in Kraft getreten, seine Anforderungen werden schrittweise eingeführt.
Bisher gab es keine einheitliche Cybersicherheits-Grundlage für alle Hardware- und Softwareprodukte auf dem EU-Markt. Vernetzte Produkte mit schwacher Sicherheit sind ein häufiges Einfallstor für Angreifer. Der CRA macht Cybersicherheit, wie die Produktsicherheit, zur Voraussetzung für den Marktzugang. Die Konformität wird durch die CE-Kennzeichnung ausgewiesen.
Hier die wichtigsten Elemente des EU Cyber Resilience Act.
Inhalt
- Für wen gilt der EU Cyber Resilience Act?
- Was verlangt der CRA?
- Zeitplan des CRA: die wichtigsten Daten
- CE-Kennzeichnung und Konformitätsbewertung
- Sanktionen und Vorbereitung
- Wie CertX / SGS Sie unterstützt
- Weitere Informationen und offizielle Quellen
1. Für wen gilt der EU Cyber Resilience Act?
Der Geltungsbereich des CRA ist breit. Er umfasst Produkte mit digitalen Elementen: Hardware und Software, deren bestimmungsgemässe oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem anderen Gerät oder Netzwerk einschliesst.
In der Praxis betrifft das:
- Vernetzte Hardware. Zum Beispiel Router, Smart-Home-Geräte, Wearables, Industriesensoren, Steuerungen und Maschinen mit Netzwerkschnittstellen.
- Eigenständige Software. Dazu gehören Betriebssysteme, Anwendungen, Firmware und Softwarekomponenten, die auf dem EU-Markt bereitgestellt werden, auch viele B2B-Produkte.
- Datenfernverarbeitung, die zum Produkt gehört. Cloud-Funktionen, die das Produkt für seine Funktionen benötigt, fallen ebenfalls in den Geltungsbereich.
Der CRA erfasst die gesamte Lieferkette, nicht nur die Hersteller. Die Hersteller tragen die Hauptpflichten; Importeure und Händler müssen prüfen, dass die Produkte, die sie auf dem EU-Markt in Verkehr bringen oder bereitstellen, konform sind. Der CRA gilt für Produkte, die in der EU verkauft werden, unabhängig vom Sitz des Herstellers. Ein Schweizer oder US-amerikanisches Unternehmen, das Software in der EU verkauft, ist ebenso betroffen wie ein deutsches.
Einige Produkte sind ausgenommen, weil sie bereits unter spezifisches EU-Sektorrecht fallen. Dazu gehören Medizinprodukte, In-vitro-Diagnostika, bestimmte Kraftfahrzeugsysteme, Ausrüstung der Zivilluftfahrt und Schiffsausrüstung. Open-Source-Software, die ausserhalb einer Geschäftstätigkeit entwickelt wird, wird ebenfalls anders behandelt; für Verwalter quelloffener Software gilt ein leichteres Regime.
2. Was verlangt der CRA?
Der CRA konzentriert sich auf zwei Bereiche:
- wie das Produkt konzipiert und gebaut wird;
- wie seine Sicherheit über den gesamten Lebenszyklus aufrechterhalten wird.
Security by Design und by Default
Anhang I des CRA legt die grundlegenden Cybersicherheitsanforderungen fest, die Produkte vor dem Inverkehrbringen erfüllen müssen. Zu den wichtigsten gehören:
- Keine bekannten ausnutzbaren Schwachstellen. Produkte müssen ohne bekannte ausnutzbare Schwachstellen in Verkehr gebracht werden. Penetrationstests und Schwachstellenanalysen vor der Freigabe werden damit zu wichtigen Teilen des Entwicklungsprozesses.
- Sichere Standardeinstellungen. Produkte müssen ab Werk sicher sein. Nutzer sollen keine Grundeinstellungen ändern müssen, um ein angemessenes Sicherheitsniveau zu erreichen.
- Schutz von Daten und Funktionen. Produkte müssen Vertraulichkeit, Integrität und Verfügbarkeit dem Risiko entsprechend schützen, einschliesslich der Verschlüsselung relevanter Daten.
- Reduzierte Angriffsfläche. Produkte sollen nur die Schnittstellen und Dienste bereitstellen, die sie benötigen.
Schwachstellenmanagement über den gesamten Lebenszyklus
Hersteller brauchen einen dokumentierten Prozess für den Umgang mit Schwachstellen während des gesamten Unterstützungszeitraums. Dieser beträgt in der Regel mindestens fünf Jahre, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist. Der Prozess umfasst das Erkennen und Beheben von Schwachstellen, die Bereitstellung von Sicherheitsupdates, eine Richtlinie zur koordinierten Offenlegung von Schwachstellen und die Veröffentlichung von Informationen über behobene Probleme.
Für viele Produktteams ist das ein grosser Wandel: Sicherheit ist keine reine Anforderung zum Marktstart mehr, sondern muss über die gesamte unterstützte Lebensdauer aufrechterhalten werden.
Meldepflichten: bereits anwendbar
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die ihre Produkte betreffen, melden. Der Prozess beginnt mit einer Frühwarnung innerhalb von 24 Stunden. Diese Meldepflichten gelten vor dem allgemeinen Geltungsbeginn des CRA; Unternehmen müssen sich deshalb jetzt darauf vorbereiten.
3. Zeitplan des CRA: die wichtigsten Daten
Die wichtigsten Daten sind:
| Datum | Was gilt |
|---|---|
| 10. Dezember 2024 | Inkrafttreten des CRA |
| 11. Juni 2026 | Bestimmungen über benannte Stellen gelten, damit Kapazitäten für die Konformitätsbewertung aufgebaut werden können |
| 11. September 2026 | Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten |
| 11. Dezember 2027 | Allgemeiner Geltungsbeginn des CRA, einschliesslich der grundlegenden Anforderungen und der CE-Kennzeichnung |
Dezember 2027 mag weit entfernt erscheinen. Für Produkte mit langen Hardware-Entwicklungszyklen, Zertifizierungsvorlaufzeiten oder mehreren geplanten Software-Releases ist es das nicht. Produkte, die ab diesem Datum in Verkehr gebracht werden, müssen konform sein. Security by Design lässt sich nicht in letzter Minute ergänzen.
4. CE-Kennzeichnung und Konformitätsbewertung
Der CRA nutzt den bestehenden Rahmen der EU für Produktkonformität. Konforme Produkte müssen die CE-Kennzeichnung tragen, gestützt auf eine Konformitätsbewertung und eine technische Dokumentation. Das erforderliche Bewertungsverfahren hängt von der Einstufung des Produkts ab.
Die Produktkategorien und ihre Konformitätsverfahren:
| Produktklasse | Beispiele | Konformitätsverfahren |
|---|---|---|
| Standardkategorie | Die meisten Produkte mit digitalen Elementen | Selbstbewertung durch den Hersteller |
| Wichtig, Klasse I | Passwortmanager, VPN, Smart-Home-Assistenten, Netzwerkschnittstellen | Harmonisierte Normen oder Konformitätsbewertung durch Dritte |
| Wichtig, Klasse II | Firewalls, Hypervisoren, manipulationssichere Mikrocontroller | Konformitätsbewertung durch Dritte |
| Kritisch | Smart-Meter-Gateways, Chipkarten, Secure Elements | Europäische Cybersicherheitszertifizierung, sofern vorgeschrieben |
Beratung und Konformitätsbewertung sind zwei verschiedene Tätigkeiten. Berater können Unternehmen helfen, die Produktsicherheit zu verbessern, die Dokumentation vorzubereiten, Prozesse für das Schwachstellenmanagement aufzubauen und Produkte zu testen. Wo der CRA eine Bewertung durch Dritte verlangt, muss diese von einer dafür benannten Stelle durchgeführt werden. Die Rollen müssen unabhängig und unparteiisch bleiben.
5. Sanktionen und Vorbereitung
Werden die grundlegenden Cybersicherheitsanforderungen nicht erfüllt, drohen nach dem CRA Geldbussen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Die Marktüberwachungsbehörden können nichtkonforme Produkte zudem einschränken oder vom EU-Markt nehmen.
Für viele Hersteller wiegt das Risiko für den Marktzugang schwerer als die Busse selbst. Muss ein Produkt während seines Lebenszyklus vom EU-Markt genommen werden, wirkt sich das direkt auf den Umsatz aus.
Unternehmen sollten die CRA-Konformität als laufendes Programm verstehen, das in die Produkt-Releases eingebunden ist, und nicht als Aufgabe auf den letzten Drücker 2027. Ein praktischer Ansatz umfasst:
- Produktportfolio prüfen. Alle Produkte mit digitalen Elementen erfassen, die in der EU verkauft werden. Prüfen, welche CRA-Kategorien gelten, und das passende Konformitätsverfahren bestimmen.
- Lücken gegenüber Anhang I bewerten. Die heutigen Sicherheitspraktiken mit den grundlegenden Anforderungen vergleichen, darunter sichere Standardeinstellungen, Update-Mechanismen, Datenschutz und Reduzierung der Angriffsfläche.
- Schwachstellenmanagement aufbauen. Eine Offenlegungsrichtlinie, einen Prozess für eingehende Meldungen, Abläufe zur Behebung und einen Update-Prozess für den gesamten Unterstützungszeitraum festlegen.
- Auf die Meldepflicht vorbereiten. Die 24-Stunden-Frist gilt bereits. Festlegen, wer ein Problem erkennt, wer es bewertet und wer die Meldung einreicht.
- Vor der Konformitätserklärung testen. Unabhängige Penetrationstests des Produkts und seiner Update-Mechanismen decken Schwächen auf, die eine interne Prüfung übersehen kann.
- Technische Dokumentation laufend aufbauen. Die Dokumentation für die CE-Kennzeichnung mit jedem Release aktuell halten. Das ist viel einfacher, als sie auf einmal zusammenzustellen.
6. Wie CertX / SGS Sie unterstützt
CertX / SGS begleitet Hersteller auf dem gesamten Weg zur CRA-Konformität:
Sensibilisierung und Schulung
DIE VERORDNUNG VERSTEHEN
Internes Bewusstsein schaffen und den Teams das Wissen geben, das sie brauchen, um die Anforderungen des CRA zu verstehen und umzusetzen.
- Massgeschneiderte CRA-Schulungen für Führungskräfte und technische Teams
- Sensibilisierung für Entwicklung, Engineering und Qualität
- Gezielte Regulierungs-Workshops und praktische Anwendungsfälle
- Klare Erläuterung der Pflichten, des Geltungsbereichs und des Zeitplans des CRA
Ihr Nutzen: Die wichtigsten Beteiligten verstehen ihre Verantwortung und was der CRA für ihre Produkte und Prozesse bedeutet.
Beratung und Prüfung
DIE ANFORDERUNGEN UMSETZEN
Regulatorische Anforderungen in praktische Cybersicherheitsmassnahmen und klare Konformitätspläne übersetzen.
- CRA-Roadmap und strategische Beratung
- Cybersicherheits-Risikobewertungen
- CRA-Gap-Analyse zu Produktdesign, technischer Dokumentation und Prozessen
- Cybersicherheitsarchitektur und Auslegung von Sicherheitsmassnahmen
- SBOM und Analyse von Drittkomponenten
- Cybersicherheitsprüfung von Lieferanten
- Schwachstellenanalysen und Penetrationstests
Ihr Nutzen: Konformitätslücken erkennen, Cybersicherheitsrisiken senken und die erforderlichen technischen und organisatorischen Massnahmen umsetzen.
Konformität und Zertifizierung
KONFORMITÄT NACHWEISEN
Unabhängige Bewertung und Konformitätsprüfung zur Unterstützung der regulatorischen Konformität und des Zugangs zum EU-Markt.
- Bewertung der technischen Dokumentation
- Konformitätsbewertung von Produkten mit digitalen Elementen
- Readiness-Bewertung für wichtige und kritische Produkte vor der Konformitätsbewertung durch Dritte
- Produktkonformitätsbewertung
- Unabhängige Überprüfung der Cybersicherheitsanforderungen
Ihr Nutzen: Vertrauen in die Produktkonformität, Unterstützung bei der CE-Kennzeichnung und beim Zugang zum europäischen Markt.
Welche Vorschriften gelten für Ihr Produkt? Unser Fragebogen zu CRA, RED und Maschinenverordnung gibt Ihnen eine erste Antwort.