Was ist der Cyber Resilience Act? Ein Überblick für KMU.
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die seit dem 11. Dezember 2024 in Kraft ist. Sie verpflichtet Hersteller von Software und vernetzter Hardware, grundlegende Cybersicherheitsanforderungen zu erfüllen — von der Produktentwicklung über das Schwachstellenmanagement bis hin zu Meldepflichten.
Das Wichtigste in 60 Sekunden
- Inkrafttreten: 11. Dezember 2024 (Art. 71 Abs. 1)
- Meldepflichten: ab 11. September 2026 (Art. 71 Abs. 2)
- Vollanwendung: ab 11. Dezember 2027 (Art. 71 Abs. 3)
- Bußgelder: bis zu €15 Mio oder 2,5 % des weltweiten Jahresumsatzes (Art. 64 Abs. 2)
- Geltungsbereich: alle Produkte mit digitalen Elementen, die in der EU bereitgestellt werden
Warum gibt es den CRA?
Der überwiegende Teil der Software- und Hardwareprodukte auf dem EU-Markt erfüllte keine grundlegenden Cybersicherheitsanforderungen. Es gab keine horizontale EU-Gesetzgebung für einheitliche Mindeststandards. Die Zahl der Cyberangriffe auf Lieferketten hat dramatisch zugenommen — wie der Log4Shell-Vorfall Ende 2021 eindrücklich gezeigt hat.
Im März 2024 folgte die XZ Utils Backdoor — der „neue Log4Shell". Ein gezielter Supply-Chain-Angriff auf eine weitverbreitete Open-Source-Bibliothek hätte Millionen Linux-Systeme kompromittieren können. Der Angriff war auf Monate angelegt und zeigt: Lieferkettensicherheit ist keine abstrakte Anforderung — sie ist bereits gängige Angriffspraxis.
Im Juli 2024 lähmte ein fehlerhaftes CrowdStrike-Update 8,5 Millionen Windows-Systeme weltweit — der größte IT-Ausfall der Geschichte. Auslöser war ein Sicherheits-Update ohne ausreichende Tests. Genau solche Szenarien will der CRA mit verpflichtenden Schwachstellen-Prozessen, Tests und Update-Disziplin verhindern.
Wer ist betroffen?
Kurz: Fast jedes Softwareunternehmen, das in der EU verkauft. Im Detail:
- Hersteller von Software-Anwendungen (Desktop, Web, Mobile)
- Hersteller eingebetteter Software / Firmware
- Hersteller von Hardware mit Software-Komponenten (IoT, Steuerung, Sensorik)
- Anbieter lokaler Agents/Clients/Plugins
- Anbieter von APIs/SDKs, die in EU-Produkte eingebettet werden
- Open-Source-Software-Betreuer (mit kommerziellem Geschäft)
Nicht erfasst: rein interne Software, reine Cloud-Dienste ohne Datenfernverarbeitung im Sinne der RDPS-Definition. Die Abgrenzung ist nicht trivial — siehe unsere Artikel zu RDPS und SaaS & CRA.
Was verlangt der CRA konkret?
- Cybersicherheits-Risikobeurteilung — Produkte müssen unter Berücksichtigung der Cybersicherheit entworfen, entwickelt und hergestellt werden.
- Keine bekannten Schwachstellen bei Marktbereitstellung.
- Sichere Standardeinstellungen — Reset-Möglichkeit auf Originalzustand.
- Automatische Sicherheits-Updates als Standard mit Opt-out.
- Schutz vor unbefugtem Zugriff — Authentifizierung, Identitäts- und Zugangsverwaltung.
- Verschlüsselung gespeicherter, übermittelter und verarbeiteter Daten.
- Datenintegrität — Schutz vor nicht genehmigter Manipulation.
- Datensparsamkeit — Verarbeitung auf das Erforderliche beschränken.
- Verfügbarkeit — DoS-Resilienz.
- Reduktion der Angriffsfläche — unnötige Funktionen deaktivieren.
- Eindämmung — Auswirkungen von Vorfällen minimieren.
- Logging sicherheitsrelevanter Vorgänge.
- Sichere Datenlöschung und -übertragung durch den Nutzer.
- SBOM in maschinenlesbarem Format.
- Schwachstellenbehandlung mit getrennten Sicherheits-Updates.
- Regelmäßige Sicherheitstests.
- Veröffentlichung beseitigter Schwachstellen.
- Coordinated Vulnerability Disclosure-Strategie.
- Kontaktadresse für Schwachstellenmeldungen Dritter.
- Kostenlose Sicherheits-Updates mit Hinweisen.
- Annex-VII-Dokumentation einschließlich Risikoanalyse.
- EU-Konformitätserklärung nach Annex V.
- CE-Kennzeichnung.
- Klare Nutzeranweisungen nach Annex II.
- Meldepflichten — 24h Frühwarnung, 72h Detailmeldung, 14 Tage Abschlussbericht.
- Information betroffener Nutzer über Schwachstellen und Vorfälle.
Was sollten Sie jetzt tun?
Klassifizieren
Prüfen Sie, ob Ihr Produkt unter den CRA fällt — nutzen Sie unseren kostenlosen CRA-Quick-Check.
SBOM beginnen
Eine Software-Stückliste ist Pflicht und Grundlage für vieles weitere.
Meldepflichten einplanen
Ab September 2026 läuft die 24-Stunden-Uhr.