Cyber Resilience Act: Was die EU-Produktsicherheit für Unternehmen bedeutet

Der Cyber Resilience Act (CRA) ist die neue EU-Verordnung, die verbindliche Cybersicherheitsanforderungen an nahezu alle Produkte mit digitalen Elementen stellt: vom vernetzten Sensor über die Firmware im Router bis zur Business-Software. Für Geschäftsführer und IT-Verantwortliche im Mittelstand ist das aus zwei Gründen relevant: als Käufer solcher Produkte und, falls Sie selbst Software oder vernetzte Geräte in Verkehr bringen, auch als Hersteller. Dieser Ratgeber ordnet ein, was der CRA regelt, wen er betrifft und worauf Sie bei der Beschaffung achten sollten.

Was der Cyber Resilience Act regelt

Der CRA verfolgt einen einfachen Grundgedanken: Produkte mit digitalen Elementen sollen über ihren gesamten Lebenszyklus hinweg sicher sein, nicht nur zum Verkaufszeitpunkt. Die Verordnung ist im Dezember 2024 in Kraft getreten. Die einzelnen Pflichten greifen jedoch über gestaffelte Übergangsfristen, sodass Herstellern und Händlern Zeit zur Umsetzung bleibt. Konkrete Fristen und Sanktionen sollten Sie im Einzelfall rechtlich prüfen lassen. Dieser Beitrag ersetzt keine Rechtsberatung.

Inhaltlich stehen drei Anforderungsblöcke im Vordergrund:

• Security by Design und Default: Produkte müssen von Grund auf sicher entwickelt und mit sicheren Voreinstellungen ausgeliefert werden, etwa ohne fest hinterlegte Standardpasswörter und mit datensparsamen Grundeinstellungen.
• Update-Pflichten über den Lebenszyklus: Hersteller müssen bekannte Schwachstellen während eines definierten Unterstützungszeitraums beheben und Sicherheitsupdates bereitstellen.
• Schwachstellen- und Vorfallmeldung: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen an die zuständigen Stellen gemeldet werden, unter anderem an ENISA und die nationalen CSIRT-Teams.

Der Nachweis erfolgt über eine Konformitätsbewertung und die CE-Kennzeichnung. Das Prinzip kennen Sie bereits von anderen Produktsicherheitsvorschriften. Der CRA überträgt es nun auf die digitale Sicherheit.

Wen der CRA betrifft

Die Verordnung adressiert die gesamte Lieferkette. Pflichten treffen in erster Linie Hersteller, in abgestufter Form aber auch Importeure und Händler, die Produkte auf dem EU-Markt bereitstellen. Wer Software entwickelt oder vernetzte Geräte unter eigenem Namen in Verkehr bringt, kann als Hersteller im Sinne des CRA gelten. Das betrifft auch KMU, die etwa eigene Apps, IoT-Lösungen oder Steuerungssoftware anbieten.

Für den Großteil der mittelständischen Unternehmen ist jedoch die Käuferperspektive entscheidend: Sie beschaffen Hard- und Software und profitieren davon, dass CRA-konforme Produkte künftig ein nachweisbares Sicherheitsniveau mitbringen. Gleichzeitig entsteht eine faktische Sorgfaltspflicht: Bei der Auswahl sollten Sie gezielt auf Konformität achten.

Abgrenzung zu NIS-2

CRA und NIS-2 werden oft in einem Atemzug genannt, regeln aber unterschiedliche Dinge. Es lohnt sich, beide auseinanderzuhalten:

• Der Cyber Resilience Act ist eine Produktregulierung. Er stellt Anforderungen an das Produkt selbst, unabhängig davon, wer es einsetzt.
• NIS-2 ist eine Organisationsregulierung. Sie verpflichtet bestimmte Unternehmen und Einrichtungen dazu, ihre eigene IT-Sicherheit, ihr Risikomanagement und ihre Meldeprozesse auf ein angemessenes Niveau zu heben.

Beide ergänzen sich: NIS-2 verlangt von betroffenen Organisationen unter anderem sichere Lieferketten, und CRA-konforme Produkte helfen dabei, genau diese Anforderung zu erfüllen. Eine Einordnung, ob und wie NIS-2 Ihr Unternehmen betrifft, finden Sie in unserem Beitrag NIS-2 für den Mittelstand.

Worauf KMU bei der Beschaffung achten sollten

Auch ohne selbst Hersteller zu sein, können Sie den CRA in Ihrem Einkaufs- und Sicherheitsprozess sinnvoll nutzen. Die folgenden Punkte gehören in eine sorgfältige Produktauswahl:

• CE-Kennzeichnung und Konformität für Produkte mit digitalen Elementen aktiv abfragen und dokumentieren.
• Definierten Unterstützungszeitraum klären: Wie lange stellt der Hersteller Sicherheitsupdates bereit?
• Update- und Patch-Prozess prüfen: Werden Updates zeitnah, nachvollziehbar und idealerweise automatisiert ausgeliefert?
• Umgang mit Schwachstellen hinterfragen: Gibt es einen erreichbaren Meldeweg und transparente Sicherheitsinformationen des Herstellers?
• Vertragliche Absicherung: Support-, Update- und Meldezusagen schriftlich fixieren, statt sich auf mündliche Aussagen zu verlassen.

Als inhabergeführtes IT-Systemhaus aus Köln (seit 2004, 20 Mitarbeiter an 5 Standorten) unterstützen wir mittelständische Unternehmen dabei, diese Kriterien in konkrete Beschaffungs- und Sicherheitsprozesse zu übersetzen. Dabei arbeiten wir grundsätzlich DSGVO-konform und mit EU-Rechenzentren. Einen strukturierten Einstieg bietet unser IT-Sicherheitsaudit, das Ihren Ist-Stand aufnimmt und Prioritäten sichtbar macht.

Häufige Fragen

Gilt der Cyber Resilience Act auch für reine Software?

Ja. Der CRA erfasst Produkte mit digitalen Elementen sehr breit. Dazu zählen neben Hardware auch Software-Anwendungen, sofern sie auf dem EU-Markt bereitgestellt werden. Ausnahmen bestehen für einzelne, bereits anderweitig regulierte Bereiche.

Muss unser KMU selbst etwas melden?

Meldepflichten treffen vor allem Hersteller. Setzen Sie Produkte nur ein, betrifft Sie das indirekt. Wichtig ist dann, dass Ihre Lieferanten ihren Melde- und Update-Pflichten nachkommen und Sie dies bereits bei der Auswahl berücksichtigen.

Ersetzt der CRA unsere sonstigen IT-Sicherheitsmaßnahmen?

Nein. Der CRA verbessert die Sicherheit eingekaufter Produkte, ersetzt aber weder ein durchdachtes Sicherheitskonzept noch organisatorische Vorgaben wie aus NIS-2. Als Härtungsgrundlage eignet sich weiterhin der IT-Grundschutz des BSI.

Sie möchten wissen, was der Cyber Resilience Act konkret für Ihre Software- und Geräteauswahl bedeutet? Wir ordnen Ihre Situation mit festem Ansprechpartner ein. Einen Überblick über unsere Leistungen finden Sie im Bereich IT-Sicherheit, oder nehmen Sie direkt Kontakt mit uns auf.