Cyber Resilience Act (CRA)
Pflichten › Cyber Resilience Act (CRA)
Hardware und Software mit Netz- oder Datenverbindung dürfen in der EU nur mit Mindeststandards für Cybersicherheit verkauft werden; Hersteller müssen Sicherheitsupdates liefern und ausgenutzte Schwachstellen melden.
Nächste Frist: 11.12.2027 – Volle Anwendung: Sicherheitsanforderungen, Konformitätsbewertung, CE-Kennzeichnung, Pflichten für Importeure und Händler
Wer ist betroffen?
Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen“ – Hardware und installierbare Software (auch Apps, Firmware) mit Daten- oder Netzverbindung –, ohne Größenschwelle. Die Meldepflichten seit 11.09.2026 treffen die Hersteller, und zwar für alle Produkte auf dem Markt.
Ausnahmen
Produkte mit eigenem EU-Recht (z. B. Medizinprodukte, Kraftfahrzeuge, Luftfahrt), nicht-kommerzielle Open-Source-Software. Reine Online-Dienste (SaaS) sind als solche kein Produkt im Sinne des CRA – gehört aber eine installierte App oder Client-Software dazu, kommt es auf den Einzelfall an.
Fristen
- 11.09.2026 – Meldepflicht der Hersteller für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle (24 Stunden / 72 Stunden / Abschlussbericht) (gilt bereits)
- 11.12.2027 – Volle Anwendung: Sicherheitsanforderungen, Konformitätsbewertung, CE-Kennzeichnung, Pflichten für Importeure und Händler
Typische erste Schritte
- Klären, ob Sie Produkte mit digitalen Elementen herstellen, importieren oder verkaufen – und in welcher Rolle
- Als Hersteller: Meldeprozess über die Meldeplattform der ENISA einrichten und eine zuständige Person benennen
- Eine Übersicht der eingesetzten Software-Komponenten (z. B. SBOM) und einen Ablauf für Schwachstellen und Updates aufbauen
- Bis Dezember 2027 Konformitätsbewertung, technische Dokumentation, Supportzeitraum und CE-Kennzeichnung planen; als Händler bei Lieferanten nachfragen
Sanktionen
Bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen Sicherheitsanforderungen und Meldepflichten (Art. 64 CRA); Kleinst- und Kleinunternehmen werden für eine versäumte 24-Stunden-Frühwarnung nicht mit Bußgeld belegt.
Änderungen der letzten Zeit
- 11.09.2026 – Meldepflicht der Hersteller für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gilt.
Welche Vorschriften betreffen Ihr Unternehmen?
Elf Fragen, und Sie sehen für zwölf Regelwerke, was wahrscheinlich relevant ist und welche Fristen anstehen – kostenlos, ohne Anmeldung, ohne Speicherung Ihrer Antworten.
Quellen
Stand geprüft: 19.10.2026
Allgemeine Informationen aus einer Software, keine Rechtsberatung. Ob die Vorschrift auf Ihr Unternehmen anwendbar ist, hängt vom Einzelfall ab; Rechtslagen ändern sich, gerade bei EU-Vorschriften.