Cyber-Resilienz, die Tür zum EU-Markt Was Hersteller jetzt über CRA und Produktsicherheit wissen müssen

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Mit dem Cyber Resilience Act wird Cybersicherheit zur Pflicht für alle vernetzten Produkte. Zusammen mit der neuen Produktsicherheitsverordnung entsteht ein verbindliches EU-Regime: Ohne Security kein CE-Zeichen – und ohne CE kein Marktzugang. Der Artikel beschreibt, was Hersteller jetzt wissen müssen. Und das Video stellt einige kritische Fragen.

Ransomware-Wellen, Supply-Chain-Hacks und kompromittierte IoT-Geräte haben die klassische Produktsicherheit um eine entscheidende digitale Dimension erweitert. Mit dem Cyber Resilience Act (CRA) – offiziell Verordnung (EU) 2024/2847 – verankert die EU erstmals horizontale Cybersicherheitsanforderungen als zwingende Voraussetzung für das CE-Kennzeichen aller „Produkte mit digitalen Elementen“. Gleichzeitig tritt am 13. Dezember 2024 die General Product Safety Regulation (GPSR) in Kraft und modernisiert die Grundpflichten für sichere Produkte in der Binnenwirtschaft. Gemeinsam formen beide Regelwerke einen neuen Marktzugangskontrakt, in dem mangelnde Cyber-Resilienz ein Produktsicherheitsmangel ist.

Meldepflicht von Sicherheitslücken

Drei Sofortmaßnahmen zum Cyber Resilience Act

Geltungsbereich und Rechtsarchitektur

Der CRA gilt für nahezu jedes hard- oder softwarebasierte Produkt, das direkt oder indirekt mit einem Netzwerk verbunden werden kann – vom Industrieregler über Router bis zur Office-App. Ausgenommen bleiben ausschließlich Produkte, deren Cybersicherheit bereits in sektorspezifischen Vorschriften geregelt ist (etwa Medizin- oder KFZ-Verordnung) sowie reine Forschungs- und Entwicklungsmuster. Die GPSR ergänzt dieses Bild: Sie verlangt, dass sämtliche Risiken – physisch wie digital – entlang des gesamten Produktlebenszyklus beherrscht werden. Für digitale Produkte greift sie nur, soweit der CRA keine gleich- oder höherwertigen Anforderungen stellt.

Der Cyber Resilience Act legt keine direkten Pflichten auf Endkunden. Er richtet sich ausschließlich an „Wirtschaftsbeteiligte“ – Hersteller, Importeure, Händler und gegebenenfalls Bevollmächtigte.

Der CRA unterscheidet nicht nach Produktionsland, sondern danach, ob ein Produkt mit digitalen Elementen im EU-Binnenmarkt „in Verkehr gebracht“ oder „bereitgestellt“ wird. Damit unterliegen Router aus Shenzhen oder eine SaaS-Plattform aus Kalifornien denselben Pflichten wie ein in München gefertigter Sensor, sobald sie an europäische Kunden verkauft, importiert oder auch nur über einen Online-Marktplatz zum Download angeboten werden. Der CRA greift also extraterritorial über das „Marktplatz-Prinzip“: Entscheidend ist der Zielmarkt, nicht der Firmensitz.

Sicherheitsanforderungen im Maschinenbau

Wie der Cyber Resilience Act den Maschinenbau verändert

Pflichten entlang des Lebenszyklus

Hersteller müssen ihre Produkte „secure by design and by default“ entwickeln, eine risikoorientierte technische Dokumentation anlegen, eine Betriebshandreichung für sichere Konfiguration beilegen und nach Inverkehrbringen ein aktives Schwachstellen-Management betreiben. Die dazugehörige technische Dokumentation – inklusive Bedrohungsmodell, Testprotokollen und einer Software-Bill-of-Materials (SBOM) – muss zehn Jahre lang auf Anfrage vorgelegt werden können, selbst wenn das Produkt längst abgekündigt ist. Sicherheits-Updates sind so lange bereitzustellen, wie das Produkt voraussichtlich genutzt wird; die Dauer hat der Hersteller belastbar zu begründen.

Importeure und Händler werden zu Gatekeepern: Sie dürfen nur noch Produkte mit gültiger EU-Konformitätserklärung und CE-Markierung auf den Markt bringen und müssen erkannte Risiken an die Behörde melden.

Cyber Resilience Act

BSI veröffentlicht Leitfaden zum CRA

Meldepflichten und Incident-Response

Artikel 14 CRA verpflichtet Hersteller, eine aktiv ausgenutzte Schwachstelle spätestens 24 Stunden nach Kenntnis über das zentrale ENISA-Portal anzuzeigen und innerhalb von 72 Stunden Details zum Vorfall nachzureichen; ein Abschlussbericht folgt nach 14 Tagen. Für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen.

Die GPSR verlangt parallele Meldungen ernsthafter Sicherheitsrisiken über das „Safety Gate“. Wer beide Anforderungen erfüllen will, muss seine Product Security Incident Response Team (PSIRT)-Prozesse so verzahnen, dass Doppelmeldungen inhaltlich konsistent sind. Keine leichte Aufgabe.

Konformitätsbewertung und CE-Kennzeichnung

Ob die verpflichtende Risikobewertung im Eigenverfahren („Modul A“) reicht oder ein unabhängiges “Notified Body“ eingeschaltet werden muss, hängt von der Risikoklasse ab. Kritische Produkte wie Firewalls, Passwort-Manager oder digitale Identitätssysteme fallen grundsätzlich unter ein externes Verfahren.

Wer auf harmonisierte Normen (z. B. EN IEC 62443-4-1/-4-2, ETSI EN 303 645) setzt, kann seine Konformität teilweise presumieren. Ein EU-Cybersecurity-Zertifikat („EUCC“) auf substantial-Niveau ersetzt die separate CRA-Prüfung vollständig.

Zeitplan und Übergangsfristen

Die Verordnung gilt ab dem 11. Dezember 2027; die Meldepflicht nach Artikel 14 startet bereits am 11. September 2026, weitere Kapitel – etwa zur Marktüberwachung – folgen am 11. Juni 2026. Produkte, die bis zum 11. Dezember 2027 in Verkehr gebracht wurden, bleiben konform, sofern sie nicht substanziell modifiziert werden. EU-Typenzertifikate aus anderen Harmonisierungsgesetzen bleiben noch bis zum 11. Juni 2028 gültig.

Cyber Resilience Act und Security by Design

Welche Produkte in der EU nicht mehr vertrieben werden dürfen

Haftung und Sanktionen

Bei Verstößen gegen essenzielle Sicherheitsanforderungen drohen Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes – analoge Größenordnungen kennen Unternehmen seit der DSGVO. Geringere Verstöße werden mit bis zu 10 Mio. € (2 %) bzw. 5 Mio. € (1 %) geahndet. Zusätzlich können Marktüberwachungsbehörden Rückrufe, Verkaufsstopps und öffentlich einsehbare Warnungen verhängen, was empfindliche Reputationsschäden nach sich zieht.

Handlungsempfehlungen

Unternehmen sollten kurzfristig eine Gap-Analyse gegen die neuen Anforderungen durchführen, eine Software-Bill-of-Materials pflegen und ihr Product Security Incident Response Team mit klaren 24-/72-Stunden-Workflows ausstatten. Lieferantenverträge benötigen Security-Anlagen, die Komponenten-Updates, Schwachstellen-Reporting und Audit-Rechte regeln. Schließlich ist ein internes Budgetszenario nötig: Cyber-Resilienz wird künftig nicht mehr Feature, sondern Marktzulassungskriterium sein.

Ausblick

Die Kommission arbeitet an delegierten Rechtsakten, die Detailpflichten für bestimmte Produktkategorien sowie die Anerkennung von EU-Zertifikaten regeln werden. Parallel entstehen weltweit Cyber-Labels – etwa in den USA oder Singapur – die ein konvergentes Sicherheitsniveau anstreben, im Detail aber wesentlich vereinfacht und weniger restriktiv sind. Europa dient als Vorbild in der Sache, aber nicht in der Bürokratie.

Cyber Gangsta's Paradise

Professor rappt über IT-Sicherheit

Fazit

Der Cyber Resilience Act verschiebt Cybersicherheit vom „Good-to-Have“ zur Pflichtvoraussetzung für das CE-Zeichen. Zusammen mit der GPSR verschmelzen IT-Security und klassische Produktsicherheit zu einem einheitlichen Compliance-Regime, das Hersteller zu kontinuierlicher Pflege ihrer digitalen Produkte verpflichtet. Unternehmen, die jetzt in Secure-by-Design-Prozesse, PSIRT-Strukturen und Lieferketten-Transparenz investieren, reduzieren künftige Haftungsrisiken – und schaffen ein echtes Wettbewerbsargument im vernetzten Binnenmarkt.

Es ist nicht aber alles Gold was glänzt. Der CRA erhöht die Kosten, gerade für Hersteller, die ihr Haupt­geschäft in Europa abwickeln. Die Behauptung, man könne diese Last einfach „vermarkten“, greift zu kurz. Ohne flankierende Maßnahmen – steuerlich, diplomatisch und technisch – droht ein Wieder­holungs­szenario früherer EU-Regulierungen: Innovation migriert, Fertigung folgt den F&E-Clustern, und Europa verliert industrielle Wertschöpfung, statt digitale Souveränität zu gewinnen.

Die Aufgabe liegt daher weniger bei den Unternehmen als bei Politik und Standardisierungs­gremien: Sie müssen die Kosten­kurve senken und internationale Anerkennung beschleunigen, damit Sicherheits- und Preisniveau nicht länger als Nullsummenspiel erscheinen.

IoT-Sicherheit nach EU-Vorgaben

So entsprechen IoT-Designs nachge­wiesen dem Cyber Resilience Act

(ID:50514611)