Die Einschätzung der Cyber Academy
Der Cyber Resilience Act ist die EU-Verordnung, die grundlegende Sicherheitsanforderungen an Hardware- und Softwareprodukte mit digitalen Elementen stellt, die in Europa vertrieben werden. Herstellerpflichten über den gesamten Lebenszyklus: Security-by-Design, Schwachstellenbehandlung, SBOM, fünf Jahre Patches. Ende 2024 verabschiedet, gilt ab Dezember 2027. Kombinieren Sie ihn mit NIS 2 (organisatorische Perspektive) und dem AI Act (Modellperspektive).
Was der Cyber Resilience Act tatsächlich regelt
Der Cyber Resilience Act legt Sicherheitspflichten auf das Produkt, nicht nur auf die Organisation, die es betreibt. Alles, was in der EU verkauft wird und digitale Elemente enthält, also Hardware oder Software mit einer Datenverbindung, fällt in den Anwendungsbereich: vernetzte Verbrauchergeräte, Industriesteuerungen, Betriebssysteme, Bibliotheken, mobile Apps und sogar die in einem Bauteil ausgelieferte Firmware.
Die regulierte Partei ist der Wirtschaftsakteur, der das Produkt auf dem Markt bereitstellt, sodass die Hersteller die Hauptlast tragen, während Einführer und Händler an Überprüfungspflichten gebunden sind. Das ist eine Verschiebung der Haftung. Jahrelang erbte der Käufer das Risiko unsicherer Software; der CRA verlagert eine definierte Grundverantwortung zurück auf denjenigen, der das Produkt baut und verkauft.
Da er Produkte statt Organisationen reguliert, erreicht der CRA kleine Anbieter und offene Komponenten, die kein organisationsbezogenes Sicherheitsgesetz je berühren würde. Ein Firmware-Hersteller ohne Niederlassung in der EU muss dennoch die Anforderungen erfüllen, wenn das Gerät in ein europäisches Regal gelangt. Diese produktbezogene Rahmung ist das mit Abstand Wichtigste, das man verstehen muss, bevor man irgendetwas anderes dazu liest.
Die Pflichten, die einen Hersteller binden
Der CRA ist um einen Lebenszyklus herum aufgebaut. Ein Produkt muss bei der Auslieferung sicher sein und für die Dauer, in der vernünftigerweise mit seiner Nutzung zu rechnen ist, wartbar bleiben, was die Verordnung auf einen Basis-Supportzeitraum von etwa fünf Jahren für die Behandlung von Schwachstellen festlegt. Die konkreten Pflichten gruppieren sich in zwei Bereiche.
- Security by Design und by Default: ohne bekannte ausnutzbare Schwachstellen ausliefern, die Angriffsfläche minimieren, Vertraulichkeit und Integrität der Daten schützen und eine sichere Standardkonfiguration bereitstellen, damit das Produkt nicht direkt aus der Verpackung heraus unsicher ist.
- Behandlung von Schwachstellen über den gesamten Supportzeitraum: einen Prozess der koordinierten Offenlegung unterhalten, eine Software Bill of Materials bereitstellen, damit die im Produkt enthaltenen Komponenten dokumentiert sind, Sicherheitsupdates zügig und, sofern machbar, automatisch ausliefern sowie aktiv ausgenutzte Schwachstellen und schwere Vorfälle innerhalb der in der Verordnung festgelegten Fristen an die ENISA melden.
Die Konformität wird auf die Weise nachgewiesen, in der die EU andere Produktsicherheitsvorschriften handhabt: eine Bewertung, die der Risikoklasse des Produkts angemessen ist, eine technische Dokumentation und eine CE-Kennzeichnung, die signalisiert, dass die Sicherheitsgrundlage erreicht wurde. Produktkategorien mit höherem Risiko, sogenannte wichtige oder kritische, unterliegen einer strengeren, mitunter durch Dritte durchgeführten Bewertung statt einer Selbsterklärung.
Wie er sich zu NIS 2 und dem AI Act verhält
Diese drei EU-Instrumente sind bewusst komplementär, und Praktiker sollten ihre Anwendungsbereiche nicht verwechseln. Der CRA ist der Produktwinkel: Er macht das, was man verkauft, sicher. NIS 2 ist der organisatorische Winkel: Er verpflichtet wesentliche und wichtige Einrichtungen, Cyberrisiken zu steuern, Sicherheit zu steuern und Vorfälle auf Unternehmensebene zu melden. Der AI Act ist der Modellwinkel: Er regelt, wie KI-Systeme, insbesondere Hochrisikosysteme, gebaut und auf dem Markt bereitgestellt werden. Ein vernetztes Industriegerät, das von einem regulierten Akteur verkauft wird und eine KI-Komponente einbettet, kann alle drei zugleich berühren, jedes aus einer anderen Richtung.
| Instrument | Was es regelt | Wen es bindet |
|---|---|---|
| Cyber Resilience Act | Sicherheit von Produkten mit digitalen Elementen | Hersteller, Einführer, Händler |
| NIS 2 | Steuerung und Meldung von Cyberrisiken auf organisatorischer Ebene | Wesentliche und wichtige Einrichtungen |
| AI Act | Entwicklung und Bereitstellung von KI-Systemen auf dem Markt | Anbieter und Betreiber von KI |
Die praktische Folge ist, dass die CRA-Bereitschaft weitgehend ein Programm der Technik und der Produkt-Governance ist und keine Papierübung, die an ein bestehendes ISMS angeschraubt wird. Teams, die bereits koordinierte Schwachstellenoffenlegung betreiben, Abhängigkeitsinventare pflegen und in einem vorhersehbaren Takt patchen, haben den größten Teil des Wegs hinter sich.
Teams, die ausliefern und vergessen, haben am meisten zu tun, denn die Pflicht, jahrelang Support zu leisten und zu patchen, ist genau das, was eine Kultur des Ausliefern-und-Weiterziehen zu vermeiden sucht. Die Verordnung wurde Ende 2024 angenommen und ihre Kernpflichten gelten ab Dezember 2027, was einen definierten Vorlauf lässt, um die Prozesse für die Behandlung von Schwachstellen und für die SBOM aufzubauen, bevor sie durchsetzbar werden.
Häufig gestellte Fragen
01Wer muss den Cyber Resilience Act einhalten?
Jeder Wirtschaftsakteur, der ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt. Die Hersteller tragen die Hauptpflichten, während Einführer und Händler Überprüfungspflichten haben. Er gilt unabhängig davon, wo der Hersteller ansässig ist, sodass ein Anbieter außerhalb der EU, dessen Gerät einen Käufer in der EU erreicht, in den Anwendungsbereich fällt.
02Was ist ein Produkt mit digitalen Elementen?
Hardware oder Software, die sich mit einem Gerät oder einem Netz verbinden kann, sowie die damit gelieferten Komponenten. Das umfasst vernetzte Verbrauchsgüter, Betriebssysteme, Anwendungen, Bibliotheken und Firmware. Reine Cloud-Dienste, die anderweitig geregelt sind, und bestimmte bereits regulierte Kategorien liegen außerhalb des Kernanwendungsbereichs.
03Warum verlangt der CRA eine SBOM?
Weil Hersteller für Schwachstellen in allem verantwortlich sind, was sich in ihren Produkten befindet, einschließlich der Abhängigkeiten von Dritten und Open Source. Eine Software Bill of Materials dokumentiert diese Komponenten, damit Schwachstellen über den gesamten Supportzeitraum hinweg gefunden und behoben werden können.
04Worin unterscheidet sich der CRA von NIS 2?
Der CRA regelt die Sicherheit des Produkts, das man verkauft; NIS 2 regelt, wie die eigene Organisation Cyberrisiken steuert und Vorfälle meldet. Das eine bindet Hersteller über den Produktlebenszyklus, das andere bindet wesentliche und wichtige Einrichtungen auf Unternehmensebene. Viele Anbieter werden beiden unterliegen.
05Wann beginnt der Cyber Resilience Act zu gelten?
Er wurde Ende 2024 angenommen und seine Hauptpflichten gelten ab Dezember 2027, wobei bestimmte Meldepflichten früher in Kraft treten. Dieser Zeitraum ist das Fenster, das den Herstellern bleibt, um Security-by-Design-Praktiken, die Behandlung von Schwachstellen und die SBOM-Erstellung aufzubauen, bevor die Durchsetzung beginnt.