Till Schaller

1. Worum geht es?

Mit dem Cyber Resilience Act – der Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen – hat die Europäische Union einen horizontalen Rechtsrahmen für die Cybersicherheit von Hardware- und Softwareprodukten geschaffen. Erfasst werden sowohl Endprodukte als auch separat bereitgestellte Komponenten und bestimmte vom Hersteller verantwortete Lösungen zur Datenverarbeitung aus der Ferne.

Ziel des CRA ist ein angemessenes Cybersicherheitsniveau während des gesamten Produktlebenszyklus. Die Verordnung enthält insbesondere Anforderungen an Konzeption, Entwicklung und Herstellung, Vorgaben für die Behandlung von Schwachstellen und Sicherheitsupdates sowie Pflichten für Hersteller, Bevollmächtigte, Einführer, Händler und bestimmte Open-Source-Softwareverwalter. Hinzu kommen Regelungen zur Konformitätsbewertung, CE-Kennzeichnung, Marktüberwachung und Durchsetzung.

Der CRA verfolgt einen risikobasierten Ansatz: Die grundlegenden Cybersicherheitsanforderungen gelten grundsätzlich für alle erfassten Produkte. Die Anforderungen an den Konformitätsnachweis verschärfen sich jedoch für „wichtige“ Produkte der Klassen I und II sowie für „kritische“ Produkte.

2. Anwendungsbereich und Ausnahmen

Der CRA gilt nach Art. 2 Abs. 1 für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst und die auf dem Unionsmarkt bereitgestellt werden.

Vom Anwendungsbereich ausgenommen oder besonders abgegrenzt sind nach Art. 2 Abs. 2 bis 7 CRA insbesondere bestimmte Medizinprodukte und In-vitro-Diagnostika, Fahrzeuge, Luftfahrt- und bestimmte Schiffsausrüstung, soweit sie den dort genannten unionsrechtlichen Regelungen unterliegen. Ebenfalls ausgenommen sind Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt oder angepasst wurden, sowie Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind.

Für Open-Source-Software gilt keine pauschale Ausnahme. Maßgeblich ist insbesondere, ob sie im Rahmen einer kommerziellen Tätigkeit auf dem Unionsmarkt bereitgestellt wird. Nicht monetarisierte Open-Source-Software fällt grundsätzlich nicht als kommerziell bereitgestelltes Produkt unter die Herstellerpflichten. Für bestimmte juristische Personen, die kommerziell ausgerichtete Open-Source-Projekte nachhaltig unterstützen und deren Lebensfähigkeit sichern („open-source software stewards“), enthält Art. 24 CRA allerdings eigene, speziell zugeschnittene Pflichten.

Art. 4 CRA enthält unter anderem Regelungen zur freien Bereitstellung konformer Produkte sowie zu Produkten, die auf Messen, Ausstellungen oder Vorführungen gezeigt werden. Nichtkonforme Prototypen dürfen dort unter den in Art. 4 Abs. 2 CRA genannten Voraussetzungen präsentiert werden, wenn sie sichtbar als nichtkonform gekennzeichnet sind und nicht vor Abschluss der Konformität auf dem Unionsmarkt bereitgestellt werden. Für unfertige Software zu Testzwecken gelten die besonderen Voraussetzungen des Art. 4 Abs. 3 CRA.

Zu beachten ist außerdem das Verhältnis zu anderen unionsrechtlichen Rechtsakten. Nach Art. 12 CRA gelten die Cybersicherheitsanforderungen des Art. 15 der Verordnung (EU) 2024/1689 (KI-Verordnung) für Produkte mit digitalen Elementen, die als hochriskante KI-Systeme einzustufen sind, als erfüllt, soweit diese Produkte die grundlegenden Cybersicherheitsanforderungen des Anhangs I CRA einhalten und dies in der EU-Konformitätserklärung nachgewiesen ist. Fällt ein Produkt zugleich in den Anwendungsbereich der Maschinenverordnung (EU) 2023/1230, sind die Anforderungen beider Rechtsakte einzuhalten.

3. Für wen gilt der CRA?

Die zentralen Pflichten treffen den Hersteller. Hersteller ist nach der Begriffsbestimmung des CRA insbesondere, wer ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und es unter seinem eigenen Namen oder seiner eigenen Marke auf dem Markt bereitstellt. Die Herstellerpflichten sind in Art. 13 CRA geregelt und werden in Art. 27 ff. CRA sowie in den Anhängen I bis VIII konkretisiert. Sie gelten auch für Unternehmen mit Sitz außerhalb der Europäischen Union, wenn ihre Produkte auf dem Unionsmarkt bereitgestellt werden.

Neben dem Hersteller treffen eigenständige Pflichten insbesondere folgende Wirtschaftsakteure:

  • Bevollmächtigte nach Art. 18 CRA, die aufgrund eines schriftlichen Mandats bestimmte Aufgaben des Herstellers übernehmen können, ohne dessen Gesamtverantwortung zu ersetzen.
  • Einführer nach Art. 19 CRA, die nur konforme Produkte auf dem Unionsmarkt bereitstellen dürfen und eigene Prüf-, Informations- und Kooperationspflichten haben.
  • Händler nach Art. 20 CRA, die unter anderem die CE-Kennzeichnung, die Kontaktdaten und die erforderlichen Nutzerinformationen prüfen müssen.
  • Open-Source-Softwareverwalter nach Art. 24 CRA, soweit die besonderen gesetzlichen Voraussetzungen erfüllt sind.

Dienstleister und Zulieferer können mittelbar betroffen sein, etwa wenn ihre Software oder Komponenten in ein CRA-relevantes Produkt integriert werden. Insbesondere müssen auch die Hersteller nach Art. 13 Abs. 5 CRA die gebotene Sorgfalt walten lassen, wenn sie von Dritten bezogene Komponenten in ihre Produkte mit digitalen Elementen integrieren, damit solche Komponenten die Cybersicherheit des Produkts mit digitalen Elementen nicht beeinträchtigen. Verantwortlichkeiten für Komponenten, Schwachstelleninformationen, SBOM-Daten, Sicherheitsupdates und Vorfallmeldungen sollten deshalb vertraglich klar geregelt werden.

4. Zeitlicher Anwendungsbereich

Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die wesentlichen materiellen Pflichten gelten grundsätzlich ab dem 11. Dezember 2027. Die Vorschriften über die Notifizierung von Konformitätsbewertungsstellen (Kapitel IV, Art. 35 bis 51 CRA) gelten bereits seit dem 11. Juni 2026.

Die Meldepflichten nach Art. 14 CRA gelten ab dem 11. September 2026. Die Meldepflichten gelten auch für Produkte, die bereits vor dem 11. Dezember 2027 auf dem Unionsmarkt bereitgestellt wurden.

Für die übrigen CRA-Pflichten gilt für solche Altprodukte grundsätzlich: Sie werden erst relevant, wenn das Produkt ab dem 11. Dezember 2027 wesentlich verändert wird. Die Übergangsregelungen sind im Einzelfall genau zu prüfen.

5. Grundlegende Cybersicherheitsanforderungen an das Produkt

Die grundlegenden Cybersicherheitsanforderungen ergeben sich aus Art. 6 CRA in Verbindung mit Anhang I, deren Umsetzung über Art. 13 CRA in den Pflichtenkreis der Hersteller fällt.

Anhang I Teil I verlangt unter anderem von den Herstellern, dass Produkte:

  • angemessen gegen unbefugten Zugriff, Manipulation und Missbrauch geschützt sind;
  • die Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Funktionen gewährleisten;
  • ohne bekannte ausnutzbare Schwachstellen in Verkehr gebracht werden;
  • standardmäßig mit einer sicheren Konfiguration ausgeliefert werden („Security by Default“) und die Möglichkeit bieten, das Produkt in seinen ursprünglichen Zustand zurückzusetzen;
  • geeignete Authentifizierungs-, Autorisierungs- und Zugriffskontrollmechanismen einsetzen;
  • Sicherheitsupdates erhalten können, ohne die grundlegende Funktionalität unangemessen zu beeinträchtigen;
  • Angriffsflächen begrenzen und eine sichere Löschung sowie, soweit erforderlich, eine sichere Übertragung von Daten ermöglichen;
  • die Verarbeitung personenbezogener oder sonstiger Daten auf das für die Zweckbestimmung erforderliche Maß beschränken (Datenminimierung);
  • wesentliche Funktionen auch nach einem Sicherheitsvorfall verfügbar halten, einschließlich durch Abwehr- und Eindämmungsmaßnahmen gegen Denial-of-Service-Angriffe;
  • sicherheitsrelevante Vorgänge (Zugang zu Daten, Diensten oder Funktionen und Änderungen daran) aufzeichnen oder überwachen und den Nutzern einen Opt-out-Mechanismus zur Verfügung stellen.

Die Anforderungen sind risikobasiert und technologieoffen anzuwenden. Entscheidend ist daher, ob das konkrete Produkt unter Berücksichtigung seines Risikoprofils angemessen geschützt ist.

6. Pflichten der Hersteller

  • Risikobewertung

Hersteller müssen eine Cybersicherheits-Risikobewertung durchführen und deren Ergebnisse bei Planung, Design, Entwicklung, Herstellung, Lieferung und Wartung berücksichtigen (Art. 13 Abs. 2 CRA). Einzubeziehen sind insbesondere die bestimmungsgemäße Verwendung, die vernünftigerweise vorhersehbare Nutzung, die erwartete Nutzungs- beziehungsweise Unterstützungsdauer und die Einsatzumgebung.

Der CRA schreibt keine einzelne Risikobewertungsmethode vor. Die gewählte Methodik muss jedoch geeignet sein, relevante Risiken nachvollziehbar zu identifizieren, zu bewerten und durch angemessene technische und organisatorische Maßnahmen zu mindern.

Die Bewertung ist zu dokumentieren und bei neuen Erkenntnissen, Änderungen der Bedrohungslage oder wesentlichen Produktänderungen zu aktualisieren (Art. 13 Abs. 3 CRA).

  • Schwachstellenmanagement

Das Schwachstellenmanagement ist eine dauerhafte Herstellerpflicht, die sich vor allem aus Art. 13 CRA in Verbindung mit Anhang I Teil II ergibt. Hersteller müssen bereits vor dem Inverkehrbringen geeignete Prozesse einrichten, um Schwachstellen zu identifizieren, zu bewerten, zu dokumentieren und zu beheben. Während des Unterstützungszeitraums müssen diese Prozesse fortgeführt werden.

Anhang I Teil II verlangt unter anderem:

  • eine dokumentierte Strategie zur Behandlung und Offenlegung von Schwachstellen;
  • Kontaktmöglichkeiten für die Meldung von Schwachstellen;
  • ein Verfahren zur koordinierten Schwachstellenoffenlegung;
  • die unverzügliche Bereitstellung geeigneter Sicherheitsupdates;
  • die Möglichkeit, Sicherheitsupdates – soweit technisch möglich – getrennt von Funktionsupdates bereitzustellen;
  • Informationen über Updates, deren Authentizität und Integrität überprüfbar sind.

Der Unterstützungszeitraum für Softwareupdates muss die erwartete Nutzungsdauer widerspiegeln und beträgt grundsätzlich mindestens fünf Jahre, sofern nicht objektiv eine kürzere Dauer angemessen ist. Sein Enddatum ist den Nutzern bereits beim Kauf klar und verständlich mitzuteilen. Die einschlägigen Pflichten ergeben sich vor allem aus Art. 13 Abs. 8 und 9 CRA sowie Anhang II.

  • Meldepflichten

Eine Meldepflicht besteht nicht bei jeder entdeckten Schwachstelle. Art. 14 CRA erfasst insbesondere aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des Produkts mit digitalen Elementen auswirken.

Nach Kenntniserlangung gelten grundsätzlich folgende Fristen:

  • innerhalb von 24 Stunden: Frühwarnung;
  • innerhalb von 72 Stunden: ausführlichere Erstmeldung;
  • bei aktiv ausgenutzten Schwachstellen: Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme;
  • bei schwerwiegenden Sicherheitsvorfällen: Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung.

Die Meldung erfolgt über die CRA Single Reporting Platform an ENISA und das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung hat. Die Meldepflichten gelten ab dem 11. September 2026 und erfassen auch bereits zuvor auf dem Unionsmarkt bereitgestellte Produkte. Für Hersteller, die Kleinst- oder Kleinunternehmen sind, enthält Art. 64 Abs. 10 CRA eine Erleichterung: Sie werden nicht mit Geldbußen belegt, wenn sie allein die Frühwarnfrist nach Art. 14 Abs. 2 lit. a oder Abs. 4 lit. a CRA versäumen. Die Meldepflicht selbst sowie die 72-Stunden-Frist und die Frist für den Abschlussbericht bleiben unberührt; seit der Berichtigung vom 2. Juli 2025 erfasst die Freistellung auch die höchste Bußgeldstufe des Art. 64 Abs. 2 CRA. Nach Art. 15 CRA können allerdings auch jederzeit freiwillig Schwachstellen an das als Koordinator benannte CSIRT oder an die ENISA gemeldet werden.

7. Produktklassifizierung und Konformitätsbewertung

Die Einordnung Ihres Produkts in die richtige Kategorie bestimmt unmittelbar, ob eine Selbstbewertung genügt oder eine unabhängige notifizierte Stelle beziehungsweise ein europäisches Cybersicherheitszertifikat erforderlich ist. Sie beeinflusst damit Zeitplan, Kosten und Ressourcenbedarf bis zur CE-Kennzeichnung und kann über die rechtzeitige Markteinführung entscheiden.

Der CRA unterscheidet drei Stufen: einfache Produkte, wichtige Produkte (Klasse I und II) und kritische Produkte. Die maßgeblichen Produktlisten stehen in Anhang III (wichtig) und Anhang IV (kritisch); die technische Beschreibung der Kategorien war nach Art. 7 Abs. 4 CRA bis zum 11. Dezember 2025 durch Durchführungsrechtsakt der Kommission zu präzisieren, dessen jeweils aktueller Stand bei der Einordnung zu berücksichtigen ist. Maßgeblich ist nicht allein die Produktbezeichnung oder die Vermarktung, sondern ob das Produkt die Kernfunktion einer in Anhang III oder Anhang IV aufgeführten Kategorie erfüllt.

  • Einfache Produkte

Für Produkte, die weder als wichtig noch als kritisch eingestuft sind, reicht in der Regel die interne Fertigungskontrolle nach Anhang VIII Teil I (Modul A). Der Hersteller erstellt die technische Dokumentation (Anhang VII), führt die Konformitätsbewertung selbst durch, stellt die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an. Eine notifizierte Stelle ist grundsätzlich nicht beteiligt. Das entbindet den Hersteller jedoch nicht von der Pflicht, sämtliche materiellen Anforderungen des CRA einzuhalten und die Konformität belastbar nachzuweisen.

  • Wichtige Produkte der Klasse I

Wichtige Produkte der Klasse I sind in Anhang III Teil I CRA aufgeführt. Beispiele sind bestimmte Identitäts- und Zugriffsmanagementsysteme, eigenständige und eingebettete Browser, Passwortmanager, Software zur Verwaltung von Zugriffsrechten sowie bestimmte Sicherheits- und Netzwerkprodukte.

Eine Selbstbewertung bleibt möglich, wenn harmonisierte Normen, gemeinsame Spezifikationen oder – soweit verfügbar und anwendbar – ein europäisches Cybersicherheitszertifizierungsschema sämtliche einschlägigen Anforderungen abdecken. Andernfalls ist ein Verfahren unter Einbindung einer notifizierten Stelle nach Art. 32 Abs. 2 CRA durchzuführen (Modul B + C oder Modul H).

Die „Klasse-I-Einstufung“ kann den Markteintritt verzögern, wenn keine vollständigen Normen oder Spezifikationen vorliegen. Unternehmen sollten deshalb früh prüfen, ob ihr Produkt die Kernfunktion einer Klasse-I-Kategorie erfüllt, und gegebenenfalls Normenlücken durch externe Prüfung schließen.

  • Wichtige Produkte der Klasse II

Wichtige Produkte der Klasse II sind in Anhang III Teil II CRA aufgeführt. Hierzu gehören etwa bestimmte Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme, Hypervisoren sowie bestimmte Mikroprozessoren und Mikrocontroller.

Grundsätzlich ist eine externe Konformitätsbewertung erforderlich. Der Hersteller kann zwischen den in Art. 32 Abs. 3 CRA vorgesehenen Verfahren wählen, sofern deren Voraussetzungen erfüllt sind. Eine reine Selbstbewertung reicht grundsätzlich nicht aus. Für bestimmte Open-Source-Produkte gelten Sonderregelungen.

Bei Klasse II ist die Einbindung einer notifizierten Stelle unvermeidbar. Das hat direkte Auswirkungen auf Zeitplan, Kosten und Produkt-Roadmap. Eine frühzeitige Kontaktaufnahme mit einer notifizierten Stelle und die Vorbereitung der technischen Dokumentation (inkl. Risikobewertung, SBOM, Testberichte) sind entscheidend, um Engpässe zu vermeiden.

  • Kritische Produkte

Kritische Produkte sind in Anhang IV CRA geregelt. Dazu gehören insbesondere bestimmte Hardware-Sicherheitskomponenten und Produkte, die für die Vertrauenswürdigkeit zentraler digitaler Infrastrukturen von besonderer Bedeutung sind.

Für diese Produkte gelten die strengsten Nachweisanforderungen. Nach Art. 32 Abs. 4 CRA ist grundsätzlich eine externe Konformitätsbewertung oder – soweit verfügbar und anwendbar – die Nutzung eines einschlägigen europäischen Cybersicherheitszertifizierungsschemas erforderlich. Die genaue Einordnung und der verfügbare Nachweisweg müssen anhand der jeweils geltenden Produktkategorie und der einschlägigen Durchführungs- oder delegierten Rechtsakte geprüft werden.

Verlangt ein delegierter Rechtsakt nach Art. 8 Abs. 1 CRA für eine Kategorie kritischer Produkte ein europäisches Cybersicherheitszertifikat, muss dieses mindestens die Vertrauenswürdigkeitsstufe „mittel“ aufweisen. Solange ein solcher Rechtsakt nicht erlassen ist, gelten für kritische Produkte die Verfahren des Art. 32 Abs. 3 CRA und damit derselbe strenge Pfad wie für wichtige Produkte der Klasse II. Die Marktzulassung ist hier am aufwändigsten; eine späte Klassifizierung kann die Markteinführung gefährden.

8. Technische Dokumentation, CE-Kennzeichnung und Anleitung

Die technische Dokumentation ist nach Art. 31 CRA und Anhang VII zu erstellen und aktuell zu halten. Sie muss unter anderem Angaben zum Produkt, zur Architektur, zur Cybersicherheits-Risikobewertung, zu den angewandten Sicherheitsmaßnahmen, zu einschlägigen Normen und zu dem gewählten Konformitätsbewertungsverfahren enthalten.

Nach erfolgreicher Konformitätsbewertung stellt der Hersteller die EU-Konformitätserklärung nach Art. 28 CRA und Anhang V aus und bringt die CE-Kennzeichnung nach Art. 29 f. CRA an. Anhang VI enthält das Muster für die vereinfachte EU-Konformitätserklärung.

Die CE-Kennzeichnung bestätigt allerdings nicht, dass ein Produkt absolut sicher ist. Sie dokumentiert vielmehr, dass die einschlägigen unionsrechtlichen Anforderungen eingehalten und die erforderlichen Konformitätsbewertungsverfahren durchgeführt wurden.

Anhang II CRA verpflichtet Hersteller, jedem Produkt mit digitalen Elementen umfassende Nutzerinformationen beizufügen: von Herstellerangaben und eindeutiger Produktidentifikation über Zweckbestimmung und Sicherheitsumfeld bis hin zu bekannten Risiken und der Kontaktstelle für Schwachstellenmeldungen. Zusätzlich müssen Art und Dauer der technischen Sicherheitsunterstützung, das Enddatum des Supports, detaillierte Anleitungen zur sicheren Inbetriebnahme, Aktualisierung und Außerbetriebnahme sowie – falls verfügbar – der Zugang zur Software-Stückliste und zur EU-Konformitätserklärung bereitgestellt werden.

9. Bußgelder und sonstige Durchsetzung

Verstöße können erhebliche finanzielle Folgen haben. Art. 64 CRA verpflichtet die Mitgliedstaaten, wirksame, verhältnismäßige und abschreckende Sanktionen vorzusehen; die konkrete Ausgestaltung erfolgt im nationalen Recht. Die in Art. 64 genannten Obergrenzen bilden dabei den unionsrechtlichen Rahmen.

Für Unternehmen gelten insbesondere folgende Höchstgrenzen:

  • bis zu 15 Mio. Euro oder – falls höher – 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen aus Anhang I sowie gegen die Herstellerpflichten aus Art. 13 und 14 CRA;
  • bis zu 10 Mio. Euro oder – falls höher – 2 % des weltweiten Jahresumsatzes bei bestimmten weiteren Pflichtverstößen, insbesondere gegen Pflichten aus Art. 18 bis 23, Art. 28, Art. 30 bis 32 und weiteren in Art. 64 Abs. 3 genannten Vorschriften;
  • bis zu 5 Mio. Euro oder – falls höher – 1 % des weltweiten Jahresumsatzes bei falschen, unvollständigen oder irreführenden Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden.

Die Bußgeldhöhe wird nicht schematisch bestimmt. Nach Art. 64 Abs. 5 CRA sind in jedem Einzelfall alle relevanten Umstände der konkreten Situation gebührend zu berücksichtigen, insbesondere Art, Schwere, Dauer und Folgen des Verstoßes, etwaige bereits für einen ähnlichen Verstoß verhängte Geldbußen sowie Größe und Marktanteil des Wirtschaftsakteurs. Letzteres kann insbesondere für Kleinstunternehmen sowie kleine und mittlere Unternehmen, einschließlich Start-up-Unternehmen, relevant werden.

Daneben können Marktüberwachungsbehörden nach Kapitel V CRA und der Verordnung (EU) 2019/1020 unter anderem Nachbesserungen verlangen, die Bereitstellung eines Produkts untersagen oder beschränken und Rückruf- oder Rücknahmemaßnahmen veranlassen.

10. CRA-Readiness: neun Prüffragen

Unternehmen sollten ihre CRA-Vorbereitung nicht erst auf Dezember 2027 ausrichten – der erste operative Stichtag ist der 11. September 2026. Sinnvoll ist ein strukturiertes Vorgehen:

  • Produkte und Komponenten erfassen: Welche Hardware-, Software- und Firmwareprodukte werden in der EU angeboten oder in Verkehr gebracht?
  • Anwendungsbereich prüfen: Greifen Ausschlusstatbestände nach Art. 2 CRA oder speziellere unionsrechtliche Regelungen?
  • Produktklasse bestimmen: Fällt das Produkt unter Anhang III oder IV CRA?
  • Konformitätsweg planen: Ist interne Fertigungskontrolle ausreichend oder muss eine notifizierte Stelle einbezogen werden?
  • Risikomanagement etablieren: Sind Risikobewertung, Secure-by-Design und sichere Entwicklungsprozesse dokumentiert?
  • Schwachstellenprozesse organisieren: Gibt es klare Meldewege, eine koordinierte Offenlegung und belastbare Updateprozesse?
  • Meldeprozess testen: Sind die Fristen des Art. 14 CRA ab dem 11. September 2026 beherrschbar?
  • Lieferkette absichern: Sind Verantwortlichkeiten für Komponenten, SBOM-Informationen, Updates und Vorfallmeldungen vertraglich geregelt?
  • Dokumentation vorbereiten: Sind technische Dokumentation, EU-Konformitätserklärung und Nachweise für Marktüberwachungsbehörden verfügbar?

11. Fazit

Der CRA macht Cybersicherheit zu einer verbindlichen Produkt- und Compliance-Anforderung. Unternehmen müssen deshalb nicht nur die Sicherheitsfunktionen ihres Produkts, sondern auch dessen Risikoprofil, Produktklasse, Unterstützungszeitraum, Lieferkette, Meldeprozesse und Konformitätsbewertungsverfahren betrachten.

Wer Produktklassifizierung und Nachweisweg frühzeitig klärt, kann technische Anforderungen, Vertragsgestaltung und interne Prozesse aufeinander abstimmen und gerät nicht kurz vor Ablauf der Umsetzungsfrist in Stress. Gerade bei wichtigen und kritischen Produkten ist eine späte Prüfung riskant, weil externe Konformitätsbewertungen und die Vorbereitung auf die Meldepflichten die Markteinführung und den laufenden Betrieb erheblich beeinflussen können.