Der Cyber Resilience Act (CRA) verpflichtet Hersteller, die Cybersicherheit ihrer Produkte mit digitalen Elementen über deren Lebenszyklus zu gewährleisten. Wer ein Produkt unter eigenem Namen oder eigener Marke auf den EU-Markt bringt, kann Hersteller sein, auch wenn ein Softwaredienstleister die Entwicklung übernimmt. Die Unternehmensaufgabe besteht darin, Betroffenheit, Zuständigkeiten, Prozesse, Ressourcen und Nachweise rechtzeitig zu organisieren.

Die Hauptpflichten gelten grundsätzlich ab dem 11. Dezember 2027. Meldepflichten für aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle gelten bereits seit dem 11. September 2026. Der CRA ist damit nicht nur ein künftiges Technikthema: Unternehmen müssen ihre Melde- und Eskalationswege bereits heute arbeitsfähig halten.

Der CRA ist eine EU-Verordnung für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Dazu zählen vernetzte Geräte, eigenständige Software und bestimmte Softwarekomponenten. Der Anwendungsbereich ist produktbezogen: Nicht jede Website, interne Anwendung oder IT-Dienstleistung fällt automatisch darunter. Bei Cloud-Funktionen, Open-Source-Software, Komponenten und Produkten mit besonderen sektoralen Regeln sind zusätzliche Abgrenzungen zu beachten.

Unternehmen sollten deshalb zunächst klären, welche konkreten Produkte sie anbieten, welche digitalen Funktionen und Softwarebestandteile dazugehören und wie sie in der Lieferkette auftreten. Eine pauschale Aussage wie „Wir sind nur Softwareentwickler“ oder „Wir kaufen die Software ein“ reicht für die rechtliche Einordnung nicht aus.

Als Hersteller gilt grundsätzlich, wer ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf dem Markt bereitstellt. Die Entwicklung auszulagern verlagert die Herstellerrolle nicht automatisch auf den beauftragten Softwarepartner.

Der Hersteller verantwortet insbesondere die Konformität des Gesamtprodukts, die Risikobewertung, die technische Dokumentation, die EU-Konformitätserklärung und die vorgeschriebenen Meldungen. Importeuren und Händlern weist der CRA ebenfalls Pflichten zu, die von ihrer Rolle in der Lieferkette abhängen. Ein Softwarepartner kann technische Beiträge erbringen und vereinbarte Aufgaben übernehmen; die rechtliche Produktverantwortung des Herstellers lässt sich dadurch nicht pauschal ersetzen.

Für Geschäftsführung und Unternehmensverantwortliche bedeutet das: Es braucht benannte Verantwortliche, Entscheidungsbefugnisse, verfügbare Ressourcen und eine Eskalation, die bei Sicherheitsproblemen funktioniert. Der CRA schreibt keine bestimmte Organisationsstruktur vor. Das Unternehmen muss aber in der Lage sein, seine Pflichten fristgerecht zu erfüllen.

Der CRA verlangt einen risikobasierten Ansatz für die Sicherheit des Produkts. Hersteller müssen die Risiken beurteilen und passende technische und organisatorische Maßnahmen umsetzen. Welche Maßnahmen erforderlich sind, hängt unter anderem von Funktion, Nutzung, Schnittstellen und möglichen Auswirkungen eines Sicherheitsvorfalls ab.

Security by Design heißt, Sicherheitsanforderungen bereits in Architektur und Entwicklung einzubeziehen. Security by Default bedeutet, sichere Grundeinstellungen vorzusehen, etwa begrenzte Berechtigungen und deaktivierte unnötige Funktionen. Der CRA schreibt nicht pauschal ein bestimmtes Werkzeug oder eine bestimmte Entwicklungsmethode vor. Entscheidend ist, dass die getroffenen Maßnahmen zum Produkt passen und nachvollziehbar dokumentiert werden.

Hersteller müssen außerdem Komponenten und Schwachstellen über den Produktlebenszyklus im Blick behalten. Eine Software Bill of Materials (SBOM) unterstützt als maschinenlesbare Komponentenliste die Zuordnung von Bibliotheken und Versionen. Der CRA verlangt eine SBOM mit mindestens den obersten Abhängigkeiten. Sie muss nicht generell öffentlich veröffentlicht werden, kann aber von Marktüberwachungsbehörden angefordert werden.

Hersteller müssen Schwachstellen während des Supportzeitraums wirksam behandeln, einschließlich solcher in eingebundenen Komponenten. Dazu gehören ein Prozess für eingehende Meldungen, die Bewertung betroffener Versionen, die Entwicklung und Verteilung von Korrekturen sowie geeignete Informationen für Nutzer.

Seit dem 11. September 2026 sind aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle über die CRA Single Reporting Platform zu melden. Die Frühwarnung muss innerhalb von 24 Stunden erfolgen, die vollständige Meldung innerhalb von 72 Stunden. Bei aktiv ausgenutzten Schwachstellen ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme fällig; bei schwerwiegenden Sicherheitsvorfällen spätestens einen Monat nach der 72-Stunden-Meldung.

Der Hersteller bleibt für die Meldung verantwortlich. Softwarepartner können technische Informationen liefern, etwa zu betroffenen Versionen, Komponenten und möglichen Korrekturen. Unternehmen müssen vorab festlegen, wer Meldungen bewertet, wer die Entscheidung trifft und wer sie übermittelt. Diese organisatorischen Schritte sind wichtig, damit die kurzen gesetzlichen Fristen eingehalten werden können.

Hersteller müssen Sicherheitsupdates bereitstellen, die bekannte Schwachstellen wirksam beheben. Der Supportzeitraum muss zur erwarteten Nutzungsdauer des Produkts passen und für Käufer erkennbar sein. Grundsätzlich sind mindestens fünf Jahre vorgesehen; wenn das Produkt üblicherweise kürzer genutzt wird, kann ein kürzerer Zeitraum angemessen sein.

Für die Unternehmensplanung gehören daher Updatefähigkeit, Wartungsressourcen und Zuständigkeiten zusammen. Der Hersteller muss den Produkt-Support organisieren und sicherstellen, dass Korrekturen über den vorgesehenen Zeitraum verfügbar bleiben. Wie Entwicklung, Test und Auslieferung mit Softwarepartnern organisiert werden, ist eine konkrete Umsetzungsfrage und wird im zweiten Artikel vertieft.

Vor dem Inverkehrbringen muss der Hersteller die vorgeschriebene Konformitätsbewertung durchführen und technische Unterlagen erstellen. Dazu gehören Informationen über das Produkt, die betrachteten Risiken und die umgesetzten Sicherheitsmaßnahmen. Das passende Verfahren hängt von der Produktkategorie ab: Für viele Produkte ist eine interne Konformitätsbewertung möglich, während für bestimmte wichtige oder kritische Produktgruppen strengere Verfahren gelten.

Nach erfolgreicher Bewertung stellt der Hersteller die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an. Das CE-Zeichen ist kein allgemeines Qualitätssiegel, sondern Teil des Konformitätsverfahrens. Technische Nachweise müssen nachvollziehbar und dem Produktstand zugeordnet sein; Beiträge eines Zulieferers ersetzen nicht die vollständige Herstellerdokumentation.

• 10. Dezember 2024: Der CRA tritt in Kraft.
• 11. Juni 2026: Vorschriften zur Benennung und Notifizierung von Konformitätsbewertungsstellen gelten.
• 11. September 2026: Meldepflichten für aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle gelten.
• 11. Dezember 2027: Die Hauptpflichten gelten grundsätzlich für Produkte, die ab diesem Zeitpunkt neu auf dem EU-Markt bereitgestellt werden.

Bei Produkten, die vor dem 11. Dezember 2027 auf den Markt gebracht wurden, können Pflichten greifen, wenn sie danach wesentlich verändert werden. Ob eine Änderung als wesentlich gilt, muss für das konkrete Produkt anhand der Verordnung und geltender Leitlinien bewertet werden.

Ein sinnvoller erster Schritt ist die produktbezogene Bestandsaufnahme: Welche Produkte werden in der EU bereitgestellt, wer ist Hersteller und welche digitalen Komponenten oder Dienstleister sind beteiligt? Danach sollten die Verantwortlichen prüfen, ob Meldewege, Schwachstellenmanagement, Updateplanung und technische Nachweise vorhanden sind.

Auf Managementebene sind insbesondere diese Punkte zu klären:

• Produkt- und Unternehmensrollen in der Lieferkette bestimmen.
• Verantwortliche für Produktsicherheit, Vorfälle und Konformität benennen.
• Melde- und Eskalationswege auf die seit September 2026 geltenden Fristen ausrichten.
• Supportzeitraum und Ressourcen für Sicherheitsupdates planen.
• Sicherstellen, dass technische Nachweise für die Konformitätsbewertung verfügbar sind.
• Softwarepartner mit klaren Verantwortlichkeiten und Informationspflichten einbinden.

Der CRA macht Cybersicherheit damit zu einer dauerhaften Produkt- und Managementaufgabe. Wer Verantwortlichkeiten früh festlegt, kann die Anforderungen in Entwicklung, Einkauf, Wartung und Unternehmenssteuerung verankern, statt sie erst kurz vor der Konformitätsbewertung zusammenzusuchen.

Betroffen sein können Hersteller von Software und Produkten mit digitalen Elementen, aber auch weitere Wirtschaftsakteure der Lieferkette. Ausschlaggebend ist die konkrete Produkt- und Marktrolle. Besonders wichtig für Unternehmensverantwortliche: Die Herstellerpflichten verschwinden nicht, wenn Entwicklung oder Wartung ausgelagert werden.

Meldepflichten gelten bereits seit dem 11. September 2026; die Hauptpflichten beginnen grundsätzlich am 11. Dezember 2027. Hersteller müssen deshalb Betroffenheit, Sicherheitsprozesse, Updates, Dokumentation und Konformitätsbewertung rechtzeitig organisieren. Der zweite Beitrag zeigt, wie Unternehmen daraus konkrete Zuständigkeiten, Liefergegenstände und Steuerungsmechanismen mit ihrem Softwaredienstleister ableiten.

Dieser Beitrag bietet eine allgemeine Orientierung und keine Rechtsberatung. Für die verbindliche Einordnung eines konkreten Produkts sind der Verordnungstext und die geltenden offiziellen Leitlinien maßgeblich.