Berlin, 19. Juli 2026
Der Cyber Resilience Act bringt erstmals verbindliche Cybersicherheitspflichten für nahezu alle vernetzten Produkte. Ein Überblick – und was Unternehmen jetzt angehen sollten.
Mit dem EU Cyber Resilience Act (Verordnung (EU) 2024/2847) gelten erstmals horizontale, verbindliche Cybersicherheitsanforderungen für „Produkte mit digitalen Elementen", die in der EU auf den Markt gebracht werden. Betroffen sind Hersteller, Einführer und Händler von Hard- und Software – ausdrücklich nicht nur klassische „IT-Unternehmen". Abgesichert werden die Anforderungen durch CE-Kennzeichnung, Marktüberwachung und empfindliche Bußgelder von bis zu 15 Mio. EUR bzw. 2,5 % des weltweiten Jahresumsatzes.
Überblick zum CRA
Im Kern verpflichtet der CRA vor allem die Hersteller – in Teilen auch Einführer und Händler – zu Folgendem:
- Security by Design und by Default: grundlegende Cybersicherheitsanforderungen (Anhang I) über den gesamten Produktlebenszyklus.
- Schwachstellenbehandlung und Meldepflichten: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind über die einheitliche Meldeplattform (ENISA/CSIRT) zu melden – Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden.
- Unterstützungszeitraum: Bereitstellung von Sicherheitsupdates für in der Regel mindestens fünf Jahre.
- Transparenz und Lieferkette: technische Dokumentation, Software-Stückliste (SBOM) und Sorgfalt gegenüber Komponenten Dritter.
- Konformitätsbewertung und CE-Kennzeichnung: je nach Produktkritikalität, mit EU-Konformitätserklärung.
- Sonderregime: erleichterte Pflichten u. a. für Verwalter quelloffener Software.
Zeitschiene: in Kraft seit 10. Dezember 2024 · Melde- und Schwachstellenpflichten ab 11. September 2026 · vollständige Geltung ab 11. Dezember 2027. Wer jetzt beginnt, hat einen klaren Vorsprung.
Wir haben den CRA für Sie aufbereitet:
- Was ist zu tun? – ein Schritt-für-Schritt-Compliance-Leitfaden mit direkter Verlinkung zu jeder einschlägigen Vorschrift.
- FAQ zum CRA – die häufigsten Fragen, praxisnah beantwortet.
- Verordnungstext – der vollständige Wortlaut aller Artikel und Anhänge mit komfortabler Artikel-Navigation.
Sie sind unsicher, ob und wie der CRA Ihr Unternehmen betrifft? SES Berlin begleitet Sie von der ersten Betroffenheitsprüfung über die Konformitätsbewertung bis zur Vertrags- und Lieferkettengestaltung. Sprechen Sie uns an.
Berlin, 19. Juli 2026
Der Cyber Resilience Act bringt erstmals verbindliche Cybersicherheitspflichten für nahezu alle vernetzten Produkte. Ein Überblick – und was Unternehmen jetzt angehen sollten.
Mit dem EU Cyber Resilience Act (Verordnung (EU) 2024/2847) gelten erstmals horizontale, verbindliche Cybersicherheitsanforderungen für „Produkte mit digitalen Elementen", die in der EU auf den Markt gebracht werden. Betroffen sind Hersteller, Einführer und Händler von Hard- und Software – ausdrücklich nicht nur klassische „IT-Unternehmen". Abgesichert werden die Anforderungen durch CE-Kennzeichnung, Marktüberwachung und empfindliche Bußgelder von bis zu 15 Mio. EUR bzw. 2,5 % des weltweiten Jahresumsatzes.
Überblick zum CRA
Im Kern verpflichtet der CRA vor allem die Hersteller – in Teilen auch Einführer und Händler – zu Folgendem:
- Security by Design und by Default: grundlegende Cybersicherheitsanforderungen (Anhang I) über den gesamten Produktlebenszyklus.
- Schwachstellenbehandlung und Meldepflichten: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind über die einheitliche Meldeplattform (ENISA/CSIRT) zu melden – Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden.
- Unterstützungszeitraum: Bereitstellung von Sicherheitsupdates für in der Regel mindestens fünf Jahre.
- Transparenz und Lieferkette: technische Dokumentation, Software-Stückliste (SBOM) und Sorgfalt gegenüber Komponenten Dritter.
- Konformitätsbewertung und CE-Kennzeichnung: je nach Produktkritikalität, mit EU-Konformitätserklärung.
- Sonderregime: erleichterte Pflichten u. a. für Verwalter quelloffener Software.
Zeitschiene: in Kraft seit 10. Dezember 2024 · Melde- und Schwachstellenpflichten ab 11. September 2026 · vollständige Geltung ab 11. Dezember 2027. Wer jetzt beginnt, hat einen klaren Vorsprung.
Wir haben den CRA für Sie aufbereitet:
- Was ist zu tun? – ein Schritt-für-Schritt-Compliance-Leitfaden mit direkter Verlinkung zu jeder einschlägigen Vorschrift.
- FAQ zum CRA – die häufigsten Fragen, praxisnah beantwortet.
- Verordnungstext – der vollständige Wortlaut aller Artikel und Anhänge mit komfortabler Artikel-Navigation.
Sie sind unsicher, ob und wie der CRA Ihr Unternehmen betrifft? SES Berlin begleitet Sie von der ersten Betroffenheitsprüfung über die Konformitätsbewertung bis zur Vertrags- und Lieferkettengestaltung. Sprechen Sie uns an.