Der Cyber Resilience Act: Schutz und Anforderungen für digitale Produkte

Der Cyber Resilience Act markiert einen entscheidenden Meilenstein in der europäischen Gesetzgebung für Cybersicherheit. Die Verordnung verpflichtet Hersteller, Händler und Importeure dazu, digitale Produkte über ihren gesamten Lebenszyklus hinweg vor Cyberrisiken zu schützen.

Dies betrifft eine Vielzahl von Branchen – von der industriellen Fertigung über die Medizintechnik bis hin zu Betreibern kritischer Anlagen. Mit dieser Initiative stellt die Europäische Union sicher, dass Schwachstellen nicht erst nach der Markteinführung mühsam behoben werden müssen. Stattdessen rückt die Vermeidung von Sicherheitslücken direkt in den Fokus der Produktentwicklung. Unternehmen müssen sich frühzeitig mit den Vorgaben vertraut machen, um den Marktzugang in Europa nicht zu gefährden.

A. Was ist der Cyber Resilience Act (CRA)?

Der Cyber Resilience Act (CRA) ist eine verordnete Rechtsvorschrift der Europäischen Union, die EU-weit einheitliche Standards für die Cybersicherheit von Produkten mit digitalen Elementen etabliert. Die Grundidee hinter dieser Regulierung besteht darin, das Konzept „Security by Design“ und „Security by Default“ zur Pflicht zu machen. Produkte sollen somit bereits ab dem ersten Entwicklungsschritt sowie in ihren Werkseinstellungen maximal gegen IT-Angriffe geschützt sein.

Einhalten muss den Cyber Resilience Act alle Akteure der Lieferkette, die hardware- oder softwarebasierte Produkte im Binnenmarkt anbieten – unabhängig davon, ob das herstellende Unternehmen seinen Sitz innerhalb oder außerhalb der EU hat.

CRA vs. NIS2 vs. ISO 27001 – worin bestehen die Unterschiede?

Während NIS2 Pflichten für Organisationen und deren betriebliche IT-Infrastruktur regelt und ISO 27001 einen international bewährten Standard für das allgemeine Informationssicherheits-Managementsystem (ISMS) eines Unternehmens darstellt, setzt der CRA direkt beim konkreten Produkt an. Der Cyber Resilience Act verpflichtet Hersteller, die physische und digitale Hard- und Software selbst ab der Entstehung und über die gesamte Nutzungssicherheit hinweg abzusichern.

B. Was sind die Kernanforderungen des CRA?

Vom CRA betroffen sind grundsätzlich nahezu alle Hardware- und Softwareprodukte, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden können. Dies reicht von Betriebssystemen, Industrie-Steuerungen (PLC) und Netzwerkelementen bis hin zu mobilen Anwendungen und IoT-Geräten. Herstellende sind verpflichtet, Schwachstellen während der gesamten Produktlebensdauer zu beheben, Sicherheitsupdates bereitzustellen und eine vollständige Softwaredokumentation (SBOM) zu führen.

Ausgenommen vom Cyber Resilience Act sind Produkte, für die bereits strengere oder spezifischere sektorale EU-Sicherheitsanforderungen gelten:

• Medizinprodukte und In-vitro-Diagnostika, die eigenständigen Richtlinien unterliegen.
• Kraftfahrzeuge und deren Typgenehmigungen (z. B. nach UN ECE R155/R156).
• Zivile Luftfahrt- und Marineausrüstung.
• Rein nicht-kommerzielle Open-Source-Software, die ohne Gewinnerzielungsabsicht entwickelt wird.
• Reine Ersatzteile, die nicht als eigenständige Komponenten am Markt betrieben werden können.
  
  

C. Regulierte Produkte

Das Gesetz teilt betroffene Erzeugnisse je nach Risikopotenzial und Einsatzbereich in verschiedene Kategorien ein.

Allgemein regulierte Produkte mit digitalen Elementen (Standard-Kategorie)

1. Software und Hardware mit Schnittstellen, die kein hohes Cybersicherheitsrisiko aufweisen.
2. Standardanwendungen, Konsumgüter-IoT, einfache Sensoren und Programme.
3. Nachweis der Konformität erfolgt in der Regel durch eine eigenständige Selbstbewertung des Herstellers.

Kritische Produkte (Klasse I)

1. Produkte, deren Sicherheitsfunktion zentral ist oder bei deren Ausfall erhebliche Schäden entstehen können.
2. Passwörter-Manager, Firewalls, Netzwerk-Schnittstellen, VPN-Clients und Systeme der Gebäude- sowie Industrieautomatisierung.
3. Nachweis erfordert die Einhaltung harmonisierter Europäischen Normen oder die Prüfung durch eine externe Prüfstelle (Notified Body).

Kritische Produkte (Klasse II / Hochkritische Produkte)

1. Erzeugnisse mit extrem hohem Sicherheitsrisiko, deren Kompromittierung kritische Infrastrukturen stören kann.
2. Betriebssysteme, Industrial IoT (IIO-Geräte) für Kerninfrastrukturen, Hardware-Sicherheitsmodule (HSM) und Mikroprozessoren.
3. Zwingende Konformitätsbewertung durch eine unabhängige, staatlich benannte Zertifizierungsstelle.
   
   

D. Welche Sanktionen sieht der Cyber Resilience Act vor?

Das Gesetz verankert spürbare finanzielle und administrative Aufsichtsmaßnahmen, um eine verlässliche Einhaltung der Sicherheitsstandards durchzusetzen. Bei Verstößen drohen den Herstellern und Händlern gestaffelte Geldbußen sowie Beschränkungen des Binnenmarktzugangs.

1. Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die wesentlichen Cybersicherheitsanforderungen oder Pflichten zur Risikobeurteilung.
2. Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei der Nichteinhaltung sonstiger Pflichten, wie etwa den Meldefristen für Vorfälle und Schwachstellen.
3. Bis zu 5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes bei der Übermittlung von unrichtigen, unvollständigen oder irreführenden Informationen an Marktüberwachungsbehörden.
4. Vertriebsverbot und Produktrückruf, da Produkte ohne gültige Konformität und CE-Kennzeichnung nicht in der EU verkauft werden dürfen.

Der Cyber Resilience Act setzt einen einheitlichen Standard für die Sicherheit digitaler Produkte im europäischen Markt. Hersteller müssen Sicherheitsaspekte bereits ab Beginn der Produktentwicklung verpflichtend verankern. Durch die Unterteilung in verschiedene Risikoklassen gelten für besonders kritische Komponenten strengere Prüfauflagen durch externe Stellen.

Streng reglementierte Bereiche wie die Automobilbranche oder die Medizintechnik sind durch spezifische Sonderregelungen weitgehend ausgenommen. Versäumte Pflichten oder fehlerhafte Angaben führen zu empfindlichen Geldstrafen und möglichen Vertriebsverboten. Das Gesetz stärkt damit nachhaltig das Vertrauen in die digitale Infrastruktur von Unternehmen und Endnutzern.

Die rechtzeitige Vorbereitung auf den EU Cyber Resilience Act entscheidet künftig über den Markterfolg digitaler Lösungen. Betroffene Organisationen sollten ihre Entwicklungs- und Dokumentationsprozesse zügig an die Vorgaben anpassen. Ein aktives Schwachstellenmanagement schützt nicht nur vor regulatorischen Bußgeldern, sondern sichert auch das Vertrauen Ihrer Kunden.

Investitionen in cybersichere Architekturen zahlen sich somit langfristig als klarer Wettbewerbsvorteil aus. Nutzen Sie die verbleibenden Übergangsfristen, um Ihre Produktlandschaft strukturiert zu analysieren und zukunftssicher aufzustellen. Gerne unterstützen wir Sie bei der Beantwortung weiterer Fragen rund um Ihre Compliance-Strategie.