EU Cyber Resilience Act – Cybersecurity wird zur Produkt-Compliance

Aus dem Newsletter Reporting Trends & Solutions  Newsletter abonnieren

EU Cyber Resilience Act – Cybersecurity wird zur Produkt-Compliance

Mit dem EU Cyber Resilience Act (CRA) schafft die EU einen horizontalen Rechtsrahmen für die Cybersicherheit von Produkten mit digitalen Elementen. Für Hardware- und Softwareprodukte, die in den Anwendungsbereich fallen und auf dem EU-Markt bereitgestellt werden, werden Cybersicherheitsanforderungen damit zu verbindlichen Compliance- und Nachweispflichten.

Der Zeitplan steht bereits fest: Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Als nächster zentraler Meilenstein greifen ab dem 11. September 2026 die Meldepflichten nach Art. 14 CRA für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit des jeweiligen Produktes. Die übrigen produktbezogenen Pflichten – insbesondere zu Risikobewertung, technischer Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung – sind ab dem 11. Dezember 2027 anzuwenden.

Betroffen sind insbesondere Hersteller, Importeure und Händler von Produkten mit digitalen Elementen i. S. des CRA. Hierzu zählen Softwareprodukte, vernetzte Hardwareprodukte sowie separat in Verkehr gebrachte Software- oder Hardwarekomponenten.

Konkrete Anforderungen des CRA?

• Security by Design & Security by Default: Cybersicherheitsanforderungen müssen bereits bei Konzeption, Entwicklung und Bereitstellung von Produkten mit digitalen Elementen berücksichtigt werden.
• Risikobewertung & technische Dokumentation: Cybersicherheits-Risiken sind strukturiert zu bewerten. Die Ergebnisse und gewählten Maßnahmen müssen in der technischen Dokumentation nachvollziehbar abgebildet werden.
• Konformitätsbewertung & CE-Kennzeichnung: Vor Markteintritt ist die erforderliche Konformitätsbewertung durchzuführen, die EU-Konformitätserklärung zu erstellen und die CE-Kennzeichnung zu berücksichtigen.
• Schwachstellenmanagement: Hersteller müssen einen Support-Zeitraum festlegen und während dieses Zeitraums sicherstellen, dass Schwachstellen wirksam behandelt werden.
• Meldepflichten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind innerhalb der vorgesehenen Fristen zu melden. Die Meldefristen unterscheiden sich je nach Vorfall und berücksichtigen Zeiträume von 24 Stunden bis 72 Stunden inkl. einer finalen Berichterstattung.

Was bedeutet das für die Praxis?

Betroffene Unternehmen müssen künftig nachweisen können, dass Cybersicherheitsanforderungen im Produktlebenszyklus angemessen berücksichtigt wurden.

In der Praxis betrifft dies nicht allein die technische Produktentwicklung. Auch Compliance, Legal, Einkauf, Vertrieb und Governance müssen ein gemeinsames Verständnis dafür entwickeln, welche Produkte in den Anwendungsbereich fallen, welche Rolle das Unternehmen in der Lieferkette einnimmt und welche Nachweise gegenüber Kunden, Marktüberwachungsbehörden oder Geschäftspartnern erforderlich sind.

Der CRA berücksichtigt insbesondere Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen. Die praktische Relevanz des CRA zeigt sich in folgenden Fällen, wie z. B. bei Unternehmen, die digitale Komponenten zuliefern, Komponenten Dritter in eigene Produkte integrieren oder CRA-bezogene Anforderungen erfüllen müssen (z. B. durch, Ausschreibungen, Kundenverträge, Lieferkettenanforderungen oder Kundenverträge).

Für betroffene Unternehmen beginnt die Vorbereitung daher nicht erst mit der vollständigen Anwendung der produktbezogenen Pflichten im Dezember 2027. Bereits ab September 2026 müssen Meldewege für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle mit Auswirkungen auf die Produktsicherheit funktionsfähig sein. Dies setzt voraus, dass Verantwortlichkeiten, Informationswege und Nachweisstrukturen rechtzeitig identifiziert und implementiert sind.

Unsere Empfehlung:

Unternehmen sollten frühzeitig Transparenz über Betroffenheit, Produktportfolio, Rollen in der Lieferkette und bestehende Nachweise schaffen. Dadurch kann proaktiv eine belastbare Grundlage für interne Entscheidungen, Kundenkommunikation, Nutzerinformationen und spätere Konformitätsnachweise geschaffen werden.

Unsere Expertinnen und Experten unterstützen Sie gerne bei der prüferischen Einordnung.