Leistungen / Cyber Resilience Act
Cyber Resilience Act (CRA) Beratung
Sichere Produkte mit digitalen Elementen. Von der Betroffenheit bis zur CE-Kennzeichnung.
Der Cyber Resilience Act macht Cybersicherheit zur Voraussetzung für den Verkauf vernetzter Produkte in der EU. Wir klären mit Ihnen, was das für Ihre Produkte bedeutet, und bauen die nötigen Prozesse so auf, dass sie zu Ihrer Entwicklung und Produktion passen.
Gesetzlicher Stand
In Kraft
seit 10. Dezember 2024 (Verordnung (EU) 2024/2847)
Meldepflichten
gelten seit 11. September 2026
Volle Anwendung
ab 11. Dezember 2027
Betrifft
Hersteller, Importeure und Händler von Produkten mit digitalen Elementen
Stand: September 2026
Die Ausgangslage
Was der Cyber Resilience Act verändert
Bisher war Cybersicherheit bei vielen Produkten eine freiwillige Qualitätsfrage. Mit dem CRA wird sie zur Pflicht: Wer Produkte mit digitalen Elementen in der EU verkauft, muss nachweisen, dass sie sicher entwickelt wurden, und sie über ihren gesamten Lebenszyklus sicher halten.
Das CE-Kennzeichen steht damit künftig auch für Cybersicherheit. Hersteller müssen Schwachstellen systematisch managen, kostenlose Sicherheitsupdates bereitstellen und bestimmte Vorfälle innerhalb kurzer Fristen melden. Die ersten Pflichten gelten bereits, ab Dezember 2027 dann alle.
Betroffenheit
Betrifft der CRA Ihre Produkte?
Grundsätzlich fallen alle Hard- und Softwareprodukte unter den CRA, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können. Das reicht vom vernetzten Sensor über Maschinen mit digitaler Steuerung bis zur Software und App.
Ausgenommen sind Bereiche mit eigenen Regeln, etwa Medizinprodukte, Fahrzeuge oder Luftfahrt. Wie ein Produkt eingestuft wird und welche Pflichten konkret gelten, ist eine rechtliche Frage. Deshalb arbeiten wir auch hier eng mit spezialisierten Partnerkanzleien zusammen: Wir bereiten mit Ihnen die technischen Grundlagen auf, die Kanzlei übernimmt die rechtliche Einordnung.
Häufig unterschätzt: Nicht nur klassische IT-Hersteller sind betroffen. Auch Maschinenbauer, Anlagenbauer und Elektrotechnik-Unternehmen fallen darunter, sobald ihre Produkte vernetzt sind oder Software enthalten.
Was wir für die Einordnung gemeinsam erfassen
- Produkte
Welche Ihrer Produkte haben digitale Elemente oder eine Verbindung zu Geräten oder Netzwerken? - Rolle
Sind Sie Hersteller, Importeur oder Händler der Produkte? - Einstufung
Handelt es sich um ein Standardprodukt, ein wichtiges oder ein kritisches Produkt? - Ausnahmen
Fällt ein Produkt unter andere Regeln, etwa für Medizinprodukte oder Fahrzeuge?
Rechtliche Einordnung: Die verbindliche Bewertung erfolgt auf Wunsch durch unsere Partnerkanzlei.
Anforderungen
Was der CRA von Herstellern verlangt
Die Anforderungen betreffen das Produkt selbst und die Prozesse dahinter. Diese sechs Bereiche stehen im Mittelpunkt:
Security by Design
Cybersicherheit wird von Anfang an mitgedacht, auf Basis einer Risikobewertung des Produkts.
Sichere Standardeinstellungen
Produkte werden mit sicheren Voreinstellungen ausgeliefert, unnötige Funktionen sind deaktiviert.
Schwachstellenmanagement
Schwachstellen werden erkannt, dokumentiert und behoben, auch in zugekauften Komponenten.
Sicherheitsupdates
Kostenlose Updates über einen festgelegten Supportzeitraum, in der Regel mindestens fünf Jahre.
Meldepflichten
Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle müssen innerhalb kurzer Fristen gemeldet werden.
Dokumentation und CE
Technische Dokumentation, Software-Stückliste (SBOM), Konformitätserklärung und CE-Kennzeichnung.
Handlungsbedarf
Die Meldepflichten gelten bereits.
Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die Fristen sind kurz:
24 Stunden
Frühwarnung, nachdem Sie von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall erfahren haben.
72 Stunden
Ausführliche Meldung mit ersten Informationen zu Art, Auswirkungen und Gegenmaßnahmen.
Abschlussbericht
Spätestens 14 Tage nach Bereitstellung einer Korrektur, bei Vorfällen innerhalb eines Monats.
Wer dafür keinen eingespielten Prozess hat, kann diese Fristen im Ernstfall kaum einhalten.
Grundlage: Artikel 14 der Verordnung (EU) 2024/2847
So gehen wir’s an
In vier Schritten CRA-konform
Die Schritte bauen aufeinander auf. Sie entscheiden nach jedem Schritt, wie es weitergeht.
1
Betroffenheit klären
Wir erfassen Ihre Produkte und Ihre Rolle. Unsere Partnerkanzlei übernimmt auf dieser Grundlage die rechtliche Einordnung.
Ergebnis: Klarheit, welche Produkte betroffen sind und wie sie eingestuft werden
2
Gap-Analyse
Wir gleichen Ihre Produkte und Prozesse mit den Anforderungen des CRA ab und zeigen, wo Handlungsbedarf besteht.
Ergebnis: priorisierter Maßnahmenplan mit realistischem Aufwand
3
Schwachstellen- und Meldeprozesse
Wir bauen mit Ihnen auf, wie Schwachstellen erkannt, bewertet, behoben und fristgerecht gemeldet werden.
Ergebnis: ein Prozess, der im Ernstfall funktioniert
4
Konformitätsbewertung und CE
Wir begleiten Sie bei technischer Dokumentation und Konformitätserklärung und, wo nötig, bei der Prüfung durch eine benannte Stelle.
Ergebnis: Produkte, die die Anforderungen für den EU-Markt erfüllen
Ergebnis
Was Sie davon haben
Sicherheit wird Teil Ihrer Produktentwicklung, nicht ein nachträglicher Aufwand.
Klarheit
Sie wissen, welche Produkte betroffen sind und welche Pflichten gelten.
Handlungsfähigkeit
Ein Meldeprozess, mit dem Sie die Fristen im Ernstfall einhalten.
Marktzugang
Die Grundlage, Ihre Produkte weiter in der EU verkaufen zu dürfen.
Wettbewerbsvorteil
Nachweisbar sichere Produkte überzeugen Kunden und Ausschreibungen.
Über uns
Wer Sie begleitet
Nena Tempel
Geschäftsführerin
Wirtschaftsinformatikerin mit Schwerpunkt auf Governance, Risikomanagement und NIS2. Übersetzt Sicherheitsanforderungen in Strukturen, die im Alltag funktionieren.
Simon Fieber
Geschäftsführer
Über zehn Jahre Erfahrung in der Systemtechnik. Macht technische Themen für Geschäftsführungen verständlich und entscheidbar.
Bis zu 80 % Förderung durch das BAFA
Unsere CRA-Beratung ist über das BAFA-Programm „Förderung von Unternehmensberatungen für KMU“ förderfähig. Je nach Standort Ihres Unternehmens übernimmt das BAFA 50 % oder 80 % der förderfähigen Beratungskosten.
FAQ
Häufige Fragen zum Cyber Resilience Act
Was ist ein Produkt mit digitalen Elementen?
Jedes Hard- oder Softwareprodukt, das direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann. Dazu zählen vernetzte Geräte und Maschinen ebenso wie Software, Apps und die dazugehörigen Datenverarbeitungen aus der Ferne.
Was ist der Unterschied zwischen CRA und NIS2?
NIS2 betrifft Unternehmen als Betreiber und regelt deren Informationssicherheit. Der CRA betrifft Produkte und deren Hersteller. Viele Unternehmen sind von beidem betroffen, etwa ein Maschinenbauer, der selbst unter NIS2 fällt und vernetzte Maschinen verkauft. Mehr dazu auf unserer Seite zur NIS2 Beratung.
Brauchen wir eine benannte Stelle?
Das hängt von der Einstufung Ihres Produkts ab. Für die meisten Produkte reicht eine Selbstbewertung durch den Hersteller. Bei wichtigen und kritischen Produkten kann oder muss eine unabhängige benannte Stelle prüfen. Das klären wir im ersten Schritt.
Wir verkaufen Produkte nur weiter. Betrifft uns das?
Ja, auch Importeure und Händler haben Pflichten. Sie müssen zum Beispiel prüfen, ob Produkte die CE-Kennzeichnung tragen und die nötigen Unterlagen vorliegen. Die Pflichten sind aber deutlich geringer als für Hersteller.
Was droht bei Verstößen?
Bei Verstößen gegen die grundlegenden Anforderungen sind Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich. Außerdem können Behörden verlangen, dass Produkte vom Markt genommen werden.
Loslegen
Sprechen wir über Ihre Produkte
In einem kostenfreien Erstgespräch klären wir, ob der CRA Ihre Produkte betrifft und welcher Einstieg sinnvoll ist.
