Definition: Cyber-Resilienz-Verordnung (CRA)
Die Cyber-Resilienz-Verordnung (Regulation (EU) 2024/2847, CRA) ist die EU-Verordnung, die Hersteller von Hardware- und Softwareprodukten mit digitalen Elementen zu verbindlichen Cybersicherheitsanforderungen verpflichtet, bevor sie auf den EU-Markt gebracht werden dürfen.
Kernmerkmale der Cyber-Resilienz-Verordnung
Der CRA erfasst fast jedes vernetzte Produkt, das in der EU verkauft wird, von industriellen Sensoren bis zu eigenständiger Software, sofern es nicht bereits sektorspezifischen Regeln wie für Medizinprodukte unterliegt. Er teilt Produkte in Standard-, wichtige und kritische Risikoklassen mit gestaffelten Anforderungen ein.
- Gilt für Hardware und Software mit digitalen Elementen auf dem EU-Markt
- Verlangt Security by Design und sichere Standardkonfiguration
- Schreibt einen dokumentierten Schwachstellenmanagement-Prozess über die Produktlebensdauer vor
- Verpflichtet Hersteller, ausgenutzte Schwachstellen und Vorfälle fristgerecht zu melden
Cyber-Resilienz-Verordnung vs. NIS2
Der CRA wird häufig mit NIS2 verwechselt, doch beide regulieren unterschiedliche Akteure. NIS2 regelt, wie Betreiber kritischer Infrastrukturen ihre eigene IT-Sicherheit organisieren, während der CRA die Hersteller reguliert, die die Produkte bauen, welche diese Betreiber kaufen. Ein Mittelstandsunternehmen kann beide Pflichten gleichzeitig tragen, als Betreiber unter NIS2 und als Hersteller unter dem CRA.
Bedeutung der Cyber-Resilienz-Verordnung im Enterprise-KI-Umfeld
Der CRA ist für Enterprise-KI relevant, weil Softwarekomponenten, einschließlich KI-Funktionen, die in Produkte eingebettet sind, unabhängig von der Hauptfunktion des Produkts unter die Schwachstellenpflichten fallen. ENISAs SBOM-Adoption-Umfrage 2026 fand, dass 43 Prozent der Unternehmen den CRA als deutlichen Treiber ihrer Investition in eine Software-Stückliste nennen, eine Voraussetzung für die geforderte Meldung. Anbieter für den Finanzsektor treffen den CRA häufig zusammen mit DORA an, das zusätzlich zur Produktsicherheit eine Aufsicht über IKT-Drittdienstleister einführt.
Methoden und Verfahren für die Cyber-Resilienz-Verordnung
Die Umsetzung des CRA stützt sich auf drei strukturierte Arbeitsstränge.
Produktklassifizierung und Konformitätsbewertung
Der erste Schritt ist die Bestimmung der Risikoklasse eines Produkts, da davon das anwendbare Verfahren abhängt. Standardklasse-Produkte können sich selbst bewerten, während wichtige und kritische Produkte eine benannte Stelle für die Drittbewertung benötigen.
- Jedes Produkt gegen die Standard-, wichtige und kritische Kategorie klassifizieren
- Die passende Konformitätsbewertung für die jeweilige Klasse durchführen
- Die Entscheidung dokumentieren und bei Produktänderungen aktuell halten
Umsetzung von Security by Design
Hersteller müssen Cybersicherheit von der Entwurfsphase an einbauen, mit sicherer Standardkonfiguration, Zugriffsschutz und Datenminimierung. Dazu gehört eine Software-Stückliste, verwandt mit der KI-Stückliste für KI-Systeme, damit jede Komponente nachvollziehbar bleibt.
Workflow für Schwachstellen- und Vorfallmeldung
Der CRA setzt eine gestaffelte Meldefrist: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls, eine ausführlichere Meldung innerhalb von 72 Stunden und einen Abschlussbericht innerhalb von 14 Tagen nach einer Behebung oder einem Monat bei Vorfällen. Wer diesen Workflow vor September 2026 aufbaut, ist vorbereitet, sobald die Single Reporting Platform live geht.
Wichtige Kennzahlen für die Cyber-Resilienz-Verordnung
Die Messung der CRA-Bereitschaft erfordert Kennzahlen zu Dokumentation, Reaktionsgeschwindigkeit und Produktabdeckung.
Operative Bereitschaftskennzahlen
- SBOM-Abdeckung: Anteil der Produkte mit aktueller Software-Stückliste
- Richtlinie zur Schwachstellenoffenlegung: veröffentlicht und für Sicherheitsforscher erreichbar
- Häufigkeit von Übungen: mindestens jährlich vor September 2026
- Produktklassifizierung: Anteil des Portfolios, der gegen die CRA-Risikoklassen bewertet wurde
Governance- und Verantwortlichkeitskennzahlen
Bitkoms Stellungnahme 2026 zum nationalen Umsetzungsgesetz nennt die Verantwortlichkeit der Geschäftsleitung für das Schwachstellenmanagement als führendes Bereitschaftssignal. Unternehmen mit einem bestehenden ISO 27001-System erreichen diese Schwelle meist schneller.
Produktsicherheitsqualität
Über die Meldefrist auf dem Papier hinaus sollten Hersteller die Zeit von Erkennung bis Meldung in Übungen und die Geschwindigkeit verfolgen, mit der Patches die Kunden erreichen.
Risikofaktoren und Kontrollen bei der Cyber-Resilienz-Verordnung
Geltungsbereich unterschätzen
Der häufigste Fehler ist die Annahme, der CRA gelte nur für offensichtliche IoT-Geräte, obwohl er auch eigenständige Software und industrielle Steuerungskomponenten erfasst.
- Geltungsbereich neu bewerten, sobald ein Produkt Netzwerkfähigkeit erhält
- White-Label- und OEM-Produkte einbeziehen, die unter eigener Marke verkauft werden
- Unsicherheit als Anlass zur Prüfung nehmen, nicht als Grund für eine angenommene Ausnahme
Risiko durch Altprodukte
Die Meldepflicht ab September 2026 gilt für bereits am Markt befindliche Produkte, sodass Hersteller mit jahrealten Produktlinien Meldepflichten für Komponenten tragen, die sie nicht mehr aktiv weiterentwickeln. Die Abkündigung oder verlängerte Pflege von Altprodukten wird damit zu einer Compliance-Entscheidung, nicht nur zu einer kommerziellen.
Unkontrollierte Software-Lieferkette
Fremd- und Open-Source-Komponenten, die ohne Nachverfolgung einfließen, erzeugen die blinde Stelle, die die Schwachstellenpflicht des CRA beseitigen soll. Jede Abhängigkeit braucht dieselbe Überwachung wie selbst geschriebener Code.
Praxisbeispiel
Ein 140-Mitarbeiter-Hersteller von Industriesensoren in Bayern stellte bei seiner CRA-Geltungsbereichsprüfung fest, dass rund sechzig Produktvarianten als Produkte mit digitalen Elementen galten, die meisten ohne dokumentierten Schwachstellenmanagement-Prozess. Das Unternehmen hatte nie eine Kontaktstelle für Sicherheitsforscher eingerichtet. Innerhalb von fünf Monaten baute es ein Compliance-Programm auf seinem bestehenden Qualitätsmanagementsystem auf und priorisierte zunächst noch aktiv verkaufte Produkte.
- Richtlinie zur Schwachstellenoffenlegung veröffentlicht und über ein festes Postfach überwacht
- Software-Stückliste für jede aktiv verkaufte Produktlinie erstellt
- Meldeworkflow vor der Frist im September 2026 durchgespielt
- Produktklassifizierung dokumentiert und bei jedem Firmware-Release überprüft
Aktuelle Entwicklungen und Auswirkungen
Meldefrist rückt näher
Die Meldefrist am 11. September 2026 ist die erste CRA-Pflicht, die greift, und aktiviert ENISAs Single Reporting Platform für die 24-Stunden-Frühwarnpflicht. Hersteller, die ihr Portfolio noch nicht gegen die Meldepflicht abgeglichen haben, haben immer weniger Zeit.
- Single Reporting Platform ab dem 11. September 2026 betriebsbereit
- Frühwarnung erfasst nur aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle
- Keine Übergangsfrist nach Ablauf des Termins
Deutsche Umsetzungsdebatte
Bitkoms Stellungnahme 2026 zum nationalen Umsetzungsgesetz spricht sich gegen zusätzliche deutsche Anforderungen über die EU-Basis hinaus aus und warnt, zusätzliche nationale Regeln würden deutsche Hersteller benachteiligen. Die Debatte ähnelt den Bedenken, die bei der nationalen Umsetzung von NIS2 laut wurden.
CRA und KI-fähige Produkte wachsen zusammen
Da Hersteller zunehmend KI-Funktionen in vernetzte Produkte einbetten, überschneidet sich die CRA-Schwachstellenpflicht immer stärker mit den Pflichten der EU-KI-Verordnung für dasselbe Produkt. Eine KI-Agenten-Plattform wie Superkind, die jede Aktion eines Agenten gegenüber angebundenen Systemen protokolliert, erzeugt die Art von Prüfspur, die beide Pflichten unterstützt.
Fazit
Der CRA macht Cybersicherheit von einer freiwilligen guten Praxis zu einer verbindlichen Marktzugangsvoraussetzung für fast jedes vernetzte Produkt, das in der EU verkauft wird. Der gestaffelte Zeitplan gibt Herstellern ein echtes Zeitfenster zur Vorbereitung, doch die Meldepflicht ab September 2026 gilt bereits für heute am Markt befindliche Produkte, nicht nur für künftige Releases. Mittelstandshersteller, die Klassifizierung, Schwachstellenmanagement und Meldebereitschaft als ein Programm statt als drei getrennte Projekte behandeln, erreichen beide Fristen mit weniger Reibung. Sobald KI-Funktionen in vernetzten Produkten zum Standard werden, hält dieselbe Disziplin die Compliance handhabbar statt zu einer wiederkehrenden Hetzjagd.
Häufig gestellte Fragen
Was ist die Cyber-Resilienz-Verordnung (CRA)?
Die Cyber-Resilienz-Verordnung (Regulation (EU) 2024/2847) ist ein EU-Gesetz, das Hersteller von Hardware- und Softwareprodukten mit digitalen Elementen verpflichtet, Cybersicherheit einzubauen, Schwachstellen zu managen und schwerwiegende Vorfälle fristgerecht zu melden. Sie trat im Dezember 2024 in Kraft, mit gestaffelten Pflichten bis 2026 und 2027.
Gilt der CRA für ein Mittelstandsunternehmen mit weniger als 100 Mitarbeitern?
Ja. Der CRA kennt keine Mitarbeiterschwelle; ein kleiner Hersteller mit einer einzigen vernetzten Produktlinie fällt vollständig in den Geltungsbereich.
Wie unterscheidet sich der CRA von NIS2 und der EU-KI-Verordnung?
NIS2 regelt, wie Betreiber kritischer Infrastrukturen ihre eigene IT-Sicherheit organisieren, während der CRA die Hersteller reguliert, die die Produkte bauen, welche diese Betreiber kaufen. Die EU-KI-Verordnung reguliert speziell KI-Systeme, während der CRA die Cybersicherheit digitaler Produkte allgemein abdeckt.
Was kostet CRA-Compliance für einen Mittelstandshersteller?
Die Kosten variieren mit Portfoliogröße und Sicherheitsreife, doch Hersteller berichten häufig von anfänglichen Programmen im niedrigen bis mittleren sechsstelligen Eurobereich. Unternehmen mit einem bestehenden ISO-27001-System geben meist weniger aus.
Brauchen wir dafür eigene IT-Sicherheitsressourcen?
Nicht zwingend. Viele Mittelstandshersteller kombinieren vorhandenes Qualitätspersonal mit einem externen Sicherheitspartner für die Klassifizierung, wobei der CRA eine erreichbare Kontaktstelle für Sicherheitsforscher und Behörden verlangt.
Wie verhält sich der CRA zur DSGVO?
Beide gelten parallel, decken aber unterschiedliche Risiken ab. Die DSGVO regelt die Verarbeitung personenbezogener Daten, während der CRA die Sicherheit des Produkts selbst regelt. Ein Produktvorfall mit personenbezogenen Daten kann beide Meldepflichten gleichzeitig auslösen.
