Was ist der EU Cyber Resilience Act (CRA)?

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist ein EU-Rechtsakt, der verbindliche Cybersicherheitsanforderungen für Hardware- und Softwareprodukte festlegt (die Verordnung nennt sie „Produkte mit digitalen Elementen“), die auf dem EU-Markt bereitgestellt werden und deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem anderen Gerät oder Netz umfasst, etwa über das Internet, Bluetooth, USB oder den Austausch von Dateien. Er verpflichtet Hersteller, Produkte nach dem Prinzip Security by Design zu entwickeln, Schwachstellen zu behandeln und zu melden, für einen festgelegten Unterstützungszeitraum Sicherheitsupdates bereitzustellen und eine technische Dokumentation einschließlich einer Software Bill of Materials zu führen.

Verlangt der CRA eine SBOM?

Ja. Der CRA verpflichtet Hersteller, als Teil ihrer technischen Dokumentation eine Software Bill of Materials (SBOM) in einem gängigen maschinenlesbaren Format wie CycloneDX oder SPDX zu erstellen und zu pflegen. Die SBOM muss zumindest die obersten Abhängigkeiten des Produkts abdecken und die Pflicht des Herstellers unterstützen, Schwachstellen in Komponenten von Drittanbietern und in Open-Source-Komponenten zu ermitteln und zu beheben. Bei Hardwareprodukten umfasst sie die Software und Firmware auf dem Gerät; eine Liste der physischen Bauteile verlangt der CRA nicht.

Welche Sanktionen drohen bei Verstößen gegen den CRA?

Verstöße gegen die grundlegenden Cybersicherheitsanforderungen des CRA (Anhang I) oder gegen die Herstellerpflichten nach den Artikeln 13 und 14, einschließlich der Meldung von Schwachstellen, können mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Verstöße gegen sonstige Pflichten, etwa die von Einführern und Händlern, oder unrichtige oder irreführende Angaben gegenüber Behörden ziehen geringere, aber weiterhin empfindliche Geldbußen nach sich. Über Geldbußen hinaus kann die Rücknahme nicht konformer Produkte vom EU-Markt angeordnet werden.

Gilt der CRA auch für Unternehmen außerhalb der EU?

Ja. Der CRA knüpft daran an, wo ein Produkt in Verkehr gebracht wird, nicht daran, wo sein Hersteller ansässig ist. Jedes Unternehmen, das ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt, ob unmittelbar oder über Einführer und Händler, muss die Anforderungen des CRA erfüllen. Hersteller außerhalb der EU arbeiten in der Regel mit in der EU niedergelassenen Einführern zusammen, die vor dem Inverkehrbringen eigene Pflichten zur Prüfung der Konformität tragen, und können einen Bevollmächtigten in der EU benennen.

Bleiben meine Daten bei dieser Bewertung privat?

Ihre Antworten werden in Ihrem Browser ausgewertet und bleiben auf Ihrem Gerät, es sei denn, Sie schalten den vollständigen Bericht frei oder buchen von dort aus ein Gespräch. In diesem Fall erhalten wir die von Ihnen eingegebenen Kontaktdaten und einen Link, der Ihre Antworten enthält, damit wir Ihnen den Bericht zusenden und das Gespräch vorbereiten können. Wenn Sie Statistik-Cookies akzeptieren, erfassen wir außerdem zusammengefasste Ergebnisse wie Ihren Reifegrad und das Ergebnis zum Anwendungsbereich, niemals jedoch Ihre Kontaktdaten.

Gilt der CRA für kostenlose Produkte oder Open Source?

Häufig ja. Der CRA erfasst Produkte, die im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt werden, und dazu gehören auch kostenlose Produkte, die ein Geschäftsmodell stützen, etwa ein kostenloser Tarif, ein kostenloses CLI für einen kostenpflichtigen Dienst oder Open-Source-Software, für die Sie Support verkaufen. Wird Open Source ohne begleitende Geschäftstätigkeit veröffentlicht, gelten die Herstellerpflichten nicht; Organisationen, die solche Projekte dauerhaft für die kommerzielle Nutzung unterstützen, können jedoch als Verwalter quelloffener Software geringeren Pflichten unterliegen. Für Open-Source-Komponenten, die Sie in ein kommerzielles Produkt einbauen, tragen Sie als Hersteller die Verantwortung.

Gilt der CRA für SaaS?

Ein Dienst, den Kunden ausschließlich über einen Browser nutzen, fällt in der Regel nicht unter den CRA, wobei je nach Sektor und Unternehmensgröße NIS2 gelten kann. Installierbare Software, die mit dem Dienst zusammenarbeitet, etwa ein Kommandozeilen-Tool (CLI), ein Desktop-Agent, eine mobile App oder ein SDK, ist jedoch ein eigenständiges Produkt, und das Cloud-Backend, auf das sie angewiesen ist, kann dann als Datenfernverarbeitung in den Anwendungsbereich fallen.

Kostenloses Tool zur EU-CRA-Compliance

Cyber Resilience Act Reifegradbewertung

Finden Sie heraus, ob der CRA für Sie gilt, und prüfen Sie dann Ihre Software-Lieferkette und Ihre Prozesse zur Meldung von Schwachstellen anhand seiner Anforderungen, Frage für Frage und in verständlicher Sprache. Sie erhalten einen priorisierten 30/60/90-Tage-Plan und einen Bericht für die Geschäftsleitung.

Etwa 10 Minuten Anwendungsbereich und Produktklasse SBOM und Software-Lieferkette 30/60/90-Tage-Plan Auswertung im Browser

Die Anforderungen des CRA im Überblick

Die zentralen Pflichten für Hardware- und Softwareprodukte, die vom CRA erfasst sind. Die Meldepflichten für Schwachstellen (Artikel 14) gelten seit dem 11. September 2026; alle übrigen Pflichten müssen ab dem 11. Dezember 2027 erfüllt sein, bevor die CE-Kennzeichnung angebracht wird.

Security by Design und Security by Default

Liefern Sie Produkte aus, die eine minimierte Angriffsfläche, eine sichere Standardkonfiguration, Schutz der Vertraulichkeit und Integrität von Daten (etwa durch Verschlüsselung und Manipulationserkennung) sowie wesentliche Funktionen bieten, die auch bei Angriffen verfügbar bleiben. Diese Bewertung deckt die Standardkonfiguration ab; alles Weitere erfordert eine Überprüfung der Cybersicherheit des Produkts.

Frühwarnung zu Schwachstellen innerhalb von 24 Stunden

Übermitteln Sie innerhalb von 24 Stunden eine Frühwarnung zu aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen über die einheitliche Meldeplattform der ENISA an Ihr nationales Computer-Notfallteam (CSIRT). Diese Meldepflicht gilt seit dem 11. September 2026; die zugrunde liegende Strategie für die koordinierte Offenlegung von Schwachstellen ist ab dem 11. Dezember 2027 verpflichtend.

SBOM und Steuerung der Lieferkette

Pflegen Sie eine maschinenlesbare SBOM (etwa CycloneDX oder SPDX), die zumindest die obersten Abhängigkeiten abdeckt, einschließlich der Software und Firmware in Hardwareprodukten, und überwachen Sie jede Komponente, ob Open Source oder kommerziell, auf neue Schwachstellen.

Sicherheitsupdates über den gesamten Lebenszyklus

Stellen Sie kostenlose Sicherheitsupdates mit Sicherheitshinweisen für einen Unterstützungszeitraum bereit, der der voraussichtlichen Nutzungsdauer des Produkts entspricht: mindestens fünf Jahre, sofern das Produkt nicht voraussichtlich kürzer im Betrieb ist. Soweit technisch machbar, stellen Sie sie getrennt von Funktionsupdates bereit.

Über diese Bewertung

Diese Bewertung konzentriert sich auf die Pflichten des EU Cyber Resilience Act (Verordnung (EU) 2024/2847) zur Software-Lieferkette und zur Meldung von Schwachstellen: Anwendungsbereich, eine Schnellprüfung der Produktklasse, Behandlung von Schwachstellen und 24-Stunden-Frühwarnpflicht, SBOM und Sorgfaltspflicht bei Komponenten sowie Sicherheitsupdates über den Unterstützungszeitraum. Jede Frage ist in verständlicher Sprache formuliert und nennt den zugehörigen Artikel oder Anhang des CRA. Die vollständige Liste der Cybersicherheitsanforderungen des CRA an Produkte (Anhang I Teil I) erfordert eine gesonderte Überprüfung der Cybersicherheit des Produkts.

Der Reifewert ist nach Schweregrad gewichtet: Jede Frage zählt im Verhältnis dazu, wie zentral die Anforderung für die CRA-Compliance ist, sodass die 24-Stunden-Meldepflicht (Artikel 14) und die SBOM-Anforderung den Reifewert stärker beeinflussen als Details zum Lebenszyklus. Folgefragen erscheinen nur, wenn sie zutreffen, und nur die Fragen, die Ihnen gestellt wurden, fließen in Ihren Reifewert ein. Einige Anforderungen sind gesetzliche Pflichtanforderungen: Fehlt eine davon (etwa kein Prozess zur Reaktion auf Schwachstellen oder keine SBOM), wirkt sie als K.-o.-Kriterium, das Ihren Reifegrad unabhängig von Ihren übrigen Ergebnissen deckelt. Die Auswertung läuft in Ihrem Browser, und Ihre Antworten bleiben auf Ihrem Gerät, es sei denn, Sie schalten den vollständigen Bericht frei oder buchen von dort aus ein Gespräch; in diesem Fall erhalten wir einen Link, der Ihre Antworten enthält. Dies ist eine Orientierungshilfe für die Planung, keine Rechtsberatung; für eine förmliche Feststellung der Konformität wenden Sie sich an qualifizierten Rechtsbeistand.

Offizielle Quellen

Zuletzt geprüft: 24. September 2026Gepflegt vom Team für Software-Lieferketten-Compliance bei FOSSA

Häufige Fragen zur Compliance mit dem Cyber Resilience Act

Verständliche Antworten auf die Fragen, die Verantwortliche für Engineering und Sicherheit zum EU CRA stellen.

Mehr zum Cyber Resilience Act

Kompakte Leitfäden zu den CRA-Anforderungen, über die Teams am häufigsten stolpern.

Mehr zu SBOMs und zur Software-Lieferkette

Legen Sie jetzt mit FOSSA los

Verwalten Sie noch heute Ihre Abhängigkeiten, Lizenzen und Schwachstellen.