Der Cyber Resilience Act kurz erklärt
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen einführt: von vernetzten Haushaltsgeräten über IoT-Devices bis hin zu Software. Betroffen sind Hersteller, Importeure und Händler, unabhängig von der Unternehmensgröße. Als EU-Verordnung gilt der CRA direkt in allen Mitgliedstaaten, also auch in Österreich, ohne zusätzliches nationales Umsetzungsgesetz.
Du möchtest zunächst genauer verstehen, was der CRA überhaupt ist? Dann lies zuerst unseren Grundlagenartikel zum Cyber Resilience Act.
Die Fristen des CRA auf einen Blick
Der CRA ist keine “Alles-auf-einmal”-Verordnung. Verschiedene Regelungen greifen zu unterschiedlichen Zeitpunkten. Hier finden Sie eine übersichtliche Timeline des Cyber Resilience Acts:
Datum | Was gilt ab dann? |
|---|---|
10. Dezember 2024 | CRA tritt in Kraft |
11. Juni 2026 | Benannte Stellen / Konformitätsbewertungsstellen |
11. September 2026 | Meldepflicht für Schwachstellen & Sicherheitsvorfälle |
11. Dezember 2027 | Vollständige Anwendbarkeit aller Hauptbestimmungen |
11. Juni 2028 | Ablauf bestehender EU-Typprüfzertifikate |
10. Dezember 2024 – Der CRA ist in Kraft getreten
Der CRA ist bereits Realität. Auch wenn viele Hauptpflichten erst 2027 greifen, beginnt die Vorbereitungszeit jetzt. Entwicklungszyklen, Zertifizierungsverfahren und interne Prozessanpassungen brauchen Zeit. Wer jetzt noch wartet, könnte es 2027 schwer haben.
11. Juni 2026 – Benannte Stellen (Kapitel IV)
Ab diesem Datum können Konformitätsbewertungsstellen offiziell notifiziert werden. Das ist vor allem für Hersteller von wichtigen (Klasse II) und kritischen Produkten relevant, die eine externe Konformitätsbewertung benötigen. Wer auf eine Zertifizierung durch eine benannte Stelle angewiesen ist, sollte frühzeitig klären, welche Stellen dafür in Frage kommen, denn Kapazitäten könnten schnell knapp werden.
11. September 2026 – Meldepflicht für Schwachstellen (Artikel 14)
Das ist eine der kritischsten Fristen, die viele unterschätzen: Ab September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle bei der zuständigen Behörde gemeldet werden. Besonders wichtig: Diese Meldepflicht gilt nicht nur für neue Produkte, sondern für alle Produkte mit digitalen Elementen, die auf dem EU-Markt verfügbar sind. Also auch für jene, die bereits vor 2027 in Verkehr gebracht wurden.
Dabei gelten strenge Meldefristen, die eingehalten werden müssen:
Um diese Fristen einhalten zu können, braucht es funktionierende interne Prozesse: Ein Schwachstellenmonitoring, klare Meldewege und definierte Verantwortlichkeiten.
11. Dezember 2027 – Volle Anwendbarkeit
Ab diesem Datum müssen alle Produkte mit digitalen Elementen, die neu in der EU in Verkehr gebracht werden, sämtliche CRA-Anforderungen erfüllen, inklusive CE-Kennzeichnung. Ohne diese darf ein Produkt ab dann nicht mehr auf den EU-Markt.
11. Juni 2028 – Ablauf der EU-Typprüfzertifikate
Bereits bestehende EU-Typprüfzertifikate behalten ihre Gültigkeit, laufen aber spätestens am 11. Juni 2028 aus. Wer solche Zertifikate für seine Produkte nutzt, sollte rechtzeitig prüfen, wann genau sie ablaufen und welche Schritte danach notwendig sind.
Was gilt für Produkte, die bereits auf dem Markt sind?
Eine Frage, die viele beschäftigt: Müssen auch bestehende Produkte nachgerüstet werden?
Grundsätzlich gilt, dass Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nicht automatisch dem CRA unterliegen. Es gibt jedoch zwei wichtige Ausnahmen:
- Wesentliche Änderungen: Wird ein bestehendes Produkt nach dem 11. Dezember 2027 wesentlich verändert, greift der CRA vollständig, als wäre es ein neues Produkt.
- Meldepflicht: Die Pflicht zur Meldung von Schwachstellen und Vorfällen gilt bereits ab September 2026 für alle Produkte auf dem EU-Markt, unabhängig vom Inverkehrbringen-Datum.
Was passiert, wenn die Fristen des CRA nicht eingehalten werden?
Nichtstun ist keine Option – das machen die vorgesehenen Konsequenzen deutlich:
Kein Marktzugang
Produkte ohne gültige CE-Kennzeichnung dürfen nach dem 11. Dezember 2027 nicht mehr in der EU verkauft werden.
Rückruf und Marktstopp
Marktüberwachungsbehörden können Produkte sperren, zurückrufen oder deren Bereitstellung untersagen.
Empfindliche Bußgelder
- Bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen.
- Bis zu 10 Mio. EUR oder 2 % des Jahresumsatzes bei sonstigen CRA-Verstößen.
- Bis zu 5 Mio. EUR oder 1 % des Jahresumsatzes bei falschen oder irreführenden Angaben gegenüber Behörden.
Reputationsschäden
Verstöße können öffentlich bekannt gemacht werden. Und das zieht entsprechende Folgen für das Vertrauen von Kunden und Partnern mit sich.
Checkliste: Was sollten Unternehmen jetzt tun?
Die folgende Kurzcheckliste hilft Ihnen, den Einstieg zu strukturieren und keine wichtige Frist zu übersehen:
- Eigenes Produktportfolio auf CRA-Relevanz prüfen
- Produktkategorien bestimmen (Standard / Wichtig / Kritisch)
- Interne Prozesse für Schwachstellenmanagement aufsetzen
- Software Bill of Materials (SBOM) einführen
- Meldewege definieren und testen
- Konformitätsbewertungsverfahren einleiten (je nach Kategorie)
- Technische Dokumentation aufbauen
- Zulieferer und Lieferkette auf CRA-Anforderungen prüfen
- Gültigkeit bestehender Typprüfzertifikate prüfen
