Der Cyber Resilience Act verpflichtet Hersteller, Cybersicherheit von der Produktentwicklung bis zum Support-Ende nachvollziehbar zu dokumentieren. Wer die Anforderungen früh strukturiert, verwandelt eine komplexe Verordnung in einen beherrschbaren Prozess.
CTO admeritia, Individual Member der CRA Expert Group der EU‑Kommission und Co-Convenor der ISA/IEC 62443‑3‑2.
In diesem Leitfaden erklären wir, was der Cyber Resilience Act von Herstellern verlangt, welche Fristen greifen und wie eine sechsstufige Methodik den Weg zur Konformität konkretisiert.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act, kurz CRA, regelt europaweit erstmals die Cybersicherheit von Produkten mit digitalen Elementen. Die Verordnung (EU) 2024/2847 erschien am 20. November 2024 im Amtsblatt der EU und trat am 10. Dezember 2024 in Kraft. Vollständig verbindlich wird sie am 11. Dezember 2027, 36 Monate danach.
Vor dem CRA gab es kaum verbindliche Vorgaben dafür,
wie viel Cybersicherheit ein vernetztes Produkt bereits
vor dem Marktzugang erfüllen muss. Hersteller entwickelten
Router, Industriesteuerungen oder smarte Sensoren häufig
ohne einen einheitlichen Cybersecurity-Sicherheitsmaßstab.
Der
CRA schreibt Cybersicherheitsanforderungen
nun über den gesamten Produktlebenszyklus fest, von der
Entwicklung bis zum Ende des Supportzeitraums.
Als EU-Verordnung gilt der CRA unmittelbar in allen Mitgliedstaaten, ein nationales Umsetzungsgesetz entfällt. Betroffen sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, die auf den EU-Markt gelangen – Hardware ebenso wie eigenständige Software. Medizinprodukte, Fahrzeuge und Luftfahrtprodukte bleiben ausgenommen, für sie gelten eigene Cybersicherheitsregeln.
Der CRA und die NIS2-Richtlinie adressieren unterschiedliche Ebenen. NIS2 verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen zu organisatorischem Risikomanagement im eigenen Unternehmen. Der CRA setzt an der Produktebene an und verpflichtet Hersteller, Sicherheit in ihre Produkte einzubauen, bevor diese in Betrieb gehen. Ein Hersteller von Industriesteuerungen beispielsweise trägt damit häufig beide Pflichten gleichzeitig.
Zeitplan & Fristen – Was gilt ab wann?
Der CRA staffelt seine Pflichten über gut drei Jahre, und genau diese Staffelung unterschätzen viele Hersteller. Seit dem 10. Dezember 2024 gilt die Verordnung formal, ab dem 11. September 2026 greifen die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, ab dem 11. Dezember 2027 gilt der CRA vollständig.
CRA-Fristen im Überblick
CRA tritt formal in Kraft
Die Verordnung ist offiziell in Kraft getreten.
Nächster Schritt
Meldepflichten für aktiv ausgenutzte Schwachstellen aktiv
(24h/72h/14-Tage-Fristen an ENISA)
CRA vollständig verbindlich
Marktzugang nur mit konformen Produkten
Wie der CRA Produkte klassifiziert
Der CRA unterscheidet drei Produktklassen: Standard-Produkte, wichtige Produkte und kritische Produkte. Die Einstufung richtet sich nach der Zugehörigkeit zu bestimmten Produktkategorien, die im Anhang III und IV beschrieben werden und in dem Durchführungsrechtsakt genauer definiert werden.
Die Zugehörigkeit zu den Produktklassen ändert nichts an den geltenden Anforderungen, sondern nur daran, welche Konformitätsbewertungsverfahren möglich sind.
Frei zugängliche und quelloffene Software bleibt außerhalb einer kommerziellen Tätigkeit vollständig ausgenommen; für kommerziell getragene Open-Source-Projekte definiert die EU-Kommission die Rolle des Open-Source-Software-Stewards mit einem vereinfachten Pflichtenregime nach Artikel 24. Details der EU-Kommission.
✓
Standard
ca. 90 % aller Produkte
Beispielprodukte
Die meisten vernetzten Consumer- und Industrieprodukte
Konformitätsbewertung
Der Hersteller darf eine interne Selbstbewertung durchführen.
!
Wichtig – Klasse I
Anhang III
Beispielprodukte
Passwortmanager, VPN, Netzwerküberwachung
Konformitätsbewertung
Selbstbewertung, wenn der Hersteller harmonisierte Normen anwendet. Andernfalls ist eine Bewertung durch eine notifizierte Stelle notwendig.
Bewertung durch eine notifizierte Stelle oder, sofern verfügbar und anwendbar, Cybersicherheitszertifizierung gemäß Artikel 27 Absatz 9.
★
Kritisch
Anhang IV
Beispielprodukte
Smartcards, Smart-Meter-Gateways, Hardwaregeräte mit Sicherheitsboxen
Konformitätsbewertung
Die Bewertung durch eine notifizierte Stelle ist verpflichtend.
Was verlangt der CRA von Herstellern: Pflichten im Überblick
Sechs Pflichtbereiche bilden das Fundament der CRA-Konformität.
01
Cybersicherheitsanforderungen an das Produkt (Anhang I)
Anhang I formuliert grundlegende Sicherheitseigenschaften für jedes Produkt mit digitalen Elementen: etwa eine sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff und die Möglichkeit, Sicherheitsupdates einzuspielen. Der Anhang verlangt eine risikobasierte Einzelfallprüfung, welche Anforderungen für das konkrete Produkt zutreffen.
02
Technische Dokumentation & Nutzerinformationen
Hersteller dokumentieren für die Aufsichtsbehörden, wie das Produkt die CRA-Anforderungen erfüllt. Für die Nutzer wird eine Information beigelegt, wie das Produkt sicher zu benutzen ist. Für beide Dokumente spielt die Zweckbestimmung eine wichtige Rolle: Sie definiert die erlaubte Nutzung des Produkts und damit die Verantwortungsverteilung zwischen Hersteller und Nutzer.
03
Konformitätsbewertung & CE-Kennzeichnung
Je nach Produktklasse bewerten Hersteller die Konformität selbst oder ziehen eine notifizierte Stelle hinzu. Durch Ausfertigen der EU-Konformitätserklärung und Anbringen der CE-Kennzeichnung erklärt der Hersteller schließlich formal die Konformität seines Produkts mit den geltenden EU-Anforderungen.
04
Schwachstellenmanagement & SBOM
Der CRA verlangt einen strukturierten Umgang mit Schwachstellen während des gesamten Produktlebenszyklus, ergänzt um eine Software Bill of Materials (SBOM) mit allen enthaltenen Softwarekomponenten. Ohne dieses Verzeichnis lässt sich im Ernstfall kaum klären, welche Produkte eine neue Schwachstelle betrifft.
Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden als Frühwarnung und binnen 72 Stunden detailliert an die ENISA und nationale CSIRTs über eine zentrale Meldeplattform. Ein Abschlussbericht folgt spätestens 14 Tage nach Verfügbarkeit eines Sicherheitsupdates. Die Meldepflichten gelten ab 11.09.2026 und für alle Produkte mit digitalen Elementen auf dem EU-Markt und nicht nur für die ab 11.12.2027 verkauften.
06
Supportzeitraum (mind. 5 Jahre)
Hersteller sichern die Behebung von Schwachstellen für mindestens fünf Jahre oder die erwartete Nutzungsdauer zu. Diese Zusage gilt, wie alle CRA-Anforderungen, für das gesamte Produkt inklusive Drittkomponenten.
Die admeritia-Methode:
In 6 Schritten CRA-konform werden
Herausforderungen
Wenn Hersteller den CRA umsetzen, stockt das Projekt häufig an einem von vier Punkten.
1. Zunehmender Zeitdruck ohne Orientierungshilfe:
Der erste Stolperstein betrifft die fehlende Orientierung: Harmonisierte Normen, die eine Konformitätsvermutung begründen würden, liegen für die meisten Produktkategorien vor der Frist im Dezember 2027 nicht vollständig vor. Viele Hersteller wissen deshalb nicht, wie sie am besten anfangen, und ihnen läuft die Zeit davon.
2. Hoher Spielraum für Interpretation:
Der zweite Stolperstein liegt im Interpretationsspielraum von Anhang I. Er beschreibt Ziele, keine konkreten Maßnahmen. Wer sie direkt übersetzt, wählt oft zu pauschale oder zu eng gefasste Lösungen.
3. Zusammenarbeit und Dokumentation:
Der dritte Stolperstein betrifft die Zusammenarbeit vieler Abteilungen mit jeweils eigener Fachsprache. Ohne gemeinsames Verständnis wächst ein Dokumentenberg, der als Argumentationslinie nicht geeignet ist.
4. Der Umfang des Produktportfolios:
Der vierte Stolperstein resultiert aus dem Umfang des Produktportfolios. Hersteller mit einem umfangreichen Produktportfolio haben meistens mehrere Geschäftsbereiche, die jeweils einen Teil des Portfolios verantworten. Oft fällt es den Bereichen schwer, sich auf ein Vorgehen zu einigen.Mehr zum Thema „Erfolgsfaktoren, um alle EU-Cybersecurity-Regularien einzuhalten“ und in unserem Whitepaper
Die 6 Schritte der Methode von admeritia
Die Methode von admeritia bündelt Projekterfahrung aus über 4.000 Kundenworkshops, akademische Forschung und Best Practices aus der ISA/IEC 62443-3-2 zu einem wiederholbaren Prozess.
01
Business-Ziel schärfen
Hersteller legen Schadensszenarien, Risikomatrix und Schutzziele fest, bevor sie sich in technischen Details verlieren.
02
Produkt als Cybersystem modellieren
Funktionen, beteiligte Entitäten und Schnittstellen des Produkts werden auf einer Seite sichtbar.
03
Auswirkungen bestimmen
Für jede Funktion wird geklärt, was im schlimmsten Fall passiert, wenn ein Schutzziel verletzt wird.
04
Risikoanalyse durchführen
Für die kritischsten Funktionen werden Angriffsszenarien bewertet und daraus die schlankstmöglichen Security-Anforderungen abgeleitet.
05
Compliance-Check durchführen
Die Essential Requirements aus Anhang I werden systematisch geprüft und, wo zutreffend, umgesetzt und dokumentiert.
06
CRA-Compliance dokumentieren
Konformitätserklärung, technische Dokumentation und Nutzerinformation entstehen aus den Ergebnissen der vorangegangenen Schritte.
Die vollständig Methodik und Hinweise zum Security Engineering Tool (SET) finden Sie in unserem kostenlosen Whitepaper
In unserem Whitepaper:
Die 3 typischen Stolpersteine bei der CRA-Umsetzung
Schritt-für-Schritt-Methodik zur CRA-Konformität
Wie unser Security Engineering Tool (SET) die Umsetzung beschleunigt
Erfahrungen aus der Praxis
Zweckbestimmung (Intended Purpose):
unterschätzt, aber entscheidend
Die Zweckbestimmung eines Produkts, auf Englisch Intended Purpose genannt, legt fest, wofür ein Hersteller sein Produkt vorsieht und unter welchen Bedingungen es zum Einsatz kommt. Der CRA verknüpft mit dieser Festlegung mehr als eine Formalie: Die Zweckbestimmung entscheidet, welche Essential Requirements aus Anhang I greifen. Sie setzt den Rahmen für die spätere Risikoanalyse, grenzt die Verantwortung zwischen Hersteller und Nutzer ab und ist somit haftungsrelevant. Die Zweckbestimmung bildet somit die erste Weichenstellung jedes CRA-Projekts, lange bevor die technische Arbeit beginnt.
Ein Beispiel verdeutlicht das Prinzip. Eine industrielle Pumpensteuerung, ausschließlich für geschlossene Produktionsnetzwerke vorgesehen, unterliegt anderen Risikoannahmen als dieselbe Steuerung mit vorgesehenem Fernzugriff über das Internet. Bindet ein Betreiber die Steuerung später an ein Wartungsportal an, obwohl der Hersteller das nicht vorsah, wird genau diese Lücke zwischen Zweckbestimmung und vorhersehbarer Verwendung zum Streitpunkt gegenüber der Marktüberwachungsbehörde.
Eine bewusste Formulierung der Zweckbestimmung stellt sicher, dass Hersteller, Nutzer und Marktüberwachungsbehörden mit denselben Annahmen arbeiten. Eine bewusst formulierte Zweckbestimmung kann auch ein Mittel sein, die sichere Nutzung eines Produktes zu gewährleisten, obwohl bestimmte Sicherheitsmaßnahmen technisch nicht umsetzbar sind.
Zwei Fehler treten in der Praxis besonders häufig auf. Zum einen formulieren Hersteller die Zweckbestimmung so allgemein, dass sie für die Risikoanalyse keinen brauchbaren Rahmen mehr liefert und sie hohe Haftungsrisiken eingehen. Fast jedes Szenario erscheint dann plausibel, die Analyse verliert sich in Eventualitäten und die Liste der notwendigen Cybersicherheitsmaßnahmen wird lang.
Zum anderen fassen Hersteller die Zweckbestimmung zu eng und blenden reale Nutzungsszenarien aus, etwa Fernwartung durch externe Dienstleister oder eine Integration in fremde IT-Umgebungen – ein Streitpunkt mit Kunden und potenziell Marktüberwachungsbehörden.
Eine belastbare Zweckbestimmung entsteht selten am Schreibtisch einer einzelnen Abteilung. Entwicklung, Produktmanagement, Vertrieb und die Rechtsabteilung kennen jeweils unterschiedliche Facetten des realen Einsatzes und der rechtlichen Auswirkungen. Ihr gemeinsamer Blick führt zu einer tragfähigen Formulierung. Ohne diese saubere Grundlage fehlt jeder folgenden Analyse ihr Fundament.
Risikoanalyse im CRA:
Der methodische Kern
Der CRA schreibt eine Risikoanalyse vor, doch viele Hersteller unterschätzen ihre Bedeutung. Sie bildet das Herzstück der Verordnung, weil sie Herstellern erlaubt, ihre Sicherheitsmaßnahmen selbst zu wählen und gegenüber einer Konformitätsbewertungsstelle zu rechtfertigen. Der CRA verlangt ein risikobasiertes, nachvollziehbares Vorgehen: Wer seine Risiken kennt, entscheidet selbstbewusst, statt vorauseilend zu überdimensionieren.
Eine belastbare Risikoanalyse beginnt bei klar formulierten Schadensszenarien und einer Risikomatrix, die Eintrittswahrscheinlichkeit und Schadenshöhe zueinander in Beziehung setzt. Sie beschreibt Bedrohungsszenarien, zeigt, wie sich ein Angriff auswirken kann, und leitet daraus konkrete Sicherheitsanforderungen ab. Jeder Schritt braucht eine Dokumentation, die auch Dritte nachvollziehen können. Ein Leitfaden, um jede Risikoanalyse schnell zu verbessern, zeigt, worauf es dabei im Detail ankommt.
Der Nutzen zeigt sich im Konformitätsbewertungsverfahren. Eine notifizierte Stelle prüft, ob die Entscheidungen für oder gegen bestimmte Sicherheitsmaßnahmen nachvollziehbar aus einer Risikoanalyse hervorgehen. Darin liegt der Unterschied zu einer reinen Checklisten-Logik: Eine Risikoanalyse liefert eine Begründung für getroffene Entscheidungen. Hersteller, die diesen Zusammenhang früh verinnerlichen, sparen sich sowohl unnötig aufwendige Sicherheitsmaßnahmen als auch unbequeme Nachfragen zur technischen Dokumentation.
„Habt Mut, Euch Eurer eigenen Risikoanalyse zu bedienen!“
Welche Standards für den CRA tatsächlich zählen, gehört zu den meistgestellten Fragen. Harmonisierte Standards, die eine Konformitätsvermutung begründen, entstehen über einen mehrjährigen Abstimmungsprozess zwischen der EU-Kommission und den Normungsorganisationen CEN, CENELEC und ETSI. Für die meisten CRA-Produktkategorien liegen sie vor Dezember 2027 nicht vollständig vor.
Harmonisierte Standards zu nutzen, ist nicht verpflichtend. CRA-Konformität ist auch ohne harmonisierte Standards möglich, und das Fehlen von harmonisierten Standards entbindet Hersteller nicht von ihrer Pflicht zur CRA-Konformität. Auf der anderen Seite ist das Erfüllen eines harmonisierten Standards allein nicht ausreichend für die CRA-Konformität – die Risikoanalyse bleibt weiter zentral, denn: Die Konformitätsvermutung gilt nur, wenn der harmonisierte Standard alle relevanten Cybersecurity-Risiken abdeckt, die mit Ihrem Produkt verbunden sind.
Trotzdem gibt es einige Standards, die Herstellern als Orientierung dienen können:
EN 18031 entstand als harmonisierte Normenreihe für die Funkanlagenrichtlinie (RED-DA) und begründet dort seit August 2025 eine Konformitätsvermutung für Netzwerksicherheit, Schutz personenbezogener Daten und Schutz vor finanziellem Betrug. Sie ist kein harmonisierter Standard für den CRA. Die EU-Kommission beschloss im Februar 2026, die RED-DA mit zum Stichtag der vollständigen CRA-Anwendung (11. Dezember 2027) aufzugeben, um eine Doppelregulierung zu vermeiden. EN 18031 liefert allerdings Vorarbeit für die aktuell laufende CRA-Normungsarbeit.
IEC 62443, ursprünglich für industrielle Automatisierungs- und Steuerungssysteme entwickelt, liefert bereits heute erprobte Anforderungen an industrielle Komponenten, Systeme und Risikobetrachtungen. Die Teile -4-1 und -4-2 der Normenreihe werden momentan als europäische Normen adaptiert, damit sie als harmonisierte Standards verwendet werden können
EN ISO 40000 ist die Standardreihe zu CRA-Horizontalstandards und befindet sich ebenfalls im Entwurfsstadium. Die Standards konkretisieren keine Anforderungen für spezifische Produkte, sondern produktübergreifende prozessuale Anforderungen – etwas für das Schwachstellenmanagement.
EN 50742 ist der harmonisierte Standard für die Security-Aspekte der EU-Maschinenverordnung (MVO) und momentan in der Entwurfsphase. Der Standard stellt zwei Ansätze zur Auswahl – einer davon basiert auf den Teilen -4-1, -4-2 und -3-3 der IEC-62443-Standardreihe.
Bis harmonisierte CRA-Normen vollständig vorliegen, bleibt eine transparent dokumentierte, an etablierten Standards orientierte Vorgehensweise der verlässlichste Weg zur Konformität.
CRA & Maschinenverordnung
– Safety meets Security
Safety und Security wachsen regulatorisch zusammen. Die EU-Maschinenverordnung (EU) 2023/1230 löst ab dem 20. Januar 2027 die bisherige Maschinenrichtlinie 2006/42/EG ab und verankert erstmals Cybersicherheitsanforderungen in den grundlegenden Sicherheitsanforderungen für Maschinen. Ein manipulierter Sensor oder eine gekaperte Steuerung beispielsweise können einen sicherheitskritischen Vorgang auslösen. Die Grenze zwischen Safety und Security verschwimmt an dieser Stelle.
Zur Abgrenzung: NIS2 adressiert Betreiber kritischer und wichtiger Einrichtungen, DORA regelt die digitale Resilienz von Finanzunternehmen, KRITIS bezeichnet die national benannten Betreiber kritischer Infrastrukturen in Deutschland. Der CRA ergänzt diese Regelwerke auf der Produktebene, bevor ein Produkt überhaupt in Betrieb geht.
Trotzdem gibt es einige Standards, die Herstellern als Orientierung dienen können:
Wer vertraut admeritia?
“
Ich habe Sarah und ihr Team schon in Aktion gesehen und kann bestätigen: Diese Prozesse wirken Wunder. Absolute Empfehlung.
Mitchell Impey, ehemals ICS Security Manager bei Norlys, bringt damit auf den Punkt, was viele Kunden von admeritia erleben.
“
Früher fühlten sich Risikoanalysen wie endlose, sinnlose Tabellenarbeit an. Mit SET und der Begleitung des Teams hat sich das geändert. Die Risiken sind jetzt klar strukturiert und priorisiert, und jede Maßnahme ergibt Sinn.
Ein OT-Security-Verantwortlicher bei einem KRITIS-Betreiber beschreibt den Effekt der Methodik.
Seit 2004 begleitet admeritia Kunden bei der Cybersicherheit industrieller Produkte, Systeme und kritischer Infrastrukturen. Mehr als 760 Unternehmen vertrauen der Expertise des Teams, das an internationalen Standards wie ISO/IEC 27001 und IEC 62443 mitwirkt.
FAQ – Häufig gestellte Fragen zum CRA
1. Was ist der Cyber Resilience Act?
Der CRA regelt EU-weit die Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, von der Entwicklung über den Verkauf bis zum Ende des Supportzeitraums.
2. Wer muss den CRA einhalten?
Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden.
3. Welche Produkte fallen unter den CRA?
Nahezu alle vernetzten Hardware- und Softwareprodukte, gestaffelt in die Klassen Standard, wichtig und kritisch. Ausnahmen gelten unter anderem für Medizinprodukte, Fahrzeuge und nicht-kommerzielle Open-Source-Software.
4. Ist der CRA schon in Kraft?
Ja, die Verordnung trat am 10. Dezember 2024 in Kraft. Einzelne Pflichten greifen gestaffelt bis zum 11. Dezember 2027.
5. Wann gilt der CRA vollständig?
Alle betroffenen Produkte, die ab dem 11. Dezember 2027 (weiter) auf dem EU-Markt verkauft werden, müssen vollständig CRA-konform sein.
6. Was sind die Strafen bei Verstößen?
Verstöße gegen die Essential Requirements oder die Melde- und Dokumentationspflichten können mit Bußgeldern bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden. Für andere Pflichtverstöße gelten niedrigere Höchstgrenzen von 10 beziehungsweise 5 Millionen Euro.
Wichtiger als die Strafen ist für Hersteller: Die CRA-Konformität ist Markteintrittsvoraussetzung. Ein nichtkonformes Produkt darf in der EU nicht in Verkehr gebracht werden und kann von Marktaufsichtsbehörden vom Markt genommen werden.
7. Wie wird die Konformität erklärt?
Hersteller erklären die CRA-Konformität mit der EU-Konformitätserklärung und dem Anbringen des CE-Kennzeichens. Die Konformitätsbewertung erfolgt je nach Produktkategorie durch den Hersteller selbst oder eine notifizierte Konformitätsbewertungsstelle.
8. Was ist die Zweckbestimmung im CRA?
Sie beschreibt den vorgesehenen Einsatzzweck eines Produkts und bildet die Grundlage für die Risikoanalyse, die Anwendung der CRA-Anforderungen und die Verantwortungsverteilung zwischen Hersteller und Produktnutzer.
9. Was ist der Unterschied zwischen CRA und NIS-2?
Der CRA betrifft das Produkt und seine Hersteller – das Ziel sind sichere digitale Produkte für Produktnutzer, sowohl Unternehmen als auch private Verbraucher. NIS-2 betrifft den Betrieb und die Organisation von Unternehmen, die als wesentliche oder wichtige Einrichtungen gelten – das Ziel ist die Aufrechterhaltung gesellschaftlich wichtiger Dienstleistungen und Infrastrukturen.
10. Wie lange muss ein Hersteller Security-Schwachstellen beheben?
Der im CRA vorgeschriebene Unterstützungszeitraum beträgt mindestens fünf Jahre, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ausfällt.
Ihre Ansprechpartnerin: Sarah Fluchs
CTO admeritia, Individual Member der CRA Expert Group der EU‑Kommission und Co‑Convenor der ISA/IEC 62443‑3‑2.
Whitepaper jetzt herunterladen
