Cyber Resilience Act: Bin ich betroffen? Pflichten, Fristen, Check

Der Cyber Resilience Act (CRA) ist die EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für praktisch jedes Produkt mit digitalen Elementen festlegt — von der vernetzten Türklingel bis zur Firmensoftware. Anders als NIS-2, das Unternehmen als Betreiber reguliert, setzt der CRA am Produkt an: Wer Hardware oder Software mit einer Datenverbindung zu einem Gerät oder Netz auf dem EU-Markt bereitstellt, ist in aller Regel erfasst — unabhängig von Branche und Unternehmensgröße.

Die nächste konkrete Frist liegt näher, als viele Geschäftsführungen annehmen: Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden gemeldet werden. Dieser Beitrag ordnet ein, wer betroffen ist, welche Pflichten gelten und was jetzt zu tun ist.

Was ist der Cyber Resilience Act?

Der CRA ist die Verordnung (EU) 2024/2847 vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyberresilienz-Verordnung). Sie wurde am 20. November 2024 im Amtsblatt der EU veröffentlicht und ist nach Art. 71 Abs. 1 zwanzig Tage später in Kraft getreten — am 10. Dezember 2024.

Wichtig für die Einordnung: Der CRA ist eine Verordnung, keine Richtlinie. Er gilt unmittelbar in allen Mitgliedstaaten — anders als NIS-2, das erst über nationale Umsetzungsgesetze wirksam wurde (in Deutschland über das NIS2UmsuCG und das novellierte BSI-Gesetz). Es braucht also kein zusätzliches deutsches Gesetz, damit der CRA für Ihr Unternehmen gilt.

Ziel ist ein hohes Cybersicherheitsniveau von Produkten über deren gesamten Lebenszyklus — von der Entwicklung über das Inverkehrbringen bis zum Ende des Unterstützungszeitraums. Bislang gab es dafür kein horizontales EU-Recht; Produktsicherheit war je nach Kategorie fragmentiert oder gar nicht geregelt.

Welche Produkte fallen unter den CRA?

Der CRA gilt für Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden und deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1). Ein Produkt mit digitalen Elementen ist dabei ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen — einschließlich Software- oder Hardwarekomponenten, die getrennt in Verkehr gebracht werden (Art. 3 Nr. 1).

Entscheidend sind also zwei Merkmale zugleich: Es muss ein Produkt sein (keine reine Dienstleistung), und es muss vernetzt sein oder vernetzt werden können.

Was typischerweise unter den CRA fällt

Kategorie	Beispiele
Smart Home / IoT	Vernetzte Kameras, smarte Türschlösser, Alarmanlagen, Heizungssteuerungen, Babyüberwachungssysteme
Netzwerk- und Sicherheitshardware	Router, Modems, Switches, Firewalls, VPN-Produkte
Industrie- und Steuerungskomponenten	SPS-Module, industrielle Gateways, vernetzte Sensorik
Reine Software	Installierbare Anwendungen, Apps, Firmware, Betriebssysteme, Browser, Passwortmanager, Anti-Malware
Bauteile mit Datenverbindung	Mikroprozessoren, Mikrocontroller, ASICs und FPGAs mit sicherheitsrelevanten Funktionen

Was nicht unter den CRA fällt

Sektorspezifisch bereits regulierte Produkte (Art. 2 Abs. 2 bis 4): Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746), Produkte unter der Kfz-Sicherheitsverordnung (EU) 2019/2144, nach der Luftfahrtverordnung (EU) 2018/1139 zertifizierte Produkte sowie Schiffsausrüstung nach Richtlinie 2014/90/EU.
Ersatzteile, die identische Komponenten nach denselben Spezifikationen ersetzen (Art. 2 Abs. 6).
Produkte ausschließlich für nationale Sicherheit oder Verteidigung sowie Produkte zur Verarbeitung von Verschlusssachen (Art. 2 Abs. 7).
Nicht-kommerzielle freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit auf dem Markt bereitgestellt wird.

Der Grenzfall SaaS — und was tatsächlich in der Verordnung steht

Die Abgrenzung zwischen Produkt und Dienstleistung ist der meistdiskutierte Punkt des CRA. Maßgeblich ist der Begriff der Datenfernverarbeitung: entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte (Art. 3 Nr. 2).

Daraus folgt die Linie, die der Verordnungsgeber in Erwägungsgrund 43 selbst zieht:

Erfasst: Cloud-Funktionen, die ein Hersteller anbietet, damit Nutzer sein Gerät fernsteuern können — das Beispiel der Verordnung ist das intelligente Haushaltsgerät. Ebenso die API oder Datenbank eines Herstellers, ohne die dessen mobile Anwendung nicht funktioniert.
Nicht erfasst: Websites, die die Funktionalität eines Produkts nicht unterstützen, sowie Cloud-Dienste, die außerhalb der Verantwortung eines Produktherstellers entworfen und entwickelt wurden. Für Cloud-Computing-Dienste und die Modelle SaaS, PaaS und IaaS gilt stattdessen die NIS-2-Richtlinie.

Ein reines SaaS-Angebot ohne installierbare Komponente fällt danach in aller Regel nicht unter den CRA — wohl aber potenziell unter NIS-2. Umgekehrt gilt: Bieten Sie zu Ihrem SaaS zusätzlich einen Desktop-Client, eine Mobile App oder eine Browser-Erweiterung an, sind diese Komponenten eigenständige Produkte mit digitalen Elementen.

Die Feinabgrenzung im Einzelfall bleibt auslegungsbedürftig — und das ist keine Vermutung, sondern im Gesetz angelegt: Art. 26 verpflichtet die Kommission, Leitlinien zu veröffentlichen, und nennt als ersten Schwerpunkt ausdrücklich den Anwendungsbereich in Bezug auf Datenfernverarbeitungslösungen und freie quelloffene Software sowie den Begriff der wesentlichen Änderung. Bis diese Leitlinien Ihren konkreten Fall abdecken, empfiehlt sich eine dokumentierte Einzelfallbewertung — kein Bauchgefühl.

Rollen und Pflichten: Hersteller, Einführer, Händler

Wie andere EU-Produktverordnungen unterscheidet der CRA zwischen Wirtschaftsakteuren mit gestuften Pflichten.

Rolle	Zentrale Pflichten	Fundstelle
Hersteller	Produkt nach den grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I konzipieren, entwickeln und herstellen; Cybersicherheitsrisikobewertung durchführen, dokumentieren und im Unterstützungszeitraum aktualisieren; Sorgfalt bei Komponenten Dritter; technische Dokumentation nach Anhang VII erstellen; Konformitätsbewertung durchführen, EU-Konformitätserklärung ausstellen und CE-Kennzeichnung anbringen; Schwachstellen nach Anhang I Teil II behandeln; Vorfälle und Schwachstellen melden	Art. 13, Art. 14
Einführer (Importeure)	Nur konforme Produkte in Verkehr bringen; vor dem Inverkehrbringen prüfen, dass Konformitätsbewertung durchgeführt, technische Dokumentation erstellt, CE-Kennzeichnung angebracht und die Nutzerinformationen nach Anhang II beigefügt sind; eigenen Namen und Kontakt angeben; bei Nichtkonformität die Marktüberwachungsbehörde informieren	Art. 19
Händler	Die Vorschriften mit der gebührenden Sorgfalt befolgen; vor der Bereitstellung prüfen, dass CE-Kennzeichnung, Konformitätserklärung und Begleitunterlagen vorhanden sind; Lagerung und Transport dürfen die Konformität nicht gefährden; bei Kenntnis von Risiken informieren und gegebenenfalls den Vertrieb stoppen	Art. 20

Wichtig für den Mittelstand: Wer ein Produkt unter eigenem Namen oder eigener Marke vertreibt oder ein Produkt wesentlich verändert, gilt nach Art. 21 rechtlich als Hersteller — mit den vollen Pflichten aus Art. 13 und 14, auch wenn das Produkt ursprünglich von einem Dritten stammt. Das trifft Handelsmarken, White-Label-Geräte und Systemintegratoren gleichermaßen.

Ein oft unterschätzter Punkt aus Anhang I Teil II Nr. 1: Hersteller müssen Schwachstellen und Komponenten ihrer Produkte ermitteln und dokumentieren, einschließlich einer Software-Stückliste (SBOM) in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten hervorgehen. Die SBOM ist damit eine Herstellungs- und Dokumentationspflicht — keine Pflicht, sie automatisch zu veröffentlichen.

Produktklassen: Standard, wichtig, kritisch

Nicht jedes Produkt wird gleich streng geprüft. Der CRA staffelt die Konformitätsbewertung nach Risiko (Art. 32, Anhang III, Anhang IV):

Klasse	Beispiele	Bewertungsverfahren
Standardprodukte (der Großteil)	Die meisten Alltags-IoT-Geräte, gewöhnliche Anwendungssoftware	Wahl des Herstellers, u. a. internes Kontrollverfahren (Modul A) — Selbstbewertung möglich
Wichtige Produkte, Klasse I (Anhang III)	Identitätsmanagement- und Zugangskontrollsysteme, Browser, Passwortmanager, Anti-Malware, VPN-Produkte, Netzmanagement, SIEM, Bootmanager, PKI, Betriebssysteme, Router/Modems/Switches, Mikroprozessoren und Mikrocontroller mit Sicherheitsfunktion, smarte Türschlösser und Sicherheitskameras, vernetztes Spielzeug, tragbare Gesundheitsprodukte	Selbstbewertung möglich, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema mindestens der Stufe „mittel” vollständig angewandt werden — sonst notifizierte Stelle (Modul B+C oder H)
Wichtige Produkte, Klasse II (Anhang III)	Hypervisoren und Container-Laufzeitumgebungen, Firewalls, Intrusion-Detection- und -Prevention-Systeme, manipulationssichere Mikroprozessoren und Mikrocontroller	Verpflichtend über notifizierte Stelle (Modul B+C oder H) oder europäisches Zertifizierungsschema mindestens der Stufe „mittel”
Kritische Produkte (Anhang IV)	Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen, Chipkarten und Sicherheitselemente	Europäisches Cybersicherheitszertifizierungsschema nach Art. 8 Abs. 1; sind dessen Voraussetzungen nicht erfüllt, gelten die Verfahren der Klasse II

Für die Praxis heißt das: Bevor Sie Zertifizierungsbudget einplanen, ordnen Sie Ihr Produkt sauber gegen Anhang III und IV ein. Der Unterschied zwischen Selbstbewertung und Pflichtprüfung durch eine notifizierte Stelle ist erheblich — zeitlich wie finanziell. Beachten Sie dabei die Bedingung bei Klasse I: Die Selbstbewertung steht nur offen, wenn die einschlägigen harmonisierten Normen tatsächlich vollständig angewandt werden.

Fristen: Der Stufenplan

Der CRA gilt nicht auf einen Schlag, sondern gestaffelt (Art. 71):

Datum	Was gilt
10.12.2024	Inkrafttreten — 20 Tage nach der Veröffentlichung im Amtsblatt am 20.11.2024
11.06.2026	Kapitel IV (Art. 35 bis 51, Notifizierung von Konformitätsbewertungsstellen) wird anwendbar — notifizierte Stellen können benannt werden
11.09.2026	Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle (Art. 14) werden anwendbar
11.12.2026	Die Mitgliedstaaten müssen für eine ausreichende Zahl notifizierter Stellen sorgen, um Marktzugangsengpässe zu vermeiden (Art. 35 Abs. 2)
11.12.2027	Vollanwendung: grundlegende Cybersicherheitsanforderungen (Anhang I), Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung

Der 11. September 2026 ist damit die erste operative Frist mit echtem Handlungsdruck — deutlich vor der medial präsenteren Vollanwendung 2027. Wer bis dahin keinen belastbaren Meldeprozess hat, ist ab diesem Datum nicht konform, auch wenn die übrigen Pflichten erst 2027 greifen.

Ein Detail zum Bestandsschutz, das in beide Richtungen wirkt: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen der Verordnung grundsätzlich nur, wenn sie danach wesentlich verändert werden (Art. 69 Abs. 2). Die Meldepflichten aus Art. 14 gelten davon abweichend für alle in den Anwendungsbereich fallenden Produkte, auch für die vorher in Verkehr gebrachten (Art. 69 Abs. 3). Ihr Altbestand ist von der Meldepflicht also nicht ausgenommen.

Meldepflicht konkret: 24 Stunden, 72 Stunden, Abschluss

Ab dem 11. September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach einem dreistufigen Verfahren (Art. 14):

Frühwarnung innerhalb von 24 Stunden ab Kenntniserlangung — mit den ersten verfügbaren Angaben, unter anderem zu den Mitgliedstaaten, in denen das Produkt bereitgestellt wurde.
Meldung innerhalb von 72 Stunden — mit allgemeinen Informationen zum betroffenen Produkt, zur Art der Ausnutzung beziehungsweise des Vorfalls, zu ergriffenen Korrektur- oder Risikominderungsmaßnahmen und zu dem, was Nutzer tun können.
Abschlussbericht — bei aktiv ausgenutzten Schwachstellen spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme verfügbar ist; bei schwerwiegenden Sicherheitsvorfällen innerhalb eines Monats nach der 72-Stunden-Meldung.

Zusätzlich kann das koordinierende CSIRT einen Zwischenbericht mit Statusaktualisierungen anfordern (Art. 14 Abs. 6).

Als schwerwiegend gilt ein Sicherheitsvorfall nach Art. 14 Abs. 5, wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten und Funktionen zu schützen — oder wenn er zur Einführung oder Ausführung von Schadcode geführt hat oder führen kann.

Gemeldet wird einmalig über die einheitliche Meldeplattform nach Art. 16, und zwar gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA. Zuständig ist das CSIRT des Mitgliedstaats Ihrer Hauptniederlassung in der Union — das ist der Staat, in dem die Entscheidungen zur Cybersicherheit Ihrer Produkte überwiegend getroffen werden (Art. 14 Abs. 7). Eine Mehrfachmeldung pro Land ist nicht nötig.

Für die Praxis brauchen Sie bis September 2026 einen Prozess, der drei Dinge leistet: Schwachstellenmeldungen zuverlässig erkennen, die 24-Stunden-Uhr ab Kenntnisnahme auch nachts, am Wochenende und an Feiertagen einhalten, und die technischen Details für die 72-Stunden-Meldung vorbereiten. Das ist organisatorisch anspruchsvoller, als es klingt — vergleichbar mit den Meldepflichten, die viele Unternehmen aus NIS-2 oder der DSGVO kennen.

Ausführlich mit beiden Fristenketten, Meldeweg, Altbestandsregel und einer Checkliste bis zum Stichtag: CRA-Meldepflicht für Hersteller.

CE-Kennzeichnung

Mit der Vollanwendung ab dem 11. Dezember 2027 ist die CE-Kennzeichnung für Produkte mit digitalen Elementen verpflichtend. Sie bestätigt, dass die grundlegenden Cybersicherheitsanforderungen aus Anhang I eingehalten sind — zusätzlich zu bereits bestehenden CE-Anforderungen aus anderer Produktregulierung. Für viele Hersteller heißt das: Das CE-Verfahren, das ohnehin läuft, wird um eine Cybersicherheitsdimension erweitert; ein separates Verfahren entsteht nicht (Art. 29, Art. 30 Abs. 5).

Praktisch relevant für Softwarehersteller: Bei Produkten in Form von Software wird die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung oder auf der das Produkt begleitenden Website angebracht — dort muss der betreffende Abschnitt für Verbraucher leicht und direkt zugänglich sein (Art. 30 Abs. 1).

Verhältnis CRA und NIS-2: Wer braucht beides?

	Cyber Resilience Act	NIS-2
Rechtsform	EU-Verordnung, unmittelbar geltend	EU-Richtlinie, national umgesetzt (in DE: NIS2UmsuCG / BSIG)
Adressat	Produkte mit digitalen Elementen — Hersteller, Einführer, Händler	Organisationen als Betreiber — besonders wichtige und wichtige Einrichtungen in 18 Sektoren
Kernpflicht	Produktsicherheit über den Lebenszyklus, Konformitätsbewertung, CE-Kennzeichnung	Organisatorisches Risikomanagement, Registrierung, Meldepflichten für den eigenen Betrieb
Größenschwelle	keine — es zählt das Produkt, nicht die Unternehmensgröße	ja — Sektor plus Größe (§ 28 BSIG)
Betroffene	keine amtliche Zahl; der Anwendungsbereich erfasst praktisch alle Hersteller, Einführer und Händler vernetzter Hard- und Software in der EU	rund 29.500 Einrichtungen in Deutschland (BSI)

Zur Zahlenfrage in aller Deutlichkeit: Für den CRA kursieren stark schwankende Schätzungen betroffener Unternehmen. Eine belastbare amtliche Zahl gibt es nicht — auch die Zusammenfassung der Europäischen Kommission zum CRA nennt keine. Wer Ihnen eine exakte Zahl präsentiert, hat sie aus einer Sekundärquelle. Verlässlich ist nur das Kriterium selbst: Bringen Sie ein vernetztes Produkt auf den EU-Markt, sind Sie im Anwendungsbereich.

Beide Regelwerke greifen gleichzeitig, wenn Sie zum Beispiel:

ein vernetztes Produkt herstellen und selbst eine besonders wichtige oder wichtige Einrichtung nach NIS-2 sind,
als NIS-2-Einrichtung Produkte von CRA-pflichtigen Herstellern einkaufen und über Ihr Lieferkettenrisikomanagement (§ 30 Abs. 2 Nr. 4 BSIG) prüfen müssen, ob Ihre Zulieferer konform liefern.

In der Praxis wird der CRA damit zur Vorstufe der NIS-2-Lieferkettenpflichten: Wer als NIS-2-Einrichtung einkauft, sollte CRA-Konformität zunehmend als Einkaufskriterium behandeln — und wer liefert, sollte darauf vorbereitet sein, sie belegen zu müssen.

Sind Sie unsicher, ob Sie unter NIS-2 fallen? Prüfen Sie das zuerst mit unserem kostenlosen NIS-2-Betroffenheits-Check — zwei Minuten, ohne Anmeldung. Den fachlichen Rahmen dazu liefert unser NIS-2-Überblick, die branchenweise Einordnung die Sektorenübersicht.

Sanktionen

Art. 64 staffelt die Geldbußen nach Schwere des Verstoßes; es gilt jeweils der höhere der beiden Beträge:

Verstoß	Rahmen
Grundlegende Cybersicherheitsanforderungen (Anhang I) sowie Pflichten aus Art. 13 und Art. 14	bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes
Übrige Pflichten, u. a. Einführer- und Händlerpflichten, Konformitätserklärung, technische Dokumentation, CE-Kennzeichnung	bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden	bis 5 Mio. € oder 1 % des weltweiten Jahresumsatzes

Bei der Bemessung berücksichtigen die Behörden nach Art. 64 Abs. 5 Art, Schwere und Dauer des Verstoßes, frühere Bußgelder sowie Größe und Marktanteil des Wirtschaftsakteurs — Kleinstunternehmen und KMU sind ausdrücklich genannt. Zwei Ausnahmen kommen hinzu (Art. 64 Abs. 10): Von den in Art. 64 Abs. 3 bis 9 genannten Geldbußen sind Kleinst- und Kleinunternehmen ausgenommen, soweit es um die Nichteinhaltung der 24-Stunden-Frist aus Art. 14 Abs. 2 Buchst. a beziehungsweise Art. 14 Abs. 4 Buchst. a geht; Verwalter quelloffener Software sind von den Geldbußen dieser Absätze insgesamt ausgenommen.

Selbst-Check: Bin ich vom Cyber Resilience Act betroffen?

Diese Fragen ersetzen keine Prüfung, strukturieren sie aber. Gehen Sie sie in dieser Reihenfolge durch — Frage 1 bis 5 klären den Anwendungsbereich, Frage 6 und 7 die Produktklasse, Frage 8 und 9 die Dringlichkeit, Frage 10 die Doppelbetroffenheit.

Anwendungsbereich

Bringen Sie ein Produkt — Hardware oder Software — als Hersteller, Einführer oder Händler in der EU in Verkehr oder stellen es bereit? Nein → in der Regel nicht betroffen. Ende der Prüfung.
Hat das Produkt eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz (WLAN, Bluetooth, Mobilfunk, Cloud-Anbindung, API, kabelgebundenes Netz)? Nein → kein Produkt mit digitalen Elementen im Sinne des CRA.
Ist Ihr Angebot ein reiner Cloud-Dienst ohne installierbare Komponente, dessen Software nicht Voraussetzung für die Funktion eines von Ihnen hergestellten Produkts ist? Ja → in der Regel nicht CRA-pflichtig; prüfen Sie stattdessen Ihre NIS-2-Betroffenheit.
Fällt Ihr Produkt in eine bereits sektorspezifisch regulierte Kategorie (Medizinprodukt, In-vitro-Diagnostikum, Kfz nach VO (EU) 2019/2144, zivile Luftfahrt, Schiffsausrüstung)? Ja → für dieses Produkt ausgenommen.
Ist Ihr Produkt nicht-kommerzielle freie und quelloffene Software außerhalb einer Geschäftstätigkeit? Ja → ausgenommen.

Produktklasse

Übernimmt Ihr Produkt sicherheitsrelevante Funktionen — Zugriffskontrolle, Identitätsmanagement, Firewall, VPN, Passwortmanager, Browser, Betriebssystem, Router, SIEM, Smart-Home-Sicherheit? Ja → mindestens wichtiges Produkt der Klasse I, bei Firewalls, IDS/IPS, Hypervisoren und manipulationssicheren Prozessoren Klasse II. Prüfen Sie Anhang III im Detail.
Schützt oder verarbeitet Ihr Produkt sicherheitskritische Komponenten — Smart-Meter-Gateway, Hardware mit Sicherheitsbox, Chipkarte oder Sicherheitselement? Ja → mögliches kritisches Produkt nach Anhang IV mit Zertifizierungspflicht.

Umsetzungsstand

Haben Sie eine Software-Stückliste (SBOM) und einen dokumentierten Schwachstellenmanagement-Prozess? Nein → Handlungsbedarf bis 11.12.2027, praktisch schon vor dem 11.09.2026.
Haben Sie einen Prozess, um eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden an CSIRT und ENISA zu melden — rund um die Uhr? Nein → dringender Handlungsbedarf vor dem 11.09.2026.

Zusammenspiel

Sind Sie zugleich als Organisation eine besonders wichtige oder wichtige Einrichtung nach NIS-2? Ja → CRA (Produkt) und NIS-2 (Organisation) parallel prüfen und aufeinander abstimmen. Den Einstieg liefert der kostenlose NIS-2-Check.

Häufige Fragen

Ab wann muss ich den Cyber Resilience Act tatsächlich einhalten? Gestuft: Seit dem 11. Juni 2026 gilt Kapitel IV zur Notifizierung von Konformitätsbewertungsstellen, ab dem 11. September 2026 gelten die Meldepflichten aus Art. 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, und ab dem 11. Dezember 2027 gilt die Verordnung vollständig — einschließlich Konformitätsbewertung und CE-Kennzeichnung (Art. 71).

Betrifft mich der CRA auch, wenn ich nur Software ohne Hardware vertreibe? Ja, sofern es sich um ein eigenständiges Softwareprodukt mit Datenverbindung handelt — etwa eine installierbare Anwendung, ein Betriebssystem oder Firmware. Reine Cloud-Dienste ohne installierbare Komponente fallen in der Regel nicht unter den CRA, sondern unter NIS-2.

Was passiert, wenn ich als kleines Unternehmen die Meldepflicht ab September 2026 verpasse? Verstöße gegen Art. 14 zählen zur höchsten Sanktionsstufe: bis zu 15 Mio. Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2). Art. 64 Abs. 10 nimmt Kleinst- und Kleinunternehmen allerdings in Bezug auf die Nichteinhaltung der 24-Stunden-Frist von den in Art. 64 Abs. 3 bis 9 genannten Geldbußen aus. Bei der Bemessung sind Größe und Marktanteil ohnehin zu berücksichtigen.

Muss ich als reiner Händler CE-Kennzeichnung und technische Dokumentation selbst erstellen? Nein. Als Händler prüfen Sie mit der gebotenen Sorgfalt, dass CE-Kennzeichnung, EU-Konformitätserklärung und die Nutzerinformationen nach Anhang II beim Produkt vorhanden sind (Art. 20). Erstellen müssen Sie diese Unterlagen nicht — das ist Herstellerpflicht.

Ersetzt der Cyber Resilience Act die NIS-2-Richtlinie? Nein. Beide ergänzen sich: Der CRA reguliert das Produkt, NIS-2 die Organisation als Betreiber. Viele Unternehmen — insbesondere Hersteller vernetzter Produkte in NIS-2-Sektoren — müssen beide Regelwerke parallel erfüllen.

Wer gilt als Hersteller, wenn ich fremde Produkte unter eigener Marke vertreibe? Sie. Wer ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert, gilt nach Art. 21 als Hersteller — mit allen Pflichten aus Art. 13 und 14, auch wenn das Produkt ursprünglich von einem Dritten stammt.

Quellen

Verordnung (EU) 2024/2847 (Cyber Resilience Act), Volltext im Amtsblatt: eur-lex.europa.eu/eli/reg/2024/2847
EUR-Lex, Zusammenfassung der Cyberresilienz-Verordnung: eur-lex.europa.eu
Europäische Kommission, „The Cyber Resilience Act — summary of the legislative text”: digital-strategy.ec.europa.eu
BSI, Cyber Resilience Act — Informationen für Unternehmen: bsi.bund.de

Alle Artikel-, Anhangs- und Fristangaben in diesem Beitrag wurden gegen den deutschsprachigen Volltext der Verordnung im Amtsblatt geprüft.

Dieser Beitrag bietet eine erste Orientierung zum Rechtsstand 3. September 2026 und ersetzt keine Rechtsberatung. Die verbindliche Einordnung Ihrer konkreten Produktsituation nehmen wir auf Wunsch im Anschluss vor.