In einer technologisch so fortgeschrittenen Welt wie der unseren sind Cyberangriffe zum modernen Pendant von bewaffneten Überfällen geworden. Anstelle von Banküberfällen oder Überfällen auf Einzelhändler oder ahnungslose Passanten konzentrieren viele heutige Kriminelle ihre Bemühungen auf Cyberangriffe, um von Unternehmen, Regierungen und Privatpersonen zu stehlen. Diese Angriffe unterscheiden sich in Größe, Umfang und Dreistigkeit – sie summieren sich zu einem enormen kriminellen Geschäftsfeld.
Laut der Branchenorganisation Cybersecurity Ventures liegen die weltweiten Gesamtkosten von Cyberkriminalität pro Jahr mittlerweile bei über 10 Billionen US-Dollar. Diese Kosten setzen sich zusammen aus diversen negativen Folgen, darunter:
- Betriebsunterbrechungen und Produktivitätsverluste
- Diebstahl durch Betrug, Erpressung und Unterschlagung
- Verlust von Daten
- Diebstahl von geistigem Eigentum
Die Vielzahl an Möglichkeiten, mit denen Cyberkriminelle Einzelpersonen und Organisationen angreifen können – sowie die Bandbreite wertvoller Informationen, die sie durch diese Angriffe erlangen können – führt zu einem gigantischen und stetig wachsenden kriminellen Sektor. Daten von Cybersecurity Ventures zeigen, dass sich die Gesamtkosten von Cyberkriminalität im letzten Jahrzehnt dramatisch erhöht haben:
- 2015: 3 Billionen US-Dollar
- 2021: 6 Billionen US-Dollar
- 2025: 10,5 Billionen US-Dollar
Auch wenn einzelne Schätzungen von deutlich niedrigeren Summen ausgehen, würden selbst jährliche Kosten durch Cyberkriminalität zwischen 1 und 2 Billionen US-Dollar kriminelle Aktivitäten mit dem gesamten Bruttoinlandsprodukt von Indonesien oder den Niederlanden gleichsetzen. Was also unternehmen die Welt und ihre mächtigsten Regierungen gegen diese wachsende Bedrohung?
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act (CRA) ist eine von der Europäischen Union erlassene Verordnung zur Bekämpfung der weitreichenden Cyberkriminalität. Ziel ist es, Technologieunternehmen und andere Hersteller dazu zu verpflichten, Hardware und Software sicherer gegenüber Cyberangriffen zu machen und diese besser gegen Straftaten abzusichern, die Daten oder finanzielle Ressourcen gewöhnlicher EU-Bürger betreffen. Wie die Europäische Kommission auf ihrer Website erläutert, will der Cyber Resilience Act „klare und verbindliche Cybersicherheitsanforderungen für den gesamten Lebenszyklus digitaler Produkte“ schaffen.
Der CRA wurde erstmals 2022 von der Europäischen Kommission vorgeschlagen. Zwei Jahre später, im Jahr 2024, verabschiedete das Europäische Parlament den Gesetzestext formell, und der Europäische Rat billigte ihn. Nach Veröffentlichung im EU-Amtsblatt im November trat der CRA offiziell im Dezember 2024 in Kraft.
Angesichts des Umfangs der durch den CRA auferlegten Verpflichtungen erhalten Unternehmen ausreichend Zeit, um sich auf ihre Compliance-Anforderungen vorzubereiten. Die Einführung erfolgt über einen Zeitraum von rund 15 Monaten – Beginn im September 2026, vollständige Umsetzung bis Dezember 2027.
Welche Anforderungen stellt der Cyber Resilience Act?
Die EU-CRA verpflichtet betroffene Unternehmen zu zahlreichen Maßnahmen. Ziel ist es, Unternehmen rechtsverbindlich zur Entwicklung sicherer, widerstandsfähiger digitaler Produkte zu verpflichten, robuste Protokolle für den Umgang mit Cybersicherheitsvorfällen aufzubauen und eine höhere Transparenz gegenüber Verbrauchern und anderen Stakeholdern bezüglich ihrer Sicherheitsmaßnahmen und -strategien zu zeigen.
Die wichtigsten Anforderungen des Cyber Resilience Act sind in Anhang I des Gesetzes unter den wesentlichen Cybersicherheitsanforderungen aufgeführt. Diese teilen sich in zwei Bereiche auf: zum einen die Eigenschaften, die digitale Produkte von betroffenen Unternehmen aufweisen müssen, zum anderen die Prozesse, die Hersteller zur Einhaltung des Gesetzes durchführen müssen.
Anhang I, Teil I: Eigenschaften digitaler Produkte
Dieser Abschnitt ist gewissermaßen das Herzstück der Verordnung. Die EU verlangt, dass auf dem europäischen Markt angebotene digitale Produkte sicherer und besser gegen Cyberkriminalität geschützt sind. Um den CRA zu erfüllen, müssen digitale Produkte für den EU-Markt mit folgenden Merkmalen konzipiert und bereitgestellt werden:
- 1 Keine bekannten, ausnutzbaren Schwachstellen
- 2 Sichere Standardkonfiguration. Das bedeutet: Sichere Einstellungen müssen standardmäßig bei Gerät oder Produkt aktiviert sein.
- 3 Schwachstellen können wirksam durch Sicherheitsupdates behoben werden, einschließlich automatischer Updates mit klarer Opt-out-Möglichkeit.
- 4 Schutz vor unbefugtem Zugriff, z. B. durch Authentifizierungs-, Identitäts- oder Zugriffsmechanismen.
- 5 Wahrung der Vertraulichkeit aller auf dem Produkt gespeicherten Daten – etwa durch Verschlüsselung oder ähnliche Methoden.
- 6 Schutz der Integrität von Daten, Programmen und Konfigurationen vor externer Manipulation oder Veränderung.
- 7 Es dürfen nur Daten erhoben werden, die für das weitere Funktionieren des Produkts notwendig sind.
- 8 Erhalt grundlegender Produktfunktionen nach einem Cyberangriff.
- 9 Minimierung der negativen Auswirkungen von Cyberangriffen auf andere Geräte oder Netzwerke.
- 10 Begrenzte „Angriffsflächen“ – also möglichst wenige Schwachstellen oder Angriffspunkte, die von Angreifern ausgenutzt werden können.
- 11 Vorkehrungen zur Begrenzung der Auswirkungen und Effizienz erfolgreicher Cyberangriffe.
- 12 Fähigkeit zur Protokollierung von Sicherheitsereignissen, einschließlich Änderungen an Daten oder Geräteeinstellungen. Dieses Feature muss für Nutzende abwählbar sein.
- 13 Nutzende müssen sämtliche Daten und personalisierten Einstellungen vom Produkt löschen können.
Anhang I, Teil II: Abläufe für Hersteller
Neben Entwicklung und Produktion entsprechend gesicherter digitaler Produkte müssen Hersteller auch während des gesamten Produktlebenszyklus aktiv zur Abwehr von Cyberangriffen beitragen.
Hersteller sind verpflichtet, folgende Maßnahmen umzusetzen:
- 1 Schwachstellen identifizieren und dokumentieren, u. a. durch Erstellung einer Stückliste (Bill of Materials, BOM) aller wesentlichen Abhängigkeiten.
- 2 Sicherheitslücken umgehend beheben – insbesondere mittels Sicherheitsupdates.
- 3 Kontinuierliche Sicherheitstests für digitale Produkte durchführen.
- 4 Informationen zu Schwachstellen und Sicherheitsvorfällen kommunizieren – einschließlich Auswirkungen, Schweregrad sowie klarer Handlungsanweisungen, wie Nutzende gemeldete Schwachstellen beheben können.
- 5 Richtlinie zur koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD) einführen.
- 6 Rahmenwerk für Meldung und Austausch zu Schwachstellen etablieren – inklusive Kontaktadresse, über die Sicherheitsprobleme gemeldet werden können.
- 7 Mechanismen schaffen, mit denen Sicherheitsupdates allen digitalen Produkten zeitnah und, wo anwendbar, automatisiert bereitgestellt werden können.
Diese Mechanismen müssen umgehend, kostenfrei sowie mit relevanten Informationen und Handlungshinweisen an Nutzende und Produkte verteilt werden.
Welche Unternehmen fallen unter den CRA?
Der Cyber Resilience Act hat einen sehr weiten Anwendungsbereich und verpflichtet eine Vielzahl von Unternehmen mit Geschäftstätigkeit in der EU zur Einhaltung der Vorschriften. Grundsätzlich gilt der CRA für alle Unternehmen, die „Produkte mit digitalen Elementen“ in der EU auf den Markt bringen. Darunter fallen vereinfacht gesagt alle Hardware-Produkte, die sich mit dem Internet oder anderen Geräten verbinden können, und jede Art von Software – einschließlich Programmen, Apps und Firmware.
Diese Liste ist nicht abschließend, aber hier sind einige der durch den Cyber Resilience Act regulierten Produktkategorien:
- Unterhaltungselektronik: Laptops, Smartphones, Tablets, Router, Switches.
- Smart Devices: Smarte Haushaltsgeräte, smarte Lautsprecher, virtuelle Assistenten, Alarmsysteme.
- Wearable Technology: Smarte Uhren, Fitness-Tracker, smarte Brillen, smarte Ringe.
- Software und Firmware: Mobile und Desktop-Anwendungen, Betriebssysteme, Geräte-Firmware.
- Elektronische Bauteile: Grafikprozessoren, Computer-Prozessoren (CPUs), Mikroprozessoren (MPUs).
Digitale und Technologieprodukte verfügen über komplexe Lieferketten mit vielen verschiedenen Herstellern, Lieferanten und Subtier-Anbietern. Die EU hebt drei spezifische Gruppen von sogenannten „Wirtschaftsakteuren“ hervor, die dem Gesetz entsprechen müssen:
Hersteller
Dies sind Unternehmen, die ein Produkt herstellen und es unter ihrem Markennamen vermarkten. Sie werden oft als Originalgerätehersteller (OEMs) bezeichnet und beziehen ihre Produkte in der Regel aus großen Lieferketten mit Dutzenden, Hunderten oder sogar Tausenden von direkten und indirekten Lieferanten. Diese spezifischen Hersteller tragen die Verantwortung, die CRA einzuhalten.
Importeure
Wie der Name vermuten lässt, handelt es sich hierbei um Unternehmen, die digitale Produkte von außerhalb der EU—häufig von einem OEM oder anderen Hersteller—importieren und auf dem EU-Markt verkaufen.
Distributoren
Distributoren ist ein Sammelbegriff für alle Akteure außer Herstellern und Importeuren, die für das Inverkehrbringen digitaler Produkte auf dem EU-Markt verantwortlich sind. Distributoren umfassen Einzelhändler und andere verwandte Unternehmen und verkaufen häufig direkt an Endkunden.
Wie setzt die EU die CRA durch?
Die CRA verpflichtet alle EU-Staaten, eigene Marktaufsichtsbehörden zur Durchsetzung des Gesetzes und Überwachung betroffener Unternehmen zu benennen. Dies können Behörden, Ämter oder andere Institutionen mit Überwachungs- und Durchsetzungsbefugnissen sein. Die benannte Marktaufsichtsbehörde hat die Befugnis, von betroffenen Akteuren technische Dokumentationen anzufordern, Produktrückrufe durchzuführen oder ein bestimmtes Produkt vom Markt auszuschließen, wenn es als nicht konform mit der CRA eingestuft wird.
Darüber hinaus können Behörden bei Verstößen Bußgelder und Strafen verhängen.
Folgen bei Nichteinhaltung der CRA
Unternehmen, die der Cyber Resilience Act nicht einhalten, können mit erheblichen Geldstrafen belegt werden.
- Verstöße gegen die wesentlichen Anforderungen der CRA: Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Unternehmensumsatzes, je nachdem, welcher Betrag höher ist.
- Verstöße gegen sonstige CRA-Pflichten (einschließlich Dokumentationsanforderungen und CE-Kennzeichnungsverfahren): Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Unternehmensumsatzes, je nachdem, welcher Betrag höher ist.
- Übermittlung falscher oder unvollständiger Informationen an Marktaufsichtsbehörden oder benannte Stellen: Bußgelder bis zu 5 Millionen Euro oder 1 % des weltweiten Unternehmensumsatzes, je nachdem, welcher Betrag höher ist.
Die Rolle der Zertifizierungsstellen im Rahmen der Cyber Resilience Act
Ob ein Unternehmen zur Einhaltung der Cyber Resilience Act mit einer Zertifizierungs- oder benannten Stelle zusammenarbeiten muss, hängt von der Risikoklassifizierung der hergestellten, importierten oder vertriebenen Produkte ab. Die CRA teilt alle digitalen Produkte in eine von vier Produktgruppen ein:
- Standardprodukte: Diese Kategorie umfasst die Mehrheit der digitalen Produkte im EU-Markt, darunter Unterhaltungselektronik, Spielwaren und die meisten Smart Devices. Unternehmen, die Produkte dieser Standardkategorie herstellen, importieren oder vertreiben, benötigen keine Bewertung durch Dritte.
- Wichtige Produkte (Klasse I): Diese Klassifizierung bezieht sich auf Produkte mit besonderen Sicherheitsanforderungen, darunter Router, Modems, Browser und Virtual Private Networks (VPNs). Für diese Produktklasse ist im Allgemeinen eine Drittbewertung durch eine benannte Stelle als Nachweis der CRA-Konformität erforderlich, es sei denn, der Wirtschaftsakteur belegt die Einhaltung einer harmonisierten Norm für Cybersicherheit oder besitzt eine von der CRA genehmigte Cybersicherheitszertifizierung der EU.
- Wichtige Produkte (Klasse II): Diese Gruppe umfasst noch kritischere Sicherheitsinfrastrukturen, darunter Firewalls, Hypervisoren und Systeme zur Angriffserkennung. Für diese Produkte müssen Unternehmen stets eine Drittbewertung durch eine benannte Stelle einholen, um die CRA-Konformität nachzuweisen.
- Kritische Produkte: Dies ist die risikoreichste Kategorie und umfasst Produkte wie Hardware Security Modules, Smart Cards und Gateways für intelligente Messsysteme. Wie in der dritten Kategorie müssen Unternehmen, die diese Produkte auf den EU-Markt bringen, stets eine Bewertung durch eine benannte Stelle einholen.
Wichtige Termine für die Umsetzung der Cyber Resilience Act
Die EU setzt die CRA gestaffelt um. Das Gesetz tritt über einen Zeitraum von etwa 15 Monaten zwischen September 2026 und Dezember 2027 in Kraft.
Am 11. September müssen betroffene Unternehmen beginnen, aktiv ausgenutzte Cybersicherheitslücken und schwerwiegende Vorfälle zu melden. Da die Meldepflicht ab diesem Datum gilt, müssen Unternehmen interne Meldeprozesse deutlich vor der Frist etabliert und implementiert haben.
Fünfzehn Monate nach Beginn der Meldepflicht sind Unternehmen verpflichtet, alle weiteren Compliance-Anforderungen einzuhalten. Dies umfasst alle 13 Anforderungen an digitale Produkte sowie alle acht Pflichten für Produkthersteller.
So erfüllen Unternehmen die Vorgaben der CRA
Ein wesentliches fortlaufendes Problem der CRA besteht darin, dass die harmonisierten Standards der Regelung (Stand Herbst 2026) noch nicht finalisiert und veröffentlicht wurden. Dennoch scheint die EU an ihren beiden wichtigsten Stichtagen festzuhalten—der Meldepflicht im September 2026 und der vollständigen Einhaltungspflicht im Dezember 2027.
Einhaltung bestehender Cybersicherheitsstandards
Betroffene Unternehmen fragen sich möglicherweise zu Recht: Wenn es keine offiziellen harmonisierten Standards für diese Regelung gibt, wie kann ich mich schon jetzt darauf vorbereiten? Dieser Einwand ist nachvollziehbar, doch Organisationen sind nicht völlig hilflos. Bekannt ist, dass der für die CRA-Standards zuständige EU-Ausschuss mehrere etablierte Rahmenwerke als Grundlage nutzt—Standards, auf die Unternehmen schon jetzt zurückgreifen können, um sich auf eine Regulierung vorzubereiten, deren konkrete Anforderungen noch nicht vollumfänglich klar sind. Zu den Standards, auf die sich die CRA stützt, gehören:
- IEC 62443
- ISO 30111
- ISO/IEC 27001
- IEC 62443-4-1
Einrichtung eines Reaktionsprotokolls für Sicherheitsvorfälle
Eines steht für betroffene Organisationen fest: Ab dem 11. September 2026 müssen sie mit der Meldung von aktiv ausgenutzten Schwachstellen oder anderen schwerwiegenden Cybersicherheitsvorfällen beginnen.
Das bedeutet, dass Unternehmen vor diesem Datum einen Meldeprozess für Vorfälle einführen müssen, um die Vorgaben der Cyber Resilience Act wirksam zu erfüllen. Teil dieser Verpflichtung ist die Einrichtung eines Produkt-Sicherheits-Incident-Response-Teams (PSIRT), das auf Cybervorfälle reagiert, Schwachstellen schnell identifiziert, deren Bedrohung einschätzt und Sicherheitspatches entwickelt, die allen Nutzern bereitgestellt werden.
Betroffene Unternehmen sollten bereits jetzt professionelle Teams, digitale Tools, Prozesse und alle erforderlichen Dokumentationsanforderungen für diese Verpflichtung zusammenstellen.
Lückenlose Dokumentation aller Prozesse
Sobald im Dezember 2027 alle CRA-Pflichten in Kraft treten, sind die betroffenen Unternehmen für eine umfassende Dokumentationsakte verantwortlich, die für die Konformitätsbewertung verwendet wird (egal ob diese intern oder von einer Drittpartei durchgeführt wird). Diese Akte muss u. a. eine Stückliste, eine Cybersicherheits-Risikoanalyse, sicherheitsrelevante Designentscheidungen sowie eine Erläuterung der angewandten Standards enthalten.
Unternehmen benötigen die harmonisierten CRA-Standards nicht, um mit der Sammlung dieser Informationen zu beginnen. Sie können sämtliche Dokumentationsanforderungen der Richtlinie bereits jetzt zusammenstellen.
