Bisher gab es in der EU kaum allgemeine Sicherheitsvorgaben für Software und vernetzte Geräte. Der CRA ändert das: Ab 11. Dezember 2027 dürfen solche Produkte nur noch in Verkehr gebracht werden, wenn sie grundlegende Cybersicherheitsanforderungen erfüllen, nachgewiesen mit der CE-Kennzeichnung, ähnlich wie bei elektrischer Sicherheit. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz.
Für wen gilt der CRA?
Erfasst sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen: vom Router und der Webcam über Smart-Home-Geräte und Industriesteuerungen bis zu Betriebssystemen, Apps und Desktop-Software. Fernverarbeitung, etwa ein Cloud-Dienst, fällt nur darunter, soweit das Produkt sie für seine Funktionen benötigt. Ausgenommen sind Bereiche mit eigenen Regeln, etwa Medizinprodukte, In-vitro-Diagnostika, Kraftfahrzeuge, Luftfahrt, Schiffsausrüstung sowie Produkte ausschließlich für nationale Sicherheit oder Verteidigung. Für Organisationen, die quelloffene Software dauerhaft betreuen, ohne Hersteller zu sein, gibt es die eigene, leichtere Rolle des Open-Source-Stewards.
Welche Pflichten haben Hersteller?
- Sicherheit von Anfang an: Risikobewertung und sichere Konzeption, Entwicklung und Herstellung nach Anhang I.
- Schwachstellen behandeln: Komponenten dokumentieren, unter anderem mit einer Software-Stückliste (SBOM), Lücken unverzüglich beheben, Sicherheitsupdates möglichst getrennt von Funktionsupdates bereitstellen.
- Koordinierte Offenlegung: Eine Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und eine Kontaktadresse für Meldungen angeben.
- Unterstützungszeitraum: Schwachstellen mindestens fünf Jahre lang behandeln, außer das Produkt ist voraussichtlich kürzer in Betrieb. Bereitgestellte Sicherheitsupdates müssen mindestens zehn Jahre verfügbar bleiben.
- Konformität und CE-Kennzeichnung: Für die meisten Produkte genügt eine Selbstbewertung. Für wichtige und kritische Produkte, etwa Firewalls, gelten strengere Verfahren.
Meldepflichten seit 11. September 2026
Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform der ENISA melden, gleichzeitig an das zuständige CSIRT und die ENISA. Die Fristen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Bereitstellung einer Korrektur, bei Vorfällen binnen eines Monats. Die Pflicht gilt auch für Produkte, die schon vor Dezember 2027 auf dem Markt sind. Die übrigen Pflichten gelten ab 11. Dezember 2027.
Praxis für KMU und Gemeinden
- Als Käufer: Fragen Sie bei neuen Geräten und Programmen nach dem Unterstützungszeitraum, der Kontaktstelle für Schwachstellen und der CE-Konformität. Das hilft bei Ausschreibungen von Gemeinden genauso wie im Unternehmen.
- Als Hersteller: Wer Software oder vernetzte Geräte verkauft, auch als kleines Unternehmen, braucht bis Dezember 2027 einen geordneten Sicherheitsprozess. Die Meldepflicht läuft bereits.
- Im Zusammenspiel mit NIS2: NIS2 regelt die Sicherheit von Einrichtungen, der CRA die von Produkten. Viele Unternehmen sind von beidem berührt. Die Meldefristen nach NIS2 und NISG 2026 fasst der Download NIS2-Meldepflichten zusammen.
Sanktionen
Verstöße gegen die grundlegenden Anforderungen oder die Pflichten aus Art. 13 und 14 können mit Geldbußen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Bezug zu TOMORIS
TOMORIS NEXT Entwicklung plant Berechtigungs- und Sicherheitskonzepte von Beginn an mit. Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.