Recht, Steuern und Finanzen

Cyber Resilience Act: Was Mittelständler bis 2027 umsetzen müssen

Ab Dezember 2027 dürfen Produkte mit digitalen Elementen ohne CRA-Konformität nicht mehr in der EU verkauft werden. Erste Meldepflichten greifen bereits ab September 2026. Was Mittelständler jetzt wissen und tun müssen – im Interview mit CRA-Expertin Sarah Fluchs.

Video ansehen

Cyber Resilience Act: Was Mittelständler bis 2027 umsetzen müssen

veröffentlicht am 11. Juni 202612 Minuten zu lesen Teilen

Inhaltsverzeichnis

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die ab dem 11. Dezember 2027 verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen definiert – von Software über Hardware bis zu vernetzten Geräten. Hersteller, Importeure und Händler dürfen solche Produkte in der EU ab diesem Datum nur noch verkaufen, wenn sie die CRA-Anforderungen erfüllen – sichtbar gemacht durch das CE-Kennzeichen.

„Mit dem CRA wird Security in der Entwicklung und für Produkte verpflichtend – und zwar weltweit zum ersten Mal.“

Sarah Fluchs, Mitglied der EU-Expertengruppe CRA, CTO admeritia GmbH

Das Wichtigste in Kürze

• Der CRA betrifft jedes Unternehmen, das Produkte mit digitalen Elementen in der EU herstellt, importiert oder vertreibt. Ausnahmen für KMU gibt es nicht.
• Erste Pflichten greifen bereits ab dem 11. September 2026: Aktiv ausgenutzte Schwachstellen müssen ab diesem Datum an EU-Behörden gemeldet werden.
• Direkte Konsequenz bei Nichterfüllung ab Dezember 2027: Ohne CRA-Konformität kein CE-Kennzeichen, ohne CE-Kennzeichen kein Verkauf in der EU.
• Die vier Säulen des CRA: Secure by Design, Software Bill of Materials (SBOM), Schwachstellenmanagement und Sicherheitsupdates.

Welche Produkte fallen unter den Cyber Resilience Act?

Der Cyber Resilience Act (zu Deutsch: Cyberresilienzgesetz) gilt für alle „Produkte mit digitalen Elementen“, die in der EU auf den Markt gebracht werden – also für nahezu alles, was Daten verarbeitet oder über Schnittstellen kommunizieren kann. Dazu zählen Hard- und Software sowie Verbraucher- und Industrieprodukte. Auch einzelne Komponenten aus der Lieferkette fallen darunter: etwa ein zugekaufter Chip oder eine zugekaufte Festplatte.

Konkret umfasst der CRA:

• Vernetzte Hardware: IoT-Geräte, Smart-Home-Produkte, vernetzte Maschinen
• Industrielle Steuerungen und Komponenten
• Verbraucherprodukte mit digitalem Anteil
• On-Premise-Software, die Kunden installieren

Welche Produktkategorien unterscheidet der CRA?

Unterschieden wird zwischen Standardprodukten (etwa 90 Prozent der betroffenen Produkte), „wichtigen“ und „kritischen“ Produkten wie z. B. Firewalls, Passwortmanagern oder Smartcards. Die Sicherheitsanforderungen sind für alle Kategorien gleich. Nur das Bewertungsverfahren unterscheidet sich: Standardprodukte können Hersteller selbst zertifizieren, wichtige und kritische Produkte erfordern eine externe Prüfstelle.

Welche Ausnahmen vom CRA gibt es?

Reine Webseiten und Software-as-a-Service (SaaS) sind ausgenommen, solange die Software ausschließlich beim Anbieter gehostet wird. Installierbare On-Premise-Varianten fallen hingegen unter den CRA. Ebenfalls ausgenommen sind Produkte, die bereits durch andere EU-Cybersicherheitsvorgaben abgedeckt sind, darunter Fahrzeuge und bestimmte Medizinprodukte.

Was bedeutet der CRA für den Mittelstand?

Die Betroffenheit hängt, im Gegensatz etwa zur NIS-2-Richtlinie, nicht von der Unternehmensgröße ab: Entscheidend ist allein, ob ein Unternehmen ein Produkt mit digitalen Elementen in der EU auf den Markt bringt. Mittelständische Hersteller müssen sich je nach individueller Ausgangslage unterschiedlich auf den CRA einstellen. Wer Cybersicherheit bereits strukturell in die Produktentwicklung integriert hat, muss vor allem seine Dokumentation CRA-konform aufsetzen. Wer hier noch Nachholbedarf hat, muss seine Prozesse bis Dezember 2027 entsprechend anpassen.

Was sind die vier Säulen des Cyber Resilience Act?

Die Anforderungen des CRA lassen sich in vier zentrale Säulen gliedern:

1. Security in der Produktentwicklung
2. Transparenz über die eingesetzte Software
3. Systematisches Schwachstellenmanagement
4. Verbindliche Update-Pflicht über mehrere Jahre

Was bedeutet „Secure by Design“ im CRA?

Secure by Design heißt, Sicherheitsanforderungen bereits bei der Produktentwicklung zu adressieren, statt sie nachträglich aufzusetzen.

Gemäß CRA müssen Produkte dazu konkrete Kriterien erfüllen:

• Vertrauliche Daten müssen verschlüsselt sein
• Die Integrität übertragener Daten muss sichergestellt sein
• Nur authentifizierte Nutzer dürfen auf Produkt-Funktionen zugreifen

Hersteller sollten bei jedem Produkt systematisch analysieren, welche Cybersicherheits-Risiken im Einsatz entstehen können und welche notwendigen Security-Maßnahmen sich daraus ergeben. Bei industriellen Anwendungen geht es dabei nicht nur um Datenschutz, sondern auch um Produktionsausfälle oder Gefährdungen der physischen Sicherheit.

„Der Hebel für Mittelständler ist, risikobasiertes Denken zu lernen und in den eigenen Methoden-Werkzeugkoffer mit aufzunehmen. Das ist kein Hexenwerk, aber fundamental wichtig.“ – Sarah Fluchs, Mitglied der EU-Expertengruppe CRA, CTO admeritia GmbH

Warum verlangt der CRA eine SBOM (Software Bill of Materials)?

Eine Software Bill of Materials, kurz SBOM, ist ein systematisches Inhaltsverzeichnis aller Bestandteile einer Software. Sie listet auf, welche Komponenten enthalten sind, welche externen Bibliotheken eingebunden werden und woraus sich das Produkt technisch zusammensetzt.

Besonders nützlich ist das im Zusammenhang mit Open-Source-Software: Open-Source-Bibliotheken sind in tausenden kommerziellen Produkten verbaut. Taucht in einer dieser Bibliotheken eine Sicherheitslücke auf, sind potenziell sehr viele Hersteller betroffen – oft ohne es zu wissen. In der Vergangenheit haben Unternehmen in solchen Fällen oft Wochen oder Monate gebraucht, um überhaupt zu klären, ob ihre eigenen Produkte betroffen sind.

Eine gepflegte SBOM verkürzt diese Reaktionszeit erheblich. Hersteller können bei einer neu bekannt gewordenen Schwachstelle gezielt prüfen, ob ihre Produkte betroffen sind, und ihre Kunden zeitnah informieren. Im Kontext globaler Software-Lieferketten ist die SBOM einer der zentralen Bausteine des CRA.

Welche Pflichten gelten beim Schwachstellenmanagement?

Der CRA verpflichtet Hersteller zu einem strukturierten Umgang mit Sicherheitslücken. Dabei unterscheidet die Verordnung drei Eskalationsstufen:

1. Allgemeine Schwachstellen. Hersteller müssen ihre Produkte regelmäßig auf bekannte Schwachstellen prüfen, etwa mit automatisierten Scannern. Solche Scans liefern bei realen Produkten oft dreistellige Trefferzahlen, ohne dass jede Schwachstelle ein konkretes Problem darstellt.
   
2. Ausnutzbare Schwachstellen. In einem zweiten Schritt müssen Hersteller bewerten, welche der gefundenen Schwachstellen im Rahmen der Zweckbestimmung ihres Produkts tatsächlich ausnutzbar sind. Schwachstellen mit realem Risikopotenzial müssen gegenüber Kunden kommuniziert und durch Sicherheitsupdates behoben werden.
   
3. Aktiv ausgenutzte Schwachstellen. Wird bekannt, dass eine Schwachstelle tatsächlich ausgenutzt wurde, etwa weil ein Hackerangriff auf einen Kunden über das eigene Produkt erfolgte, greift die Meldepflicht. Solche Vorfälle müssen an die europäische Cybersicherheitsbehörde ENISA und an die nationalen Sicherheitsbehörden gemeldet werden, in Deutschland an das BSI. Dafür wird derzeit eine zentrale Meldeplattform aufgebaut.
   

Wichtig: Die Meldepflicht für aktiv ausgenutzte Schwachstellen greift bereits ab dem 11. September 2026.

Wie lange müssen Hersteller Sicherheitsupdates bereitstellen?

Mit dem CRA wird der sogenannte Unterstützungszeitraum erstmals verbindlich geregelt. Hersteller müssen ihre Produkte über mindestens fünf Jahre mit Sicherheitsupdates versorgen – oder über die zu erwartende Lebensdauer des Produkts, sofern diese kürzer ist. Bei einer Industriemaschine, die typischerweise 15 Jahre im Einsatz ist, gelten entsprechend 15 Jahre Update-Pflicht.

Dabei gilt:

• Sicherheitsupdates müssen kostenlos bereitgestellt werden
• Hersteller müssen die Dauer des Unterstützungszeitraums beim Verkauf transparent kommunizieren.

Wichtig für Mittelständler: Die Update-Bereitstellung muss in die Produktkalkulation einfließen, besonders bei langlebigen Industriegütern.

Welche Chancen bietet der CRA für den Mittelstand?

Viele Mittelständler sehen im CRA zunächst vor allem Mehraufwand. Bei genauerer Betrachtung wird deutlich, dass europäische Unternehmen von der CRA-Umsetzung langfristig profitieren:

1. Wettbewerbsvorteil gegenüber außereuropäischen Anbietern

Der CRA gilt für alle Hersteller, die ihre Produkte in der EU verkaufen wollen, unabhängig vom Firmensitz. Das schließt Anbieter aus Asien und den USA ein. Wer als europäischer Mittelständler gewissenhaft an Produktqualität und Sicherheit arbeitet, profitiert von einem regulatorischen Umfeld, das sauberes Engineering belohnt und Anbieter mit mangelhafter Sicherheitsarchitektur aus dem Markt drängt.

2. EU-Sicherheitsstandard als Verkaufsargument

Viele mittelständische Hersteller setzen längst ausgeklügelte Security-Konzepte um, ohne sie als solche zu kommunizieren. Solide Software-Architektur, durchdachte Update-Prozesse und ordentliche Dokumentation sind in vielen Häusern Standard. Der CRA hilft dabei, diese Arbeit gegenüber Kunden klar zu positionieren. Das ist gerade im B2B-Geschäft relevant, wo Einkäufer zunehmend nach Sicherheitsfeatures fragen.

3. Weniger Folgekosten durch Secure by Design

Vermeidbare Schwachstellen in einem ausgelieferten Produkt verursachen Aufwand: Patches müssen entwickelt, Kunden informiert, Reaktionsprozesse aufgesetzt werden. Bei größeren Vorfällen kommen Reputationsschäden dazu, die deutlich teurer sein können als die ursprüngliche Schwachstellenbehebung.

„Es ist im Zweifel ein Vorteil für europäische Hersteller, weil der CRA für alle gilt, die in der EU verkaufen wollen.“

Sarah Fluchs, Mitglied der EU-Expertengruppe CRA, CTO admeritia GmbH

Wie bereiten sich Mittelständler in 5 Schritten auf den CRA vor?

Wer den CRA in fünf Schritten strukturiert angeht, minimiert nicht nur den Aufwand, sondern verschafft sich strategische Klarheit über das eigene Produktportfolio.

1. Betroffenheit prüfen: Im ersten Schritt klären Hersteller, ob ihre Produkte überhaupt unter den CRA fallen. Bei Produkten mit digitalen Elementen lautet die Antwort fast immer ja. Wichtig ist auch die Einordnung in die richtige Produktkategorie, also ob es sich um ein Standardprodukt, ein wichtiges (Important) oder kritisches (Critical) Produkt handelt.
   
2. Showstopper identifizieren: Im zweiten Schritt geht es um einen Abgleich des eigenen Produkts mit den Essential Requirements aus Annex I des CRA. Ziel ist es, Anforderungen zu finden, die das Produkt aktuell nicht erfüllen kann und deren Umsetzung mit erheblichem Aufwand verbunden ist. Wer Showstopper früh erkennt, kann Maßnahmen strategisch abwägen: das Produkt technisch nachrüsten, kompensierende Maßnahmen einbauen oder es vom Markt nehmen und ersetzen.
   
3. Schwachstellenprozess etablieren: Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen an EU-Behörden gemeldet werden. Bis dahin brauchen Hersteller einen funktionierenden Schwachstellenprozess: eine klare Anlaufstelle für Schwachstellenmeldungen von außen, definierte Eskalationswege und ein Verständnis dafür, welche Vorfälle meldepflichtig sind.
   
4. SBOM und technische Dokumentation aufbauen: Parallel sollten Hersteller beginnen, eine SBOM für ihre Produkte zu erstellen und eine CRA-konforme technische Dokumentation aufzubauen. Dazu gehören die Risikoanalyse, Nachweise zu den umgesetzten Sicherheitsmaßnahmen, die Dokumentation des Schwachstellenmanagements und die Festlegung des Unterstützungszeitraums.
   
5. Risikoanalyse als Kernkompetenz im Unternehmen verankern: Der wichtigste Schritt ist zugleich der anspruchsvollste. Eine fundierte Security-Risikoanalyse selbst durchführen zu können, ist die Grundlage für jede sinnvolle CRA-Umsetzung.
   

Tipp: Externe Berater können bei einzelnen Aufgaben unterstützen, empfehlen im Zweifel aber oft Maßnahmen, die über das Ziel hinausschießen. Idealerweise sollten Hersteller daher intern beurteilen können, welche Sicherheitsmaßnahmen für das eigene Produkt angemessen sind.

„Mit sauberen Basics ist in Sachen CRA viel gewonnen. Die entscheidenden Fragen dabei: Was habe ich eigentlich in meinem Produkt? Was soll das Produkt können? Dann überlegt man sich, was die Risiken sind und ergreift gezielt bestimmte Maßnahmen.“ – Sarah Fluchs, Mitglied der EU-Expertengruppe CRA, CTO admeritia GmbH

Was bleibt für den Mittelstand zu tun?

Worüber sich KMU im Klaren sein sollten: Strategische Produktentscheidungen im Zusammenhang mit dem CRA brauchen Vorlauf, Schwachstellenprozesse müssen organisiert und Risikoanalyse-Kompetenz aufgebaut werden. Wer damit gegen Mitte 2026 anfängt, hat realistisch anderthalb Jahre für die Umsetzung. Wer ab dem 11. Dezember 2027 kein CE-Kennzeichen auf seinen Produkten hat, darf sie in der EU nicht mehr verkaufen.

„Der CRA ist weltweit die erste Regulierung, die Security für Produkte wirklich zur Markteintrittshürde macht.“ — Sarah Fluchs, Mitglied der EU-Expertengruppe CRA, CTO admeritia GmbH

Wer den CRA als Compliance-Übung behandelt, wird ihn als Belastung erleben. Wer ihn als Anlass nimmt, Cybersicherheit strukturell im eigenen Engineering zu verankern, gewinnt einen Wettbewerbsvorteil, den schlechter aufgestellte Anbieter nicht so schnell aufholen werden.

Lesen Sie auch unseren Artikel zur NIS-2-Richtlinie, die viele Mittelständler neben dem CRA betrifft. Weitere Artikel zu Compliance und Digitalisierung finden Sie in unserem Blog.

FAQ: Häufige Fragen zum Cyber Resilience Act

Weitere interessante Artikel

• EU AI Act 2026 für den Mittelstand: Fristen, Pflichten und Compliance
• E-Mail-Betrug vorbeugen: So schützen Sie sich vor manipulierten Dokumenten
• Cybersicherheit – Wie die Risiken managen?
• Von der Rechnung bis zum Report: Wie viel Automatisierung im Finanzwesen ist heute realistisch?
• ESG, CSRD & LkSG: Wie Sie 2026 Nachhaltigkeit und Compliance erfolgreich vereinen

Hier finden Sie weitere Themen aus diesem Artikel

• Business continuity
• Compliance
• Datenmanagement
• Datenschutz
• Digitalisierung
• Geschäftsprozesse
• IT
• Mittelstand
• Unternehmensführung