CRA (Cyber Resilience Act)

Der Cyber Resilience Act (CRA) – Verordnung (EU) 2024/2847 – ist die erste EU-weite Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus festlegt. Die Verordnung wurde am 20. November 2024 im Amtsblatt der EU veröffentlicht und trat am 10. Dezember 2024 in Kraft. Die wesentlichen Pflichten gelten ab dem 11. Dezember 2027, wobei bestimmte Meldepflichten bereits ab dem 11. September 2026 greifen.

Was ist der CRA?

Der Cyber Resilience Act adressiert eine zentrale Lücke im europäischen Rechtsrahmen: Bislang gab es keine horizontalen Cybersicherheitsanforderungen für Hardware- und Softwareprodukte. Der CRA schließt diese Lücke, indem er Hersteller, Importeure und Händler verpflichtet, Produkte mit digitalen Elementen nur dann auf den EU-Markt zu bringen, wenn diese grundlegende Cybersicherheitsanforderungen erfüllen. Die Verordnung verfolgt einen risikobasierten Ansatz und unterscheidet zwischen Standardprodukten, wichtigen Produkten (Klasse I und II) und kritischen Produkten, für die jeweils unterschiedlich strenge Konformitätsbewertungsverfahren gelten.

Wen betrifft der CRA?

Der CRA betrifft alle Wirtschaftsakteure entlang der Wertschöpfungskette digitaler Produkte:

Hersteller: Tragen die Hauptverantwortung für die Cybersicherheit ihrer Produkte. Sie müssen Sicherheitsanforderungen bereits in der Entwurfs- und Entwicklungsphase berücksichtigen (Security by Design), Schwachstellenmanagement betreiben und während der erwarteten Produktlebensdauer (mindestens 5 Jahre) kostenlose Sicherheitsupdates bereitstellen.
Importeure: Dürfen nur konforme Produkte auf den EU-Markt bringen und müssen die Herstellerdokumentation und CE-Kennzeichnung überprüfen.
Händler: Müssen die Konformität der von ihnen vertriebenen Produkte verifizieren und bei bekannten Sicherheitsmängeln entsprechende Maßnahmen ergreifen.

Betroffen sind sowohl Hardware-Produkte (vernetzte Geräte, IoT-Produkte, industrielle Steuerungssysteme) als auch Software-Produkte (Betriebssysteme, Anwendungen, Firmware, Bibliotheken). Ausgenommen sind unter anderem Produkte, die bereits unter sektorspezifische Regelungen fallen (z. B. Medizinprodukte, Fahrzeuge, Luftfahrt), sowie Open-Source-Software, die nicht im Rahmen einer kommerziellen Tätigkeit bereitgestellt wird.

Kernforderungen

Der CRA definiert umfassende Sicherheitsanforderungen in zwei Kategorien:

Wesentliche Cybersicherheitsanforderungen an das Produkt:

Produkte müssen ohne bekannte ausnutzbare Schwachstellen auf den Markt gebracht werden.
Sichere Standardkonfiguration ab Werk (Security by Default) mit der Möglichkeit, das Produkt auf den Auslieferungszustand zurückzusetzen.
Schutz vor unbefugtem Zugriff durch angemessene Authentifizierungs- und Zugriffskontrollmechanismen.
Schutz der Vertraulichkeit und Integrität gespeicherter, übermittelter und verarbeiteter Daten, einschließlich Verschlüsselung.
Minimierung der Angriffsfläche und Begrenzung der Auswirkungen von Sicherheitsvorfällen.
Protokollierung sicherheitsrelevanter Ereignisse und Bereitstellung von Sicherheitsupdates.

Anforderungen an das Schwachstellenmanagement:

Identifizierung und Dokumentation von Schwachstellen und Komponenten (Software Bill of Materials – SBOM).
Unverzügliche Behebung von Schwachstellen durch kostenlose Sicherheitsupdates.
Regelmäßige Tests und Überprüfungen der Produktsicherheit.
Koordinierte Offenlegungspolitik für gemeldete Schwachstellen.
Meldung aktiv ausgenutzter Schwachstellen an die ENISA innerhalb von 24 Stunden.

Konformitätsbewertung und CE-Kennzeichnung

Produkte müssen vor dem Inverkehrbringen ein Konformitätsbewertungsverfahren durchlaufen. Standardprodukte können eine Selbstbewertung durchführen, während wichtige Produkte der Klasse II und kritische Produkte eine Bewertung durch eine benannte Stelle (Notified Body) benötigen. Nach erfolgreicher Bewertung tragen die Produkte die CE-Kennzeichnung als Nachweis der Konformität und der Hersteller erstellt eine EU-Konformitätserklärung.

Sanktionen

Bei Verstößen gegen die wesentlichen Cybersicherheitsanforderungen drohen Bußgelder von bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes. Verstöße gegen andere Verpflichtungen der Verordnung können mit bis zu 10 Mio. EUR oder 2 % des Umsatzes geahndet werden. Die nationalen Marktüberwachungsbehörden können zudem den Rückruf oder die Rücknahme nicht konformer Produkte anordnen.