EU-Cyberresilienz-Verordnung (CRA)

Überblick

Die Cyberresilienz-Verordnung (Cyber Resilience Act – CRA) ist die Verordnung (EU) 2024/2847. Weil es sich nicht um eine Richtlinie, sondern um eine in den Mitgliedstaaten unmittelbar geltende Verordnung handelt, ist eine nationale Umsetzung nicht zu erwarten. Ihr Zweck ist es, dass Produkte mit digitalen Elementen definierte Cybersicherheitsanforderungen erfüllen, bevor sie in Verkehr gebracht werden, und über ihren gesamten Lebenszyklus sicher gehalten werden. Die Verordnung ist am 10.12.2024 in Kraft getreten; ihre Pflichten sind an einen gestuften Zeitplan gebunden.

Anwendungsbereich und Produktklassen

Art. 3 Nr. 1 definiert das „Produkt mit digitalen Elementen“ als ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen — einschließlich gesondert in Verkehr gebrachter Software- oder Hardwarekomponenten. Die Definition ist bewusst weit: Erfasst sind eigenständige Software, eingebettete Software, vernetzte Hardware und die vom Hersteller entworfenen Fernkomponenten. Freie und quelloffene Software, die außerhalb einer Geschäftstätigkeit bereitgestellt wird, fällt heraus.

Die Konformität ist vierschichtig aufgebaut. Bei Standardprodukten genügt die Selbstbewertung im Wege der internen Kontrolle (Modul A). Bei den wichtigen Produkten der Klasse I nach Anhang III — Passwortmanager, VPNs, Bootmanager, Router, smarte Heimassistenten — ist die Selbstbewertung nur möglich, wenn harmonisierte Normen oder ein europäisches Schema für die Cybersicherheitszertifizierung vollständig angewendet werden; andernfalls ist eine Bewertung durch Dritte erforderlich. Bei den Produkten der Klasse II nach Anhang III (Firewalls, Hypervisoren, manipulationssichere Mikrocontroller und Mikroprozessoren) ist die Bewertung durch Dritte zwingend. Für die kritischen Produkte des Anhangs IV (Hardware-Sicherheitsmodule, Smart-Meter-Gateways, Chipkarten) gilt das strengste Regime. Die Einstufung ist nicht anhand der Überschriften der Anhänge vorzunehmen, sondern anhand der technischen Definitionen der Durchführungsverordnung (EU) 2025/2392.

Kernpflichten

Der Hersteller führt eine Cybersicherheits-Risikobewertung durch (Art. 13 Abs. 2 und 3), erfüllt die grundlegenden Anforderungen des Anhangs I, erstellt die technische Dokumentation, durchläuft das Konformitätsverfahren (Modul A, B+C oder H), stellt die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an. Der Unterstützungszeitraum beträgt in der Regel mindestens fünf Jahre (Art. 13 Abs. 8); ist die erwartete Nutzungsdauer kürzer, ist diese maßgeblich. Nach Art. 13 Abs. 19 ist das Ende des Unterstützungszeitraums im Zeitpunkt des Kaufs klar und verständlich anzugeben. Sicherheitsaktualisierungen sind mindestens zehn Jahre oder für den verbleibenden Unterstützungszeitraum zugänglich zu halten — je nachdem, welcher Zeitraum länger ist (Art. 13 Abs. 9).

Art. 14 richtet zwei Meldeströme ein; beide laufen über die einheitliche Plattform des Art. 16 an das koordinierende CSIRT und an die ENISA. Bei aktiv ausgenutzten Schwachstellen sind eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme geschuldet. Bei schwerwiegenden Sicherheitsvorfällen, die die Produktsicherheit betreffen, gelten dieselben Stufen von 24 und 72 Stunden; der Abschlussbericht ist hier binnen eines Monats nach der Meldung des Vorfalls vorzulegen.

Auswirkungen auf türkische Unternehmen

Die Stellung der CRA unterscheidet sich strukturell von handelsrechtlichen Regelungen. Die Verordnung bindet den Hersteller ohne Rücksicht darauf, wo er niedergelassen ist; Auslöser ist das Inverkehrbringen des Produkts auf dem EU-Markt. Bringt ein in der Türkei ansässiges Unternehmen ein Produkt unter eigener Marke in der EU in Verkehr, ist es „Hersteller“ und trägt die gesamte Last der Art. 13 und 14 selbst. Diese Pflichten lassen sich nicht auf den Einführer in der EU abwälzen; dessen Aufgabe nach Art. 19 besteht darin, Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung und EU-Konformitätserklärung zu überprüfen und die Erklärung zehn Jahre oder für die Dauer des Unterstützungszeitraums aufzubewahren. In der Praxis heißt das, dass vertragliche Nachweis- und Auskunftsverlangen lange vor 2027 eintreffen.

Beim Bevollmächtigten verbietet sich eine pauschale Aussage: Art. 18 erlaubt die Benennung eines Bevollmächtigten, schreibt sie aber nicht vor. Demgegenüber fallen die meisten vernetzten und funkgestützten Produkte zugleich unter die Funkanlagenrichtlinie 2014/53/EU, und diese verlangt eine in der EU niedergelassene verantwortliche Person. Die Antwort hängt daher vom einzelnen Produkt ab und ist für jedes Produkt gesondert zu bestimmen.

Wir empfehlen folgende Reihenfolge: die Einstufung jedes Produkts nach der Durchführungsverordnung (EU) 2025/2392; vor dem 11.09.2026 der Aufbau eines Schwachstellenmanagements und eines Prozesses zur Reaktion auf Sicherheitsvorfälle, der die 24-Stunden-Frist einhalten kann, sowie die Einrichtung des Zugangs zur ENISA-Plattform; und vor dem 11.12.2027 der Abschluss von Konformität mit Anhang I, dokumentierter Risikobewertung, technischer Dokumentation, Komponentenverzeichnis (auf SBOM-Ebene), Konformitätsbewertung, EU-Konformitätserklärung, CE-Kennzeichnung und der beim Verkauf offengelegten Angabe des Unterstützungszeitraums.

Zeitplan

In Kraft seit dem 10.12.2024; die Durchführungsverordnung (EU) 2025/2392 wurde am 28.11.2025 angenommen und trat am 21.12.2025 in Kraft; Kapitel IV zur Notifizierung der Konformitätsbewertungsstellen (Art. 35 bis 51) gilt seit dem 11.06.2026, die Meldepflichten des Art. 14 gelten ab dem 11.09.2026 und die vollständige Anwendung beginnt am 11.12.2027. Mit Stand Juli 2026 werden die harmonisierten Normen von CEN/CENELEC, die Anhang I unterlegen sollen, noch entwickelt; wann sie verfügbar sind, entscheidet darüber, ob die Selbstbewertung bei Produkten der Klasse I praktisch in Betracht kommt. Ein Vorschlag, der den Zeitplan der CRA wieder öffnen würde, liegt nicht vor.

Sanktionen

Art. 64 bemisst die Geldbußen nach dem jeweils höheren Betrag. Bei Verstößen gegen die grundlegenden Anforderungen des Anhangs I sowie gegen Art. 13 und Art. 14 sind bis zu 15.000.000 Euro oder bis zu 2,5 % des gesamten weltweiten Jahresumsatzes vorgesehen; bei Verstößen gegen die Art. 18 bis 23, 28, 30 Abs. 1 bis 4, 31 Abs. 1 bis 4, 32 Abs. 1 bis 3, 33 Abs. 5, 39, 41, 47, 49 und 53 bis zu 10.000.000 Euro oder 2 %; und bei falschen, unvollständigen oder irreführenden Angaben gegenüber notifizierten Stellen oder Marktüberwachungsbehörden bis zu 5.000.000 Euro oder 1 %. Nach Art. 64 Abs. 10 sind Kleinstunternehmen und kleine Unternehmen von Geldbußen wegen Versäumung der Fristen des Art. 14 Abs. 2 bis 4 ausgenommen; Verwalter quelloffener Software (Open-Source-Software-Stewards) sind von Geldbußen vollständig befreit.

Verwandte Inhalte

Für die Cybersicherheitspflichten des Unternehmens selbst sehen Sie den NIS2-Eintrag, für die zusätzliche Schicht bei Produkten mit künstlicher Intelligenz den Eintrag zur KI-Verordnung der EU. Der allgemeine Rahmen der Produktsicherheit steht im GPSR-Eintrag; die Ordnung von Vorfallreaktion und Schwachstellenmanagement behandeln wir in unserem Schwerpunkt Cybersicherheit. Die drei genannten Einträge liegen derzeit auf Türkisch und Englisch vor; auf Anfrage erläutern wir sie Ihnen auf Deutsch.

Inkrafttreten & Änderungshistorie

• 11.12.2027

  Vollständige Anwendung beginnt

  Die grundlegenden Anforderungen des Anhangs I, die Konformitätsbewertung und die CE-Kennzeichnung werden zwingend.

• 11.09.2026

  Meldungen nach Art. 14 beginnen

  Die Meldung von Schwachstellen und Sicherheitsvorfällen greift, und zwar auch für bereits im Markt befindliche Produkte.

• 11.06.2026

  Kapitel IV wird anwendbar

  Die Art. 35 bis 51 zur Notifizierung der Konformitätsbewertungsstellen sind in Kraft getreten.

• 10.12.2024

  Verordnung in Kraft getreten

  Nach der Veröffentlichung im Amtsblatt der EU trat die Verordnung in Kraft; die Pflichten wurden an einen gestuften Zeitplan gebunden.