Cyber Resilience Act (CRA)

Der CRA gilt für Produkte mit digitalen Elementen, die in der EU bereitgestellt werden: vernetzte Geräte, Software und Komponenten. Pflichten treffen vor allem Hersteller, aber auch Importeure und Händler. Ob und in welcher Klasse ein konkretes Produkt erfasst ist, klären Sie bitte mit Ihrer Rechtsberatung.

Seit 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Ab 11. Dezember 2027 gelten alle Anforderungen.

Der CRA ist seit Ende 2024 in Kraft. Meldepflichten gelten ab 2026, die vollständigen Sicherheitsanforderungen müssen ab 2027 eingehalten werden.

Eine Software Bill of Materials listet alle Software-Komponenten eines Produkts auf, inklusive Open Source. Sie ist die Grundlage, um neue Schwachstellen schnell den betroffenen Produkten zuzuordnen.

Kurz gesagt: Ja – vorbereitend, aber gezielt. Es müssen nicht sofort alle Anforderungen umgesetzt sein, der richtige Zeitpunkt zu handeln ist aber jetzt.

Der CRA ist bereits in Kraft, und seit 11. September 2026 gelten die ersten verbindlichen Pflichten: Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen gemeldet werden. Ab 11. Dezember 2027 dürfen betroffene Produkte nur noch in der EU in Verkehr gebracht werden, wenn sie die vollständigen Sicherheitsanforderungen erfüllen, inklusive Schwachstellenmanagement und technischer