CRA Check für Unternehmen: Bin ich vom Cyber Resilience Act betroffen?

Der Cyber Resilience Act betrifft viele Unternehmen, die Software, Hardware oder digitale Komponenten gewerblich im EU-Markt bereitstellen. Der erste sinnvolle Schritt ist deshalb keine lange Compliance-Liste, sondern eine klare Einordnung: Gibt es überhaupt ein Produkt mit digitalen Elementen, welche Rolle hat das Unternehmen und welche Fristen sind bereits relevant?

Ist mein Unternehmen vom Cyber Resilience Act betroffen?

Eine nähere Prüfung ist sinnvoll, wenn Ihr Unternehmen Software, Hardware oder einzelne digitale Komponenten auf dem EU-Markt anbietet. Das gilt besonders, wenn Sie Produkte selbst entwickeln, unter eigenem Namen oder eigener Marke vertreiben, Produkte aus einem Drittstaat in die EU importieren oder als Händler weiterverkaufen. Entscheidend ist nicht die Größe des Unternehmens, sondern Produkt, Marktbereitstellung und Rolle in der Lieferkette.

Der CRA verwendet den Begriff „Produkt mit digitalen Elementen“. Darunter fallen grundsätzlich Software- und Hardwareprodukte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz umfasst. Auch separat in Verkehr gebrachte Komponenten können erfasst sein.

Typische Produkte, bei denen sich der Check lohnt

• Apps, Desktop-Software und kommerzielle Softwarepakete
• IoT-Geräte, Smart-Home-Produkte und vernetzte Steuerungen
• Router, Netzwerkgeräte, Sicherheitsprodukte und Gateways
• Maschinen oder Geräte mit relevanter digitaler Steuerung und Konnektivität
• Software- oder Hardwarekomponenten, die separat verkauft werden
• Produkte mit Remote-Datenverarbeitung, wenn diese für eine Produktfunktion erforderlich ist

Die Liste ist bewusst breit. Eine belastbare Einordnung hängt vom konkreten Produkt und Geschäftsmodell ab. Wer ausschließlich digitale Dienstleistungen anbietet, fällt nicht automatisch unter den CRA. Sobald eine Leistung aber Teil eines Produkts mit digitalen Elementen ist oder eine notwendige Remote-Datenverarbeitung für dessen Funktion bereitstellt, muss genauer geprüft werden.

Welche drei Fragen klären die Betroffenheit am schnellsten?

Produkt, Markt und Rolle sind die drei Kernfragen. Erst wenn diese Punkte sauber beantwortet sind, lohnt sich die Detailprüfung der konkreten Pflichten.

1. Produkt: Gibt es Hardware, Software oder eine separat vermarktete digitale Komponente?
2. Markt: Wird dieses Produkt im Rahmen einer gewerblichen Tätigkeit in der Europäischen Union bereitgestellt?
3. Rolle: Handelt Ihr Unternehmen als Hersteller, Importeur oder Händler?

Warum die Herstellerrolle besonders wichtig ist

Hersteller tragen den größten Teil der CRA-Pflichten. Dazu gehören die Cybersicherheits-Risikobewertung, die Einhaltung der grundlegenden Anforderungen aus Anhang I, technische Dokumentation, Konformitätsbewertung, Schwachstellenbehandlung, Sicherheitsupdates und bei bestimmten Fällen die Meldung über die zentrale CRA-Meldeplattform. Auch ein Unternehmen, das ein fremdes Produkt unter eigener Marke vermarktet, kann dadurch Herstellerpflichten übernehmen.

Was Importeure und Händler prüfen müssen

Importeure und Händler haben eigene Prüf- und Sorgfaltspflichten. Sie sollen unter anderem darauf achten, dass relevante Konformitätsanforderungen erfüllt sind und vorgeschriebene Informationen vorhanden sind. Wer ein Produkt wesentlich verändert oder unter eigenem Namen beziehungsweise eigener Marke vertreibt, kann allerdings in eine Herstellerrolle wechseln. Die reine Bezeichnung im Vertrag ist deshalb nicht immer ausschlaggebend.

Was muss bis September 2026 vorbereitet sein?

Ab 11. September 2026 greifen die Berichtspflichten aus Artikel 14. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, wenn die gesetzlichen Voraussetzungen erfüllt sind. Die EU-Kommission nennt grundsätzlich eine Frühwarnung innerhalb von 24 Stunden und eine weitergehende Meldung innerhalb von 72 Stunden nach Kenntniserlangung.

Für kleine Unternehmen ist weniger die technische Meldeplattform das Problem als die interne Organisation. Wer erkennt den Vorfall? Wer entscheidet, ob er meldepflichtig sein könnte? Wer sammelt Fakten zu Produkt, Auswirkung, Schwachstelle und Gegenmaßnahmen? Und wer darf die Meldung freigeben? Diese Fragen sollten vor dem ersten echten Fall beantwortet sein.

Welche Produkte fallen schon vor Dezember 2027 unter die Melderegeln?

Die Berichtspflichten können auch Produkte betreffen, die bereits vor dem 11. Dezember 2027 auf dem Unionsmarkt bereitgestellt wurden. Die EU-Kommission weist ausdrücklich darauf hin, dass Artikel 14 für alle Produkte mit digitalen Elementen gilt, die auf dem Unionsmarkt bereitgestellt wurden. Unternehmen sollten den Meldeprozess daher nicht nur für künftige Produktgenerationen planen.

Was ändert sich ab 11. Dezember 2027?

Ab diesem Datum gelten die wesentlichen CRA-Anforderungen vollständig. Für neu in Verkehr gebrachte Produkte mit digitalen Elementen müssen Hersteller die einschlägigen Cybersicherheitsanforderungen einhalten und die erforderlichen Konformitätsunterlagen vorhalten. Dazu gehören je nach Fall Risikobewertung, technische Dokumentation, Konformitätsverfahren, Nutzerinformationen, CE-Kennzeichnung und Prozesse zur Schwachstellenbehandlung über den Supportzeitraum.

Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den neuen Produktanforderungen grundsätzlich erst dann, wenn sie ab diesem Zeitpunkt wesentlich verändert werden; die bereits früher startenden Berichtspflichten sind davon zu unterscheiden.

Welche Vorbereitung lohnt sich für kleine Unternehmen jetzt?

Ein KMU muss nicht mit einer vollständigen juristischen Analyse jedes Details beginnen. Sinnvoller ist ein schlanker Produkt- und Prozesscheck. Die folgenden Punkte liefern eine gute Ausgangsbasis:

• Alle eigenen Software-, Hardware- und Komponentenprodukte erfassen.
• Für jedes Produkt die Rolle des Unternehmens festhalten.
• Produkte markieren, die schon heute im EU-Markt bereitgestellt werden.
• Verantwortliche Person für CRA und Sicherheitsmeldungen benennen.
• Schwachstellen- und Incident-Prozess auf 24-/72-Stunden-Fähigkeit prüfen.
• Softwarekomponenten und Abhängigkeiten nachvollziehbar dokumentieren.
• Für neue Produkte Risikobewertung und technische Dokumentation früh in die Entwicklung integrieren.
• Prüfen, welcher Konformitätsweg für die Produktkategorie voraussichtlich nötig ist.

Wer diese Basis sauber hat, kann die fachliche Vertiefung wesentlich gezielter angehen. Für kleine Unternehmen haben wir dafür die Seite CRA für KMU aufgebaut. Einen zeitlichen Arbeitsplan bis 2027 bietet der CRA-Fahrplan.

Wo stehen die verbindlichen Regeln?

Rechtsverbindlich ist die Verordnung (EU) 2024/2847. Die EU-Kommission stellt zusätzlich aktuelle Umsetzungsinformationen, Leitlinien und Erläuterungen bereit. Für eine erste Orientierung ist die Kommissionsseite hilfreich; bei strittigen Detailfragen sollte der Verordnungstext herangezogen werden.

Cyber Resilience Act bei der Europäischen Kommission