Cyber Resilience Act für KMU: Was kleine Unternehmen jetzt vorbereiten sollten

Der Cyber Resilience Act gilt nicht nur für Konzerne. Auch kleine Softwarehäuser, Gerätehersteller, Importeure, Onlinehändler und technische Kleinbetriebe können betroffen sein. Für KMU ist deshalb entscheidend, die Anforderungen nicht als riesiges Einzelprojekt zu behandeln, sondern in wenige klare Produkt- und Sicherheitsprozesse zu übersetzen.

Gilt der CRA auch für kleine Unternehmen?

Ja. Der CRA enthält keine allgemeine Ausnahme, die kleine Unternehmen pauschal von den Produktanforderungen befreit. Entscheidend ist, ob ein Unternehmen ein erfasstes Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt und welche Rolle es dabei hat. Ein Zwei-Personen-Softwarebetrieb kann deshalb ebenso Hersteller sein wie ein großer Elektronikkonzern.

Die Verordnung und die Umsetzungsleitlinien berücksichtigen die Situation kleinerer Unternehmen an verschiedenen Stellen. Die EU-Kommission hat ihre Leitlinien vom 27. Juli 2026 ausdrücklich auch auf KMU zugeschnitten und mit praktischen Beispielen ergänzt. Das ändert aber nichts daran, dass betroffene Produkte strukturiert eingeordnet und die relevanten Pflichten umgesetzt werden müssen.

Welche kleinen Betriebe sollten besonders genau hinschauen?

Relevant ist der CRA vor allem für Unternehmen, die ein digitales Produkt selbst entwickeln oder unter eigener Marke verkaufen. Ebenso wichtig ist die Prüfung für Betriebe, die Geräte oder Software aus Nicht-EU-Staaten importieren oder als Händler vertreiben.

Was ist für KMU ab September 2026 akut?

Akut sind die Berichtspflichten nach Artikel 14. Hersteller müssen ab 11. September 2026 aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, sofern die Voraussetzungen erfüllt sind. Die Fristen sind kurz: grundsätzlich 24 Stunden für die Frühwarnung und 72 Stunden für die weitergehende Meldung.

Kleine Unternehmen sollten deshalb keinen komplizierten Incident-Prozess entwerfen, den im Ernstfall niemand benutzt. Besser ist ein einfacher Ablauf mit klaren Verantwortlichkeiten und einer Vertretung.

1. Sicherheitsmeldung oder Vorfall geht zentral ein.
2. Eine benannte Person bewertet Produktbezug und Dringlichkeit.
3. Technische Fakten und betroffene Versionen werden gesammelt.
4. Geschäftsführung oder definierte Stelle entscheidet über den Meldeweg.
5. Meldung und spätere Ergänzungen werden dokumentiert.

Was sollte im Notfall sofort verfügbar sein?

Mindestens Produktname, Version, betroffene Märkte, Art der Schwachstelle beziehungsweise des Vorfalls, bekannte Auswirkung, bereits ergriffene Maßnahmen und erreichbare Verantwortliche sollten schnell zusammengetragen werden können. Wenn diese Informationen erst aus mehreren privaten Postfächern, Ticketsystemen und Entwicklernotizen rekonstruiert werden müssen, wird die 24-Stunden-Frist unnötig schwierig.

Welche Dokumentation braucht ein kleines Unternehmen?

Dokumentation muss zur tatsächlichen Produktentwicklung passen. Ein kleines Team profitiert davon, Nachweise dort entstehen zu lassen, wo ohnehin gearbeitet wird: im Ticketsystem, im Repository, in Release-Dokumenten, Testprotokollen und Produktunterlagen. Wichtig ist, dass die Informationen nachvollziehbar und einem konkreten Produkt beziehungsweise einer Version zugeordnet werden können.

• Produktliste mit Versionen und Verantwortlichen
• Cybersicherheits-Risikobewertung pro Produkt
• Übersicht über relevante Software- und Hardwarekomponenten
• Dokumentierter Umgang mit Schwachstellen
• Patch- und Updateprozess
• Begründeter Supportzeitraum
• Technische Dokumentation und Konformitätsnachweise
• Nutzerinformationen für sichere Installation und Nutzung
• Meldeprozess für Artikel 14

Welche Rolle spielt eine SBOM?

Für Software ist eine Software Bill of Materials eine strukturierte Übersicht der verwendeten Softwarekomponenten. Das BSI beschreibt sie anschaulich als „Zutatenliste“ für Software. Sie hilft insbesondere dabei, bei einer neuen Schwachstelle schnell zu erkennen, welche Produkte und Versionen eine betroffene Bibliothek enthalten. Für kleine Hersteller ist eine gepflegte Komponentenübersicht deshalb nicht nur Compliance-Dokumentation, sondern ein praktisches Werkzeug für die eigene Reaktionsfähigkeit.

Muss jedes kleine Unternehmen eine externe Zertifizierung bezahlen?

Nein. Der notwendige Konformitätsweg hängt von der Produktkategorie ab. Viele Produkte fallen in die allgemeine Kategorie und können grundsätzlich über die vorgesehenen internen Konformitätsbewertungsverfahren des Herstellers laufen, sofern die rechtlichen Voraussetzungen erfüllt sind. Für wichtige oder kritische Produkte gelten strengere Wege; je nach Kategorie kann die Einbindung einer notifizierten Stelle erforderlich werden.

Für KMU ist daher die Produktklassifizierung besonders wichtig. Wer vorschnell von einer externen Zertifizierung ausgeht, plant möglicherweise unnötige Kosten ein. Wer umgekehrt ein wichtiges oder kritisches Produkt fälschlich wie ein Standardprodukt behandelt, riskiert einen falschen Konformitätsweg.

Wie lässt sich CRA-Compliance in einem kleinen Team verteilen?

Es braucht nicht zwingend eine eigene CRA-Stelle. Die Verantwortlichkeiten müssen aber sichtbar sein. Ein praktikables Modell teilt vier Aufgabenbereiche auf:

In einem sehr kleinen Unternehmen kann dieselbe Person mehrere Zeilen übernehmen. Kritisch wird es erst, wenn niemand weiß, wer bei Urlaub, Krankheit oder einem Sicherheitsvorfall entscheiden darf. Eine Vertretungsregel ist deshalb wichtiger als ein kompliziertes Organigramm.

Welche typischen Fehler kosten kleine Unternehmen unnötig Zeit?

Fehler 1: Alle Produkte gleichzeitig bis ins Detail analysieren

Beginnen Sie mit einer Bestandsaufnahme und Priorisierung. Produkte, die aktuell vertrieben werden, aktiv gepflegt werden oder ein höheres Sicherheitsrisiko haben, gehören zuerst auf den Tisch.

Fehler 2: CRA nur als Dokumentationsprojekt behandeln

Die Verordnung verlangt Sicherheitsanforderungen und Schwachstellenbehandlung über den Produktlebenszyklus. Eine Dokumentation ohne funktionierenden Entwicklungs-, Update- und Incident-Prozess hilft im Ernstfall wenig.

Fehler 3: Erst 2027 anfangen

Die Berichtspflichten starten früher. Zudem braucht es Zeit, bestehende Produkte, Komponentenlisten, Sicherheitsprozesse und Verantwortlichkeiten zu erfassen. Wer erst kurz vor Dezember 2027 beginnt, muss viele Entscheidungen parallel treffen.

Fehler 4: Die eigene Rolle falsch einschätzen

Unter eigener Marke vertriebene oder wesentlich veränderte Fremdprodukte können Pflichten verändern. Importeur oder Händler zu sein bedeutet daher nicht automatisch, dass Herstellerfragen irrelevant sind.

Was sollte ein KMU in den nächsten 30 Tagen tun?

1. Alle digitalen Produkte und Produktfamilien in einer Liste erfassen.
2. Hersteller-, Importeur- und Händlerrolle je Produkt dokumentieren.
3. Eine Person für CRA-Koordination und eine Vertretung bestimmen.
4. Meldeprozess für Schwachstellen und Vorfälle prüfen.
5. Aktive Produkte nach Risiko und Marktanteil priorisieren.
6. Komponenten- und Abhängigkeitsdaten zusammentragen.
7. Für die wichtigsten Produkte eine erste CRA-Gap-Liste anlegen.

Danach sollte die Arbeit in einen realistischen Zeitplan bis Ende 2027 überführt werden. Dafür ist unser CRA-Fahrplan für 2026/2027 gedacht. Wenn noch unklar ist, ob ein Produkt überhaupt erfasst sein könnte, starten Sie beim CRA-Check.

Welche offizielle Orientierung gibt es für KMU?

Die Europäische Kommission hat am 27. Juli 2026 neue Leitlinien veröffentlicht, die zahlreiche praktische Beispiele und Erläuterungen enthalten und ausdrücklich auch kleine und mittlere Unternehmen adressieren. Diese Leitlinien ersetzen den Verordnungstext nicht, helfen aber bei typischen Auslegungsfragen.

Aktuelle CRA-Leitlinien der Europäischen Kommission