Verordnung über Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act).

Wann gilt CRA für Sie?

CRA kann für Sie gelten, wenn einer dieser Auslöser zutrifft. Der Normen-Check prüft sie anhand Ihrer Angaben.

• Tätigkeit: Produkte mit Software (Trifft wahrscheinlich zu): Sie geben an, Produkte mit Software oder digitalen Elementen herzustellen oder zu vertreiben – der CRA verlangt für solche Produkte Cybersicherheit by Design und by Default über den gesamten Produktlebenszyklus, sobald sie auf dem EU-Markt in Verkehr gebracht werden.
• Rolle gegenüber Kunden: Hersteller (gilt, wenn zusätzlich: Tätigkeit: Produkte mit Software) (Bitte prüfen lassen): Als Herstellerin oder Hersteller von Produkten mit digitalen Elementen tragen Sie nach dem CRA die Hauptverantwortung für Konformitätsbewertung, Meldepflichten und Sicherheitsupdates – Händler und Importeure haben abgeschwächte Pflichten. Für Hersteller ohne digitale Produktkomponenten greift der CRA nicht.
• Märkte: EU (gilt, wenn zusätzlich: Tätigkeit: Produkte mit Software) (Bitte prüfen lassen): Der CRA knüpft am Inverkehrbringen auf dem EU-Markt an, nicht am Sitz des Herstellers – bieten Sie Ihre vernetzbaren Produkte mit digitalen Elementen in der EU an, kann der CRA unabhängig von Ihrem Firmensitz in der Schweiz greifen. Ohne digitale Produktkomponenten löst der EU-Markt allein den CRA nicht aus.
• Tätigkeit: Medizinprodukte (Bitte prüfen lassen): Für Medizinprodukte gilt in der Regel nicht der CRA, sondern die spezielleren Cybersicherheitsanforderungen der Medizinprodukteverordnung (MDR) – prüfen Sie im Einzelfall, ob Ihr Produkt unter diese CRA-Ausnahme fällt.

Ausnahmen

• Medizinprodukte und In-vitro-Diagnostika, die bereits der Verordnung (EU) 2017/745 bzw. (EU) 2017/746 unterliegen.
• Kraftfahrzeuge und Fahrzeugteile mit eigener sektoraler Typgenehmigung.
• Luftfahrt- und Schiffsausrüstung mit eigenen sektoralen Cybersicherheitsanforderungen.
• Produkte, die ausschliesslich für nationale Sicherheits- oder militärische Zwecke entwickelt wurden.
• Nicht-kommerzielle Open-Source-Software, die ohne direkte kommerzielle Absicht von Freiwilligen entwickelt und bereitgestellt wird – sobald bezahlter Support oder eine kommerzielle Einbindung in verkaufte Produkte hinzukommt, entfällt die Ausnahme.
• Identische Ersatzteile für bereits in Verkehr gebrachte Produkte.

Was verlangt CRA?

• Secure-by-Design und Secure-by-Default: Cybersicherheit von Beginn der Entwicklung an berücksichtigen.
• Konformitätserklärung und CE-Kennzeichnung für Produkte mit digitalen Elementen erstellen.
• Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform (Single Reporting Platform) an das zuständige CSIRT melden – Frühwarnung binnen 24 Stunden, ausführliche Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen nach Verfügbarkeit von Abhilfemassnahmen bzw. binnen eines Monats bei schwerwiegenden Vorfällen.
• Kostenlose Sicherheitsupdates für mindestens 5 Jahre oder die erwartete Produktnutzungsdauer bereitstellen.
• Das Ende des Support-Zeitraums für Kundinnen und Kunden klar kennzeichnen.

Welche Nachweise braucht es?

• Technische Dokumentation und Konformitätserklärung.
• Nachweis des Schwachstellenmanagementprozesses.
• Meldeprotokolle über die CRA Single Reporting Platform bzw. an ENISA.
• Dokumentierter Update- und Support-Zeitraum.

Welche Fristen gelten?

1. 11.06.2026 Notifizierungsbehörden müssen die Verfahren für Konformitätsbewertungsstellen etabliert haben.
2. 11.09.2026 Melde- und Berichtspflichten für Hersteller (aktiv ausgenutzte Schwachstellen, schwere Vorfälle) treten in Anwendung.
3. 11.12.2027 Der Cyber Resilience Act gilt vollständig, inkl. Konformitätsbewertungspflichten für alle betroffenen Produkte.

Stand der Angaben: 24.09.2026. Vergangene Daten sind grau, kommende hervorgehoben (Stand beim Erstellen der Seite).

Was droht bei Verstössen?

Verstösse gegen die grundlegenden Cybersicherheitsanforderungen können laut Sekundärquellen mit Bussgeldern von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, massgebend ist der höhere Betrag; die genaue Bussgeldstaffelung nach Verstossart wurde in dieser Sitzung nicht am Verordnungstext selbst verifiziert.

Was hängt damit zusammen?

• Verordnung über Maschinen (EU-Maschinenverordnung): Die EU-Maschinenverordnung (Verordnung (EU) 2023/1230) löst die bisherige Maschinenrichtlinie 2006/42/EG ab und wird ab dem 20.
• Verordnung (EU) 2017/745 über Medizinprodukte: Die EU-Medizinprodukteverordnung (MDR, Verordnung (EU) 2017/745) regelt Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation und Marktüberwachung für Medizinprodukte in der EU; sie gilt seit dem 26.

Was ist noch unsicher?

• EUR-Lex-Primärtext der Verordnung (EU) 2024/2847 (eur-lex.europa.eu/eli/reg/2024/2847/oj) in dieser Sitzung nicht abrufbar (leere Antwort); Inhalte über die EU-Kommissionsseite digital-strategy.ec.europa.eu und das BSI belegt, nicht über den Verordnungstext selbst.
• Exaktes Datum des Inkrafttretens der Verordnung wurde in dieser Sitzung nicht verifiziert und ist daher nicht aufgeführt.
• Exakte Bussgeldstaffelung nach Verstossart nur über eine Sekundärquelle belegt, nicht am Verordnungstext verifiziert.
• Ob und wie die Open-Source-Ausnahme exakt an Artikeltext oder Erwägungsgrund hängt, wurde nicht am Primärtext geprüft.

Quellen

Stand der Angaben: 24.09.2026.

• Cyber Resilience Act – Reporting obligations, Europäische Kommission (Generaldirektion CNECT), abgerufen am 24.09.2026
• Cyber Resilience Act – Übersicht, Bundesamt für Sicherheit in der Informationstechnik (BSI), abgerufen am 24.09.2026
• Wichtigste Fragen & Antworten zum Cyber Resilience Act, cyber-regulierung.de, abgerufen am 24.09.2026

Fachliche Einordnung auf Basis öffentlich zugänglicher Quellen, keine Rechtsberatung. Ob eine Regel im Einzelfall gilt, hängt von Umständen ab, die hier nicht vollständig erfasst sind.