Cyber Resilience Act – fristgerecht zur CE-Konformität.

Sobald Sie im Rahmen einer Geschäftstätigkeit ein Produkt mit digitalen Elementen in der EU bereitstellen, das direkt oder indirekt eine Datenverbindung zu einem Gerät oder Netz aufbauen kann. Das gilt für Hardware mit Firmware ebenso wie für eigenständige Software – unabhängig vom Firmensitz. Verpflichtet sind Hersteller, Importeure und Händler; die Unternehmensgröße spielt keine Rolle.

Die Anforderungen selbst gelten unabhängig von der Größe. Erleichterungen gibt es punktuell: Kleinst- und Kleinunternehmen werden für das Versäumen der 24-Stunden-Frühwarnung nicht mit Bußgeld belegt, und die Verordnung sieht ein vereinfachtes Formular für die technische Dokumentation vor. Die Meldepflicht selbst gilt trotzdem.

Nein. Wer Produkte ausschließlich einsetzt, hat keine CRA-Pflichten. Indirekt profitieren Sie: Ab Ende 2027 müssen Hersteller einen Supportzeitraum mit Sicherheitsupdates zusagen. Sind Sie selbst NIS2-pflichtig, gehört diese Zusage in Ihre Einkaufs- und Lieferantenanforderungen.

Reine Software as a Service fällt nicht unter den CRA, sondern gegebenenfalls unter NIS2. Anders bei Datenverarbeitung aus der Ferne, ohne die ein Produkt seine Funktion nicht erfüllt – etwa das Cloud-Backend einer Gerätesteuerung. Sie gehört zum Produkt und muss die Anforderungen mit erfüllen.

Nur eingeschränkt. Die Meldepflicht gilt seit dem 11.09.2026 auch für alle Produkte, die bereits verkauft wurden. Die übrigen Anforderungen betreffen Exemplare, die ab dem 11.12.2027 in Verkehr gebracht werden – und Inverkehrbringen bezieht sich auf das einzelne Exemplar, nicht auf die Produktlinie. Ein Modell, das Sie 2028 weiter verkaufen, muss deshalb konform sein.

Eine Änderung nach dem Inverkehrbringen, die die Erfüllung der grundlegenden Anforderungen beeinflusst oder den vorgesehenen Zweck ändert. Reine Sicherheitsupdates und Fehlerbehebungen gehören nicht dazu; neue Funktionen mit neuer Angriffsfläche können es sein. Dann gilt das geänderte Produkt als neu in Verkehr gebracht.

Aktiv ausgenutzte Schwachstellen in Ihren Produkten und schwerwiegende Vorfälle, die die Sicherheit Ihrer Produkte beeinträchtigen. Fristen: Frühwarnung in 24 Stunden, Meldung in 72 Stunden, Abschlussbericht 14 Tage nach verfügbarer Korrektur beziehungsweise einen Monat nach der Vorfallmeldung. Gemeldet wird über die Plattform der ENISA, die an das BSI weiterleitet. Bekannte, aber nicht ausgenutzte Schwachstellen sind nicht meldepflichtig – behandeln müssen Sie sie trotzdem.

Ein Vorfall, der die Fähigkeit Ihres Produkts beeinträchtigt, Daten oder Funktionen zu schützen – oder der dazu führen kann, dass Schadcode in das Produkt oder die Systeme Ihrer Nutzer:innen gelangt. Typisches Beispiel ist eine kompromittierte Build- oder Update-Infrastruktur. Deshalb gehört die Absicherung Ihrer Entwicklungsumgebung zum CRA, etwa durch Penetrationstests und Protokollierung.

Über den Supportzeitraum, der die erwartete Nutzungsdauer abbildet – mindestens fünf Jahre, es sei denn, das Produkt wird absehbar kürzer genutzt. Jedes Sicherheitsupdate bleibt mindestens zehn Jahre oder für den Rest des Supportzeitraums verfügbar. Das Ende des Supportzeitraums müssen Sie beim Kauf mit Monat und Jahr angeben – das gehört in die Produktkalkulation.

Die Software Bill of Materials ist die maschinenlesbare Stückliste aller Softwarekomponenten Ihres Produkts, mindestens der direkten Abhängigkeiten. Üblich sind die Formate SPDX und CycloneDX; die BSI TR-03183-2 beschreibt die Anforderungen im Detail. Veröffentlichen müssen Sie die SBOM nicht, auf Anfrage aber der Marktüberwachung vorlegen. Gerade bei Open Source prüfen wir zusätzlich Herkunft und Vertrauenswürdigkeit der Komponenten.

Das ergibt sich aus den Anhängen III und IV der Verordnung und den technischen Beschreibungen der Durchführungsverordnung (EU) 2025/2392. Entscheidend ist die Kernfunktion des Produkts als Ganzes, nicht einzelne verbaute Komponenten. Die meisten Produkte fallen in die Standardkategorie – die Einordnung klären wir im ersten Schritt verbindlich und dokumentiert.

In der Standardkategorie nein. Bei Klasse I nur dann nicht, wenn Sie eine harmonisierte Norm oder ein EU-Zertifizierungsschema vollständig anwenden – Stand Herbst 2026 ist noch keine CRA-Norm im Amtsblatt zitiert. Für Klasse II und kritische Produkte ist sie Pflicht. Die Kapazitäten der Stellen sind knapp, Termine sollten früh angefragt werden.

Die europäischen Normungsorganisationen erarbeiten im Auftrag der Kommission rund 41 Normen. Erste produktspezifische Entwürfe sind in der öffentlichen Umfrage, die Querschnittsnormen sind erst bis Ende 2027 vorgesehen. Bis dahin orientieren wir uns an den Normentwürfen und an den BSI-Richtlinien TR-03183 (Anforderungen, SBOM, Schwachstellenmeldungen) und TR-03185 (sicherer Software-Lebenszyklus).

Bei Verstößen gegen die grundlegenden Anforderungen und die Herstellerpflichten Bußgelder bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für sonstige Pflichten bis 10 Mio. € oder 2 %, für falsche Angaben gegenüber Behörden bis 5 Mio. € oder 1 %. Dazu kann die Marktüberwachung Rückrufe und Vertriebsverbote anordnen.

Ja, als Fundament. Risikomanagement, Lieferantensteuerung, Vorfallbehandlung und Dokumentenlenkung aus einem ISMS nach ISO 27001 lassen sich auf die Produktentwicklung ausweiten. Die produktbezogenen Pflichten ersetzt es nicht: SBOM, Produktrisikobewertung und Schwachstellenbehandlung kommen hinzu. Ob die Nachweise tragen, prüft ein internes Audit vor dem Termin mit der notifizierten Stelle.

KI-Assistenten erzeugen Code, dessen Herkunft, Abhängigkeiten und Lizenzlage oft niemand vollständig kennt – und ziehen Pakete selbstständig nach. Für SBOM und Security by Design ist das kritisch. Ein Git-Repository dokumentiert Änderungen, aber nicht Prüfung und Freigabe. Wir richten Dependency-Prüfung, Review- und Freigabepflichten ein und regeln über den externen KI-Beauftragten die Governance.

Die Verantwortung liegt bei der Geschäftsführung des Herstellers. Operativ braucht es eine klare Rolle für Produktsicherheit und Schwachstellenmeldungen mit Vertretung – die 24-Stunden-Frist gilt auch am Wochenende. Fehlt die Rolle intern, kann ein externer ISB die Koordination übernehmen.

Nein – und seriös kann das kein Dienstleister versprechen. Die Konformitätserklärung gibt der Hersteller ab, je nach Klasse nach Selbstbewertung oder nach Prüfung durch eine notifizierte Stelle. UBESAFE ist keine notifizierte Stelle. Wir machen Sie bewertungsreif: Prozesse, SBOM, Meldekette, Tests und Dokumentation.

Der Einstieg ist die CRA-Betroffenheitsprüfung für 800 € netto: dokumentierte Einordnung von Rolle, Produkten und Produktklasse mit Begründung, Pflichtenbild und Empfehlung – belastbar gegenüber Kunden und Geschäftsführung. Gap-Analyse, Umsetzung und Projektbegleitung rechnen wir nach Aufwand ab, ab 135 €/Std. oder mit Tagessatz ab 1.080 €. Das Erstgespräch ist kostenlos, eine Antwort erhalten Sie innerhalb eines Werktags.