Cyber Resilience Act (CRA): Pflichten und Fristen im Überblick

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) verpflichtet Hersteller, Einführer und Händler von Produkten mit digitalen Elementen zu Cybersicherheit über den gesamten Lebenszyklus. Meldepflichten für Hersteller starten am 11. September 2026, die Hauptpflichten inklusive CE-Kennzeichnung gelten ab dem 11. Dezember 2027. Dieser Artikel erklärt Fristen, Rollen und die nächsten Schritte.

Hinweis: Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung. Maßgeblich ist der Verordnungstext (EU) 2024/2847; einzelne Details werden durch Durchführungsrechtsakte und harmonisierte Normen konkretisiert. Stand: Juli 2026.

1. Was ist der Cyber Resilience Act?

Der Cyber Resilience Act — auf Deutsch Cyberresilienz-Verordnung — ist die Verordnung (EU) 2024/2847 vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Sie wurde am 20. November 2024 im EU-Amtsblatt veröffentlicht und ist am 10. Dezember 2024 in Kraft getreten (Quelle: EUR-Lex). Es ist die erste EU-Regelung, die ein verbindliches Mindestniveau an Cybersicherheit für alle vernetzbaren Produkte auf dem EU-Markt festlegt (Quelle: BSI).

Der Grundgedanke: Sicherheit endet nicht beim Verkauf. Produkte müssen von Anfang an sicher entworfen werden („Security by Design") und über ihren Lebenszyklus sicher bleiben — mit Sicherheitsupdates, Schwachstellen-Management und klaren Meldewegen. Als EU-Verordnung gilt der CRA unmittelbar in allen Mitgliedstaaten, ein deutsches Umsetzungsgesetz ist dafür nicht nötig.

2. Ab wann gilt der CRA? Der Stufenplan

Der CRA arbeitet mit gestaffelten Fristen (Artikel 71). Vollständig anzuwenden ist er ab dem 11. Dezember 2027 — zwei Stufen greifen jedoch deutlich früher, die nächste bereits in wenigen Wochen:

Wichtig für die Planung: Der 11. September 2026 ist der erste harte Stichtag — und er betrifft nicht nur Neuware. Die Meldepflichten nach Artikel 14 gelten ausdrücklich auch für Produkte, die schon vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Artikel 69; Quelle: EUR-Lex). Für alle übrigen Anforderungen gilt Bestandsschutz: Ältere Produkte fallen nur darunter, wenn sie nach dem Stichtag wesentlich verändert werden.

3. Welche Produkte fallen unter den CRA?

Der CRA erfasst „Produkte mit digitalen Elementen" — also Hard- und Software, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden kann. Darunter fallen zum Beispiel Router, Smartwatches, smarte Kameras und Lautsprecher, aber auch reine Software wie Apps, Betriebssysteme oder Buchhaltungsprogramme (Quelle: BSI). Für Online-Händler heißt das: Schon ein einziges vernetzbares Gerät oder eine Software-Lizenz im Sortiment macht den CRA relevant.

Ausgenommen sind Produkte, für die eigene Regelwerke gelten — etwa Medizinprodukte, Kraftfahrzeuge, Luftfahrt und Schiffsausrüstung — sowie nicht-kommerzielle Open-Source-Software (Quelle: BSI). Der CRA ist damit das digitale Gegenstück zur allgemeinen Produktsicherheit: Was die GPSR für die physische Sicherheit von Verbraucherprodukten regelt, regelt der CRA für die Cybersicherheit.

Nicht jedes Produkt wird gleich streng geprüft. Die meisten Produkte durchlaufen eine Selbstbewertung des Herstellers. „Wichtige Produkte" der Klassen I und II (Anhang III) — etwa Passwort-Manager, VPN-Lösungen, Betriebssysteme oder Firewalls — unterliegen strengeren Konformitätsverfahren; „kritische Produkte" (Anhang IV) wie Smart-Meter-Gateways und Chipkarten brauchen eine Zertifizierung beziehungsweise externe Prüfung (Quellen: BSI, OpenKRITIS). Gerade beim Thema Identität und Zugang lohnt daneben ein Blick über den CRA hinaus: Deutschland plant für Januar 2027 den Start der EU-Identitäts-Wallet, mit der sich Nutzer per geprüftem digitalen Nachweis ausweisen können — wen die Akzeptanzpflicht der EUDI-Wallet wirklich trifft, klärt der eigene Beitrag samt der Anwendungsfälle Altersnachweis und Login.

4. Wer hat Pflichten? Hersteller, Einführer — und Händler

Wie bei anderen CE-Regelwerken verteilt der CRA die Pflichten entlang der Lieferkette. Die Hauptlast trägt der Hersteller — aber auch Einführer und Händler haben eigene, bußgeldbewehrte Prüfpflichten:

Die letzte Zeile ist die häufigste Falle im E-Commerce: Wer Ware unter eigener Marke verkauft, ist rechtlich Hersteller. Ein Händler, der etwa smarte Steckdosen aus Fernost importiert und unter eigenem Label anbietet, übernimmt damit die vollen Herstellerpflichten aus den Artikeln 13 und 14 — von der Risikobewertung bis zur Meldepflicht (Artikel 21; Quelle: EUR-Lex). Für das übrige Sortiment gilt die Händler-Sorgfaltspflicht: Vor der Listung prüfen, ob CE-Kennzeichnung und Herstellerangaben vorliegen, und nicht-konforme Produkte gar nicht erst anbieten.

5. Diese Pflichten kommen auf Hersteller zu

Für Hersteller — und damit auch für Eigenmarken-Anbieter und Unternehmen mit eigener Software — definiert der CRA ein komplettes Pflichtenpaket über den Produkt-Lebenszyklus:

• Security by Design: Produkte müssen mit einer Cybersicherheits-Risikobewertung entworfen, entwickelt und hergestellt werden — die grundlegenden Anforderungen stehen in Anhang I der Verordnung (Quelle: EUR-Lex).
• Support-Zeitraum: Während des Unterstützungszeitraums — in der Regel mindestens fünf Jahre — müssen Schwachstellen wirksam behandelt und kostenlose Sicherheitsupdates bereitgestellt werden; bereitgestellte Updates bleiben mindestens zehn Jahre verfügbar (Artikel 13; Quellen: EUR-Lex, BSI).
• Transparenz: Nutzer müssen unter anderem erfahren, bis wann ein Produkt Sicherheitsupdates erhält — das Support-Ende gehört sichtbar zum Produkt (Quelle: BSI).
• Technische Dokumentation inklusive SBOM: Hersteller dokumentieren Konformität und erstellen eine Software-Stückliste (SBOM — eine maschinenlesbare Liste aller Software-Bestandteile), damit Schwachstellen in Komponenten auffindbar sind (Quelle: BSI).
• Meldepflichten ab 11.09.2026: Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle sind über die zentrale ENISA-Meldeplattform zu melden — Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen bei Schwachstellen beziehungsweise eines Monats bei Vorfällen (Artikel 14; Quelle: BSI).
• CE-Kennzeichnung ab 11.12.2027: Ohne nachgewiesene Cybersicherheits-Konformität darf ein Produkt mit digitalen Elementen dann nicht mehr in Verkehr gebracht werden (Quellen: EUR-Lex, BSI).

Verstöße sind empfindlich sanktioniert: Bei Missachtung der grundlegenden Anforderungen oder der Hersteller-Pflichten drohen Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; für andere Pflichtverletzungen bis 10 Millionen Euro oder 2 Prozent (Artikel 64; Quelle: OpenKRITIS).

Quellen: EUR-Lex — Verordnung (EU) 2024/2847 und BSI — Cyber Resilience Act (öffnen in neuem Tab). Stand: Juli 2026 — Angaben ohne Gewähr. Die vollständige Quellenliste finden Sie am Ende des Beitrags.

6. CRA vs. NIS2: Produkt oder Organisation?

Der CRA wird oft mit NIS2 verwechselt, weil beide aus dem EU-Cybersicherheitspaket stammen. Die Abgrenzung ist aber klar — sie regeln unterschiedliche Dinge:

Kurz gesagt: NIS2 fragt, wie sicher Ihr Unternehmen betrieben wird — der CRA fragt, wie sicher Ihre Produkte sind. Ein Software-Hersteller kann deshalb von beiden Regelwerken gleichzeitig betroffen sein (Quelle: OpenKRITIS). Ob Ihr Unternehmen konkret unter NIS2 fällt, klärt unser NIS-2-Betroffenheits-Check mit allen Pflichten. Unabhängig davon, ob NIS2 Sie formal erfasst: Die organisatorische Basis — Updates, Zugriffsrechte, Backups, Notfallplan — sollte jedes Unternehmen beherrschen. Einen praxisnahen Einstieg gibt unser Leitfaden zur IT-Sicherheit im Mittelstand.

7. Was Unternehmen jetzt tun sollten

Bis zum ersten Stichtag im September 2026 bleibt wenig Zeit, bis zur CE-Pflicht Ende 2027 ist der Weg gut planbar. Als Servicepartner richten wir Shop-, Warenwirtschafts- und Datenprozesse so ein, dass Produkt- und Konformitätsdaten systematisch statt ad hoc gepflegt werden. So gehen Sie vor:

Die Datenseite unterschätzen viele: CE-Status, Support-Ende und Hersteller-Kontakte gehören strukturiert an den Artikel — in der Warenwirtschaft oder einem PIM-System, so wie Sie es von den GPSR-Pflichtangaben bereits kennen. Dann lassen sich Sortiments-Checks und Informationspflichten automatisieren, statt jede Änderung von Hand nachzupflegen. Wo Daten aus Lieferanten-Systemen zusammenlaufen müssen, hilft eine saubere Datenintegration zwischen Lieferanten, Wawi und Shop.

8. Fazit: Der CRA betrifft mehr Unternehmen, als viele denken

Der Cyber Resilience Act ist keine Nische für Software-Konzerne: Er verpflichtet jeden, der Produkte mit digitalen Elementen herstellt, importiert oder verkauft — vom App-Anbieter bis zum Online-Händler mit smarten Geräten im Sortiment. Die Meldepflichten starten am 11. September 2026 und erfassen auch Bestandsprodukte; ab dem 11. Dezember 2027 gehören Cybersicherheits-Anforderungen zur CE-Kennzeichnung. Wer jetzt inventarisiert, seine Rolle je Produkt klärt und Lieferanten-Nachweise einsammelt, verteilt den Aufwand — und vermeidet ab den Stichtagen Vertriebsrisiken.

Sie möchten Sortiment, Produktdaten und Prozesse CRA-fest aufstellen? Wir prüfen mit Ihnen Rollen, Datenfelder und Abläufe — von der E-Commerce-Beratung bis zur Digitalisierung Ihrer Prozesse. Und behalten Sie die zweite große EU-Digitalregulierung im Blick: Welche gestaffelten Pflichten der EU AI Act für Unternehmen bringt, haben wir separat zusammengefasst.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Die genannten Pflichten, Artikel und Fristen der Verordnung (EU) 2024/2847 entsprechen dem Stand Juli 2026; Details werden durch Durchführungsrechtsakte, harmonisierte Normen und nationales Recht konkretisiert und können sich ändern. Für Ihren konkreten Fall ziehen Sie bitte die offiziellen Quellen oder eine fachkundige Beratung heran.

9. Häufige Fragen zum Cyber Resilience Act

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (CRA) ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Sie legt erstmals EU-weit verbindliche Sicherheitsanforderungen für vernetzbare Hard- und Software fest — von der Entwicklung über Sicherheitsupdates bis zur Schwachstellen-Meldung. Als Verordnung gilt sie unmittelbar, ohne nationales Umsetzungsgesetz (Quelle: EUR-Lex, Stand Juli 2026).

Ab wann gilt der Cyber Resilience Act?

Der CRA ist am 10. Dezember 2024 in Kraft getreten und gilt vollständig ab dem 11. Dezember 2027 (Artikel 71). Zwei Stufen greifen früher: die Regeln für Konformitätsbewertungsstellen seit dem 11. Juni 2026 und die Meldepflichten der Hersteller für ausgenutzte Schwachstellen und schwere Vorfälle ab dem 11. September 2026 (Quellen: EUR-Lex, BSI).

Wen betrifft der Cyber Resilience Act?

Der CRA betrifft Hersteller, Einführer und Händler von Produkten mit digitalen Elementen — unabhängig von der Unternehmensgröße. Auch Online-Händler sind erfasst, sobald vernetzbare Geräte oder Software im Sortiment sind. Wer solche Produkte unter eigener Marke verkauft oder wesentlich verändert, übernimmt sogar die vollen Herstellerpflichten (Artikel 21; Quellen: EUR-Lex, BSI).

Gilt der CRA auch für Software?

Ja. Der CRA erfasst neben vernetzbarer Hardware ausdrücklich auch reine Software wie Apps, Betriebssysteme oder Buchhaltungsprogramme. Ausgenommen sind unter anderem nicht-kommerzielle Open-Source-Software sowie Produkte mit eigenen Regelwerken, etwa Medizinprodukte, Kraftfahrzeuge und Luftfahrt. Wer Software kommerziell anbietet, gilt als Hersteller mit allen Pflichten (Quelle: BSI, Stand Juli 2026).

Was ist der Unterschied zwischen CRA und NIS2?

Der CRA regelt die Sicherheit von Produkten: Hersteller müssen Hard- und Software sicher entwickeln, aktualisieren und Schwachstellen melden. NIS2 regelt die Sicherheit von Organisationen: Betroffene Unternehmen müssen ihren Betrieb mit Risikomanagement, Prozessen und Vorfallsmeldungen absichern. Beide ergänzen sich — ein Unternehmen kann von beiden Regelwerken betroffen sein (Quelle: OpenKRITIS).

Gilt der CRA auch für Produkte, die schon auf dem Markt sind?

Grundsätzlich gilt der CRA für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden. Ältere Produkte fallen nur darunter, wenn sie danach wesentlich verändert werden (Artikel 69). Wichtige Ausnahme: Die Meldepflichten nach Artikel 14 gelten ab dem 11. September 2026 auch für Produkte, die bereits auf dem Markt sind (Quelle: EUR-Lex, Stand Juli 2026).

Welche Strafen drohen bei Verstößen gegen den CRA?

Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen oder die Hersteller-Pflichten drohen Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Für andere Pflichtverletzungen gelten bis zu 10 Millionen Euro oder 2 Prozent, für Falschangaben bis zu 5 Millionen Euro (Artikel 64; Quelle: OpenKRITIS).

10. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf folgende offizielle und fachliche Quellen (Stand Juli 2026). Externe Quellen öffnen in einem neuen Tab.

• EUR-Lex — Verordnung (EU) 2024/2847 (Cyber Resilience Act) — amtlicher Verordnungstext mit allen Artikeln, Anhängen und Fristen (Primärquelle).
• BSI — Cyber Resilience Act — Fristen, betroffene Produkte, Produktklassen und Meldepflichten (offizielle Stelle).
• EU-Kommission — Cyber Resilience Act — Ziele und Umsetzung der Verordnung (offizielle Stelle).
• IHK München — Cyber Resilience Act (CRA) — Einordnung und Praxis-Hinweise für Unternehmen (Fachquelle).
• OpenKRITIS — EU Cyber Resilience Act — Rollen-Pflichten, Produktklassen, Sanktionen und Verhältnis zu NIS2 (Fachquelle).
• TÜV Rheinland — Cyber Resilience Act — Konformitätsbewertung und Vorbereitung auf die Verordnung (Fachquelle).