Ziel ist es, Unternehmen eine verständliche Orientierung zu geben und die wesentlichen Handlungsfelder frühzeitig einzuordnen.
Der Cyber Resilience Act macht Cybersicherheit zu einer festen Produkteigenschaft. Unternehmen, die Produkte mit digitalen Elementen entwickeln, herstellen, importieren oder vertreiben, sollten sich darauf einstellen, dass Cybersecurity künftig nicht mehr nur ein Qualitätsmerkmal oder eine Kundenanforderung ist. Sie wird Teil der regulatorischen Anforderungen an digitale Produkte.
Der europäische Gesetzgeber reagiert damit auf eine Entwicklung, die viele Unternehmen bereits aus der Praxis kennen: Digitale Produkte werden komplexer, Softwarebestandteile nehmen zu, Lieferketten werden unübersichtlicher und Sicherheitsupdates müssen über längere Zeiträume organisiert werden. Der CRA schafft hierfür einen verbindlichen Rahmen und soll dazu beitragen, Sicherheitsrisiken über den gesamten Produktlebenszyklus besser zu beherrschen.
Für Unternehmen liegt darin nicht nur eine zusätzliche Compliance-Aufgabe. Der CRA bietet auch die Chance, bestehende Entwicklungs-, Sicherheits- und Qualitätsprozesse zu professionalisieren und Vertrauen bei Kunden, Geschäftspartnern und Marktaufsicht zu stärken.
Der CRA betrifft Produkte mit digitalen Elementen. Gemeint sind insbesondere Hardware- und Softwareprodukte, die digitale Funktionen enthalten oder mit einem Gerät oder Netzwerk verbunden werden können. Der Anwendungsbereich ist daher weit.
Betroffen sein können klassische Software, Apps, Betriebssysteme, IoT-Geräte, Smart-Home-Produkte, vernetzte Maschinen, industrielle Steuerungssysteme oder digitale Komponenten in technischen Produkten. Der CRA ist damit nicht nur für IT-Unternehmen relevant. Auch Maschinenbauer, Hersteller technischer Geräte, Importeure, Händler und Unternehmen mit relevanten Softwarebestandteilen sollten prüfen, ob sie in den Anwendungsbereich fallen.
Gerade für mittelständische Unternehmen ist diese Prüfung wichtig. Entscheidend ist nicht, ob sich ein Unternehmen selbst als Software- oder Technologieunternehmen versteht. Entscheidend ist, ob das konkrete Produkt digitale Elemente enthält und unter den CRA fallen kann.
Der CRA führt verschiedene Pflichten ein, die ineinandergreifen. Im Kern müssen Produkte so entwickelt, hergestellt und bereitgestellt werden, dass Cybersicherheitsrisiken angemessen reduziert werden. Dazu gehören Anforderungen an sichere Entwicklung, sichere Voreinstellungen, Risikobewertung, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Schwachstellenmanagement und Sicherheitsupdates.
Hersteller stehen dabei besonders im Fokus. Sie müssen sicherstellen, dass ihre Produkte die grundlegenden Cybersicherheitsanforderungen erfüllen. Diese Verantwortung endet nicht mit dem Inverkehrbringen. Auch danach müssen Schwachstellen beobachtet, bewertet und behandelt werden.
Aber auch Importeure und Händler sollten den CRA nicht aus dem Blick verlieren. Sie müssen prüfen, ob bestimmte Anforderungen eingehalten wurden, bevor Produkte auf dem Markt bereitgestellt werden. Cybersicherheit wird damit zu einem Thema der gesamten Lieferkette.
Die Hauptpflichten des CRA gelten zwar erst ab dem 11. Dezember 2027. Dennoch ist eine frühzeitige Vorbereitung sinnvoll. Besonders relevant sind die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Diese greifen bereits ab dem 11. September 2026.
Unternehmen sollten dafür in der Lage sein, Sicherheitsvorfälle zu erkennen, zu bewerten und intern zu eskalieren. Das setzt klare Zuständigkeiten, technische Analysefähigkeit, Prozesse für Schwachstellenmanagement und belastbare Kommunikationswege voraus. Wer diese Strukturen rechtzeitig aufbaut, kann später deutlich ruhiger und kontrollierter reagieren.
Ein guter erster Schritt ist eine Betroffenheitsanalyse. Unternehmen sollten prüfen, welche Produkte, Komponenten oder Softwarebestandteile unter den CRA fallen können. Anschließend sollte geklärt werden, welche Rolle das Unternehmen einnimmt: Hersteller, Importeur, Händler oder sonstiger Wirtschaftsakteur. Darauf aufbauend lassen sich bestehende Prozesse mit den künftigen Anforderungen abgleichen.
Der Cyber Resilience Act ist kein isoliertes IT-Thema. Er betrifft Produktentwicklung, Einkauf, Recht, Compliance, Qualitätsmanagement, Vertrieb, Informationssicherheit und Geschäftsleitung. Eine erfolgreiche Umsetzung gelingt daher am besten, wenn die relevanten Bereiche frühzeitig zusammenarbeiten.
Besonders wichtig ist die Verbindung mit bestehenden Prozessen. Sicherheitsanforderungen sollten in Entwicklungsprozesse integriert werden. Drittkomponenten und Open-Source-Bestandteile sollten nachvollziehbar verwaltet werden. Auch Lieferantenverträge sollten daraufhin geprüft werden, ob sie ausreichende Informations-, Unterstützungs- und Nachweispflichten enthalten.
Der Cyber Resilience Act verändert die Anforderungen an digitale Produkte grundlegend. Cybersicherheit wird von einem freiwilligen Qualitätsversprechen zu einer verbindlichen Compliance-Anforderung. Unternehmen müssen künftig nachvollziehbar darlegen können, dass sie Sicherheitsrisiken über den Produktlebenszyklus hinweg angemessen berücksichtigen.
Für die Praxis lautet die zentrale Botschaft: Der CRA sollte nicht bis 2027 aufgeschoben werden. Die Meldepflichten ab September 2026 und die notwendigen organisatorischen Vorarbeiten sprechen für einen frühen Start. Unternehmen sollten jetzt ihr Produktportfolio prüfen, Rollen klären, Lieferketten analysieren und Prozesse für Schwachstellenmanagement und Sicherheitsupdates vorbereiten.
Richtig angegangen ist der CRA nicht nur eine regulatorische Pflicht. Er kann Unternehmen dabei unterstützen, Produktqualität, Kundensicherheit und Vertrauen in digitale Produkte nachhaltig zu stärken.
Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!
Zentrale Hutthurm: +49 (0) 8505 91927 – 0
Niederlassung München: +49 (0) 89 413 2943 – 0
Oder nutzen Sie unser Kontaktformular.
Nadja-Maria leitet unser Inhouse-Juristen-Team. Sie studierte an der Universität Passau Rechtswissenschaften mit anschließendem Referendariat sowie erstem und zweitem Staatsexamen. Ihr Spezialgebiet ist Datenschutzrecht. Ihr fundiertes Wissen hält sie jederzeit aktuell. Für unsere Kunden und unser Team hat sie so immer einen Rat für eine passgenaue Lösung parat.