Die Europäische Cyber-Resilienz-Verordnung (CRA - Cyber Resilience Act) bringt eine bedeutende regulatorische Veränderung im Bereich der Cybersicherheit einer Vielzahl von Produkten mit digitalen Elementen mit sich – von smarten Geräten und Sicherheitskameras über mobile Applikationen bis hin zu einiger Software. Das bedeutet neue Verpflichtungen für Hersteller, Importeure und Distributoren dieser Produkte. Obwohl die meisten CRA-Anforderungen erst Ende 2027 in Kraft treten, wird eine der ersten Verpflichtungen – die Meldung aktiv missbräuchlich ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle – bereits ab dem 11. September 2026 gelten.
Wofür gilt die CRA-Verordnung (nicht)?
Die Verordnung gilt für Produkte mit digitalen Elementen, d.h. Software- oder Hardwareprodukte und deren Lösungen für entfernte Datenverarbeitung, einschließlich separater Komponenten, deren beabsichtigter Zweck oder vernünftigerweise vorhersehbare Nutzung eine (in)direkte Datenverbindung zu einem anderen Gerät oder Netzwerk beinhaltet. Die Verpflichtungen nach der CRA-Verordnung gelten hauptsächlich für Hersteller, aber in gewissem Maße auch für Importeure und Distributoren, unabhängig von deren Sitz. Der entscheidende Faktor ist, ob das Produkt auf dem EU-Markt gebracht wird. Ziel der Verordnung ist es, die Cybersicherheit von Produkten mit digitalen Elementen zu erhöhen und Regeln so festzulegen, dass Hersteller die Sicherheit während des gesamten Produktlebenszyklus, einschließlich der Design- und Entwicklungsphase, berücksichtigen.
Allerdings fällt nicht jede Software/ jede digitale Dienstleistung automatisch in den Anwendungsbereich der CRA-Verordnung. Außerhalb des CRA-Regimes stehen in der Regel insbesondere:
- Webapplikationen, progressive Webapplikationen oder Webseiten, die nur über einen Webbrowser zugänglich sind und selbst kein Produkt mit digitalen Elementen sind,
- Software als Dienstleistung (SaaS), Plattform als Dienstleistung (PaaS) und andere Cloud-Lösungen, es sei denn, es handelt sich um eine Lösung für Remote-Datenverarbeitung,
die ein integraler Bestandteil des Produkts mit digitalen Elementen ist,
- Open-Source und freie Software, die außerhalb kommerzieller Aktivitäten entwickelt wurde, sofern sie nicht kommerziell monetisiert werden.
Ebenso fallen nicht alle elektronischen Produkte unter die CRA. Der entscheidende Faktor ist, ob ein Produkt digitale Daten verarbeitet, speichert oder überträgt und eine relevante Datenverbindung hat. Daher fallen einfache Geräte ohne eine solche Verbindung, wie gewöhnliche elektronische Spielzeuge oder Haushaltsgeräte mit Firmware, die nur für Grundfunktionen konzipiert ist, in der Regel außerhalb des Anwendungsbereichs der CRA-Verordnung.
Meldung von Sicherheitsvorfällen und Schwachstellen
Ab dem 11. September 2026 müssen Hersteller aktiv missbräuchlich ausgenutzte Schwachstellen in einem Produkt mit digitalen Elementen sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit beeinträchtigen, melden. Die Meldepflichten gelten auch für bereits auf den Markt gebrachte Produkte. Laut CRA müssen Hersteller insbesondere Folgendes melden:
a) aktiv ausgenutzte Schwachstellen, also Schwachstellen (Fehler oder verminderte Resilienz), für die es verlässliche Informationen gibt, die darauf hinweisen, dass sie tatsächlich für einen Cyberangriff missbräuchlich ausgenutzt wurden, und
b) schwerwiegende Sicherheitsvorfälle, die die Sicherheit des Produkts mit digitalen Elementen beeinträchtigen.
In der Praxis umfasst dies beispielsweise Situationen, in denen der Hersteller von aktivem Firmware-Missbrauch in einem Netzwerkrouter oder unbefugtem Zugriff auf Benutzerkonten in einer mobilen Applikation erfährt. Andererseits muss ein Produktfehler, der theoretisch einen Cyberangriff ermöglichen könnte, aber bei Tests noch vor der Markteinführung des Produkts entdeckt wurde und noch nicht aktiv missbräuchlich ausgenutzt wurde, in der Regel nicht solchermaßen gemeldet werden.
Hersteller müssen jede aktiv missbräuchlich ausgenutzte Schwachstelle und jeden wesentlichen Sicherheitsvorfall, der ihnen über die einheitliche europäische Plattform bekannt wird, melden. Die Benachrichtigung ist an das zuständige CSIRT-Team (Computer Security Incident Response Team) zu richten - das als Koordinator in jenem Mitgliedstaat benannt ist, in dem der Hersteller seine Hauptbetriebsstätte hat - gleichzeitig wird es an die ENISA (European Union Agency for Cybersecurity) zur Verfügung gestellt. Es gelten sehr kurze Fristen für die Benachrichtigung, die ab dem Moment laufen beginnen, in dem der Hersteller genügend Sicherheit hat, dass eine zu meldende Schwachstelle oder ein Sicherheitsvorfall vorhanden ist.
- rechtzeitige Warnung vor einer aktiv ausgenutzten Schwachstelle oder einem größeren Vorfall – innerhalb von 24 Stunden,
- detailliertere Meldung von Schwachstellen oder Vorfällen – innerhalb von 72 Stunden,
- Abschlussbericht – innerhalb von 14 Tagen nach Verfügbarkeit von Korrektur- oder Minderungsmaßnahmen für Schwachstellen, bzw. innerhalb 1 Monats nach der Benachrichtigung über wesentliche Sicherheitsvorfälle.
Die CRA-Verordnung legt keine spezifische Möglichkeit fest, wie Hersteller von einer Schwachstelle oder einem Vorfall erfahren können. Sie können Informationen beispielsweise von einem Kunden, einer nationalen Cybersicherheitsbehörde, einem ethischen Hacker, einem Komponenten-Lieferanten oder von interner Überwachung erhalten. In der Praxis bestehen Produkte mit digitalen Elementen oft aus mehreren Komponenten verschiedener Lieferanten. Die letztendliche Verantwortung für die Erstellung eines Berichts liegt beim Hersteller des Endprodukts, selbst wenn die Ursache der Schwachstelle/n in einer Komponente des Drittanbieters liegt. Gleichzeitig sollte der Hersteller den Lieferanten der betreffenden Komponente informieren, damit Verbesserungsmaßnahmen ergriffen werden können.
Neben Herstellern können auch Importeure und Vertriebshändler zur Erhöhung der Cybersicherheit von Produkten mit digitalen Elementen beitragen. Ihre Verpflichtungen sind enger gefasst, bestehen jedoch hauptsächlich darin, zu überprüfen, ob der Hersteller die wesentlichen Anforderungen der CRA erfüllt hat, dass die entsprechenden Kennzeichnungen und Dokumentationen am Produkt angehängt sind und dass sie das Produkt erst auf den Markt bringen oder liefern, wenn im Falle einer festgestellten Unstimmigkeit eine Verbesserung erfolgt ist.
Neben der Kommunikation mit öffentlichen Behörden verpflichtet die CRA-Verordnung Hersteller auch dazu, betroffene Nutzer des Produkts bzw. alle Nutzer über eine festgestellte, aktiv missbräuchlich ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall zu informieren und ihnen Informationen über Maßnahmen zur Risikominderung bereitzustellen.
Praktische Empfehlungen
Die größte praktische Herausforderung wird nicht die Meldung selbst sein, sondern die Fähigkeit, das Ereignis zeitnah zu identifizieren, zu bewerten und so zu behandeln, damit rechtliche Fristen eingehalten werden können. Dafür ist es notwendig, interne Prozesse richtig eingerichtet und klar definiert zu haben.
- wer ist für die Auswertung von Sicherheitsvorfällen verantwortlich,
- wer entscheidet, ob es sich um eine zu meldende Schwachstelle oder einen Vorfall handelt,
- wer kommuniziert mit den zuständigen Behörden,
- wer bereitet die Meldung vor,
- wer informiert die Kunden und Geschäftspartner.
In Bezug auf die Wirksamkeit der Meldungspflichten empfehlen wir daher insbesondere:
- zu überprüfen, welche Produkte im Portfolio unter den Anwendungsbereich der CRA fallen,
- einen internen Prozess zur Identifizierung und Behandlung von Sicherheitsvorfällen festzulegen,
- die für die einzelnen Meldeschritte verantwortlichen Personen zu bestimmen,
- zu überprüfen, dass die Verträge mit Lieferanten einen rechtzeitigen Informationsaustausch über Schwachstellen ermöglichen,
- Kommunikationsverfahren gegenüber Kunden und Produktnutzern vorzubereiten.
Die Fähigkeit, einen Vorfall oder eine Schwachstelle schnell zu identifizieren und richtig zu qualifizieren, ist seit September 2026 eine Schlüsselbedingung für die Einhaltung der CRA-Verordnung. Dies ist nicht nur eine regulatorische Formalität. Die Nichteinhaltung von Meldungspflichten kann zu erheblichen Sanktionen – Geldstrafen von bis zu 15 Millionen EUR oder 2,5 % des weltweiten Jahresumsatzes eines Unternehmens führen, je nachdem, was höher ist.
