Entwickeln Sie Software, mobile Anwendungen oder internetfähige Geräte? Dann könnte der Cyber Resilience Act (CRA) – die EU-Verordnung über die Cyberresilienz digitaler Produkte – auch für Sie relevant sein.
Der CRA betrifft nicht nur große Technologieunternehmen. Auch kleinere Unternehmen, die Software oder andere Produkte mit digitalen Elementen entwickeln und auf den Markt bringen, können unter die Verordnung fallen.
Und wichtig: Einige Pflichten gelten bereits seit September 2026. Auf weitere Anforderungen müssen sich Hersteller bis Dezember 2027 vorbereiten.
1. Was ist der CRA und wie unterscheidet er sich von NIS2?
Der CRA ist eine EU-Verordnung, die sicherstellen soll, dass digitale Produkte bereits beim Inverkehrbringen sicher sind und während ihrer Nutzung sicher bleiben.
Vereinfacht gesagt: NIS2 konzentriert sich auf die Cybersicherheit von Organisationen und ihren Dienstleistungen, während der CRA die Sicherheit der digitalen Produkte selbst regelt.
Wenn ein Unternehmen beispielsweise Software entwickelt und gleichzeitig Dienstleistungen in einem durch NIS2 regulierten Sektor erbringt, können sowohl NIS2 als auch der CRA für das Unternehmen gelten. Dies hängt von der konkreten Tätigkeit, dem Produkt und den jeweiligen Anwendungsbedingungen ab. Die Einhaltung einer Regelung bedeutet nicht automatisch, dass auch die Anforderungen der anderen erfüllt sind.
Der CRA kann beispielsweise folgende Produkte betreffen:
- Softwareanwendungen und separat bereitgestellte Softwarekomponenten,
- Netzwerk- und Kommunikationsgeräte,
- intelligente, mit dem Internet verbundene Geräte,
- Sicherheitssoftware und andere digitale Produkte.
Nicht jede Software fällt jedoch automatisch in den Anwendungsbereich des CRA. Rein cloudbasierte Dienste, Open-Source-Software sowie Produkte, die anderen Rechtsvorschriften unterliegen, müssen gesondert betrachtet werden. Reine Software-as-a-Service-Angebote (SaaS) fallen in der Regel nicht unter den CRA. Eine für das Funktionieren eines digitalen Produkts notwendige Datenfernverarbeitung kann jedoch Bestandteil dieses Produkts sein.
Die erste Frage lautet daher: Bringen wir Produkte auf den Markt, die unter den CRA fallen?
2. Welche Pflichten bringt der CRA mit sich und ab wann gelten sie?
Für Hersteller sind insbesondere zwei Termine wichtig.
Ab dem 11. September 2026 – Meldung von Schwachstellen und Sicherheitsvorfällen
Hersteller müssen bereits unter den im CRA festgelegten Bedingungen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit ihrer Produkte beeinträchtigen.
Die Meldefristen sind kurz:
- 24 Stunden nach Bekanntwerden für eine Frühwarnung,
- 72 Stunden nach Bekanntwerden für eine ausführlichere Meldung,
- anschließend ein Abschlussbericht innerhalb der je nach Art des Ereignisses geltenden Frist.
Die Meldungen erfolgen über die europäische CRA Single Reporting Platform, die von der Agentur der Europäischen Union für Cybersicherheit (ENISA) betrieben wird.
Diese Pflichten gelten auch für relevante Produkte, die bereits vor Dezember 2027 in Verkehr gebracht wurden.
Ab dem 11. Dezember 2027 – Cybersicherheitsanforderungen an Produkte
Hersteller müssen sicherstellen, dass ihre Produkte die geltenden Cybersicherheitsanforderungen erfüllen.
In der Praxis bedeutet dies beispielsweise:
- Produkte, die beim Inverkehrbringen keine bekannten ausnutzbaren Schwachstellen aufweisen und deren Angriffsfläche minimiert ist,
- sichere Standardeinstellungen und Schutz vor unbefugtem Zugriff auf Daten,
- Sicherheitsupdates und Behebung erkannter Schwachstellen,
- Dokumentation der verwendeten Softwarekomponenten,
- Bewertung der Cybersicherheitsrisiken des Produkts.
Hersteller müssen außerdem einen Zeitraum für die Sicherheitsunterstützung festlegen. Dieser beträgt grundsätzlich mindestens fünf Jahre, sofern nicht von einer kürzeren voraussichtlichen Nutzungsdauer des Produkts auszugehen ist.
Zu den weiteren Pflichten gehören die technische Dokumentation, das entsprechende Konformitätsbewertungsverfahren, die EU-Konformitätserklärung und die CE-Kennzeichnung.
Für Produkte, die vor Dezember 2027 in Verkehr gebracht wurden, gelten hinsichtlich der wesentlichen Anforderungen Übergangsbestimmungen.
Verstöße gegen bestimmte wesentliche Anforderungen können mit Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.
Für Kleinstunternehmen und kleine Unternehmen werden jedoch keine Geldbußen allein wegen der Nichteinhaltung der 24-Stunden-Frist für die Frühwarnung verhängt. Die Meldepflicht selbst bleibt bestehen.
3. Was bedeutet das in der Praxis?
Stellen Sie sich ein Unternehmen vor, das eine Anwendung für seine Kunden entwickelt. Die Anwendung nutzt externe Bibliotheken, verarbeitet Daten und wird regelmäßig aktualisiert.
Eines Tages wird eine Schwachstelle in einer Bibliothek entdeckt, die von der Anwendung verwendet wird.
Das Unternehmen muss feststellen können, ob sein Produkt betroffen ist, welche Versionen gefährdet sind, welche Auswirkungen möglich sind und wie die Schwachstelle behoben werden kann.
Gleichzeitig muss es prüfen, ob eine Meldepflicht nach dem CRA besteht. Die bloße Entdeckung einer Schwachstelle bedeutet noch nicht automatisch, dass sie gemeldet werden muss.
Regelmäßige Softwarescans allein reichen daher nicht aus. Hersteller benötigen einen Überblick über ihre Produkte, deren Komponenten, Risiken und Sicherheitsmaßnahmen.
Der CRA verlangt deshalb auch die Dokumentation von Softwarekomponenten, unter anderem mithilfe einer Software Bill of Materials (SBOM) – einer Aufstellung der Softwarekomponenten und ihrer Abhängigkeiten.
Ebenso wichtig sind etablierte Verfahren zur Entgegennahme und Bearbeitung von Schwachstellenmeldungen sowie die Bereitstellung von Sicherheitsupdates während des festgelegten Unterstützungszeitraums.
4. Wo sollten Sie mit der Vorbereitung auf den CRA beginnen?
Sie müssen nicht sofort ein umfangreiches Projekt starten. Verschaffen Sie sich zunächst einen Überblick darüber, welche Prozesse bereits vorhanden sind und wo noch Handlungsbedarf besteht.
Wir empfehlen fünf grundlegende Schritte:
- Identifizieren Sie Ihre digitalen Produkte. Stellen Sie fest, welche Produkte unter den CRA fallen und welche Rolle Ihr Unternehmen dabei einnimmt.
- Bewerten Sie die Risiken. Identifizieren Sie Bedrohungen und Schwachstellen Ihrer Produkte und legen Sie die erforderlichen Sicherheitsmaßnahmen fest.
- Erfassen Sie Ihre Softwarekomponenten. Ermitteln Sie, welche Bibliotheken und Abhängigkeiten Sie verwenden und wie deren Schwachstellen überwacht werden sollen.
- Legen Sie Verfahren für den Umgang mit Schwachstellen und Sicherheitsvorfällen fest. Definieren Sie Verantwortlichkeiten, eine Kontaktstelle, Maßnahmen zur Behebung und ein Verfahren zur Prüfung möglicher Meldepflichten.
- Überprüfen Sie die Dokumentation und die Konformitätsbewertung. Klären Sie, welche Unterlagen und Verfahren vor dem Inverkehrbringen eines Produkts gemäß CRA erforderlich sind.
Wenn Sie bereits Prozesse für das Cybersicherheitsmanagement eingeführt haben, können Sie einige davon auch für die Vorbereitung auf den CRA nutzen.
5. Wie kann Tazilla Ihnen helfen?
Tazilla deckt derzeit nicht alle Anforderungen des CRA ab. Die bestehenden Funktionen können Herstellern jedoch dabei helfen, eine Grundlage für eine systematische Vorbereitung zu schaffen.
Erfassung digitaler Produkte
Im Modul Risikoanalyse können Sie Softwarelösungen und Informationssysteme als Assets erfassen, Verantwortlichkeiten zuweisen und die damit verbundenen Risiken verwalten.
Zusätzliche Produktinformationen, beispielsweise die Produktversion, die CRA-Kategorie oder der Unterstützungszeitraum, können derzeit in der Asset-Beschreibung dokumentiert werden.
Risikoanalyse und Sicherheitsmaßnahmen
Tazilla ermöglicht es, Bedrohungen und Risiken zu identifizieren, Sicherheitsmaßnahmen vorzuschlagen und deren Umsetzung zu verfolgen.
Diese Informationen können als Grundlage für die Bewertung der Cybersicherheitsrisiken digitaler Produkte dienen.
Dokumentation von Cybersicherheitsereignissen
Sie können Cybersicherheitsereignisse dokumentieren, einschließlich des Zeitpunkts ihrer Erkennung, des Bearbeitungsverlaufs, der betroffenen Assets und der ergriffenen Maßnahmen.
Dies kann auch im Hinblick auf die kurzen Meldefristen des CRA hilfreich sein. Ob eine Meldepflicht nach dem CRA besteht, muss der Hersteller jedoch eigenständig beurteilen.
Analyse von Softwareschwachstellen
Das Modul Code-Analyse hilft dabei, bekannte Schwachstellen in Softwarekomponenten und deren Abhängigkeiten zu identifizieren.
Die Ergebnisse können für die Planung von Abhilfemaßnahmen und das Management der Softwaresicherheit genutzt werden.
Tazilla kann somit die Erfassung von Produkten, die Risikoanalyse, das Management von Sicherheitsmaßnahmen und die Dokumentation von Cybersicherheitsereignissen unterstützen. Es ersetzt jedoch weder eine vollständige Produktbewertung nach dem CRA noch die erforderliche technische Dokumentation oder das Konformitätsbewertungsverfahren.
Fazit: Beginnen Sie mit dem, was bereits vorhanden ist
Der CRA ist nicht nur eine weitere Dokumentationspflicht. Er verändert die Art und Weise, wie Hersteller die Sicherheit digitaler Produkte gewährleisten müssen – von der Entwicklung über Sicherheitsupdates bis hin zum Schwachstellenmanagement.
Wenn Ihr Unternehmen digitale Produkte entwickelt oder bereitstellt, sollten Sie zunächst klären, ob diese unter den CRA fallen, welche Pflichten bereits gelten und was bis Dezember 2027 vorbereitet werden muss.
Sie müssen nicht bei null anfangen. Entscheidend ist, zu wissen, welche Anforderungen Sie bereits abdecken und wo noch Handlungsbedarf besteht.