Zusammenfassung EU-Verordnung

Cyber Resilience Act

Kurzbeschreibung

Mit dieser Verordnung wird die Cybersicherheit in der EU gestärkt und ein umfassender Rahmen für digitale Produkte und Dienstleistungen mit sicherer Standardkonfiguration, fortlaufendem Schutz und der Abwehr von Cyberbedrohungen sichergestellt.

Volltext lesen

~— Lesezeit Stand —

Fristen-Überblick

Wichtige Termine

Ab diesem Zeitpunkt müssen u. a.:
- Konformitätsbewertungsstellen: Anforderungen für die Notifizierung erfüllen
- Konformitätsbewertungsstellen: Notifizierung mit Kompetenznachweisen beantragen
- Notifizierte Stellen: Konformitätsbewertungen nach den Verfahren durchführen
- Notifizierte Stellen: unnötige Belastungen der Wirtschaftsakteure vermeiden
- Notifizierte Stellen: Unteraufträge nur mit Zustimmung des Herstellers vergeben
- Notifizierte Stellen: Unterauftragnehmer und Zweigstellen dokumentieren
- Notifizierte Stellen: Verweigerungen und Aussetzungen von Bescheinigungen melden
Ab diesem Zeitpunkt müssen Sie als Hersteller u. a.:
- aktiv ausgenutzte Schwachstellen melden
- schwerwiegende Sicherheitsvorfälle melden
- Frühwarnungen an koordinierenden CSIRT und ENISA übermitteln (24 Stunden)
- Meldungen mit Erstbewertung und Maßnahmen übermitteln (72 Stunden)
- Abschlussberichte zu Schwachstellen vorlegen (14 Tage nach Korrektur)
- Abschlussberichte zu Vorfällen vorlegen (1 Monat nach 72-h-Meldung)
- betroffene Nutzer über Vorfälle, Schwachstellen und Maßnahmen informieren
Aus den Schlussbestimmungen des Rechtsakts.

Ab diesem Zeitpunkt müssen u. a.:
- Hersteller: Risikobewertung erstellen und aktualisieren
- Hersteller: Produkte ohne bekannte ausnutzbare Schwachstellen bereitstellen
- Hersteller: sichere Standardkonfiguration und Zugriffsschutz umsetzen
- Hersteller: Schwachstellen behandeln und SBOM führen
- Hersteller: Sicherheitsupdates unverzüglich kostenlos verbreiten
- Hersteller: Konformität bewerten und CE-Kennzeichnung anbringen
- Hersteller: Nutzerinformationen und Kontaktadresse bereitstellen
- Hersteller: 24-h-/72-h-Meldungen an CSIRT und ENISA abgeben
Ab diesem Zeitpunkt müssen Sie für zuvor in Verkehr gebrachte Produkte mit digitalen Elementen u. a.:
- bei wesentlicher Änderung die Anforderungen der Verordnung erfüllen

Ihre Sichtweise

Welche Rolle hat Ihr Unternehmen?

Bedeutung, Pflichten, Verantwortung, Materialien und Sanktionen passen sich an Ihre Auswahl an.

Sichtweise

Branche

Angepasst für Ihr Profil: — · —

Bedeutung

Was das für Sie bedeutet

Hohe Relevanz

Sie tragen den vollständigen CRA-Pflichtenkatalog.

Als Hersteller in IT & Software sind Sie primärer Adressat der Verordnung. Marktüberwachende Behörde ist in Deutschland das BSI.

Sie müssen Ihr Produkt nach Anhang I sicher entwickeln, eine SBOM führen, Schwachstellen über mindestens fünf Jahre kostenlos beheben, aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden und vor dem Inverkehrbringen die CE-Kennzeichnung anbringen.

Als Standardprodukt können Sie die Konformität durch interne Kontrolle (Modul A) selbst bewerten — ohne benannte Stelle.

Wichtig: Die Meldepflicht greift bereits am 11.09.2026 und betrifft sowohl Neu- als auch Bestandsprodukte.

Ihre Pflichten · 8