Cyber Resilience Act

Cybersicherheits-Risikobewertung

1.Bewertung auf Basis von Zweckbestimmung und vernünftigerweise vorhersehbarer Verwendung
2.Berücksichtigung in Planung, Konzeption, Entwicklung, Produktion, Lieferung und Wartung
3.Laufende Aktualisierung über den gesamten Lebenszyklus
4.Aufnahme in die technische Dokumentation (Anhang VII)
5.Begründung und Dokumentation etwaiger Ausnahmen von Anhang-I-Anforderungen

Maßstab: Die Risikobewertung ist der Anker der gesamten CRA-Konformität: Sie begründet, welche der Anforderungen des Anhangs I in welcher Tiefe umgesetzt werden — und ist damit das erste Dokument, das eine Marktüberwachungsbehörde anfordert.

Der Mindestkatalog (Anhang I Teil I Nr. 2)

1.Bereitstellung ohne bekannte ausnutzbare Schwachstellen
2.Sichere Standardkonfiguration, mit Rücksetzung in den Originalzustand
3.Behebung durch Sicherheitsaktualisierungen — soweit angebracht automatisch, mit Opt-out
4.Schutz vor unbefugtem Zugriff: Authentifizierung, Identitäts- & Zugriffsverwaltung
5.Vertraulichkeit gespeicherter und übertragener Daten — Verschlüsselung nach Stand der Technik
6.Integrität von Daten, Befehlen, Programmen und Konfiguration
7.Datenminimierung auf das für die Zweckbestimmung Erforderliche
8.Verfügbarkeit wesentlicher Funktionen, auch nach einem Vorfall (DDoS-Abwehr)
9.Minimierung negativer Auswirkungen auf Dienste anderer Geräte oder Netze
10.Beschränkung der Angriffsflächen, einschließlich externer Schnittstellen
11.Exploit Mitigation — Techniken zur Minderung der Ausnutzbarkeit
12.Aufzeichnung und Überwachung sicherheitsrelevanter interner Vorgänge, mit Opt-out
13.Sichere und einfache dauerhafte Löschung aller Daten und Einstellungen

Maßstab: Maßstab: angemessenes Cybersicherheitsniveau auf Grundlage der Risiken (Anhang I Teil I Nr. 1). Die Anforderungen gelten für alle Produktklassen identisch — die Klasse bestimmt nur das Konformitätsbewertungsverfahren, nicht den Inhalt.

Die acht Prozessanforderungen (Anhang I Teil II)

1.. Schwachstellen und Komponenten identifizieren und dokumentieren — inkl. SBOM
2.Schwachstellen unverzüglich beheben, möglichst getrennt von Funktionsupdates
3.Regelmäßige und wirksame Tests und Überprüfungen
4.Nach dem Patch: Informationen über behobene Schwachstellen veröffentlichen
5.Strategie für die koordinierte Offenlegung (CVD) aufstellen und umsetzen
6.Austausch über potenzielle Schwachstellen erleichtern — Kontaktadresse bereitstellen
7.Mechanismen für die sichere Verbreitung von Aktualisierungen
8.Sicherheitsaktualisierungen unverzüglich und kostenlos verbreiten

Maßstab: Unterstützungszeitraum: Mindestens fünf Jahre — kürzer nur bei kürzerer erwarteter Produktlebensdauer.Maßgeblich: Nutzererwartungen, Produktart, vergleichbare Produkte am MarktDas Enddatum ist in den Nutzerinformationen auszuweisen

Zwei Meldegegenstände / Drei-Stufen-Modell

1.Aktiv ausgenutzte Schwachstelle: eine Schwachstelle, für die belegt ist, dass ein böswilliger Akteur sie ohne Zustimmung ausnutzt
2.Schwerwiegender Sicherheitsvorfall: beeinträchtigt Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit — oder führt zur Ausführung von Schadcode
3.24 Stunden: Frühwarnung an den koordinierenden CSIRT und die ENISA
4.72 Stunden: Meldung mit Erstbewertung, Art der Schwachstelle bzw. Schweregrad und Maßnahmen
5.14 Tage nach Verfügbarkeit einer Korrektur (Schwachstelle) bzw. 1 Monat nach der 72-h-Meldung (Vorfall): Abschlussbericht
6.Parallel: unverzügliche Information der betroffenen Nutzer (Art. 14 Abs. 8)
7.Freiwillige Meldungen sind zusätzlich möglich (Art. 15)

Maßstab: Diese Pflicht gilt bereits ab dem 11.09.2026 — und auch für Produkte, die schon vor diesem Datum in Verkehr gebracht wurden.

Konkrete Schritte

1.Gebotene Sorgfalt bei der Integration von Komponenten Dritter — einschließlich quelloffener Software
2.SBOM in gängigem maschinenlesbarem Format, mindestens oberste Abhängigkeitsebene — automatisiert im Build erzeugt und versioniert
3.In Komponenten entdeckte Schwachstellen an deren Hersteller bzw. Entwickler melden
4.Entwickelte Korrekturen möglichst in maschinenlesbarem Format zurückgeben
5.Vertragliche Absicherung: SBOM-Lieferung, Schwachstellenmeldung und Update-Zusagen über den Unterstützungszeitraum

Maßstab: -

Was zu tun ist

1.echnische Dokumentation nach Anhang VII vor dem Inverkehrbringen erstellen und fortschreiben
2.Konformitätsbewertungsverfahren durchführen: Modul A (interne Kontrolle), Modul B+C (Baumusterprüfung) oder Modul H (umfassende Qualitätssicherung)
3.EU-Konformitätserklärung ausstellen (Anhang V)
4.CE-Kennzeichnung anbringen
5.Aufbewahrung von Dokumentation, Sicherheitsupdates und Nutzerinformationen: mindestens 10 Jahre bzw. Unterstützungszeitraum — der jeweils längere Zeitraum

Maßstab: Welches Modul zulässig ist, entscheidet die Produktklasse: Standardprodukte über Modul A, Klasse I nur bei vollständiger Anwendung harmonisierter Normen, Klasse II und kritische Produkte zwingend über eine benannte Stelle.

Was dem Produkt beizufügen ist

1.Anleitungen für sichere Installation, Betrieb und Verwendung
2.Name und Kontaktdaten des Herstellers
3.Zentrale Anlaufstelle für Schwachstellenmeldungen — leicht auffindbar und nicht auf automatisierte Instrumente beschränkt
4.Enddatum des Unterstützungszeitraums
5.EU-Konformitätserklärung oder Angabe der Bezugsquelle

Maßstab: -

Aufsicht durch die Marktüberwachungsbehörde

1.Vorlage von technischer Dokumentation und Nachweisen auf Anforderung
2.Bei Kenntnis oder begründeter Annahme der Nichtkonformität: unverzüglich Korrekturmaßnahmen — bis hin zu Rücknahme oder Rückruf
3.Unterrichtung der Marktüberwachungsbehörden
4.Unterrichtung von Behörden und Nutzern vor Einstellung der Geschäftstätigkeit
5.Behörde kann die Bereitstellung beschränken, das Produkt vom Markt nehmen oder zurückrufen lassen

Maßstab: In Deutschland soll das BSI marktüberwachende Behörde werden — zugleich notifizierende Behörde und CSIRT-Koordinator für Ihre Meldungen nach Art. 14 (CRA-Durchführungsgesetz, BT-Drs. 21/6134).

Pflicht	Geschäftsleitung	Datenschutz	Einkauf	Recht & Compliance	Kommunikation
Risikobewertung i	A	I	—	I	—
A Geschäftsleitung E Genehmigt Risikoakzeptanz und Ressourcen — die Entscheidung über akzeptierte Restrisiken und Entwicklungsbudgets ist Leitungsaufgabe. I Recht & Compliance E Bewertet die Begründung von Ausnahmen — Abweichungen von Anhang-I-Anforderungen müssen der Marktüberwachung standhalten. I Datenschutz E Gleicht mit DSGVO-Anforderungen ab — Anhang I Teil I Nr. 2 lit. e und g überschneiden sich mit Art. 25 und 32 DSGVO.
Sichere Produkteigenschaften i	A	I	—	I	—
A Geschäftsleitung E Genehmigt Risikoakzeptanz und Ressourcen — Restrisiken und Entwicklungsbudgets für die Anhang-I-Anforderungen sind Leitungsentscheidung. I Recht & Compliance E Bewertet die Begründung von Ausnahmen — nicht umgesetzte Anhang-I-Anforderungen sind zu begründen und zu dokumentieren. I Datenschutz E Gleicht mit DSGVO-Anforderungen ab — Verschlüsselung und Datenminimierung (Nr. 2 lit. e und g) decken sich mit Art. 25 und 32 DSGVO.
Schwachstellenbehandlung i	I	—	I	—	U
I Geschäftsleitung E Wird über kritische Schwachstellen informiert — Eskalationsstufe bei hohem Schweregrad oder Rückrufrelevanz. I Einkauf E Verfolgt Schwachstellen in Zulieferkomponenten — Meldungen von Komponentenherstellern müssen in den eigenen Prozess einlaufen. U Kommunikation E Veröffentlicht Security Advisories — Anhang I Teil II Nr. 4 verlangt Informationen über behobene Schwachstellen inkl. Schweregrad und Abhilfe.
Meldepflicht i	I	U	—	U	U
I Geschäftsleitung E Wird informiert — Meldungen an Behörden binden das Unternehmen nach außen und können Rückruf und Haftung nach sich ziehen. U Recht & Compliance E Prüft die Meldung rechtlich — sichert sie inhaltlich ab und bewertet Folgepflichten und Haftungsrisiken. U Datenschutz E Prüft die parallele DSGVO-Meldung — bei personenbezogenen Daten tritt Art. 33 DSGVO neben die CRA-Meldung. U Kommunikation E Informiert Nutzer und Kunden — Art. 14 Abs. 8 verpflichtet zur unverzüglichen Information über Risikominderungsmaßnahmen.
Lieferkette & SBOM i	I	—	U	U	—
I Geschäftsleitung E Wird über kritische Lieferantenrisiken informiert — etwa wenn eine Komponente nicht mehr gepflegt wird. U Einkauf E Verankert die Anforderungen bei Zulieferern — Art. 13 Abs. 5 verlangt gebotene Sorgfalt bei Komponenten Dritter. U Recht & Compliance E Gestaltet die Vertragsklauseln — SBOM-Lieferung, Schwachstellenmeldung, Update-Zusagen und Audit-Rechte.
Konformität & CE-Kennzeichnung i	A	—	—	U	—
A Geschäftsleitung E Verantwortet die EU-Konformitätserklärung — mit ihr übernimmt der Hersteller die Verantwortung für die Konformität des Produkts. U Recht & Compliance E Prüft Erklärung und Kennzeichnung — Anhang V und CE-Kennzeichnung; fehlerhafte Kennzeichnung ist eigenständig bußgeldbewehrt.
Nutzerinformation & Anlaufstelle i	A	—	I	I	U
A Geschäftsleitung E Legt den Unterstützungszeitraum fest — die Festlegung bindet über mindestens fünf Jahre Entwicklungs- und Supportressourcen. I Einkauf E Sichert den Zulieferer-Support ab — der eigene Zeitraum ist nur haltbar, wenn Zulieferer ebenso lange Updates zusagen. I Recht & Compliance E Prüft die Bindungswirkung — das kommunizierte Enddatum ist eine öffentliche Zusage mit Gewährleistungs- und Haftungsrelevanz. U Kommunikation E Kommuniziert das Enddatum an Kunden — End-of-Support-Ankündigungen müssen Nutzer rechtzeitig und verständlich erreichen.

Geschäftsleitung Genehmigt Risikoakzeptanz und Ressourcen — die Entscheidung über akzeptierte Restrisiken und Entwicklungsbudgets ist Leitungsaufgabe.

Recht & Compliance Bewertet die Begründung von Ausnahmen — Abweichungen von Anhang-I-Anforderungen müssen der Marktüberwachung standhalten.

Datenschutz Gleicht mit DSGVO-Anforderungen ab — Anhang I Teil I Nr. 2 lit. e und g überschneiden sich mit Art. 25 und 32 DSGVO.

Geschäftsleitung Genehmigt Risikoakzeptanz und Ressourcen — Restrisiken und Entwicklungsbudgets für die Anhang-I-Anforderungen sind Leitungsentscheidung.

Recht & Compliance Bewertet die Begründung von Ausnahmen — nicht umgesetzte Anhang-I-Anforderungen sind zu begründen und zu dokumentieren.

Datenschutz Gleicht mit DSGVO-Anforderungen ab — Verschlüsselung und Datenminimierung (Nr. 2 lit. e und g) decken sich mit Art. 25 und 32 DSGVO.

Geschäftsleitung Wird über kritische Schwachstellen informiert — Eskalationsstufe bei hohem Schweregrad oder Rückrufrelevanz.

Einkauf Verfolgt Schwachstellen in Zulieferkomponenten — Meldungen von Komponentenherstellern müssen in den eigenen Prozess einlaufen.

Kommunikation Veröffentlicht Security Advisories — Anhang I Teil II Nr. 4 verlangt Informationen über behobene Schwachstellen inkl. Schweregrad und Abhilfe.

Wählen Sie Ihre Sichtweise Welche Rolle hat Ihr Unternehmen?

Sie tragen den vollständigen CRA-Pflichtenkatalog.

Ihre Pflichten Was Sie konkret tun müssen

Risikobewertung

Cybersicherheits-Risikobewertung

Sichere Produkteigenschaften

Der Mindestkatalog (Anhang I Teil I Nr. 2)

Schwachstellenbehandlung

Die acht Prozessanforderungen (Anhang I Teil II)

Meldepflicht

Zwei Meldegegenstände / Drei-Stufen-Modell

Lieferkette & SBOM

Konkrete Schritte

Konformität & CE-Kennzeichnung

Was zu tun ist

Nutzerinformation & Anlaufstelle

Was dem Produkt beizufügen ist

Nachweis & Marktüberwachung

Aufsicht durch die Marktüberwachungsbehörde

Verantwortlich für die Umsetzung

Verwandte Rechtsakte Synergien & Überschneidungen

Delegierte & Durchführungsrechtsakte

Hilfen für Ihre Umsetzung

Was passiert bei Verstößen?

Wie hilfreich war diese Zusammenfassung?

Sie verlassen den LegalTrust Navigator

Abschnitt melden

Danke für Ihre Meldung!

Cyber Resilience Act

Wählen Sie Ihre Sichtweise Welche Rolle hat Ihr Unternehmen?

Sie tragen den vollständigen CRA-Pflichtenkatalog.

Ihre Pflichten Was Sie konkret tun müssen

Risikobewertung

Cybersicherheits-Risikobewertung

Sichere Produkteigenschaften

Der Mindest­katalog (Anhang I Teil I Nr. 2)

Schwachstellenbehandlung

Die acht Prozess­anforderungen (Anhang I Teil II)

Meldepflicht

Zwei Meldegegenstände / Drei-Stufen-Modell

Lieferkette & SBOM

Konkrete Schritte

Konformität & CE-Kennzeichnung

Was zu tun ist

Nutzerinformation & Anlaufstelle

Was dem Produkt beizufügen ist

Nachweis & Marktüberwachung

Aufsicht durch die Marktüberwachungs­behörde

Verantwortlich für die Umsetzung

Verwandte Rechtsakte Synergien & Überschneidungen

Delegierte & Durchführungs­rechtsakte

Hilfen für Ihre Umsetzung

Was passiert bei Verstößen?

Wie hilfreich war diese Zusammenfassung?

Der Mindestkatalog (Anhang I Teil I Nr. 2)

Die acht Prozessanforderungen (Anhang I Teil II)

Aufsicht durch die Marktüberwachungsbehörde

Delegierte & Durchführungsrechtsakte