EU-Verordnung · Zusammenfassung

Cyber Resilience Act

Mit dieser Verordnung wird die Cybersicherheit in der EU gestärkt und ein umfassender Rahmen für digitale Produkte und Dienstleistungen mit sicherer Standardkonfiguration, fortlaufendem Schutz und der Abwehr von Cyberbedrohungen sichergestellt.

Stand: — Lesezeit: —

Fristen-Überblick

Wichtige Termine

Der Notifizierungsrahmen für Stellen, die Konformitätsbewertungen nach dem Cyber Resilience Act durchführen sollen, wird durchsetzbar. Betroffen sind vor allem Mitgliedstaaten, notifizierende Behörden, Konformitätsbewertungsstellen, notifizierte Stellen und die Kommission.
- Mitgliedstaaten: müssen der Kommission und den anderen Mitgliedstaaten Konformitätsbewertungsstellen notifizieren, die zur Durchführung von Konformitätsbewertungen nach der Verordnung befugt sind.
- Mitgliedstaaten: müssen eine notifizierende Behörde benannt haben, die Bewertung, Notifizierung und Überwachung von Konformitätsbewertungsstellen verantwortet.
- Notifizierende Behörden: müssen ihre Verfahren zur Bewertung, Notifizierung und Überwachung von Konformitätsbewertungsstellen anwenden und Änderungen daran der Kommission mitteilen.
- Konformitätsbewertungsstellen: müssen für eine Notifizierung einen Antrag bei der notifizierenden Behörde stellen und die vorgesehenen Konformitätsbewertungstätigkeiten, Module und Produkte benennen.
- Notifizierende Behörden: müssen Notifizierungen mit den erforderlichen Angaben zum Umfang der Befugnis vornehmen und die Kompetenz der betreffenden Stelle belegen können.
- Notifizierte Stellen: müssen ihre Konformitätsbewertungstätigkeiten nach den Vorgaben des Kapitels durchführen und die Anforderungen an Unabhängigkeit, Kompetenz und Unparteilichkeit einhalten.
- Notifizierte Stellen: müssen die zuständige notifizierende Behörde über relevante Änderungen, Einschränkungen, Aussetzungen oder Rücknahmen ihrer Bescheinigungen informieren.
- Kommission: muss den notifizierten Stellen Kennnummern zuweisen und die Liste der notifizierten Stellen zugänglich halten.
Für Hersteller von Produkten mit digitalen Elementen werden die besonderen Meldepflichten der Cyberresilienz-Verordnung durchsetzbar. Betroffen sind Hersteller, die solche Produkte im Anwendungsbereich der Verordnung bereitstellen.
- Hersteller: müssen die in Artikel 14 vorgesehenen Meldepflichten erfüllen und dafür interne Zuständigkeiten sowie Verfahren zur Abgabe der erforderlichen Meldungen einsatzbereit haben.
Für die Mitgliedstaaten endet die Frist, Kapazitäten für Konformitätsbewertungen nach der Cyberresilienz-Verordnung sicherzustellen. Ziel ist, Engpässe und Marktzugangshindernisse für Produkte mit digitalen Elementen zu vermeiden.
- Mitgliedstaaten: müssen dafür sorgen, dass in der Union eine ausreichende Zahl notifizierter Stellen vorhanden ist, die Konformitätsbewertungen durchführen können.
Aus den Schlussbestimmungen des Rechtsakts.

An diesem Tag endet die allgemeine Vorlaufzeit der Cyberresilienz-Verordnung: Der horizontale Cybersicherheitsrahmen für Produkte mit digitalen Elementen wird für die betroffenen Akteure praktisch durchsetzbar.
- Zuständige Behörden: können die Regelungen der Verordnung gegenüber den betroffenen Akteuren durchsetzen.
- Betroffene Akteure: müssen ihre Produkte mit digitalen Elementen und internen Abläufe bis dahin so vorbereitet haben, dass die Anforderungen der Verordnung eingehalten werden können.

Wählen Sie Ihre Sichtweise Welche Rolle hat Ihr Unternehmen?

Inhalte zu Bedeutung, Pflichten, Verantwortung, Materialien und Sanktionen passen sich an Ihre Auswahl an.

Sichtweise

Branche

⚡

Angepasst für Ihr Profil: — · —

Sie tragen den vollständigen CRA-Pflichtenkatalog.

Hohe Relevanz

Als Hersteller in IT & Software sind Sie primärer Adressat der Verordnung. Marktüberwachende Behörde ist in Deutschland das BSI.

Sie müssen Ihr Produkt nach Anhang I sicher entwickeln, eine SBOM führen, Schwachstellen über mindestens fünf Jahre kostenlos beheben, aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden und vor dem Inverkehrbringen die CE-Kennzeichnung anbringen.

Als Standardprodukt können Sie die Konformität durch interne Kontrolle (Modul A) selbst bewerten — ohne benannte Stelle.

⚠ Wichtig: Die Meldepflicht greift bereits am 11.09.2026 — und auch für Bestandsprodukte.

Ihre Pflichten Was Sie konkret tun müssen

Klicken Sie auf eine Karte für die Vertiefung.

Cybersicherheits-Risikobewertung

1.Bewertung auf Basis von Zweckbestimmung und vernünftigerweise vorhersehbarer Verwendung
2.Berücksichtigung in Planung, Konzeption, Entwicklung, Produktion, Lieferung und Wartung
3.Laufende Aktualisierung über den gesamten Lebenszyklus
4.Aufnahme in die technische Dokumentation (Anhang VII)
5.Begründung und Dokumentation etwaiger Ausnahmen von Anhang-I-Anforderungen

Maßstab: Die Risikobewertung ist der Anker der gesamten CRA-Konformität: Sie begründet, welche der Anforderungen des Anhangs I in welcher Tiefe umgesetzt werden — und ist damit das erste Dokument, das eine Marktüberwachungsbehörde anfordert.

Der Mindestkatalog (Anhang I Teil I Nr. 2)

1.Bereitstellung ohne bekannte ausnutzbare Schwachstellen
2.Sichere Standardkonfiguration, mit Rücksetzung in den Originalzustand
3.Behebung durch Sicherheitsaktualisierungen — soweit angebracht automatisch, mit Opt-out
4.Schutz vor unbefugtem Zugriff: Authentifizierung, Identitäts- & Zugriffsverwaltung
5.Vertraulichkeit gespeicherter und übertragener Daten — Verschlüsselung nach Stand der Technik
6.Integrität von Daten, Befehlen, Programmen und Konfiguration
7.Datenminimierung auf das für die Zweckbestimmung Erforderliche
8.Verfügbarkeit wesentlicher Funktionen, auch nach einem Vorfall (DDoS-Abwehr)
9.Minimierung negativer Auswirkungen auf Dienste anderer Geräte oder Netze
10.Beschränkung der Angriffsflächen, einschließlich externer Schnittstellen
11.Exploit Mitigation — Techniken zur Minderung der Ausnutzbarkeit
12.Aufzeichnung und Überwachung sicherheitsrelevanter interner Vorgänge, mit Opt-out
13.Sichere und einfache dauerhafte Löschung aller Daten und Einstellungen

Maßstab: Maßstab: angemessenes Cybersicherheitsniveau auf Grundlage der Risiken (Anhang I Teil I Nr. 1). Die Anforderungen gelten für alle Produktklassen identisch — die Klasse bestimmt nur das Konformitätsbewertungsverfahren, nicht den Inhalt.

Die acht Prozessanforderungen (Anhang I Teil II)

1.. Schwachstellen und Komponenten identifizieren und dokumentieren — inkl. SBOM
2.Schwachstellen unverzüglich beheben, möglichst getrennt von Funktionsupdates
3.Regelmäßige und wirksame Tests und Überprüfungen
4.Nach dem Patch: Informationen über behobene Schwachstellen veröffentlichen
5.Strategie für die koordinierte Offenlegung (CVD) aufstellen und umsetzen
6.Austausch über potenzielle Schwachstellen erleichtern — Kontaktadresse bereitstellen
7.Mechanismen für die sichere Verbreitung von Aktualisierungen
8.Sicherheitsaktualisierungen unverzüglich und kostenlos verbreiten

Maßstab: Unterstützungszeitraum: Mindestens fünf Jahre — kürzer nur bei kürzerer erwarteter Produktlebensdauer.Maßgeblich: Nutzererwartungen, Produktart, vergleichbare Produkte am MarktDas Enddatum ist in den Nutzerinformationen auszuweisen

Zwei Meldegegenstände / Drei-Stufen-Modell

1.Aktiv ausgenutzte Schwachstelle: eine Schwachstelle, für die belegt ist, dass ein böswilliger Akteur sie ohne Zustimmung ausnutzt
2.Schwerwiegender Sicherheitsvorfall: beeinträchtigt Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit — oder führt zur Ausführung von Schadcode
3.24 Stunden: Frühwarnung an den koordinierenden CSIRT und die ENISA
4.72 Stunden: Meldung mit Erstbewertung, Art der Schwachstelle bzw. Schweregrad und Maßnahmen
5.14 Tage nach Verfügbarkeit einer Korrektur (Schwachstelle) bzw. 1 Monat nach der 72-h-Meldung (Vorfall): Abschlussbericht
6.Parallel: unverzügliche Information der betroffenen Nutzer (Art. 14 Abs. 8)
7.Freiwillige Meldungen sind zusätzlich möglich (Art. 15)

Maßstab: Diese Pflicht gilt bereits ab dem 11.09.2026 — und auch für Produkte, die schon vor diesem Datum in Verkehr gebracht wurden.

Konkrete Schritte

1.Gebotene Sorgfalt bei der Integration von Komponenten Dritter — einschließlich quelloffener Software
2.SBOM in gängigem maschinenlesbarem Format, mindestens oberste Abhängigkeitsebene — automatisiert im Build erzeugt und versioniert
3.In Komponenten entdeckte Schwachstellen an deren Hersteller bzw. Entwickler melden
4.Entwickelte Korrekturen möglichst in maschinenlesbarem Format zurückgeben
5.Vertragliche Absicherung: SBOM-Lieferung, Schwachstellenmeldung und Update-Zusagen über den Unterstützungszeitraum

Maßstab: -

Was zu tun ist

1.echnische Dokumentation nach Anhang VII vor dem Inverkehrbringen erstellen und fortschreiben
2.Konformitätsbewertungsverfahren durchführen: Modul A (interne Kontrolle), Modul B+C (Baumusterprüfung) oder Modul H (umfassende Qualitätssicherung)
3.EU-Konformitätserklärung ausstellen (Anhang V)
4.CE-Kennzeichnung anbringen
5.Aufbewahrung von Dokumentation, Sicherheitsupdates und Nutzerinformationen: mindestens 10 Jahre bzw. Unterstützungszeitraum — der jeweils längere Zeitraum

Maßstab: Welches Modul zulässig ist, entscheidet die Produktklasse: Standardprodukte über Modul A, Klasse I nur bei vollständiger Anwendung harmonisierter Normen, Klasse II und kritische Produkte zwingend über eine benannte Stelle.

Was dem Produkt beizufügen ist

1.Anleitungen für sichere Installation, Betrieb und Verwendung
2.Name und Kontaktdaten des Herstellers
3.Zentrale Anlaufstelle für Schwachstellenmeldungen — leicht auffindbar und nicht auf automatisierte Instrumente beschränkt
4.Enddatum des Unterstützungszeitraums
5.EU-Konformitätserklärung oder Angabe der Bezugsquelle

Maßstab: -

Aufsicht durch die Marktüberwachungsbehörde

1.Vorlage von technischer Dokumentation und Nachweisen auf Anforderung
2.Bei Kenntnis oder begründeter Annahme der Nichtkonformität: unverzüglich Korrekturmaßnahmen — bis hin zu Rücknahme oder Rückruf
3.Unterrichtung der Marktüberwachungsbehörden
4.Unterrichtung von Behörden und Nutzern vor Einstellung der Geschäftstätigkeit
5.Behörde kann die Bereitstellung beschränken, das Produkt vom Markt nehmen oder zurückrufen lassen

Maßstab: In Deutschland soll das BSI marktüberwachende Behörde werden — zugleich notifizierende Behörde und CSIRT-Koordinator für Ihre Meldungen nach Art. 14 (CRA-Durchführungsgesetz, BT-Drs. 21/6134).

Verantwortlich für die Umsetzung

RACI-Verteilung der Pflichten.

Tipp: Zeile oder „Details"-Button klicken.

Pflicht	Geschäftsleitung	Datenschutz	Einkauf	Recht & Compliance	Kommunikation
Risikobewertung i	A	I	—	I	—
A Geschäftsleitung E Genehmigt Risikoakzeptanz und Ressourcen — die Entscheidung über akzeptierte Restrisiken und Entwicklungsbudgets ist Leitungsaufgabe. I Recht & Compliance E Bewertet die Begründung von Ausnahmen — Abweichungen von Anhang-I-Anforderungen müssen der Marktüberwachung standhalten. I Datenschutz E Gleicht mit DSGVO-Anforderungen ab — Anhang I Teil I Nr. 2 lit. e und g überschneiden sich mit Art. 25 und 32 DSGVO.
Sichere Produkteigenschaften i	A	I	—	I	—
A Geschäftsleitung E Genehmigt Risikoakzeptanz und Ressourcen — Restrisiken und Entwicklungsbudgets für die Anhang-I-Anforderungen sind Leitungsentscheidung. I Recht & Compliance E Bewertet die Begründung von Ausnahmen — nicht umgesetzte Anhang-I-Anforderungen sind zu begründen und zu dokumentieren. I Datenschutz E Gleicht mit DSGVO-Anforderungen ab — Verschlüsselung und Datenminimierung (Nr. 2 lit. e und g) decken sich mit Art. 25 und 32 DSGVO.
Schwachstellenbehandlung i	I	—	I	—	U
I Geschäftsleitung E Wird über kritische Schwachstellen informiert — Eskalationsstufe bei hohem Schweregrad oder Rückrufrelevanz. I Einkauf E Verfolgt Schwachstellen in Zulieferkomponenten — Meldungen von Komponentenherstellern müssen in den eigenen Prozess einlaufen. U Kommunikation E Veröffentlicht Security Advisories — Anhang I Teil II Nr. 4 verlangt Informationen über behobene Schwachstellen inkl. Schweregrad und Abhilfe.
Meldepflicht i	I	U	—	U	U
I Geschäftsleitung E Wird informiert — Meldungen an Behörden binden das Unternehmen nach außen und können Rückruf und Haftung nach sich ziehen. U Recht & Compliance E Prüft die Meldung rechtlich — sichert sie inhaltlich ab und bewertet Folgepflichten und Haftungsrisiken. U Datenschutz E Prüft die parallele DSGVO-Meldung — bei personenbezogenen Daten tritt Art. 33 DSGVO neben die CRA-Meldung. U Kommunikation E Informiert Nutzer und Kunden — Art. 14 Abs. 8 verpflichtet zur unverzüglichen Information über Risikominderungsmaßnahmen.
Lieferkette & SBOM i	I	—	U	U	—
I Geschäftsleitung E Wird über kritische Lieferantenrisiken informiert — etwa wenn eine Komponente nicht mehr gepflegt wird. U Einkauf E Verankert die Anforderungen bei Zulieferern — Art. 13 Abs. 5 verlangt gebotene Sorgfalt bei Komponenten Dritter. U Recht & Compliance E Gestaltet die Vertragsklauseln — SBOM-Lieferung, Schwachstellenmeldung, Update-Zusagen und Audit-Rechte.
Konformität & CE-Kennzeichnung i	A	—	—	U	—
A Geschäftsleitung E Verantwortet die EU-Konformitätserklärung — mit ihr übernimmt der Hersteller die Verantwortung für die Konformität des Produkts. U Recht & Compliance E Prüft Erklärung und Kennzeichnung — Anhang V und CE-Kennzeichnung; fehlerhafte Kennzeichnung ist eigenständig bußgeldbewehrt.
Nutzerinformation & Anlaufstelle i	A	—	I	I	U
A Geschäftsleitung E Legt den Unterstützungszeitraum fest — die Festlegung bindet über mindestens fünf Jahre Entwicklungs- und Supportressourcen. I Einkauf E Sichert den Zulieferer-Support ab — der eigene Zeitraum ist nur haltbar, wenn Zulieferer ebenso lange Updates zusagen. I Recht & Compliance E Prüft die Bindungswirkung — das kommunizierte Enddatum ist eine öffentliche Zusage mit Gewährleistungs- und Haftungsrelevanz. U Kommunikation E Kommuniziert das Enddatum an Kunden — End-of-Support-Ankündigungen müssen Nutzer rechtzeitig und verständlich erreichen.

LEGENDE

A Verantwortlich

U Umsetzend

C Beratend

I Informiert

G gesetzlich

Delegierte & Durchführungsrechtsakte

Konkretisieren die Pflichten — Klicken Sie für die Begründung.

- Kernfunktionsprinzip: Verankert, dass die Kernfunktion des Produkts über die Klassenzuordnung entscheidet — nicht eine eingebettete Komponente. Ein Smartphone mit integriertem Passwort-Manager bleibt ein Standardprodukt.
- Technische Robustheitsmaßstäbe: Beschreibt Anforderungen an manipulationssichere Mikrocontroller und sichere Elemente über AVA_VAN-Stufen der Common Criteria.
- Praktische Bedeutung: Ohne diese Konkretisierung ist die Einstufung in Grenzfällen nicht belastbar — und damit auch nicht das zulässige Konformitätsbewertungsverfahren.

Hilfen für Ihre Umsetzung

Praxistools, Vorlagen und Schulungsunterlagen.

Verordnungstext Autor: Amt für Veröffentlichungen der EU
Allein verbindlich: Jede Zusammenfassung — auch diese Seite — ersetzt nicht den Blick in den Verordnungstext. Anhänge sind entscheidend: Anhang I (Anforderungen), II (Nutzerinformationen), III/IV (Produktklassen), V (Konformitätserklärung), VII (technische Dokumentation), VIII (Module). Sprachfassungen: Bei Auslegungsfragen lohnt der Abgleich mit der englischen Fassung. Link
BSI — Themenseite Cyber Resilience Act Autor: BSI — Bundesamt für Sicherheit in der Informationstechnik — Website
Ihre künftige Aufsichtsbehörde: Das BSI soll marktüberwachende und notifizierende Behörde werden. Ihr Meldeempfänger: Zugleich CSIRT-Koordinator für Meldungen nach Art. 14 — ab 11.09.2026 relevant. Unterstützungsangebote: Vorgesehen sind Schulungen und ein Testlabor. Link
Durchführungsverordnung (EU) 2025/2392 Autor: Europäische Kommission — Website
Erster Schritt jeder Umsetzung: Ohne belastbare Einstufung lässt sich der Konformitätsweg nicht bestimmen. Kernfunktionsprinzip: Entscheidend ist die Kernfunktion des Produkts, nicht eine eingebettete Komponente. Direkt anwendbar: Gilt ohne nationale Umsetzung. Link
CRA-Durchführungsgesetz — Regierungsentwurf Autor: Deutscher Bundestag, BT-Drs. 21/6134 vom 26.05.2026 — Studie
Vier Rollen für das BSI: Marktüberwachung, Notifizierung, CSIRT-Koordination und Unterstützungsleistungen. Keine inhaltliche Gestaltung: Da der CRA eine Verordnung ist, verschiebt eine Verzögerung des Gesetzes die Geltung der Pflichten nicht. Stand: Erste Lesung am 11.06.2026, seither im Ausschussverfahren (federführend Innenausschuss). Link

Was passiert bei Verstößen?

→Anhang I

									Bis 15,0 Mio. €																			oder 2,5 % weltweiter Jahresumsatz
																	
Art. 64 — Sanktionen · Details

→

Sonstige Pflichten

Bis 10,0 Mio. € oder 2 % weltweiter Jahresumsatz

Art. 64 — Sanktionen · Details

→

Falsche Auskünfte

Bis 5,0 Mio. € oder 1 % weltweitweiter Jahresumsatz

Art. 64 — Sanktionen · Details

Keine Rechtsberatung – ersetzt keine anwaltliche Beratung. Es gelten die Nutzungsbedingungen.

Cyber Resilience Act

Wählen Sie Ihre Sichtweise Welche Rolle hat Ihr Unternehmen?

Sie tragen den vollständigen CRA-Pflichtenkatalog.

Ihre Pflichten Was Sie konkret tun müssen

Risikobewertung

Cybersicherheits-Risikobewertung

Sichere Produkteigenschaften

Der Mindestkatalog (Anhang I Teil I Nr. 2)

Schwachstellenbehandlung

Die acht Prozessanforderungen (Anhang I Teil II)

Meldepflicht

Zwei Meldegegenstände / Drei-Stufen-Modell

Lieferkette & SBOM

Konkrete Schritte

Konformität & CE-Kennzeichnung

Was zu tun ist

Nutzerinformation & Anlaufstelle

Was dem Produkt beizufügen ist

Nachweis & Marktüberwachung

Aufsicht durch die Marktüberwachungsbehörde

Verantwortlich für die Umsetzung

Verwandte Rechtsakte Synergien & Überschneidungen

Delegierte & Durchführungsrechtsakte

Hilfen für Ihre Umsetzung

Was passiert bei Verstößen?

Wie hilfreich war diese Zusammenfassung?

Was diese Regelung für Sie bedeutet

Ihre Pflichten Was Sie konkret tun müssen

Risikomanagement einführen

Vorfälle melden

Leitung schulen

Was passiert bei Verstößen?

Noch keine Zusammenfassung

Sie verlassen den LegalTrust Navigator

Abschnitt melden

Danke für Ihre Meldung!

Cyber Resilience Act

Wählen Sie Ihre Sichtweise Welche Rolle hat Ihr Unternehmen?

Sie tragen den vollständigen CRA-Pflichtenkatalog.

Ihre Pflichten Was Sie konkret tun müssen

Risikobewertung

Cybersicherheits-Risikobewertung

Sichere Produkteigenschaften

Der Mindest­katalog (Anhang I Teil I Nr. 2)

Schwachstellenbehandlung

Die acht Prozess­anforderungen (Anhang I Teil II)

Meldepflicht

Zwei Meldegegenstände / Drei-Stufen-Modell

Lieferkette & SBOM

Konkrete Schritte

Konformität & CE-Kennzeichnung

Was zu tun ist

Nutzerinformation & Anlaufstelle

Was dem Produkt beizufügen ist

Nachweis & Marktüberwachung

Aufsicht durch die Marktüberwachungs­behörde

Verantwortlich für die Umsetzung

Verwandte Rechtsakte Synergien & Überschneidungen

Delegierte & Durchführungs­rechtsakte

Hilfen für Ihre Umsetzung

Was passiert bei Verstößen?

Wie hilfreich war diese Zusammenfassung?

Noch keine Zusammenfassung

Der Mindestkatalog (Anhang I Teil I Nr. 2)

Die acht Prozessanforderungen (Anhang I Teil II)

Aufsicht durch die Marktüberwachungsbehörde

Delegierte & Durchführungsrechtsakte