EU-Verordnung (EU) 2024/2847 Zusammenfassung

Cyber Resilience Act

i

Volltext lesen

Mit dieser Verordnung wird die Cybersicherheit in der EU gestärkt und ein umfassender Rahmen für digitale Produkte und Dienstleistungen mit sicherer Standardkonfiguration, fortlaufendem Schutz und der Abwehr von Cyberbedrohungen sichergestellt.

Fristen-Überblick

Wann gilt was?

Heute

Anwendbar ab · 11.12.2027 in 14 Monaten

Aus den Schlussbestimmungen des Rechtsakts.

Ab diesem Zeitpunkt müssen u. a.:

Hersteller: Risikobewertung dokumentieren und laufend aktualisieren
Hersteller: sichere Produkteigenschaften technisch umsetzen
Hersteller: Schwachstellen erfassen und kostenlos beheben
Hersteller: SBOM erstellen und Lieferkette absichern
Hersteller: Konformität bewerten und CE-Kennzeichnung anbringen
Hersteller: Nutzerinformation und Anlaufstelle bereitstellen

Im Fristen-Überblick öffnen

Gilt ab
Sonstige

Ihre Sichtweise

Welche Rolle hat Ihr Unternehmen?

Bedeutung, Pflichten, Verantwortung, Materialien und Sanktionen passen sich an Ihre Auswahl an.

Sichtweise

Branche

Stand — ca. — Lesezeit

Bedeutung

Was das für Sie bedeutet

Hohe Relevanz

Sie tragen den vollständigen CRA-Pflichtenkatalog.

Als Hersteller in IT & Software sind Sie primärer Adressat der Verordnung. Marktüberwachende Behörde ist in Deutschland das BSI.

Sie müssen Ihr Produkt nach Anhang I sicher entwickeln, eine SBOM führen, Schwachstellen über mindestens fünf Jahre kostenlos beheben, aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden und vor dem Inverkehrbringen die CE-Kennzeichnung anbringen.

Als Standardprodukt können Sie die Konformität durch interne Kontrolle (Modul A) selbst bewerten — ohne benannte Stelle.

Wichtig: Die Meldepflicht greift bereits am 11.09.2026 und betrifft sowohl Neu- als auch Bestandsprodukte.

Ihre Pflichten · 8

Was Sie konkret tun müssen

Risikobewertung

Grundlage aller weiteren Pflichten

§ Art. 13 — Pflichten der Hersteller

Sichere Produkteigenschaften

Security by Design - 13 Anforderungen

§ Anhang I Teil I Nr. 2

Schwachstellenbehandlung

Updates über mindestens fünf Jahre - kostenlos

§ Art. 13 — Pflichten der Hersteller

Meldepflicht

24 h-Frühwarnung, 72 h-Meldung, Abschlussbericht

§ Art. 14 — Meldepflichten der Hersteller

Lieferkette & SBOM

Sorgfalt bei Komponenten Dritter

§ Art. 13 — Pflichten der Hersteller

Konformität & CE-Kennzeichnung

Marktzugangvoraussetzung ab 11.12.2027

§ Art. 13 — Pflichten der Hersteller

Nutzerinformation & Anlaufstelle

Begleitinformation und Erreichbarkeit

§ Art. 13 — Pflichten der Hersteller

Nachweis & Marktüberwachung

Belege & Korrekturmaßnahmen gegenüber dem BSI

§ Art. 13 — Pflichten der Hersteller

Verantwortung

Verantwortlich für die Umsetzung

Pflicht	Datenschutz	Geschäftsleitung	Einkauf	Kommunikation	Produktentwicklung	Produktsicherheit	Qualitätsmanagement	Recht & Compliance	Details
Risikobewertung	I	A			U	U	I	I
AGeschäftsleitungempfohlenGenehmigt Risikoakzeptanz und Ressourcen — die Entscheidung über akzeptierte Restrisiken und Entwicklungsbudgets ist Leitungsaufgabe. IRecht & ComplianceempfohlenBewertet die Begründung von Ausnahmen — Abweichungen von Anhang-I-Anforderungen müssen der Marktüberwachung standhalten. IDatenschutzempfohlenGleicht mit DSGVO-Anforderungen ab — Anhang I Teil I Nr. 2 lit. e und g überschneiden sich mit Art. 25 und 32 DSGVO. UProduktentwicklungempfohlenFührt die Risikobewertung durch und setzt Anhang I um — die Anforderungen des Anhangs I Teil I sind Konstruktionsanforderungen. UProduktsicherheitempfohlenLiefert Bedrohungsmodelle und Angriffswissen — bringt Erkenntnisse aus Schwachstellenmeldungen und Sicherheitstests ein. IQualitätsmanagementempfohlenPrüft Aufnahme in die technische Dokumentation — die Risikobewertung ist nach Art. 13 Abs. 3 Teil der Dokumentation nach Anhang VII.
Sichere Produkteigenschaften	I	A			U	U	I	I
AGeschäftsleitungempfohlenGenehmigt Risikoakzeptanz und Ressourcen — Restrisiken und Entwicklungsbudgets für die Anhang-I-Anforderungen sind Leitungsentscheidung. IRecht & ComplianceempfohlenBewertet die Begründung von Ausnahmen — nicht umgesetzte Anhang-I-Anforderungen sind zu begründen und zu dokumentieren. IDatenschutzempfohlenGleicht mit DSGVO-Anforderungen ab — Verschlüsselung und Datenminimierung (Nr. 2 lit. e und g) decken sich mit Art. 25 und 32 DSGVO. UProduktentwicklungempfohlenSetzt die Anhang-I-Anforderungen konstruktiv um — sichere Standardkonfiguration, Zugriffsschutz, Verschlüsselung und Angriffsflächen-Reduktion entstehen in der Entwicklung. UProduktsicherheitempfohlenLiefert Bedrohungsmodelle und Sicherheitstests — prüft, ob die umgesetzten Schutzmaßnahmen den bekannten Angriffswegen standhalten. IQualitätsmanagementempfohlenPrüft die Nachweisführung — die Umsetzung der Anhang-I-Anforderungen ist Teil der technischen Dokumentation nach Anhang VII.
Schwachstellenbehandlung		I	I	U	U	A	I
IGeschäftsleitungempfohlenWird über kritische Schwachstellen informiert — Eskalationsstufe bei hohem Schweregrad oder Rückrufrelevanz. IEinkaufempfohlenVerfolgt Schwachstellen in Zulieferkomponenten — Meldungen von Komponentenherstellern müssen in den eigenen Prozess einlaufen. UKommunikationempfohlenVeröffentlicht Security Advisories — Anhang I Teil II Nr. 4 verlangt Informationen über behobene Schwachstellen inkl. Schweregrad und Abhilfe. UProduktentwicklungempfohlenEntwickelt und liefert die Patches — Sicherheitsupdates werden soweit möglich getrennt von Funktionsupdates ausgeliefert (Anhang I Teil II Nr. 2). AProduktsicherheitempfohlenVerantwortet Triage, CVD und Update-Prozess — der CRA nennt keinen Owner, operativ übernimmt dies typischerweise ein PSIRT. IQualitätsmanagementempfohlenPrüft die Nachweisführung — Tests und Überprüfungen nach Anhang I Teil II Nr. 3 sind revisionsfest zu dokumentieren.
Meldepflicht	U	I		U	I	A		U
IGeschäftsleitungempfohlenWird informiert — Meldungen an Behörden binden das Unternehmen nach außen und können Rückruf und Haftung nach sich ziehen. URecht & ComplianceempfohlenPrüft die Meldung rechtlich — sichert sie inhaltlich ab und bewertet Folgepflichten und Haftungsrisiken. UDatenschutzempfohlenPrüft die parallele DSGVO-Meldung — bei personenbezogenen Daten tritt Art. 33 DSGVO neben die CRA-Meldung. UKommunikationempfohlenInformiert Nutzer und Kunden — Art. 14 Abs. 8 verpflichtet zur unverzüglichen Information über Risikominderungsmaßnahmen. IProduktentwicklungempfohlenLiefert die technische Sachverhaltsaufklärung — Grundlage für Angaben zu Schwachstelle und Maßnahmen in der 72-Stunden-Meldung. AProduktsicherheitempfohlenVerantwortet die Meldung an CSIRT und ENISA — operativ über die einheitliche Meldeplattform nach Art. 16.
Lieferkette & SBOM		I	U		A	U	I	U
IGeschäftsleitungempfohlenWird über kritische Lieferantenrisiken informiert — etwa wenn eine Komponente nicht mehr gepflegt wird. UEinkaufempfohlenVerankert die Anforderungen bei Zulieferern — Art. 13 Abs. 5 verlangt gebotene Sorgfalt bei Komponenten Dritter. URecht & ComplianceempfohlenGestaltet die Vertragsklauseln — SBOM-Lieferung, Schwachstellenmeldung, Update-Zusagen und Audit-Rechte. AProduktentwicklungempfohlenErzeugt und pflegt die SBOM — sie entsteht sinnvoll automatisiert im Build-Prozess als Artefakt jeder Produktversion. UProduktsicherheitempfohlenGleicht die SBOM gegen Schwachstellenquellen ab — Grundlage, um Betroffenheit von neuen Schwachstellen festzustellen. IQualitätsmanagementempfohlenPrüft die Vollständigkeit für die Dokumentation — die SBOM ist Teil der technischen Dokumentation und der Marktüberwachung vorzulegen.
Konformität & CE-Kennzeichnung		A			U	I	U	U
AGeschäftsleitungempfohlenVerantwortet die EU-Konformitätserklärung — mit ihr übernimmt der Hersteller die Verantwortung für die Konformität des Produkts. URecht & ComplianceempfohlenPrüft Erklärung und Kennzeichnung — Anhang V und CE-Kennzeichnung; fehlerhafte Kennzeichnung ist eigenständig bußgeldbewehrt. UProduktentwicklungempfohlenLiefert die technischen Unterlagen — Konstruktionsunterlagen, Testnachweise und Beschreibung der umgesetzten Anhang-I-Anforderungen nach Anhang VII. IProduktsicherheitempfohlenSteuert Nachweise zum Schwachstellenprozess bei — die Prozessanforderungen des Anhangs I Teil II sind Teil des Konformitätsnachweises. UQualitätsmanagementempfohlenFührt das Verfahren und steuert die benannte Stelle — Modul A, B+C oder H; bei Klasse II und kritischen Produkten mit benannter Stelle.
Nutzerinformation & Anlaufstelle		A	I	U	U	I	U	I
AGeschäftsleitungempfohlenLegt den Unterstützungszeitraum fest — die Festlegung bindet über mindestens fünf Jahre Entwicklungs- und Supportressourcen. IEinkaufempfohlenSichert den Zulieferer-Support ab — der eigene Zeitraum ist nur haltbar, wenn Zulieferer ebenso lange Updates zusagen. IRecht & ComplianceempfohlenPrüft die Bindungswirkung — das kommunizierte Enddatum ist eine öffentliche Zusage mit Gewährleistungs- und Haftungsrelevanz. UKommunikationempfohlenKommuniziert das Enddatum an Kunden — End-of-Support-Ankündigungen müssen Nutzer rechtzeitig und verständlich erreichen. UProduktentwicklungempfohlenSichert die Update-Fähigkeit über den Zeitraum — Architektur, Update-Mechanismus und Build-Fähigkeit müssen erhalten bleiben. IProduktsicherheitempfohlenÜberwacht das Auslaufen des Zeitraums — Produkte am Ende des Unterstützungszeitraums brauchen einen definierten Übergang für Schwachstellenmeldungen. UQualitätsmanagementempfohlenDokumentiert das Enddatum — es gehört nach Anhang II in die Nutzerinformationen und in die technische Dokumentation.

verantwortlich setzt um informiert gesetzlich empfohlen

Querverweise

Verwandte Rechtsakte und Synergien

NIS 2Richtlinie über Maßnahmen für ein hohes gemeinsames CybersicherheitsniveauOrganisations- statt Produkt | Lieferketten-Synergie | getrennte Meldewegen2 Synergien
1. 1Synergie Lieferketten-Synergie — CRA-konforme Produkte mit CE-Kennzeichnung und SBOM sind ein belastbarer Nachweis für die NIS-2-Lieferkettenpflicht nach Art. 21 Abs. 2 lit. d — anrechenbar im Lieferanten-Audit.
2. 2Synergie Synergie Gemeinsamer Incident-Prozess — Beide Akte verlangen 24-Stunden-Frühwarnungen. Ein gemeinsamer Prozess mit getrennten Meldewegen (BSI als NIS-2-Aufsicht, CSIRT und ENISA nach CRA) vermeidet Doppelstrukturen.
DSGVODatenschutz-GrundverordnungDatenminimierung als Produktanforderung | Synergien bei TOMs | zusätzliche Meldepflichten1 Synergie
1. 1Synergie Überschneidende Maßnahmen — Anhang I Teil I Nr. 2 lit. e und g des CRA decken sich weitgehend mit Art. 25 und 32 DSGVO (Privacy by Design, TOMs) — gemeinsame Dokumentation ist möglich.
AI-Act / KI-VOEU-Gesetz zur künstlichen IntelligenzHochrisiko-KI-Systeme | Konformitätsvermutung | Zuständigkeitswechsel1 Synergie
1. 1Synergie Konformitätsvermutung — Hochrisiko-KI-Systeme, die als Produkte mit digitalen Elementen CRA-konform sind, gelten hinsichtlich der Cybersicherheitsanforderungen des Art. 15 KI-VO als konform, soweit die CRA-Anforderungen diese abdecken.
CSAEU Cybersecurity ActZertifikat verkürzt den Nachweis | Pflicht bei kritischen Produkten | EUCC: DVO (EU) 2024/4821 Synergie
1. 1Synergie Zertifikat verkürzt den Nachweis — Ein europäisches Cybersicherheitszertifikat (mindestens Stufe „mittel“) begründet die Konformitätsvermutung für Anhang-I-Anforderungen und eröffnet für Klasse-I-Produkte den Weg über Modul A ohne benannte Stelle.
REDRadio Equipment DirectiveVorläuferregime für Funkprodukte | bestehende Nachweise nutzbar | DVO (EU) 2022/301 Synergie
1. 1Synergie Bestehende Nachweise nutzbar — Für RED-konforme Funkprodukte erstellte Nachweise und Normanwendungen (EN-18031-Reihe) sind eine belastbare Vorarbeit für die CRA-Konformität.
PLDProdukthaftungsrichtlinieSoftware als Produkt | fehlende Updates als Produktfehler

Konkretisierung · 1

Delegierte & Durchführungsrechtsakte

Konkretisieren die Pflichten — Grundlage für die operative Umsetzung.

Durchführungsverordnung (EU) 2025/2392 der Kommission vom…Technische Beschreibung der ProduktkategorienKernfunktionsprinzip · Einstufungsbasis für Anhang III/IV · direkt anwendbar3 Punkte
1. 1Kernfunktionsprinzip — Verankert, dass die Kernfunktion des Produkts über die Klassenzuordnung entscheidet — nicht eine eingebettete Komponente. Ein Smartphone mit integriertem Passwort-Manager bleibt ein Standardprodukt.
2. 2Technische Robustheitsmaßstäbe — Beschreibt Anforderungen an manipulationssichere Mikrocontroller und sichere Elemente über AVA_VAN-Stufen der Common Criteria.
3. 3Praktische Bedeutung — Ohne diese Konkretisierung ist die Einstufung in Grenzfällen nicht belastbar — und damit auch nicht das zulässige Konformitätsbewertungsverfahren.

Materialien

Hilfen für die Umsetzung

Hinweis: Die Materialien sind eine Praxis-Hilfe und ersetzen keine Rechtsberatung im Einzelfall. Externe Links vor dem Einsatz auf Aktualität prüfen.

Sanktionen

Was bei Verstößen droht

Anhang I

Höchstes Bußgeld

bis zu15 Mio. €

oder 2,5 % weltweiter Jahresumsatz

§ Art. 64 — Sanktionen

Sonstige Pflichten

bis zu10 Mio. €

oder 2 % weltweiter Jahresumsatz

§ Art. 64 — Sanktionen

Falsche Auskünfte

bis zu5 Mio. €

oder 1 % weltweiter Jahresumsatz

§ Art. 64 — Sanktionen

Keine Rechtsberatung – ersetzt keine anwaltliche Beratung. Es gelten die Nutzungsbedingungen.