Der Cyber Resilience Act, kurz CRA, verändert die Cybersicherheitsanforderungen für zahlreiche Hardware- und Softwareprodukte in der Europäischen Union. Die Verordnung schafft verbindliche und EU-weit einheitliche Anforderungen für sogenannte Produkte mit digitalen Elementen. Betroffen ist damit ein großer Teil der Elektronik- und Embedded-Welt – von Industrie-PCs und Steuerungen über IoT-Gateways und Computer-on-Modules bis zu Firmware, Betriebssystemen und Anwendungen.
Vollständig gilt der Cyber Resilience Act zwar erst ab Dezember 2027. Für Hersteller wird die Verordnung jedoch schon deutlich früher operativ relevant. Am 11. September 2026 treten die Meldepflichten für bestimmte Schwachstellen und Sicherheitsvorfälle in Kraft. Unternehmen brauchen bis dahin belastbare Prozesse für Erkennung, Bewertung, Eskalation und Dokumentation von Cybersecurity-Risiken.
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act ist die EU-Verordnung 2024/2847. Er führt erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über deren gesamten Lebenszyklus hinweg ein. Die Vorgaben beginnen bei der sicheren Produktentwicklung und reichen bis zum Schwachstellenmanagement während des festgelegten Supportzeitraums.
Der CRA soll damit insbesondere sicherstellen, dass Hersteller Cybersecurity bereits bei der Entwicklung berücksichtigen und während der Nutzungsdauer ihrer Produkte auf Sicherheitslücken reagieren können.
Das betrifft sowohl technische Maßnahmen als auch organisatorische Prozesse. Hersteller müssen beispielsweise Cybersicherheitsrisiken bewerten, Schwachstellen behandeln, Sicherheitsupdates ermöglichen und die dafür erforderlichen Informationen dokumentieren.
Welche Produkte fallen unter den Cyber Resilience Act?
Im Mittelpunkt des CRA stehen Produkte mit digitalen Elementen. Darunter fallen grundsätzlich Hardware- und Softwareprodukte, deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Der Anwendungsbereich geht damit weit über klassische IT-Produkte hinaus. Eine Verbindung zum öffentlichen Internet ist keine Voraussetzung. Auch lokale Netzwerke, Ethernet, WLAN, Feldbusse, Funkverbindungen oder physische Datenschnittstellen können relevant sein.
Zu typischen Produkten mit digitalen Elementen in Elektronik und Industrie gehören beispielsweise:
Industrie-PCs mit Ethernet-, WLAN- oder Feldbusanbindung,
speicherprogrammierbare Steuerungen,
vernetzte HMIs,
IoT-Gateways,
separat angebotene Computer-on-Modules,
Firmware und Betriebssysteme,
Treiber und Anwendungssoftware sowie
mobile oder webbasierte Anwendungen zur Konfiguration eines Geräts.
Auch bestimmte Cloud-Funktionen können Bestandteil eines Produkts mit digitalen Elementen sein. Relevant ist dies beispielsweise dann, wenn die Ferndatenverarbeitung vom Hersteller oder unter seiner Verantwortung entwickelt wurde und das Produkt ohne diese Funktion eine seiner vorgesehenen Aufgaben nicht erfüllen könnte.
Gerade bei komplexen elektronischen Systemen müssen Hersteller deshalb klären, welche Hardware-, Software- und Kommunikationskomponenten zum Produkt gehören und auf welche Weise sie auf dem europäischen Markt bereitgestellt werden.
Cyber Resilience Act: Diese Fristen gelten 2026 und 2027
Für die Umsetzung des Cyber Resilience Act sind drei Termine besonders wichtig.
10. Dezember 2024: Der Cyber Resilience Act ist in Kraft getreten. Seitdem läuft die Übergangsphase.
11. September 2026: Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle werden verbindlich.
11. Dezember 2027: Der CRA gilt vollständig. Betroffene Produkte, die ab diesem Datum neu in der Europäischen Union in Verkehr gebracht werden, müssen die grundlegenden Cybersicherheitsanforderungen erfüllen und das jeweils erforderliche Konformitätsbewertungsverfahren durchlaufen.
Bereits vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte müssen grundsätzlich nicht rückwirkend vollständig nach dem CRA bewertet werden. Eine wesentliche Änderung nach diesem Stichtag kann allerdings eine neue Bewertung erforderlich machen.
Entscheidend ist dabei, ob die Änderung Auswirkungen auf die Cybersicherheit oder den vorgesehenen Verwendungszweck des Produkts hat.
Für Hersteller langlebiger Elektronikprodukte ist das besonders relevant. Embedded-Plattformen, Steuerungen, Kommunikationsgeräte oder Industrie-PCs werden häufig über viele Jahre eingesetzt und während dieser Zeit durch Firmware-, Betriebssystem- oder Applikationsupdates weiterentwickelt.
Welche CRA-Meldepflichten gelten ab September 2026?
Eine der ersten unmittelbar wirksamen Anforderungen des Cyber Resilience Act betrifft die Meldung von Schwachstellen und Sicherheitsvorfällen.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, sofern sie Auswirkungen auf die Sicherheit eines Produkts mit digitalen Elementen haben.
Dabei gelten enge Fristen:
Innerhalb von 24 Stunden muss zunächst eine Frühwarnung erfolgen.
Innerhalb von 72 Stunden folgt eine ausführlichere Meldung.
Die Fristen beginnen, sobald der Hersteller Kenntnis von dem meldepflichtigen Vorgang erlangt.
Bei einer aktiv ausgenutzten Schwachstelle ist spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme ein Abschlussbericht erforderlich. Bei einem schwerwiegenden Sicherheitsvorfall muss dieser grundsätzlich innerhalb eines Monats nach der ausführlicheren Meldung eingereicht werden.
Die Meldung erfolgt über die von ENISA bereitgestellte Single Reporting Platform und wird gleichzeitig an ENISA sowie das zuständige koordinierende CSIRT übermittelt.
Für Hersteller dürfte insbesondere die 24-Stunden-Frist zur praktischen Herausforderung werden. Unternehmen müssen im Ernstfall schnell feststellen können, welche Produkte betroffen sind, welche Softwarestände darin verwendet werden und wer intern für Bewertung und Meldung zuständig ist.
Was ist eine SBOM und welche Rolle spielt sie beim CRA?
Eine zentrale Grundlage dafür ist die Software Bill of Materials, kurz SBOM. Sie enthält maschinenlesbare Informationen über die Softwarekomponenten und Abhängigkeiten eines Produkts.
Wird beispielsweise eine kritische Sicherheitslücke in einer verwendeten Bibliothek bekannt, lässt sich über eine aktuelle SBOM deutlich schneller feststellen, welche Produkte und Softwareversionen möglicherweise betroffen sind.
Nach dem Cyber Resilience Act muss die SBOM mindestens die direkten beziehungsweise obersten Softwareabhängigkeiten erfassen. Sie ist Bestandteil der technischen Dokumentation. Eine generelle Veröffentlichungspflicht besteht nicht, zuständige Marktüberwachungsbehörden müssen die Informationen auf Anfrage jedoch erhalten können.
Der CRA schreibt dafür kein einzelnes technisches Format vor. In der Praxis haben sich vor allem CycloneDX und SPDX etabliert.
Für Hersteller zählt dabei vor allem die Aktualität der Daten. Eine einmalig zum Entwicklungsstart erzeugte SBOM verliert mit Softwareupdates schnell an Aussagekraft. Deshalb sollte ihre Erstellung und Pflege möglichst eng mit Build-, Release- und Änderungsprozessen verbunden werden.
Was verlangt der CRA beim Cybersecurity Risk Assessment?
Ein weiterer zentraler Bestandteil der CRA-Anforderungen ist die Cybersicherheitsrisikobewertung, häufig auch als Cybersecurity Risk Assessment bezeichnet.
Hersteller müssen gemäß Artikel 13 des Cyber Resilience Act eine solche Bewertung durchführen. Sie bildet die Grundlage für die Anforderungen aus Anhang I und gehört zur technischen Dokumentation nach Anhang VII.
Am Anfang steht die Analyse der Angriffsfläche. Dazu gehören unter anderem:
Kommunikationsschnittstellen,
Wartungs- und Servicezugänge,
Update-Pfade,
externe Softwarebibliotheken sowie
weitere Hardware- und Softwarekomponenten von Drittanbietern.
Anschließend werden realistische Angriffsszenarien und mögliche Auswirkungen bewertet. Daraus lassen sich geeignete Schutzmaßnahmen ableiten. Dazu gehören beispielsweise sichere Standardeinstellungen, Zugriffskontrollen, Verschlüsselung oder geschützte Update-Mechanismen.
Auch die Lieferkette muss berücksichtigt werden. Bei elektronischen Produkten stammen Betriebssysteme, Bibliotheken, Kommunikationsmodule, Prozessorplattformen oder Embedded-Computer häufig von unterschiedlichen Zulieferern.
Damit hängt die Umsetzung des Cyber Resilience Act auch davon ab, wie Hersteller und Lieferanten Informationen zu Softwareständen, Schwachstellen, Sicherheitsupdates und Produktänderungen austauschen.
Cyber Resilience Act macht Security by Design zur Lifecycle-Aufgabe
Die Anforderungen des CRA enden nicht mit dem Abschluss der Entwicklung oder dem Serienstart. Der Cyber Resilience Act betrachtet Cybersicherheit über den gesamten Produktlebenszyklus.
Hersteller müssen deshalb einen Supportzeitraum festlegen und transparent kommunizieren. Dieser beträgt grundsätzlich mindestens fünf Jahre, sofern die erwartete Nutzungsdauer des Produkts nicht kürzer ist. Bei langlebigen Industrieprodukten kann ein längerer Support erforderlich oder marktseitig erwartet werden.
Damit gewinnen Updatefähigkeit, Softwarepflege und Lifecycle-Management erheblich an Bedeutung.
Bereits bei der Entwicklung müssen Hersteller berücksichtigen, wie Sicherheitsupdates später technisch bereitgestellt werden können, wie lange die eingesetzten Softwarekomponenten gepflegt werden und welche Abhängigkeiten von Zulieferern bestehen.
Zu einer umfassenden Vorbereitung auf den Cyber Resilience Act gehören deshalb mehrere ineinandergreifende Bereiche:
Security by Design,
eine aktuelle SBOM,
dokumentierte Cybersecurity Risk Assessments,
sichere Update-Mechanismen,
definierte Supportzeiträume,
Schwachstellenmanagement,
Prozesse für Sicherheitsvorfälle,
Produktklassifizierung,
technische Dokumentation sowie
das erforderliche Konformitätsbewertungsverfahren.
CRA-Anforderungen verändern die Embedded-Plattformstrategie
Gerade bei Embedded-Systemen reichen die Folgen des Cyber Resilience Act bis in die Auswahl der Hardware- und Softwareplattform hinein.
Hersteller müssen stärker berücksichtigen, wie lange Prozessorplattformen, Betriebssysteme, Firmware und Treiber gepflegt werden können. Ebenso wichtig ist die Frage, ob Sicherheitsupdates während des vorgesehenen Produktlebenszyklus zuverlässig verteilt werden können.
Modulare Systemarchitekturen können dabei Vorteile bieten. Sie erleichtern es unter bestimmten Voraussetzungen, einzelne Komponenten zu aktualisieren oder auszutauschen und Produktgenerationen auf einer längerfristig verfügbaren Plattform weiterzuentwickeln.
Der Embedded- und IoT-Spezialist Aaronn Electronic betrachtet deshalb insbesondere die Systemebene. Das Unternehmen unterstützt Kunden nach eigenen Angaben bei der Auswahl geeigneter Plattformen sowie bei Fragen zu Design-in, Lifecycle-Management und Updatefähigkeit.
Mit den Meldepflichten ab dem 11. September 2026 beginnt damit die erste operative Phase des Cyber Resilience Act. Für Elektronik- und Embedded-Hersteller entscheidet sich nun vor allem in den Prozessen, wie gut sie auf den CRA vorbereitet sind: Schwachstellen müssen erkannt und eingeordnet, betroffene Produkte identifiziert und relevante Informationen innerhalb kurzer Zeit verfügbar gemacht werden können.
