CRA — EU-Cyberresilienz-Verordnung (Verordnung 2024/2847)

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Die CE-Kennzeichnung wird damit um eine Cybersicherheits-Dimension erweitert.

Historie. Lange galt für vernetzte Produkte ein faktisches Haftungsvakuum: Sicherheitslücken waren ein Problem der Betreiber, nicht der Hersteller. Der CRA wurde am 23. Oktober 2024 verabschiedet und trat Ende 2024 in Kraft. Er schließt die Lücke zwischen Produktsicherheitsrecht und Cybersicherheit und ergänzt NIS2 (Betreiberpflichten) um die Herstellerperspektive. Fakten. Der CRA gilt gestaffelt: Die Kernpflichten greifen ab dem 11. Dezember 2027, die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle bereits ab dem 11. September 2026. Hersteller müssen „security by design“, eine Schwachstellenbehandlung mit definierten Update-Zeiträumen, eine Software-Stückliste (SBOM) sowie Konformitätsbewertungen nachweisen. Für besonders kritische Produktklassen gelten verschärfte Verfahren; freie und Open-Source-Software wird gesondert und überwiegend privilegiert behandelt. Ausblick & Empfehlung. Der CRA trifft jeden, der Hard- oder Software in der EU in Verkehr bringt — auch Maschinen- und Anlagenbauer, die sich bislang nicht als Softwarehersteller verstanden. Wer Produkte entwickelt, sollte SBOM-Erzeugung, einen Schwachstellen-Offenlegungsprozess (CVD) und Update-Mechanik jetzt in die Entwicklung einziehen, statt sie 2027 nachzurüsten. Die Meldepflicht ab September 2026 ist der erste harte Stichtag.

Auch interessant