Dieser Artikel ist ein praxisorientierter technischer Überblick und keine Rechtsberatung. Die Einstufung eines konkreten Produkts und die EU-Konformitätserklärung bleiben in der Verantwortung des Herstellers.
Der Cyber Resilience Act – Verordnung (EU) 2024/2847 – legt Cybersicherheitsanforderungen für „Produkte mit digitalen Elementen“ fest: nahezu alles mit Firmware oder Software, das sich mit einem Gerät oder einem Netzwerk verbindet. Wallboxen, Wechselrichter, Wärmepumpensteuerungen, vernetzte Werkzeuge, Sensoren und Gateways fallen alle darunter. Einige Sektoren mit eigenen Regelwerken, etwa Medizinprodukte und Fahrzeuge, sind ausgenommen.
Für viele Hersteller fühlt sich der CRA noch wie ein Thema für 2027 an. Das ist er nicht: Die ersten Pflichten gelten bereits.
Der Zeitplan
| Datum | Was gilt |
|---|---|
| 1. August 2025 | Delegierte Verordnung (EU) 2022/30 zur RED: Cybersicherheitsanforderungen an internetfähige Funkanlagen (WLAN, Bluetooth, Mobilfunk). Die harmonisierten Normen EN 18031-1/-2/-3 wurden mit Einschränkungen veröffentlicht. |
| 11. September 2026 | CRA Art. 14: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Das gilt auch für Produkte, die vor Dezember 2027 in Verkehr gebracht wurden. |
| 20. Januar 2027 | Die neue Maschinenverordnung (EU) 2023/1230 gilt, einschließlich des Schutzes gegen Verfälschung sicherheitsrelevanter Software und Daten. |
| 11. Dezember 2027 | Vollständige Anwendung des CRA: grundlegende Anforderungen nach Anhang I, Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung nach dem CRA. |
1. Meldepflichten – bereits verbindlich
Bei einer aktiv ausgenutzten Schwachstelle in Ihrem Produkt verlangt Art. 14 Meldungen über die einheitliche Meldeplattform an das zuständige CSIRT und an die ENISA:
- innerhalb von 24 Stunden – eine Frühwarnung;
- innerhalb von 72 Stunden – eine Schwachstellenmeldung mit ersten Details;
- innerhalb von 14 Tagen, nachdem eine Korrekturmaßnahme verfügbar ist – ein Abschlussbericht.
Schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit Ihres Produkts folgen einem ähnlichen 24-h-/72-h-Ablauf, mit einem Abschlussbericht innerhalb eines Monats. In der Praxis bedeutet das: Sie brauchen einen benannten Verantwortlichen, ein internes Verfahren, einen Weg, Schwachstellenmeldungen von außen entgegenzunehmen (eine Kontaktstelle und eine Richtlinie zur koordinierten Offenlegung von Schwachstellen), und eine Möglichkeit, die Komponenten in Ihrem Produkt zu überwachen.
2. Grundlegende Anforderungen – Anhang I
Ab Dezember 2027 muss Ihr Produkt die grundlegenden Anforderungen von Anhang I erfüllen. Technisch betrachtet sind die wiederkehrenden Themen:
- keine bekannten ausnutzbaren Schwachstellen zum Release-Zeitpunkt;
- sichere Standardkonfiguration (Secure by Default) – keine universellen Standardpasswörter;
- Sicherheitsupdates, idealerweise automatisch, sicher und kostenlos bereitgestellt;
- Schutz vor unbefugtem Zugriff sowie Vertraulichkeit und Integrität von Daten, Firmware und Konfiguration;
- eine minimale Angriffsfläche, Resilienz und die Protokollierung sicherheitsrelevanter Ereignisse;
- Schwachstellenmanagement: eine SBOM, regelmäßige Tests, eine CVD-Richtlinie und ein Unterstützungszeitraum – in der Regel mindestens fünf Jahre.
3. Einstufung und Konformitätsbewertung
Die meisten Produkte fallen in die Standardkategorie und können vom Hersteller selbst bewertet werden. „Wichtige“ Produkte (Klasse I und II, Anhang III) und „kritische“ Produkte (Anhang IV) benötigen harmonisierte Normen oder eine Bewertung durch Dritte. Eine frühzeitige, korrekte Einstufung entscheidet darüber, wie viel Zeit und Budget Sie brauchen.
Was das für Firmware und Tooling bedeutet
Als wir ein vernetztes Gerät durch eine vollständige CRA- und EN-18031-Gap-Analyse geführt haben, fand der größte Teil der Arbeit nicht auf dem Papier statt. Er steckte im Produkt:
- Firmware-Updates müssen authentifiziert sein – eine signierte Update-Kette und ein Bootloader, der sie prüft, dazu ein Workflow für den Signaturschlüssel.
- Zugangsdaten müssen gerätespezifisch sein; universelle Servicepasswörter in Fertigungs- oder Servicewerkzeugen müssen verschwinden.
- Schnittstellen wie USB, UART oder die lokale WLAN-Einrichtung brauchen Authentifizierung und Schutz von Geheimnissen bei der Übertragung.
- Die Firmware jeder Komponente – einschließlich Funkmodulen – braucht einen Update-Pfad.
- Fertigungs- und Servicewerkzeuge sind Teil der Angriffsfläche und erfordern dieselbe Sorgfalt.
Die Dokumentation – Risikobewertung, SBOM, technische Unterlagen, Benutzerinformationen – ergibt sich aus diesen Designentscheidungen. Sie sollte nicht erst im Nachhinein geschrieben werden.
Wo Sie anfangen sollten
- Benennen Sie einen Verantwortlichen und richten Sie das Meldeverfahren nach Art. 14 sowie eine CVD-Richtlinie ein – bei den meisten Herstellern ist das überfällig.
- Erfassen Sie Ihre vernetzten Produkte und stufen Sie sie ein.
- Führen Sie für Ihr wichtigstes Produkt eine Gap-Analyse gegen Anhang I durch.
- Planen Sie die Firmware-Änderungen – sie dauern am längsten.
CRA Readiness Check
Gap-Analyse gegen Anhang I, Aufbau der Prozesse für Art. 14 und CVD, Produktklassifizierung, SBOM-Übersicht, EN-18031-Vorbewertung und ein priorisierter Maßnahmenplan.
CRA-Serie: Teil 1 – Was Hersteller tun müssen und bis wann · Teil 2 – Meldungen nach Artikel 14 · Teil 3 – EN-18031-Checkliste