Der Cyber Resilience Act verlangt Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen (Hardware und Software), die auf dem Markt der Europäischen Union in Verkehr gebracht werden. SYAGA begleitet Sie dabei, Ihre Pflichten zu verstehen und Ihre Konformitätsakte aufzubauen, ohne zu improvisieren.
Der Cyber Resilience Act (CRA) ist ein horizontaler europäischer Text zur Cybersicherheit digitaler Produkte
Der CRA erfasst Produkte mit digitalen Elementen (vernetzte Hardware, Software, Firmware), die für den Markt der EU bestimmt sind, mit Cybersicherheitsanforderungen über den gesamten Lebenszyklus des Produkts hinweg.
Hersteller, Einführer oder Händler: Die Verordnung verteilt unterschiedliche Pflichten je nach Ihrer Position in der Lieferkette, nach dem Modell, das bereits bei anderen europäischen Produktvorschriften verwendet wird.
Der Text ist am 10. Dezember 2024 in Kraft getreten und sieht eine stufenweise Anwendung im Zeitverlauf vor. Die genauen für Sie geltenden Fristen sind im offiziellen Text für Ihre Situation zu prüfen.
Wie bei den anderen aktuellen europäischen Cyber-Texten erfordert die CRA-Konformität eine Methode (Produktkartierung, Gap-Analyse, technische Dokumentation), die die meisten Hersteller und Anbieter mangels dedizierter interner Ressourcen noch nicht angegangen haben.
Der CRA richtet sich an Wirtschaftsakteure, die digitale Produkte auf dem Markt der EU in Verkehr bringen
Unternehmen, die Produkte mit digitalen Elementen (Hardware, Software, Firmware) entwerfen oder entwerfen lassen und unter ihrem Namen oder ihrer Marke vermarkten.
Unternehmen, die ein außerhalb der Union entwickeltes digitales Produkt auf dem Markt der EU in Verkehr bringen.
Unternehmen, die ein Produkt auf dem Markt der EU bereitstellen, ohne dessen Hersteller oder Einführer zu sein.
Ein strukturiertes Vorgehen, um Ihre Produkte zu kartieren, Lücken zu messen und Ihren Konformitätsplan aufzubauen
Gespräch mit der Geschäftsleitung oder dem F&E-Team, um die potenziell vom CRA betroffenen Produkte zu identifizieren (vernetzte Hardware, eingebettete Software, Firmware) sowie Ihre Rolle als Wirtschaftsakteur (Hersteller, Einführer, Händler).
Kartierung Ihrer digitalen Produkte und ihrer aktuellen Cybersicherheitselemente (Schwachstellenmanagement, Sicherheitsupdates, vorhandene Dokumentation) im Vergleich zu den Anforderungen der Verordnung.
Priorisierter Konformitätsplan: was zuerst behandelt werden muss, was auf die nächsten regulatorischen Fristen warten kann, und welche Ressourcen intern mobilisiert werden müssen.
Begleitung bei der Strukturierung der von der Verordnung erwarteten technischen Dokumentation (Produktbeschreibung, Management der Cybersicherheitsrisiken, Verfahren zur Behandlung von Schwachstellen).
Vorstellung der Diagnose und des Aktionsplans an die Geschäftsleitung, mit Übergabe bearbeitbarer Unterlagen zur Aneignung durch Ihre Teams.
Eine Diagnose und einen Fahrplan zur Steuerung Ihrer CRA-Konformität
Inventar Ihrer Produkte mit digitalen Elementen und Bewertung ihrer Exposition gegenüber der Verordnung.
Zusammenfassung der Lücken zwischen Ihrer aktuellen Praxis und den Anforderungen der Verordnung.
Priorisierter Fahrplan zur Behebung der identifizierten Lücken.
Begleitung bei der Strukturierung der von der Verordnung erwarteten Dokumentation.
Verfolgung der Durchführungstexte und offiziellen Klarstellungen zum CRA.
Alle Dokumente in Formaten, die Sie ändern und intern weiterführen können.
Der CRA ersetzt nicht Ihre anderen Konformitätsprojekte, er ergänzt sie
NIS2 regelt das Cyberrisikomanagement wesentlicher und wichtiger Einrichtungen; der CRA regelt die Sicherheit der von ihnen verwendeten oder vermarkteten digitalen Produkte. Beide Texte ergänzen sich.
Ein bereits vorhandenes Informationssicherheits-Managementsystem erleichtert die Strukturierung der vom CRA geforderten Schwachstellenmanagementprozesse.
Wenn Ihr digitales Produkt personenbezogene Daten verarbeitet, überschneiden sich die Sicherheitsanforderungen des CRA teilweise mit den von Artikel 32 der DSGVO erwarteten technischen und organisatorischen Maßnahmen.
Wenn Ihr Produkt Komponenten künstlicher Intelligenz enthält, können CRA und AI Act je nach Art des Produkts gemeinsam anwendbar sein. Ein Punkt, der im Einzelfall mit Ihrem Rechtsberater zu klären ist.
Jedes Produkt, jeder Umfang ist anders: Wir erstellen ein auf Ihre Situation zugeschnittenes Angebot
Ein Produkt, ein begrenzter Umfang
Mehrere Produkte, aktive Konformitätsumsetzung
Produktpalette, kontinuierlicher Konformitätszyklus
Was der CRA-Text wirklich sagt, einfach erklärt. Jeder Punkt verweist auf seine offizielle Quelle (EUR-Lex oder Europäische Kommission), damit Sie es selbst überprüfen können.
Der Cyber Resilience Act ist eine europäische Verordnung (Verordnung (EU) 2024/2847), die
Cybersicherheitsanforderungen für digitale Produkte - Hardware und Software - festlegt, die
in der Europäischen Union verkauft werden. Er ist am 10. Dezember 2024 in Kraft getreten.
offizielle Quelle ↗
Jedes Produkt mit digitalen Elementen, dessen bestimmungsgemäße Verwendung eine direkte
oder indirekte logische oder physische Verbindung zu einem Gerät oder Netzwerk vorsieht.
Ausgenommen sind Produkte, die bereits durch andere europäische Rechtsakte geregelt sind:
Medizinprodukte, Fahrzeuge, Luftfahrt, Meeresausrüstung, identische Ersatzteile oder
Produkte, die ausschließlich für Verteidigung/nationale Sicherheit konzipiert sind.
offizielle Quelle (Artikel 2) ↗
10. Dezember 2024: Der Text ist in Kraft getreten.
11. Juni 2026: Die für die Durchsetzung zuständigen Behörden müssen
eingerichtet sein. 11. September 2026: Die Meldepflichten für
Sicherheitslücken und Vorfälle beginnen. 11. Dezember 2027: Der
Großteil der Pflichten, einschließlich der CE-Kennzeichnung, wird anwendbar.
offizielle Quelle (Artikel 71) ↗
Wenn eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Vorfall Ihr Produkt
betrifft, verlangt die Verordnung, die Behörden zu informieren: eine erste Frühwarnung
innerhalb von 24 Stunden, eine detailliertere Meldung innerhalb von
72 Stunden, dann einen Abschlussbericht spätestens 14 Tage
nach Bereitstellung einer Korrektur.
offizielle Quelle (Artikel 14) ↗
Der Text unterscheidet Produktkategorien, die als sensibler eingestuft werden (zum
Beispiel Antivirensoftware, VPN, Passwortmanager, Betriebssysteme, Router, vernetzte
Objekte für die Heimsicherheit) sowie "kritische" Produkte (zum Beispiel Chipkarten,
Smart-Meter-Gateways), die verstärkten Anforderungen unterliegen.
offizielle Quelle (Anhänge III und IV) ↗
Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (der
höhere der beiden Beträge) für die schwersten Verstöße gegen die grundlegenden
Sicherheitsanforderungen. Bis zu 10 Millionen oder 2 % für andere
Pflichten, und bis zu 5 Millionen oder 1 % bei irreführenden Angaben
gegenüber den Behörden. Kleinstunternehmen und kleine Unternehmen profitieren von einer
spezifischen Ausnahme bei der Überschreitung der 24-Stunden-Meldefrist.
offizielle Quelle (Artikel 64) ↗
Der CRA ergänzt die NIS2-Richtlinie und stützt sich auf die Cybersicherheitsstrategie der
EU von 2020. Eine CE-Kennzeichnung wird zum Nachweis der Konformität erforderlich sein, und
die nationalen Marktüberwachungsbehörden werden die Anwendung kontrollieren.
offizielle Quelle (Europäische Kommission) ↗
Die Verordnung legt 3 Bußgeldstufen je nach Schwere des Verstoßes fest. Hier steht, was der offizielle Text genau sagt, ohne Rundung oder Annäherung.
Nichteinhaltung der grundlegenden Cybersicherheitsanforderungen (Anhang I) oder der Herstellerpflichten (Artikel 13 und 14: sichere Konzeption, Schwachstellenmanagement, Meldung von Vorfällen).
Verstöße gegen die Pflichten der Bevollmächtigten, die EU-Konformitätserklärung (CE-Kennzeichnung), die Anforderungen an notifizierte Stellen und den von den Behörden angeforderten Datenzugang (je nach Fall Artikel 18 bis 53).
Bereitstellung falscher, unvollständiger oder irreführender Informationen an eine notifizierte Stelle oder eine Marktüberwachungsbehörde, die bei Ihnen anfragt.
offizielle Quelle - Verordnung (EU) 2024/2847, Artikel 64, Absätze 2 bis 4 ↗
Es sind die nationalen Marktüberwachungsbehörden jedes Mitgliedstaats, die diese Bußgelder verhängen (nicht die Europäische Kommission direkt). Je nach Rechtssystem des Landes kann das Bußgeld auch von einem zuständigen nationalen Gericht verhängt werden. Die Behörden der verschiedenen Mitgliedstaaten teilen sich gegenseitig die verhängten Bußgelder mit.
Der Text sieht keinen automatischen Betrag vor: Die Behörde muss von Fall zu Fall berücksichtigen:
Der Text sieht nur eine bezifferte Ausnahme vor: Hersteller, die Kleinstunternehmen oder kleine Unternehmen sind, sind nicht den Bußgeldern der Stufen 2 und 3 ausgesetzt, wenn sie lediglich die in Artikel 14 vorgesehene Frist für die Meldung von Vorfällen überschreiten (24h/72h/Abschlussbericht). Für alles andere (Sicherheitsanforderungen, CE-Kennzeichnung, irreführende Angaben...) gelten dieselben Obergrenzen, unabhängig von der Unternehmensgröße. Verantwortliche für Open-Source-Software ("open-source software stewards") profitieren dagegen von einer weiterreichenden Ausnahme.
Die Sanktionsregelung (Artikel 64) folgt dem allgemeinen Anwendungsdatum der Verordnung, also dem 11. Dezember 2027 - sie gehört nicht zu den seltenen Ausnahmen, die früher gelten (Meldepflichten der Hersteller bereits ab 11. September 2026, Einrichtung der Behörden bereits ab 11. Juni 2026). Konkret: Zum 18. Juli 2026 ist diese Sanktionsregelung noch nicht in Kraft, und es konnte daher noch kein CRA-Bußgeld verhängt werden. Deshalb zeigen wir hier auch kein Beispiel einer realen Sanktion: Es gibt noch keines, und wir werden keines erfinden.
Kein Anwaltsjargon: einfache Antworten, jede gestützt auf den offiziellen Text, auf dem sie beruht.
Die Verordnung gilt nicht auf einen Schlag: Sie tritt stufenweise über mehrere Jahre in Kraft. Hier sind die Termine, die wirklich zählen, in chronologischer Reihenfolge, mit ihrer konkreten Bedeutung für Sie. Jeder Termin verweist zur Überprüfung auf den offiziellen Text.
Der Text der Verordnung (EU) 2024/2847 wird im Amtsblatt der Europäischen Union
veröffentlicht. Das ist der Startpunkt des Countdowns: Alle folgenden Fristen berechnen
sich ab diesem Datum.
offizielle Quelle (EUR-Lex, Veröffentlichung) ↗
Die Verordnung tritt zwanzig Tage nach ihrer Veröffentlichung in Kraft (Standardregel
für europäische Rechtsakte). Der Text existiert also rechtlich seit diesem Datum - aber
die überwiegende Mehrheit der konkreten Pflichten für Unternehmen ist noch nicht fällig:
Sie kommen stufenweise, siehe den weiteren Zeitplan.
offizielle Quelle (Artikel 71 §1) ↗
Das Kapitel der Verordnung über die Stellen, die für die Bewertung der Konformität
von Produkten zuständig sind ("notifizierte Stellen"), gilt ab diesem Datum. Das ist ein
Organisationsschritt auf Seiten der Mitgliedstaaten: Es ist noch keine unmittelbare
Frist für Ihr Unternehmen.
offizielle Quelle (Artikel 71 §2, Kapitel IV) ↗
Das ist die erste Frist, die Sie wirklich betrifft. Ab diesem Datum muss jede aktiv
ausgenutzte Schwachstelle oder jeder schwerwiegende Vorfall, der eines Ihrer digitalen
Produkte betrifft, den Behörden innerhalb strenger Fristen gemeldet werden: eine erste
Frühwarnung innerhalb von 24 Stunden, eine detaillierte Meldung
innerhalb von 72 Stunden, dann ein Abschlussbericht (14 Tage nach der
Korrektur bei einer Schwachstelle, 1 Monat nach der Meldung bei einem Vorfall).
offizielle Quelle (Artikel 71 §2, Artikel 14) ↗
Die Mitgliedstaaten müssen sich "bemühen", ein Jahr vor der allgemeinen Anwendung
genügend notifizierte Stellen eingerichtet zu haben, um administrative Engpässe zu
vermeiden. Das ist keine verbindliche Pflicht für Unternehmen, sondern ein
Organisationsmeilenstein auf Seiten der Verwaltungen.
offizielle Quelle (Artikel 35 §2) ↗
Das ist DAS strukturprägende Datum. CE-Kennzeichnung, Einhaltung der grundlegenden
Cybersicherheitsanforderungen (technische Dokumentation, Management des
Schwachstellen-Lebenszyklus, Sicherheitsupdates...): Fast alle Pflichten des CRA werden
an diesem Datum für auf den Markt gebrachte Produkte durchsetzbar.
offizielle Quelle (Artikel 71 §2) ↗
Wenn Ihre Produkte bereits durch eine andere europäische Regelung abgedeckt sind
(zum Beispiel Funkanlagen oder Maschinen) und bereits über ein unter diesem Text
erlangtes Cybersicherheitszertifikat verfügen, bleibt dieses spätestens bis zu diesem
Datum gültig, sofern es nicht vorher abläuft.
offizielle Quelle (Artikel 69 §1) ↗
Über die drei Rollen (Hersteller, Einführer, Händler) hinaus steht hier, was der Text genau sagt: das Kriterium, das die Verordnung auslöst, was davon ausgenommen ist, und konkrete Produktbeispiele, um ohne Fachjargon zu wissen, ob Sie betroffen sind.
Das von der Verordnung herangezogene Kriterium ist keine Liste von Branchen, sondern ein
technisches Kriterium: die Konnektivität. Der Text gilt für jedes "Produkt mit
digitalen Elementen", dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung
eine direkte oder indirekte logische oder physische Verbindung zu einem Gerät oder
Netzwerk umfasst. Ein Objekt, das sich nie mit irgendetwas verbindet, bleibt außerhalb
des Anwendungsbereichs; eine Software, eine App, eine eingebettete Komponente, die mit einem
Netzwerk kommuniziert, fällt darunter, unabhängig von ihrer Größe oder Branche.
offizielle Quelle, Verordnung (EU) 2024/2847, Artikel 2 §1 ↗
Wer ein digitales Produkt entwickelt oder entwickeln lässt und es unter seinem Namen oder seiner Marke vermarktet. Der Text stellt ausdrücklich klar, dass der Herstellerstatus gilt, "sei es gegen Bezahlung, durch Monetarisierung oder unentgeltlich": Ein kostenloses Produkt anzubieten reicht nicht aus, um aus dem Anwendungsbereich herauszufallen.
Jede in der EU niedergelassene Person, die ein Produkt mit dem Namen oder der Marke einer außerhalb der Union niedergelassenen Person auf den europäischen Markt bringt. Ein KMU, das unter seinem Namen in Frankreich außerhalb der EU hergestellte vernetzte Hardware weiterverkauft, übernimmt diese Rolle mit den dazugehörigen Pflichten.
Jede Person in der Lieferkette, außer dem Hersteller oder dem Einführer, die ein Produkt auf dem EU-Markt bereitstellt, ohne dessen Eigenschaften zu verändern. Das ist die Standardrolle eines Wiederverkäufers oder Integrators, der das Produkt nicht verändert.
Bereits durch eigene Sicherheitsvorschriften abgedeckt (Verordnungen (EU) 2017/745 und 2017/746): Der CRA kommt nicht zusätzlich hinzu.
Abgedeckt durch die Typgenehmigungsverordnung (EU) 2019/2144, die die Cybersicherheit von Fahrzeugen bereits regelt.
Produkte, die nach der Verordnung (EU) 2018/1139 über die Zivilluftfahrt zertifiziert sind, bleiben unter diesem dedizierten sektoralen Rahmen.
Ausrüstungen, die unter die Richtlinie 2014/90/EU über Schiffsausrüstung fallen, haben ihre eigene Regelung und sind vom CRA ausgenommen.
Ein Ersatzteil, das nach denselben Spezifikationen wie die Originalkomponente hergestellt wird, die es ersetzt, ist kein neues Produkt im Sinne des CRA.
Produkte, die ausschließlich für die Verteidigung oder nationale Sicherheit entwickelt oder geändert wurden, oder die für die Verarbeitung von Verschlusssachen konzipiert sind, fallen aus dem Anwendungsbereich heraus.
Die Verordnung listet selbst Produktkategorien auf, die als "wichtig" (verstärkte Überwachung) oder "kritisch" (höchstes Anforderungsniveau) eingestuft werden. Dies sind nur veranschaulichende Beispiele unter allen erfassten vernetzten Produkten, aber sie geben einen sehr konkreten Eindruck von den vorrangig betroffenen Branchen.
vollständige Liste, offizielle Quelle, Anhänge III und IV der Verordnung ↗
Diese offizielle Definition ist diejenige, die die Verordnung überall dort verwendet, wo sie Kleinstunternehmen sowie kleine und mittlere Unternehmen erwähnt (vereinfachte Dokumentation, gezielte Ausnahmen bei den bereits oben erläuterten Bußgeldern). offizielle Quelle, Empfehlung 2003/361/EG, Artikel 2 des Anhangs ↗
In Europa hat jedes Land seine eigenen Behörden. Hier finden Sie für die 30 Länder des Europäischen Wirtschaftsraums die Datenschutzbehörde (Ihr Ansprechpartner für die DSGVO) und die nationale Cybersicherheitsbehörde. Jeder Name verlinkt zur offiziellen Website.
Quellen: offizielle Websites der Behörden und Mitgliederliste des EDSA (edpb.europa.eu), abgerufen am 18. Juli 2026. Bestätigte Datenschutzbehörden: 30/30. Bestätigte Cybersicherheitsbehörden: 28/30. Die Angaben „noch zu bestätigen” weisen auf eine bisher nicht stabilisierte offizielle Quelle hin.
Kontaktieren Sie uns, um ein auf Ihre Produkte und Ihre Situation zugeschnittenes Angebot zu erhalten.
Kostenlos: Ihr Score + Ihre Lücken. Der ausführliche Bericht und die Attestierung: 499 EUR netto, nur wenn Sie es entscheiden.
contact@syaga.eu