CRA-Compliance (Cyber Resilience Act)

Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union zum ersten Mal einen verbindlichen, horizontalen Rechtsrahmen für die Cybersicherheit von Produkten mit digitalen Elementen. Was die DSGVO für den Datenschutz war, wird der CRA für die Produktsicherheit: ein Gesetz mit weitreichenden Pflichten, empfindlichen Strafen — und einem konkreten Zeitplan.

Ein wichtiger Hinweis vorweg: IT-Wachdienst bietet keine Beratung im juristischen Sinn an. Wir unterstützen Sie bei der technischen Umsetzung der Anforderungen. Die Interpretation der hier zitierten Rechtstexte ist naheliegend, erhebt aber keinen Anspruch auf Vollständigkeit oder Korrektheit.

Wie wir arbeiten — und wo unsere Partner übernehmen

Wie bei NIS2 und beim EU AI Act trennen wir sauber zwischen zwei Aufgaben, die selten dieselben Fachleute abdecken.

Konformität und Nachweisführung — Einstufung Ihrer Produkte, Wahl des Konformitätsbewertungsverfahrens, technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung: Das ist regulatorische Arbeit, und dafür arbeiten wir mit spezialisierten Partnern aus unserem Netzwerk zusammen.

Technische Substanz — Ist das Produkt tatsächlich sicher? Wo sind die ausnutzbaren Schwachstellen? Funktioniert das Schwachstellen-Management im Alltag oder nur auf dem Papier? Denkt die Entwicklung Sicherheit von Anfang an mit? Das ist unsere Seite, seit über 25 Jahren.

Eine Konformitätserklärung ist nur so belastbar wie die Prüfungen, auf die sie sich stützt.

Die Fristen

Warum CRA-Maßnahmen jetzt notwendig sind

Die Meldepflichten greifen als erstes — und sie treffen auch Produkte, die längst auf dem Markt sind. Wer eine aktiv ausgenutzte Schwachstelle im eigenen Produkt entdeckt, hat ab September 2026 eine Frühwarnung binnen 24 Stunden, eine detaillierte Meldung binnen 72 Stunden und einen Abschlussbericht binnen 14 Tagen abzugeben.

Das setzt voraus, dass Sie Schwachstellen in Ihren Produkten überhaupt bemerken. Ein Meldeprozess ohne vorgelagerte Erkennung meldet nichts.

Dazu kommt: Security-by-Design lässt sich nicht kurz vor Fristablauf nachrüsten — sichere Produkte müssen von Anfang an sicher entwickelt werden. Und Schwachstellen-Management, technische Dokumentation und ein Software Bill of Materials (SBOM) sind Prozesse, die Zeit zum Aufbau brauchen.

Wer Produkte mit digitalen Elementen herstellt, importiert oder vertreibt, sollte deshalb jetzt mit der Vorbereitung beginnen.

Was der CRA von Unternehmen verlangt

Der CRA stellt eine Reihe grundlegender Anforderungen, die für die gesamte Lebensdauer eines Produkts gelten:

• Security by Design & by Default — Sicherheit muss von der Konzeption an mitgedacht und in den Standardeinstellungen aktiv sein.
• Schwachstellen-Management — Hersteller müssen Schwachstellen über den gesamten Lebenszyklus identifizieren, dokumentieren und durch Sicherheitsupdates beheben.
• Software Bill of Materials (SBOM) — Eine nachvollziehbare Auflistung aller verwendeten Komponenten und Abhängigkeiten.
• Meldepflichten — Aktiv ausgenutzte Schwachstellen und schwere Vorfälle müssen an ENISA bzw. das zuständige CSIRT gemeldet werden — eine Frühwarnung binnen 24 Stunden, eine detaillierte Meldung binnen 72 Stunden, ein Abschlussbericht binnen 14 Tagen.
• Konformitätsbewertung & CE-Kennzeichnung — Die Einhaltung der Anforderungen ist nachzuweisen und zu dokumentieren.

Für wen ist das relevant?

Betroffen ist nicht nur die klassische Hardware-Industrie. In den Anwendungsbereich fallen unter anderem:

• Hersteller von vernetzten Geräten und IoT-Produkten
• Anbieter von Software-Produkten, Apps und SaaS-Komponenten
• Entwickler von Bibliotheken, Frameworks und Komponenten, die in andere Produkte einfließen
• Importeure und Händler, die Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen

Wie der IT-Wachdienst Sie unterstützt

Der CRA fordert auf vielen Ebenen technische Maßnahmen — und genau hier ist der IT-Wachdienst Ihr vielseitiger Partner. Wir begleiten Sie entlang des gesamten Produktlebenszyklus:

• Bedrohungsanalyse & Threat-Modeling-Training — Security by Design beginnt im Kopf Ihrer Entwickler. Wir schulen Ihr Team darin, Risiken früh zu erkennen.
• Schwachstellen-Scan — Kontinuierliche, automatisierte Überprüfung Ihrer Systeme als Fundament eines belastbaren Schwachstellen-Managements.
• Penetrationstest — Manuelle, tiefgehende Sicherheitsprüfung Ihrer Produkte und Anwendungen mit detailliertem Bericht.
• Angriffsoberflächen-Analyse — Wir zeigen auf, wie ein Angreifer Ihre Produkte und Infrastruktur sieht.
• Vorab-Prüfung — Bereiten Sie sich gezielt auf Konformitätsbewertungen und externe Audits vor.
• Sicherheitsberatung — Strategische Begleitung beim Aufbau Ihrer Security-Prozesse.

So schaffen Sie die technische Grundlage, die der CRA voraussetzt — und verwandeln eine regulatorische Pflicht in einen echten Wettbewerbsvorteil: nachweisbar sichere Produkte, denen Ihre Kunden vertrauen.

Besonders für mittelständische Hersteller

Der CRA unterscheidet nicht nach Unternehmensgröße. Ein Betrieb mit achtzig Mitarbeitenden, der eine vernetzte Maschine oder eine Branchensoftware ausliefert, trägt dieselben Pflichten wie ein Konzern — nur ohne dessen Rechtsabteilung.

In der Praxis heißt das: Sie brauchen keinen Apparat, sondern ein paar Dinge, die verlässlich funktionieren. Eine laufende Prüfung, die Schwachstellen in Ihren Produkten findet, bevor jemand anderer sie findet. Entwickler, die Bedrohungen einschätzen können. Und Berichte, die Sie einem Auditor vorlegen können, ohne sie vorher aufbereiten zu müssen. Genau darauf sind unsere Leistungen zugeschnitten — mehr dazu auf unserer Übersicht zur IT-Sicherheit für kleine und mittlere Unternehmen.

Verwandte Regulierungsthemen

• NIS2 / NISG 2026 — für Betreiber in kritischen Sektoren, ab 1. Oktober 2026. Wer sowohl Produkte herstellt als auch selbst in einem betroffenen Sektor tätig ist, ist von beidem erfasst.
• EU AI Act & ISO 42001 — sobald Ihr Produkt KI-Komponenten enthält, kommen die Pflichten der KI-Verordnung hinzu. Für in Produkte eingebettete Hochrisiko-KI gilt seit dem Digital Omnibus der 2. August 2028.

Worauf warten Sie?

Die Fristen rücken näher. Lassen Sie uns gemeinsam klären, wo Ihr Unternehmen steht und welche Maßnahmen für Ihre CRA-Konformität sinnvoll sind.

Vereinbaren Sie jetzt ein unverbindliches Erstgespräch!