Cyber Resilience Act (CRA)
Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die Hersteller, Importeure und Händler verpflichtet, Produkte mit digitalen Elementen über ihren Lebenszyklus hinweg sicher zu entwickeln und zu pflegen.
Ausführliche Erklärung
Der CRA ist die Verordnung (EU) 2024/2847. Sie ist am 10. Dezember 2024 in Kraft getreten und gilt grundsätzlich ab dem 11. Dezember 2027. Sie betrifft Produkte mit digitalen Elementen, also Hardware mit Software ebenso wie reine Software, sofern sie in der EU in Verkehr gebracht werden. Reine Online-Dienste (SaaS) sind ausgenommen, sofern sie nicht Teil eines Produkts sind.
Pflichten für Hersteller
- Produkte von Anfang an sicher auslegen: Risikobewertung und sichere Voreinstellungen
- Schwachstellen behandeln und Sicherheitsupdates über den Supportzeitraum bereitstellen
- Eine Software-Stückliste (SBOM) führen
- Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden
- Konformitätsbewertung und CE-Kennzeichnung
Fristen
Die Meldepflichten für Hersteller nach Art. 14 gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027. Wer Software oder vernetzte Produkte herstellt oder in Auftrag gibt, sollte prüfen, ob er als Hersteller gilt.
Dies ist eine allgemeine Einordnung und keine Rechtsberatung.
Softwareentwicklung
Ihr Vorhaben technisch einordnen
Im kostenlosen Erstgespräch von 30 Minuten schildern Sie Ihr Vorhaben. Wir sagen, welche Technik passt und wie wir Umsetzung und Betrieb angehen.