Cyber Resilience Act (CRA)
EU-Kommission & ENISA
Übersicht der Europäischen Kommission
Die Europäische Kommission bündelt Informationen zur Umsetzung des Cyber Resilience Act (CRA), der Cybersicherheitsanforderungen für Hard- und Software über deren gesamten Lebenszyklus festlegt. Die Seite stellt Informationen für Hersteller, Mitgliedstaaten, kleine und mittlere Unternehmen sowie die Open-Source-Community bereit und behandelt Standardisierung, Meldepflichten und Konformitätsbewertung. Ergänzend stehen eine Zusammenfassung der rechtlichen Vorgaben, FAQ zur Umsetzung und Leitlinien der Kommission zur Verfügung. Ein Zeitplan informiert über zentrale Umsetzungsschritte, darunter den Beginn der Meldepflichten am 11. September 2026 und die vollständige Anwendung des CRA ab dem 11. Dezember 2027.
Zur Website
Zusammenfassung des CRA durch die Kommission
Die Zusammenfassung der Europäischen Kommission erläutert die zentralen Bestimmungen der Verordnung (EU) 2024/2847, des Cyber Resilience Act (CRA), in zugänglicher Form. Der CRA schafft einen horizontalen EU-Rechtsrahmen für Hardware- und Softwareprodukte mit digitalen Elementen, einschließlich separat in Verkehr gebrachter Komponenten, und soll die Cybersicherheit von Produkten sowie den Binnenmarkt stärken. Zugleich sollen Nutzerinnen und Nutzer durch geeignete Informationen in die Lage versetzt werden, Cybersicherheitsaspekte bei Kauf und Nutzung solcher Produkte zu berücksichtigen. Die Darstellung dient als Überblick und ersetzt nicht den verbindlichen Verordnungstext.
Guidance der Kommission zum CRA
Die Europäische Kommission hat am 27. Juli 2026 praktische Leitlinien zur Umsetzung des Cyber Resilience Act veröffentlicht, die Hersteller, Entwickler und Unternehmen bei der Erfüllung ihrer Pflichten unterstützen sollen. Behandelt werden insbesondere die Abgrenzung des Anwendungsbereichs, unter anderem bei Ferndatenverarbeitungslösungen sowie freier und quelloffener Software, die Einordnung wesentlicher Änderungen und die Bestimmung von Unterstützungszeiträumen. Weitere Schwerpunkte sind die Meldepflichten und die Anforderungen an Risikobewertungen. Für Kleinstunternehmen und KMU enthalten die Leitlinien 67 praktische Beispiele sowie Anwendungsfälle, Flussdiagramme und Grafiken zur Unterstützung der Umsetzung.
ENISA zur Single Reporting Platform
Die Single Reporting Platform (SRP) von ENISA dient im Rahmen des Cyber Resilience Act als technische Plattform für Meldungen zu aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen bei Produkten mit digitalen Elementen. Ab dem 11. September 2026 wird sie von Herstellern und CSIRTs für verpflichtende Meldungen genutzt und steht natürlichen sowie juristischen Personen auch für freiwillige Meldungen zur Verfügung. ENISA stellt zur Vorbereitung unter anderem ein Factsheet, FAQ sowie Anleitungen zur Registrierung und zur Einreichung beziehungsweise Aktualisierung von Meldungen bereit. Die Nutzungshinweise richten sich insbesondere an beauftragte Vertreter von Herstellern sowie an Open-Source Software Stewards und werden regelmäßig aktualisiert.
ETSI-Entwürfe für harmonisierte CRA-Standards
Die ETSI-Arbeitsgruppe CYBER-EUSR entwickelt harmonisierte europäische Standards zur Unterstützung der Umsetzung des Cyber Resilience Act. Die aktuellen Entwürfe umfassen produktspezifische Cybersicherheitsanforderungen unter anderem für Browser, Passwortmanager, Antivirensoftware, VPNs, Betriebssysteme, Netzwerkkomponenten, Firewalls, Virtualisierungslösungen sowie verschiedene Smart-Home-Produkte und Wearables. Die Standards sollen Herstellern künftig ermöglichen, die Konformität ihrer Produkte mit den wesentlichen Anforderungen des CRA nachzuweisen. Die derzeit verfügbaren ETSI-Entwürfe können zentral über das ETSI DocBox-Verzeichnis abgerufen werden.
Bundesamt für Sicherheit in der Informationstechnik (BSI)
Übersicht des BSI
Das BSI erläutert, welche Produkte unter den Cyber Resilience Act fallen und welche Pflichten Hersteller bei Entwicklung, Konformitätsbewertung, Schwachstellenmanagement und Sicherheitsupdates erfüllen müssen. Zu den zentralen Anforderungen gehören unter anderem Secure by Design, Secure by Default, eine Risikobewertung, die Erstellung einer Software Bill of Materials sowie die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle über die zentrale ENISA-Meldeplattform. Die Seite beschreibt außerdem die Einteilung in Standardprodukte sowie wichtige und kritische Produkte und weist auf Unterstützungsangebote für KMU, Kleinstunternehmen und Start-ups hin. Zur praktischen Umsetzung stellt das BSI eine Technische Richtlinie, ein Management Blitzlicht, mehrere thematische CRA-Flyer und ein Standardisation Dashboard bereit. Zudem wird erläutert, wie harmonisierte Normen die Anforderungen des CRA konkretisieren und Hersteller bei der Konformität unterstützen sollen.
BSI TR-03183 Cyber-Resilienz-Anforderungen
Die Technische Richtlinie BSI TR-03183 unterstützt Hersteller bei der Vorbereitung auf die Anforderungen des Cyber Resilience Act und richtet sich insbesondere an Unternehmen ohne bereits ausgereifte IT-Sicherheitsprozesse für Entwicklung und Schwachstellenbehandlung. Sie behandelt allgemeine Cyber-Resilienz-Anforderungen, Vorgaben für Software Bill of Materials, den Umgang mit Schwachstellenmeldungen sowie die Konformitätsbewertung nach Modul H. Die Richtlinie ist unverbindlich, begründet keine Konformitätsvermutung und soll durch die entsprechenden harmonisierten europäischen Standards ersetzt werden, sobald diese verfügbar sind. Für Modul H beschreibt das BSI einen Ansatz, bei dem die umfassende Qualitätssicherung über ein ISO/IEC 27001-konformes Informationssicherheits-Managementsystem umgesetzt und für die Produktentwicklung sowie Schwachstellenbehandlung genutzt werden kann. Ergänzend stellt das BSI unter anderem risikobasierte Sicherheitsmaßnahmen im maschinenlesbaren OSCAL-Format sowie einen eigenen CycloneDX-Namensraum zur Unterstützung bei der Erstellung von SBOM bereit.
Notifizierung
Das BSI erläutert das Verfahren zur Notifizierung von Konformitätsbewertungsstellen unter dem Cyber Resilience Act. Als zuständige notifizierende Behörde in Deutschland prüft es, ob Konformitätsbewertungsstellen die Anforderungen des CRA erfüllen. Voraussetzung ist in der Regel eine Akkreditierung durch die Deutsche Akkreditierungsstelle sowie die Erfüllung der Anforderungen aus Artikel 39 CRA. Vor der Akkreditierung ist ein Informationsgespräch mit dem BSI verpflichtend, in dem insbesondere der Geltungsbereich abgestimmt wird. Konformitätsbewertungsstellen können für die Baumusterprüfung oder die umfassende Qualitätssicherung tätig werden. Für letztere hat das BSI ein eigenes Konformitätsbewertungsprogramm auf Basis der DIN EN ISO/IEC 17021-1 und der TR-03183-H entwickelt. Zudem könnten EUCC-Zertifikate künftig eine Konformitätsvermutung unter dem CRA ermöglichen, sofern die Europäische Kommission einen entsprechenden delegierten Rechtsakt erlässt. Das CRA-Durchführungsgesetz als nationale Rechtsgrundlage befindet sich derzeit noch im Gesetzgebungsprozess.
