Cyber Resilience Act: Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über deren gesamten Lebenszyklus festlegt — von der Entwicklung über Sicherheitsupdates bis zur Meldung von Schwachstellen.
Der Anwendungsbereich umfasst Hardware und Software mit digitalen Elementen, die mit einem Netzwerk verbunden werden können — von IoT-Geräten über Betriebssysteme bis zu Standardsoftware. Ausgenommen sind Produktkategorien, die bereits durch eigene Regulierung abgedeckt sind, etwa bestimmte Medizinprodukte oder Fahrzeuge.
Hersteller müssen Security by Design von Beginn der Entwicklung an berücksichtigen, eine Software Bill of Materials (SBOM) bereitstellen und Sicherheitsupdates über einen definierten Zeitraum liefern. Die Konformität wird über die CE-Kennzeichnung nachgewiesen. Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab 2026, die vollständige Anwendung ab 2027.
| Pflicht | Inhalt |
|---|---|
| Security by Design | Sicherheit von Beginn an einplanen |
| SBOM | Softwarebestandteile dokumentieren |
| Meldepflicht | Ausgenutzte Schwachstellen melden |
Für Softwarehersteller bedeutet der CRA eine grundlegende Umstellung der Entwicklungsprozesse: Sicherheitslücken müssen aktiv gesucht, dokumentiert und innerhalb definierter Fristen behoben werden, statt erst auf externe Meldungen zu reagieren. Auch Open-Source-Komponenten, die in kommerzielle Produkte integriert werden, fallen grundsätzlich in den Anwendungsbereich, was insbesondere für kleinere Softwarehäuser mit begrenzten Ressourcen für Schwachstellenmanagement eine erhebliche Herausforderung darstellt. Übergangsfristen sollen betroffenen Unternehmen Zeit geben, bestehende Produkte und Entwicklungsprozesse schrittweise anzupassen, bevor die vollständigen Pflichten greifen.
Relevanz für die Zertifizierung
Anders als NIS2, das Betreiber adressiert, richtet sich der CRA an Hersteller vernetzter Produkte. Unternehmen, die IoT-Geräte oder Software entwickeln, sollten Sicherheitsanforderungen bereits jetzt in Entwicklungsprozesse integrieren — ein ISO 27001-ISMS bietet dafür einen strukturellen Rahmen, ersetzt die produktspezifischen CRA-Nachweise aber nicht. Wer schon heute strukturiertes Schwachstellenmanagement betreibt, verfügt über wesentliche Grundbausteine, die sich für die kommenden CRA-Pflichten weiterverwenden lassen. Auch eine erste grobe Bestandsaufnahme eingesetzter Software-Komponenten schafft bereits jetzt eine sinnvolle Ausgangsbasis für spätere CRA-Nachweise. Wer damit frühzeitig beginnt, vermeidet unter dem späteren Zeitdruck der endgültigen Fristen eine teure Nachrüstung bestehender Produkte. Auch die Zusammenarbeit mit Zulieferern von Softwarekomponenten sollte frühzeitig auf deren eigene CRA-Konformität geprüft werden.
Häufige Fragen zu Cyber Resilience Act
Der CRA richtet sich an Hersteller von Produkten mit digitalen Elementen, die mit einem Netzwerk verbunden werden können, von IoT-Geräten über Betriebssysteme bis zu Standardsoftware. Anders als NIS2, das Betreiber kritischer Infrastrukturen adressiert, betrifft der CRA gezielt die Entwicklung und den Vertrieb vernetzter Produkte.
Meldepflichten für aktiv ausgenutzte Schwachstellen gelten ab 2026, die vollständige Anwendung mit allen Herstellerpflichten ab 2027, Stand September 2026. Hersteller sollten Security-by-Design-Prinzipien und die Erstellung einer Software Bill of Materials bereits jetzt in ihre Entwicklungsprozesse integrieren, um die Fristen einzuhalten.
Nein. Ein ISO-27001-zertifiziertes ISMS bietet einen strukturellen Rahmen für Informationssicherheit im Unternehmen, ersetzt aber nicht die produktspezifischen Nachweise des CRA wie SBOM, Sicherheitsupdates über den Lebenszyklus oder die CE-Konformitätserklärung für das einzelne vernetzte Produkt. Hersteller vernetzter Produkte benötigen für die CRA-Konformität zusätzlich eigene, produktbezogene Nachweisdokumente.