Cyber Resilience Act (EU) 2024/2847 — Herstellerpflichten ab 11. September 2026

Zwanzig Jahre lang war Produkt-Cybersicherheit in der EU nur bruchstueckhaft geregelt: teils ueber die Funkanlagenrichtlinie, teils ueber sektorale Vorschriften, groesstenteils gar nicht. Die Verordnung (EU) 2024/2847 — der Cyber Resilience Act — beendet diesen Zustand. Sie erfasst jedes Produkt mit digitalen Elementen, das auf dem Unionsmarkt bereitgestellt wird, vom Router bis zur als Produkt verkauften Softwarebibliothek, und verknuepft es mit der CE-Kennzeichnung.

Die naechste Frist liegt nicht weit entfernt. Am 11. September 2026 greifen die Meldepflichten: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfaelle sind binnen 24 Stunden zu melden. Das gilt auch fuer Produkte, die bereits auf dem Markt sind. Die volle Anwendung folgt am 11. Dezember 2027. Fuer Hersteller bedeutet das nicht nur neue technische Arbeit, sondern auch einen neuen Datenbestand, der den Nutzer erreichen und ueber Jahre richtig bleiben muss — dasselbe Problem, das der digitale Produktpass in anderen Compliance-Feldern loest.

Das Wichtigste in Kuerze

Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten. Sie gilt gestaffelt: Vorschriften zu notifizierten Stellen ab 11. Juni 2026, Meldepflichten ab 11. September 2026, volle Anwendung ab 11. Dezember 2027.
Der Anwendungsbereich ist horizontal: Produkte mit digitalen Elementen — Hardware und Software, deren Nutzung eine direkte oder indirekte Datenverbindung zu einem Geraet oder Netz umfasst. Ausgenommen sind Produkte unter eigenen Regimen: Medizinprodukte, Kraftfahrzeuge, Zivilluftfahrt, Schiffsausruestung sowie der Verteidigungsbereich.
Die meisten Produkte durchlaufen eine Selbstbewertung (Modul A). Wichtige Produkte nach Anhang III Klasse I brauchen eine notifizierte Stelle, wenn harmonisierte Normen nicht vollstaendig angewendet wurden; Klasse II und kritische Produkte nach Anhang IV erfordern immer eine notifizierte Stelle oder eine Zertifizierung.
Den Unterstuetzungszeitraum legt der Hersteller fest, er darf jedoch grundsaetzlich nicht kuerzer als fuenf Jahre sein — es sei denn, die erwartete Nutzungsdauer des Produkts ist kuerzer. Das Enddatum (Monat und Jahr) muss beim Kauf angegeben werden.
Eine SBOM — eine maschinenlesbare Software-Stueckliste, die mindestens die Abhaengigkeiten der obersten Ebene abdeckt — ist eine Anforderung aus Anhang I. Sie ist aktuell zu halten und den Marktueberwachungsbehoerden auf Anfrage vorzulegen.
Sicherheitsupdates sind kostenlos und muessen nach ihrer Bereitstellung mindestens zehn Jahre verfuegbar bleiben oder bis zum Ende des Unterstuetzungszeitraums, falls dieser laenger laeuft.
Die Konformitaet wird durch EU-Konformitaetserklaerung und CE-Kennzeichnung bestaetigt — dieselben Instrumente wie im uebrigen Produktrecht.
Der hoechste Sanktionsrahmen fuer Verstoesse gegen die grundlegenden Anforderungen sowie die Pflichten aus Art. 13 und 14 betraegt 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag hoeher ist.
Der CRA fuehrt keinen digitalen Produktpass ein. Er schafft aber einen Satz produkt- und versionsbezogener Informationen, die ueber Jahre erreichbar bleiben muessen — und das ist eine Frage des Datenmanagements.

Was der Cyber Resilience Act eigentlich ist

Der CRA ist ein horizontaler Rechtsakt: Er beschreibt keine Branche, sondern eine gemeinsame Eigenschaft von Produkten. Diese Eigenschaft ist das Vorhandensein eines digitalen Elements und die Faehigkeit zum Datenaustausch. Strukturell gehoert er zur Familie des Produktrechts, die man von der CE-Kennzeichnung kennt: grundlegende Anforderungen in einem Anhang, Konformitaetsbewertung, technische Dokumentation, Erklaerung und Kennzeichen.

Das Neue liegt woanders. Das bisherige Produktrecht bewertete die Ware im Moment des Inverkehrbringens — danach endete das Interesse des Regulierers praktisch. Diese Praemisse gibt der CRA auf. Die Pflicht zur Schwachstellenbehandlung, zur Bereitstellung von Updates und zur Meldung von Vorfaellen laeuft ueber den gesamten erklaerten Unterstuetzungszeitraum. Ein Produkt, das am Verkaufstag konform war, kann zwei Jahre spaeter nicht mehr konform sein, wenn der Hersteller bekannte Schwachstellen nicht mehr schliesst.

Bemerkenswert ist auch die Aufraeumarbeit im bestehenden Recht. Die Delegierte Verordnung (EU) 2022/30, die seit 2025 Cybersicherheitsanforderungen ueber die Funkanlagenrichtlinie umsetzte, wird zum Tag der vollen Anwendung des CRA aufgehoben — am 11. Dezember 2027. Die grundlegenden Anforderungen aus Anhang I decken alles ab, was die Funkanlagenvorschriften abdeckten, das Doppelregime entfaellt also.

Was ein „Produkt mit digitalen Elementen” ist

Die Definition ist weit, und das ist Absicht. Gemeint ist ein Hardware- oder Softwareprodukt, dessen bestimmungsgemaesse oder vernuenftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Geraet oder Netz einschliesst. Erfasst sind auch Fernverarbeitungsloesungen, soweit sie fuer die Funktion des Produkts erforderlich sind.

In der Praxis laesst sich leichter benennen, was ausserhalb des Anwendungsbereichs liegt, denn die Liste der Ausnahmen ist abschliessend und konkret:

Medizinprodukte und In-vitro-Diagnostika — Verordnungen (EU) 2017/745 und (EU) 2017/746.
Kraftfahrzeuge — Verordnung (EU) 2019/2144.
Zivilluftfahrt — Verordnung (EU) 2018/1139.
Schiffsausruestung — Richtlinie 2014/90/EU.
Produkte, die ausschliesslich fuer Zwecke der nationalen Sicherheit oder Verteidigung entwickelt wurden, sowie Produkte, die nicht im Rahmen einer Geschaeftstaetigkeit bereitgestellt werden.

Jenseits dieser Ausnahmen ist der Anwendungsbereich sehr breit. Als Produkt verkaufte Software ist genauso erfasst wie ein Geraet. Nichtkommerziell entwickelte freie und quelloffene Software ist es nicht — die Verordnung schafft in Art. 24 aber eine eigene, leichtere Rolle des Open-Source-Software-Verwalters fuer Einrichtungen, die die Entwicklung solcher Software fuer kommerzielle Zwecke dauerhaft unterstuetzen.

Drei Risikostufen, drei Bewertungswege

Die Verordnung staffelt ihre Strenge nach den Auswirkungen, die eine Sicherheitsverletzung beim jeweiligen Produkt haben kann.

Standardprodukte — die grosse Mehrheit des Marktes. Der Hersteller fuehrt eine interne Kontrolle durch (Modul A) und erstellt technische Dokumentation und Erklaerung selbst. Eine notifizierte Stelle ist nicht erforderlich.

Wichtige Produkte, Anhang III Klasse I — unter anderem Passwortmanager, Virenschutzsoftware, Systeme fuer Identitaets- und privilegiertes Zugriffsmanagement, VPN, Betriebssysteme, Router und Switches, Mikroprozessoren mit sicherheitsbezogenen Funktionen, smarte Sprachassistenten fuer zu Hause, mit dem Internet verbundenes Spielzeug und Wearables. Die Selbstbewertung bleibt moeglich, aber nur bei vollstaendiger Anwendung harmonisierter Normen oder gemeinsamer Spezifikationen. Ohne sie kommt eine notifizierte Stelle ins Spiel.

Wichtige Produkte, Anhang III Klasse II — etwa Firewalls, Systeme zur Angriffserkennung und -abwehr, Hypervisoren und manipulationssichere Mikroprozessoren. Hier sind eine notifizierte Stelle oder ein europaeisches Cybersicherheitszertifizierungsschema verpflichtend.

Kritische Produkte, Anhang IV — die strengste Stufe mit verpflichtender notifizierter Stelle oder Zertifizierung. Die technischen Beschreibungen der Kategorien praezisiert die Durchfuehrungsverordnung (EU) 2025/2392.

Die praktische Schlussfolgerung ist dieselbe wie bei jeder Regulierung mit notifizierten Stellen: fruehzeitig klassifizieren. Faellt ein Produkt in Klasse II oder Anhang IV, wird die Vorlaufzeit der notifizierten Stelle Teil der Markteinfuehrungsplanung und keine Formalie am Ende.

Herstellerpflichten — was konkret zu tun ist

Grundlegende Anforderungen, Teil eins: Produkteigenschaften

Anhang I Teil I beschreibt, wie das Produkt beschaffen sein muss. Die Kernpunkte: Inverkehrbringen ohne bekannte ausnutzbare Schwachstellen, Auslieferung mit sicherer Standardkonfiguration und der Moeglichkeit, den Werkszustand wiederherzustellen, Schutz von Vertraulichkeit, Integritaet und Verfuegbarkeit der Daten, Minimierung der Angriffsflaeche, Beschraenkung der Datenerhebung auf das Erforderliche sowie die Moeglichkeit, Sicherheitsupdates zu installieren — nach Moeglichkeit automatisch und mit klarer Benachrichtigung des Nutzers.

Grundlegende Anforderungen, Teil zwei: Schwachstellenbehandlung

Anhang I Teil II beschreibt einen Prozess, der ueber den gesamten Unterstuetzungszeitraum funktionieren muss:

Eine SBOM in maschinenlesbarem Format, die mindestens die Abhaengigkeiten der obersten Ebene abdeckt und aktuell gehalten wird. Eine Pflicht zur Veroeffentlichung gegenueber Nutzern besteht nicht, wohl aber zur Vorlage bei den Marktueberwachungsbehoerden auf Anfrage.
Beseitigung von Schwachstellen unverzueglich, auch durch Bereitstellung von Sicherheitsupdates.
Regelmaessige Sicherheitstests und -ueberpruefungen.
Oeffentliche Offenlegung von Informationen zu behobenen Schwachstellen, sobald ein Update verfuegbar ist.
Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen und eine zentrale Kontaktstelle fuer Meldungen.
Kostenlose Verteilung von Sicherheitsupdates ohne Verzoegerung.

Der Unterstuetzungszeitraum — ein neues Datenfeld mit Geschaeftsfolgen

Das ist die Pflicht, die am haeufigsten ueberrascht. Der Hersteller legt den Zeitraum selbst fest, in dem er Schwachstellen des Produkts wirksam behandelt, doch er darf nicht kuerzer als fuenf Jahre sein — es sei denn, die erwartete Nutzungsdauer des Produkts liegt darunter. Das Enddatum, auf Monat und Jahr genau, muss beim Kauf klar angegeben sein.

Darueber liegt ein zweiter Horizont. Ein einmal bereitgestelltes Sicherheitsupdate muss mindestens zehn Jahre ab seiner Bereitstellung verfuegbar bleiben oder bis zum Ende des Unterstuetzungszeitraums, falls dieser spaeter endet. Das ist eine Infrastrukturzusage: Jemand muss Dateien und Informationen ein Jahrzehnt lang erreichbar halten, ueber System- und Domainwechsel hinweg.

Meldung von Schwachstellen und Vorfaellen — Stichtag 11. September 2026

Artikel 14 bringt die Pflichten, die am fruehesten greifen und auch bereits vermarktete Produkte erfassen. Zu melden sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfaelle mit Auswirkungen auf die Produktsicherheit — an das CSIRT des Mitgliedstaats der Hauptniederlassung des Herstellers und an die ENISA, ueber eine zentrale Meldeplattform.

Stufe	Frist
Fruehwarnung	24 Stunden
Eigentliche Meldung	72 Stunden
Abschlussbericht — Schwachstelle	14 Tage nach Verfuegbarkeit einer Korrekturmassnahme
Abschlussbericht — schwerwiegender Vorfall	1 Monat

Die 24-Stunden-Fruehwarnung ist eine operative Frist, keine juristische Abstraktion. Bereitschaft, Eskalationspfad und Plattformzugang muessen vorher existieren. Kleinstunternehmen und kleine Unternehmen werden fuer die Versaeumung der 24-Stunden-Frist nicht mit Bussgeldern belegt, die Meldepflicht selbst gilt aber auch fuer sie.

Informationen fuer Nutzer — Anhang II

Anhang II listet die Informationen auf, die dem Produkt beiliegen muessen: Identifizierung von Typ, Charge oder Seriennummer, Herstellerangaben samt Anschrift und Kontaktstelle, eine zentrale Kontaktstelle fuer Schwachstellenmeldungen und ein Hinweis darauf, wo die Offenlegungsrichtlinie zu finden ist, der Verwendungszweck, Anweisungen fuer sichere Installation und sicheren Betrieb, Hinweise zum Bezug von Sicherheitsupdates sowie das Enddatum des Unterstuetzungszeitraums.

Zeitplan

Datum	Was geschieht
10. Dezember 2024	Inkrafttreten der Verordnung (EU) 2024/2847
11. Juni 2026	Anwendung der Vorschriften zu notifizierten Stellen (Kapitel IV)
11. September 2026	Anwendung der Meldepflichten (Art. 14) — auch fuer bereits vermarktete Produkte
11. Dezember 2027	Volle Anwendung: grundlegende Anforderungen, Konformitaetsbewertung, CE, Dokumentation
11. Juni 2028	Ablauf der in der Uebergangszeit ausgestellten EU-Baumusterpruefbescheinigungen

Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den vollen Anforderungen erst dann, wenn sie nach diesem Datum wesentlich veraendert werden. Die Meldepflichten erfassen sie jedoch unabhaengig davon.

Es lohnt sich, diese Daten neben die Maschinenverordnung (EU) 2023/1230 zu legen, die ab dem 20. Januar 2027 gilt. Eine Maschine mit digitalen Elementen faellt binnen knapp elf Monaten in beide Regime: Die Maschinenverordnung behandelt Cybersicherheit als Anforderung der funktionalen Sicherheit, der CRA legt horizontale Pflichten auf Software, Steuerungen und Konnektivitaet. Das sind zwei einander ergaenzende Regime, keine Alternativen.

Was das fuer Produktdaten bedeutet

Sagen wir es deutlich, denn das wird oft verwechselt: Der Cyber Resilience Act fuehrt keinen digitalen Produktpass ein. Es gibt darin keine Passpflicht, keinen Datentraeger und kein Register. Die Passpflicht folgt aus der ESPR und aus sektoralen Rechtsakten, die sie ausdruecklich anordnen.

Der Satz an Informationspflichten, den der CRA schafft, ist aber in einem Mass ein Datenmanagement-Problem, das sich kaum uebersehen laesst:

Identitaet auf Versionsebene. Die SBOM aendert sich mit jedem Software-Release. Eine Stueckliste, die nicht sagt, welche Version sie beschreibt, taugt als Nachweis nichts. Das ist dasselbe Prinzip des Versionierens statt Ueberschreibens, auf dem der Pass beruht.
Das Support-Enddatum als Feld, nicht als Satz im Beipackzettel. Es muss beim Kauf genannt werden, ueber alle Vertriebskanaele konsistent sein und Jahre spaeter noch pruefbar sein. Eine Abweichung zwischen der Produktseite im eigenen Shop und der beim Haendler ist damit nicht mehr kosmetisch.
Ein aufloesbarer Datentraeger. Kontaktstelle fuer Schwachstellen, Offenlegungsrichtlinie und Update-Informationen muessen ueber den gesamten Unterstuetzungszeitraum erreichbar sein. Ein Code, der auf den aktuellen Datensatz aufloest, leistet das besser als eine vor sechs Jahren ins Handbuch gedruckte Adresse. Die Varianten behandeln wir im Artikel zu QR-Code und GS1 Digital Link.
Mehrsprachigkeit. Die Informationen nach Anhang II muessen fuer Nutzer in den Laendern verstaendlich sein, in denen das Produkt bereitgestellt wird. Bei digitaler Dokumentation ist das kein Uebersetzungsprojekt, sondern ein Feld mit Sprachversionen.
Kontinuitaet ueber ein Jahrzehnt. Zehn Jahre Verfuegbarkeit von Updates und Informationen sind eine Servicezusage, die Migrationen, Rebrandings und Anbieterwechsel ueberdauert.

Fuer Elektronik kommt ein weiteres praktisches Argument hinzu. Dieselbe Produktkategorie steht gleichzeitig im Blickfeld der ESPR, der RoHS-Richtlinie und der Vorschriften zu Elektroaltgeraeten. Ein Unternehmen, das Stoffdaten getrennt, Reparierbarkeitsdaten getrennt und Softwaresupport-Daten wieder getrennt fuehrt, unterhaelt drei Register ueber dasselbe Produkt. Produktdaten einmal sauber zu ordnen bedient alle diese Richtungen — ein Ausgangspunkt ist unsere vollstaendige Liste der DPP-Datenanforderungen.

Ein ehrlicher Hinweis zu den Grenzen der Anbieterrolle: myDPP fuehrt keine Sicherheitstests durch, erzeugt und prueft keine SBOM, betreibt keinen Schwachstellenbehandlungsprozess, bewertet keine CRA-Konformitaet, ist keine notifizierte Stelle und reicht keine Meldungen nach Art. 14 ein. myDPP speichert, versioniert und veroeffentlicht gepruefte Produktdaten und haelt den Datentraeger bereit, der sie oeffnet. Die Verantwortung fuer die Konformitaet bleibt beim Hersteller.

Vorbereitung — fuenf Schritte

Klassifizieren Sie das Portfolio. Klaeren Sie, welche Produkte Produkte mit digitalen Elementen sind und welche davon in Anhang III Klasse I oder II beziehungsweise Anhang IV fallen. Davon haengt ab, ob eine notifizierte Stelle noetig ist — und wie lange die Bewertung dauert.
Bringen Sie die Meldefaehigkeit vor dem 11. September 2026 zum Laufen. Benennen Sie Verantwortliche, schreiben Sie den Eskalationspfad fuer die 24-Stunden-Fruehwarnung auf, registrieren Sie den Plattformzugang und ueben Sie es an einem Testfall. Diese Frist wartet nicht auf den Rest des Projekts.
Legen Sie Unterstuetzungszeitraeume fest und erfassen Sie sie als Daten. Bestimmen Sie je Produktfamilie ein Support-Enddatum, begruenden Sie es anhand der erwarteten Nutzungsdauer und hinterlegen Sie es in dem System, das Shop, Haendler und Dokumentation speist — nicht nur in einer Produktpraesentation.
Verankern Sie die SBOM-Erzeugung im Freigabeprozess. Eine vierteljaehrlich von Hand gepflegte Stueckliste laeuft beim ersten Patch-Release aus dem Takt. Die SBOM an Version und Exemplar zu binden ist Arbeit auf der Datenseite, nicht auf der Rechtsseite.
Ordnen Sie die Informationen nach Anhang II. Kontaktstelle, Offenlegungsrichtlinie, Anweisungen zur sicheren Konfiguration und das Support-Enddatum muessen ueber alle Sprachen und Kanaele konsistent und ueber Jahre erreichbar sein.

Das breitere Datenprogramm behandelt unsere Checkliste zur DPP-Implementierung.

Haeufig gestellte Fragen (FAQ)

Gilt der CRA fuer Produkte, die ich vor 2027 verkauft habe?

Teilweise. Die vollen Anforderungen — grundlegende Anforderungen, Konformitaetsbewertung, CE — erreichen ein vor dem 11. Dezember 2027 in Verkehr gebrachtes Produkt erst dann, wenn es nach diesem Datum wesentlich veraendert wird. Die Meldepflichten nach Art. 14 erfassen bereits vermarktete Produkte hingegen ab dem 11. September 2026, unabhaengig vom Verkaufsdatum.

Muss ich die SBOM fuer meine Kunden veroeffentlichen?

Nein. Anhang I verlangt, eine maschinenlesbare Stueckliste mit mindestens den Abhaengigkeiten der obersten Ebene zu erstellen, aktuell zu halten und den Marktueberwachungsbehoerden auf Anfrage vorzulegen. Die Veroeffentlichung der SBOM gegenueber Nutzern ist eine geschaeftliche Entscheidung, keine Rechtspflicht.

Darf ich einen Unterstuetzungszeitraum von weniger als fuenf Jahren festlegen?

Nur, wenn die erwartete Nutzungsdauer des Produkts kuerzer als fuenf Jahre ist, und das muss begruendbar sein. Sonst sind fuenf Jahre die Untergrenze; wird das Produkt tatsaechlich laenger genutzt, sollte der Unterstuetzungszeitraum der realen Nutzungsdauer entsprechen.

Fuehrt der Cyber Resilience Act einen digitalen Produktpass ein?

Nein. Der CRA enthaelt weder eine Passpflicht noch die Vorgabe eines Datentraegers. Er begruendet aber produkt- und versionsbezogene Informationspflichten, die ueber den Unterstuetzungszeitraum und ein Jahrzehnt nach Bereitstellung eines Updates verfuegbar bleiben muessen. Die Datenanforderungen decken sich mit denen des Passes, eine Aufraeumarbeit bedient also beide Richtungen.

Weiterlesen

Quellen

Verordnung (EU) 2024/2847 — Cyber Resilience Act — EUR-Lex
Cyber Resilience Act — Zusammenfassung des Rechtstextes — Europaeische Kommission
Verordnung (EU) 2023/1230 — Maschinen — EUR-Lex
Verordnung (EU) 2024/1781 (ESPR) — EUR-Lex
Delegierte Verordnung (EU) 2022/30 — Cybersicherheit nach der Funkanlagenrichtlinie — EUR-Lex