Cyber Resilience Act: Pflichten und Fristen
Aktualisiert am 1. November 2026. Eine Zusammenfassung, keine Rechtsberatung. Prüfen Sie für Ihren Fall immer den amtlichen Text.
Read in English · Leggi in italiano
Nach der Cyberresilienz-Verordnung muss jedes Produkt mit digitalen Elementen, das in der EU verkauft wird, von Grund auf sicher sein. Seit dem 11. September 2026 muss der Hersteller aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden melden, auch bei bereits verkauften Produkten. Für Produkte, die ab dem 11. Dezember 2027 in den Verkehr gebracht werden, kommen eine Software-Stückliste (SBOM), die Behandlung von Schwachstellen und kostenlose Sicherheitsaktualisierungen für den gesamten Unterstützungszeitraum hinzu.
Alle, die Produkte mit digitalen Elementen auf den EU-Markt bringen
Hersteller, Einführer (Importeure) und Händler von Hardware und Software, die mit einem Gerät oder einem Netz verbunden werden. Die meisten Pflichten trägt der Hersteller.
Meldung einer aktiv ausgenutzten Schwachstelle in drei Schritten
Dieselben Fristen gelten für einen schwerwiegenden Sicherheitsvorfall, mit dem Abschlussbericht innerhalb eines Monats nach der Meldung. Die Meldungen gehen über die einheitliche Meldeplattform an das nationale CSIRT und an die ENISA.
- Frühwarnung innerhalb von 24 StundenAb dem Zeitpunkt, an dem Sie davon Kenntnis erlangen.
- Meldung innerhalb von 72 StundenDas Produkt, die Art der Ausnutzung und die Maßnahmen, die Nutzer ergreifen können.
- Abschlussbericht innerhalb von 14 TagenNachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht.
Nachdem der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt, erlangt hat, informiert er die betroffenen Nutzer des Produkts mit digitalen Elementen und gegebenenfalls alle Nutzer
gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden
Grundlegende Anforderungen für jedes neue Produkt
- Keine bekannten ausnutzbaren Schwachstellen, wenn das Produkt auf dem Markt bereitgestellt wird Anhang I Teil I Nummer 2 Buchstabe a
- Eine SBOM in einem gängigen maschinenlesbaren Format, mindestens mit den obersten Abhängigkeiten Anhang I Teil II Nummer 1
- Behandlung von Schwachstellen über den gesamten Unterstützungszeitraum, mindestens fünf Jahre Artikel 13 Absatz 8
- Sicherheitsaktualisierungen unverzüglich und kostenlos, sofern für ein maßgeschneidertes Produkt nichts anderes vereinbart ist Anhang I Teil II Nummer 8
- Eine Strategie für die koordinierte Offenlegung von Schwachstellen Anhang I Teil II Nummer 5
- Aufbewahrung von technischer Dokumentation und EU-Konformitätserklärung: mindestens zehn Jahre oder der Unterstützungszeitraum, falls länger Artikel 13 Absatz 13
Erste Schritte
- Ihre Produkte und die jeweils enthaltene Software auflisten
- Festlegen, wer Hinweise auf Schwachstellen entgegennimmt und wer binnen 24 Stunden meldet
- Mit der SBOM für ein erstes Produkt beginnen
- Einen Weg einrichten, die Nutzer jedes ausgelieferten Produkts zu erreichen
Sie unterschreiben die Konformitätserklärung. Wir bereiten die Nachweise vor: welches ausgelieferte Produkt betroffen ist, was Sie dem Kunden mitteilen und was Sie getan haben.
Was sich ändert, mit Datum und Quelle
Rund um den CRA ändert sich laufend etwas: Leitlinien, Normen, nationale Behörden, die Meldeplattform. Wir veröffentlichen einen kurzen Beitrag, wenn sich ändert, was Maschinenbauer tun müssen, mit Link zum amtlichen Text.
Welche Produkte dabei helfen
Shield Lifecycle
SBOM, Behandlung von Schwachstellen und VEX für jedes ausgelieferte Produkt, Meldungen nach Artikel 14, Sicherheitshinweise an Kunden und Dokumentation.
Artikel 13, Artikel 14, Anhang I
Mehr zu Shield Lifecycle Hilft bei einem TeilEdge Shield
Verkleinert die Angriffsfläche des Produkts.
Anhang I Teil I Nummer 2 Buchstabe j
Mehr zu Edge Shield ENFragen zum CRA
Gilt der CRA auch für Produkte, die ich vor Dezember 2027 verkauft habe?
Die Meldepflicht nach Artikel 14 gilt für sie seit dem 11. September 2026. Die übrigen Anforderungen gelten für diese Produkte nur, wenn sie ab dem 11. Dezember 2027 wesentlich geändert werden (Artikel 69). Was das für Bestandsmaschinen heißt: Frage 2.2 unserer FAQ.
Ist eine Maschine ein Produkt mit digitalen Elementen?
Eine Maschine mit SPS, HMI oder einem Gateway für den Fernzugriff enthält Software und wird mit einem Gerät oder einem Netz verbunden. Damit ist sie ein Produkt mit digitalen Elementen, und ihr Hersteller hat die Pflichten des CRA. Für dieselbe Maschine gilt auch die Maschinenverordnung.
Wer erhält die 24-Stunden-Meldung?
Das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung und gleichzeitig die ENISA, über die einheitliche Meldeplattform (Artikel 14). Liegt Ihre Hauptniederlassung in Deutschland, ist das CERT-Bund im BSI zuständig (BSI, Frage 5.6).
Wie lang ist der Unterstützungszeitraum?
Mindestens fünf Jahre, es sei denn, das Produkt ist voraussichtlich kürzer in Betrieb. Der Zeitraum muss die voraussichtliche Nutzungsdauer des Produkts widerspiegeln (Artikel 13 Absatz 8). Für Industriemaschinen: Frage 4.5.
Kann ein kleines Unternehmen für eine verspätete Meldung eine Geldbuße erhalten?
Nicht für eine verspätete 24-Stunden-Frühwarnung. Für Hersteller, die Kleinstunternehmen oder kleine Unternehmen sind, entfällt diese Geldbuße: Artikel 64 Absatz 10 erfasst in der Fassung der Berichtigung vom 2. Juli 2025 auch Absatz 2, in dem die Geldbußen für Verstöße gegen Artikel 14 stehen. Für die 72-Stunden-Meldung und den Abschlussbericht sind Geldbußen weiterhin möglich.
Alle 96 Antworten der CRA-FAQ für Maschinenbauer und Importeure
Wie gut sind Sie auf den 20. Januar 2027 vorbereitet?
Sieben Fragen dazu, wie Sie heute arbeiten. Drei Minuten. Sie erhalten eine Bewertung von 0 bis 10 und sehen, was Ihnen noch fehlt.