Cyber Resilience Act (CRA)
Der Cyber Resilience Act ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen wie Software, IoT-Geräte oder vernetzte Hardware festlegt. Sie verpflichtet Hersteller, Importeure und Händler zu Security-by-Design, Schwachstellenmanagement und CE-Kennzeichnung, ist aber noch nicht vollständig anwendbar: In Kraft getreten ist sie am 10. Dezember 2024, gelten wird sie erst ab 11. Dezember 2027; vorgezogen anwendbar sind die Bestimmungen zur Notifizierung von Konformitätsbewertungsstellen seit 11. Juni 2026 und die Meldepflichten nach Artikel 14 ab 11. September 2026.
In der Praxis
Für Unternehmen, die vernetzte Software oder Hardware entwickeln oder vertreiben, greift ab 11. September 2026 die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle an die zuständige Behörde, mit einer Frühwarnung binnen 24 Stunden. Die vollständigen Konformitätspflichten inklusive CE-Kennzeichnung gelten ab 11. Dezember 2027. Wer vernetzte Geräte, eine App oder Software mit digitalen Elementen anbietet, sollte frühzeitig prüfen, ob eigene Produkte betroffen sind – reine Websites ohne "Produkt"-Charakter fallen in der Regel nicht darunter.