← Zurück

KNOWLEDGE HUB

Der EU Cyber Resilience Act (CRA)

Das erste EU-weite horizontale Gesetz, das Security-by-Design für Produkte mit digitalen Elementen vorschreibt — mit einer wichtigen Frist direkt vor der Tür: 11. September 2026.

Was es ist

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist die erste horizontale EU-Verordnung, die verbindliche Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt — praktisch jede Hard- oder Software, die sich mit einem Netzwerk verbindet, von einer industriellen SPS bis zu einer kommerziell vertriebenen Open-Source-Bibliothek.

Er trat am 10. Dezember 2024 in Kraft. Wo das Produkt hergestellt wird, spielt keine Rolle — entscheidend ist das Inverkehrbringen auf dem EU-Markt, unabhängig vom Sitz des Herstellers.

Warum es wichtig ist (und warum jetzt)

Anders als 62443 (freiwillig) oder CIP (branchenspezifisch) ist der CRA unmittelbar geltendes Recht in allen 27 EU-Mitgliedstaaten, mit echten Bußgeldern. Und es gibt ein Datum, das sich jeder merken sollte, der Industrieprodukte für die EU herstellt oder integriert: den 11. September 2026, ab dem die Pflicht gilt, aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle an ENISA und das zuständige nationale CSIRT zu melden — mit 24 Stunden für die Frühwarnung, 72 Stunden für den Triage-Bericht und 14 Tagen für den Abschlussbericht.

Für die OT/ICS-Welt ist das unmittelbar relevant: eine SPS, ein HMI oder ein Industrie-Switch, der in der EU verkauft wird, ist zweifelsfrei ein Produkt mit digitalen Elementen.

Wie er aufgebaut ist

• Pflichten über den gesamten Lebenszyklus: Security by Design, kontinuierliches Schwachstellenmanagement und ein erklärter Support-Zeitraum (mit mindestens 10 Jahren Dokumentation).
• Vorfallmeldung (Artikel 14): aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, gemeldet an ENISA über die zentrale Meldeplattform — gilt ab 11. September 2026, auch für bereits am Markt befindliche Produkte.
• Konformitätsbewertung und CE-Kennzeichnung: Produkte höherer Kritikalität benötigen vor dem Verkauf eine Bewertung durch eine benannte Stelle.
• Vollständige Anwendung: 11. Dezember 2027 — Frist für abgeschlossene Konformitätsbewertungen, EU-Konformitätserklärung und vollständige technische Dokumentation.

Bewährte Praktiken

• Nicht auf 2027 warten: Die Pflicht zur Schwachstellenmeldung gilt bereits ab September 2026, auch für bestehende (Legacy-)Produkte, sofern sie nicht vorher vom Markt genommen werden.
• Nutze, was du bereits über 62443 weißt — die harmonisierten Normen des CRA (erwartet Q3 2026, via CEN/CENELEC/ETSI) sollen sich stark auf IEC 62443-4-1 und 4-2 für die Konformitätsvermutung stützen.
• Baue jetzt den Prozess für Schwachstellenüberwachung und ein SBOM-artiges Inventar auf — Grundlage für die Vorfallmeldung 2026 und die volle Konformität 2027.

Häufige Fehler

• Annehmen, der CRA betrifft mich nicht, weil das Unternehmen nicht in der EU sitzt — entscheidend ist der Verkauf in die EU, nicht der Standort der Fabrik.
• 2027 als einziges relevantes Datum behandeln und ignorieren, dass die Vorfallmeldung bereits ab 2026 verpflichtend ist.
• Annehmen, ein bereits am Markt befindliches Produkt sei dauerhaft ausgenommen — eine wesentliche Änderung nach Dezember 2027 kann die Konformitätspflicht erneut auslösen.