Stand: Juli 2026
Der Cyber Resilience Act (CRA) führt neue Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein, die auf dem Markt der Europäischen Union bereitgestellt werden. Die Verordnung betrifft nicht nur Software, sondern auch Geräte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Verbindung zu einem Netzwerk oder einem anderen Gerät umfasst.
Für Elektronikhersteller bedeutet dies eine stärkere Kontrolle über den gesamten Produktlebenszyklus: von der Entwicklung und Komponentenauswahl über die Fertigung bis hin zum Umgang mit Schwachstellen, die erst nach dem Inverkehrbringen des Geräts entdeckt werden.
Die ersten wesentlichen Verpflichtungen gelten ab dem 11. September 2026. Ab diesem Datum müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Sicherheit von Produkten mit digitalen Elementen beeinträchtigen.
Der CRA gilt für Hardware und Software, die als Produkte mit digitalen Elementen definiert sind, auf dem EU-Markt bereitgestellt werden und deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Verbindung zu einem Gerät oder Netzwerk umfasst. Die Verordnung gilt sowohl für Endprodukte als auch für Komponenten, die separat in Verkehr gebracht werden.
In der Praxis können dazu unter anderem Steuerungen, Messgeräte, Sensoren, Kommunikations-Gateways, Automatisierungssysteme und Industrial-IoT-Lösungen gehören.
Die meisten Anforderungen des CRA gelten ab dem 11. Dezember 2027. Bereits ab dem 11. September 2026 gelten jedoch die Anforderungen zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle.
Europäische Kommission – Cyber Resilience Act
Wird eine Schwachstelle entdeckt, muss festgestellt werden können, welche Produkte und Geräteversionen davon betroffen sind.
Im Verlauf einer langjährigen Serienproduktion können sich folgende Faktoren ändern:
Wird ein Problem erst mehrere Jahre nach dem Produktionsstart entdeckt, reicht die aktuelle Entwicklungsdokumentation möglicherweise nicht aus. Entscheidend ist dann auch, welche Komponenten und Konfigurationen tatsächlich in bestimmten Produktionschargen eingesetzt wurden.
Der CRA verlangt, dass die Bewertung von Cybersicherheitsrisiken bei Planung, Entwicklung, Herstellung, Bereitstellung und Wartung eines Produkts berücksichtigt wird. Produktsicherheit ist daher nicht ausschließlich Aufgabe der Softwareentwicklung.
Der CRA gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Verbindung zu einem anderen Gerät oder Netzwerk umfasst.
In der Praxis kann die Verordnung unter anderem folgende Produkte betreffen:
Ein Gerät muss nicht dauerhaft mit dem Internet verbunden sein. Der CRA umfasst auch direkte und indirekte logische oder physische Datenverbindungen zu anderen Geräten und Netzwerken.
Ja, wenn ihre Produkte auf dem EU-Markt bereitgestellt werden.
Entscheidend ist der Markt, auf dem das Produkt angeboten wird, und nicht ausschließlich der Standort des Unternehmenssitzes oder der Produktionsstätte. Daher können auch Hersteller außerhalb der EU den Anforderungen des CRA unterliegen, wenn ihre Geräte auf dem EU-Markt angeboten werden.
Nein.
Der CRA gilt nicht automatisch für jedes Produkt, das Elektronik enthält. Bestimmte Produkte sind aufgrund bestehender sektorspezifischer Vorschriften vom Anwendungsbereich ausgenommen.
Daher sollte der Anwendungsbereich des CRA immer für das konkrete Produkt und die Art seines Inverkehrbringens geprüft werden und nicht ausschließlich anhand der Branche, in der der Hersteller tätig ist.
Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die die Produktsicherheit beeinträchtigen. Die Meldungen sollen über die von ENISA vorbereitete Single Reporting Platform abgewickelt werden.
Die Vorbereitung sollte jedoch nicht erst beim Meldeprozess beginnen. Zunächst muss sichergestellt werden, dass die Informationen verfügbar sind, die zur Bewertung des tatsächlichen Umfangs eines Problems benötigt werden.
Im Unternehmen sollte klar geregelt sein, wer:
Bei kurzen Meldefristen müssen Verantwortlichkeiten und Informationswege im Voraus definiert sein.
Informationen über eine Schwachstelle in einer Komponente sind nur dann hilfreich, wenn festgestellt werden kann, in welchen Produkten diese Komponente tatsächlich eingesetzt wurde.
Daher sollte der Zugriff auf folgende Daten geprüft werden:
Bei Produkten, die über viele Jahre gefertigt werden, können unterschiedliche Produktionsserien verschiedene Komponenten oder Konfigurationen enthalten. Ohne eine konsequente Versionskontrolle lässt sich der tatsächliche Umfang eines Problems nur schwer kurzfristig bestimmen.
Ein Teil der erforderlichen Daten kann außerhalb des eigenen Unternehmens liegen: beim Komponentenhersteller, Softwarelieferanten oder EMS-Partner.
Im Vorfeld sollte daher geklärt werden:
Entscheidend ist der schnelle Zugriff auf verlässliche Daten, sobald ein Problem auftritt.
ENISA – Single Reporting Platform für Meldungen im Rahmen des CRA
Die Verantwortung für die Erfüllung der CRA-Anforderungen verbleibt beim Hersteller, der das Produkt unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr bringt. Durch die Auslagerung der Produktion an einen externen EMS-Dienstleister geht diese Verantwortung nicht auf den Fertigungspartner über.
Der EMS-Partner kann jedoch über einen wesentlichen Teil der Daten verfügen, die benötigt werden, wenn ein Problem mit einer bestimmten Komponente oder Produktversion festgestellt wird.
Dazu können unter anderem gehören:
Bei einer langjährigen Elektronikfertigung gehören Komponentenabkündigungen (EOL), Verfügbarkeitsprobleme und der Einsatz von Alternativkomponenten zum Produktionsalltag.
Wird mehrere Jahre später eine Schwachstelle in einem bestimmten Modul entdeckt, muss nachvollziehbar sein:
wann es eingesetzt wurde, in welchen Produktionsserien und wann es ersetzt wurde.
Ein Beispiel: Ein Hersteller setzt über mehrere Jahre ein bestimmtes Kommunikationsmodul ein. Aufgrund von Verfügbarkeitsproblemen wird ein Teil der Produktion später auf eine freigegebene Alternativkomponente umgestellt. Zwei Jahre danach wird im ursprünglichen Modul eine Schwachstelle entdeckt.
Ist die Änderungshistorie mit Produktionschargen oder Seriennummern verknüpft, kann die Analyse auf bestimmte Geräte beschränkt werden. Fehlen diese Daten, muss möglicherweise eine deutlich größere Anzahl bereits im Markt befindlicher Produkte untersucht werden.
Die Qualität der Produktionsdaten beeinflusst somit unmittelbar, wie schnell der tatsächliche Umfang eines Problems bestimmt werden kann.
Der CRA erhöht damit die Bedeutung von Prozessen, die bereits heute zu einer professionell gesteuerten Elektronikfertigung gehören: Versionskontrolle, Änderungsdokumentation und Zugriff auf die Produktionshistorie.
Die Rückverfolgbarkeit – häufig als Traceability bezeichnet – gehört seit Langem zu den grundlegenden Elementen der Prozesskontrolle in der Elektronikfertigung. Der CRA erweitert diesen Kontext um einen weiteren Aspekt: das Management von Schwachstellen während des gesamten Zeitraums, in dem das Produkt genutzt und vom Hersteller unterstützt wird.
Es reicht daher nicht aus zu wissen, welche Komponente in der aktuellen Stückliste enthalten ist.
Relevant kann auch die Möglichkeit sein festzustellen:
Je genauer Produktionsdaten mit bestimmten Chargen und Geräten verknüpft sind, desto schneller lässt sich der tatsächliche Umfang eines Problems bestimmen.
In der Praxis kann ein EMS-Partner diesen Prozess unterstützen durch:
Dies bedeutet nicht, dass der EMS-Dienstleister die Verantwortung für die CRA-Konformität des Produkts übernimmt. Die Aufgabe des EMS-Partners bleibt die Kontrolle des Fertigungsprozesses und die Bereitstellung verlässlicher Daten darüber, was tatsächlich produziert wurde.
Bei Produkten, die über viele Jahre im Einsatz bleiben, werden Traceability, Versionskontrolle und Änderungsdokumentation damit nicht nur zu Elementen der Fertigungsqualität, sondern auch des langfristigen Managements der Produktsicherheit.
Der CRA ist am 10. Dezember 2024 in Kraft getreten, seine Anforderungen werden jedoch schrittweise angewendet.
Ab dem 11. September 2026 gelten die Anforderungen zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Die meisten übrigen Verpflichtungen gelten ab dem 11. Dezember 2027.
Nein. Der CRA gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Verbindung zu einem anderen Gerät oder Netzwerk umfasst.
Darüber hinaus gibt es Ausnahmen für Produkte, die bestimmten sektorspezifischen Vorschriften unterliegen. Der Anwendungsbereich sollte daher für das jeweilige Produkt geprüft werden.
Nein. Der CRA bezieht sich auf direkte und indirekte logische oder physische Datenverbindungen zu einem Gerät oder Netzwerk. Eine dauerhafte Verbindung mit dem öffentlichen Internet ist daher keine Voraussetzung für die Anwendbarkeit der Verordnung.
Die Verantwortung liegt beim Hersteller, also bei dem Unternehmen, das das Produkt mit digitalen Elementen unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr bringt.
Die Auslagerung der Produktion an einen externen EMS-Dienstleister überträgt die Verantwortung des Herstellers nach dem CRA nicht auf den Fertigungspartner. Der EMS-Dienstleister kann jedoch Produktionsdaten bereitstellen, die zur Identifikation bestimmter Komponenten, Versionen und Gerätechargen erforderlich sind.
Wird eine Schwachstelle entdeckt, kann es wichtig sein festzustellen:
Traceability und ein konsequentes Änderungsmanagement können den Zeitaufwand für die Ermittlung der tatsächlich betroffenen Geräte erheblich reduzieren.
Dieser Beitrag dient ausschließlich Informationszwecken und stellt weder eine Rechtsberatung noch eine verbindliche Auslegung geltender Vorschriften dar. Die sich aus dem Cyber Resilience Act ergebenden Verpflichtungen sollten stets individuell in Bezug auf das konkrete Produkt und die Art seines Inverkehrbringens geprüft werden.