Der Cyber Resilience Act ist das Produktrecht der Cybersicherheit. Er regelt nicht, wie ein Unternehmen seine eigene IT schützt, sondern welche Sicherheitseigenschaften Hard- und Software haben müssen, die auf dem EU-Markt bereitgestellt wird, und wie Hersteller mit Schwachstellen umgehen.
Was erfasst ist
Erfasst sind Produkte mit digitalen Elementen, also Hardware und Software, die direkt oder indirekt mit einem Gerät oder Netz verbunden werden können: vernetzte Geräte, Betriebssysteme, Desktop- und Mobile-Apps, Firmware. Reine Software-as-a-Service fällt grundsätzlich nicht unter den CRA, sondern in den Bereich von NIS2. Erfasst sind aber Lösungen zur Datenverarbeitung aus der Ferne, ohne die ein Produkt seine Funktionen nicht erfüllen kann, etwa das Cloud-Backend einer Geräte-App.
Die Meldepflichten seit 11. September 2026
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit ihrer Produkte betreffen, über die Single Reporting Platform der ENISA melden: eine Frühwarnung innert 24 Stunden, eine ausführlichere Meldung innert 72 Stunden und einen Abschlussbericht nach festgelegten Fristen. Die Pflicht kann auch Produkte betreffen, die bereits vor diesem Datum in Verkehr gebracht wurden.
Die Pflichten ab Dezember 2027
Ab dem 11. Dezember 2027 gelten die grundlegenden Anforderungen: Sicherheit durch Design und Voreinstellung, ein Schwachstellenmanagement über einen festgelegten Unterstützungszeitraum, Sicherheitsupdates, eine Software-Stückliste (SBOM), technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Für bestimmte wichtige und kritische Produkte ist eine strengere Konformitätsbewertung vorgesehen.
Bezug zur Schweiz
Ein Schweizer Hersteller, der vernetzte Geräte oder installierbare Software in der EU verkauft, ist erfasst wie ein EU-Hersteller. Wer bisher keine Übersicht über verwendete Open-Source-Komponenten hat, keinen Prozess für eingehende Schwachstellenmeldungen und keinen definierten Unterstützungszeitraum, sollte diese drei Punkte zuerst angehen. Die Meldewege gehören zusammen mit jenen nach ISG und DSG in einen gemeinsamen Incident-Response-Plan.