Cyber Resilience Act: Anforderungen für Hersteller vernetzter Geräte in Deutschland

Der Cyber Resilience Act (CRA), Verordnung (EU) 2024/2847, legt verbindliche Cybersicherheitsanforderungen für Hardware- und Software-"Produkte mit digitalen Elementen" fest, die in der EU in Verkehr gebracht werden. Hersteller müssen ihre Produkte nach den grundlegenden Anforderungen aus Anhang I gestalten, Schwachstellen über eine Unterstützungsdauer von in der Regel mindestens fünf Jahren behandeln und aktiv ausgenutzte Schwachstellen binnen 24 Stunden melden. Die Meldepflichten gelten seit dem 11. September 2026, alle übrigen Pflichten ab dem 11. Dezember 2027 (Verordnung (EU) 2024/2847, EUR-Lex, gelesen 26.10.2026). Dieser Leitfaden richtet sich an deutsche Teams, die vernetzte Geräte und Firmware entwickeln: Kameras, Router, Smart-Locks, Gateways, Wearables, Steuerungen und Ähnliches.

Wichtige CRA-Fristen

Datum	Was gilt	Rechtsgrundlage
10. Dezember 2024	CRA tritt in Kraft	Art. 71(1)
11. Juni 2026	Regeln zur Notifizierung von Konformitätsbewertungsstellen (Kapitel IV, Art. 35–51) gelten	Art. 71(2)
11. September 2026	Meldepflichten (Artikel 14) gelten, auch für bereits in Verkehr gebrachte Produkte	Art. 71(2), Art. 69(3)
11. Dezember 2027	Alle übrigen Pflichten gelten: Anhang I, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung	Art. 71(2)

Wer ist betroffen

Der CRA gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk einschließt (Art. 2(1)). Für Gerätehersteller betrifft das praktisch alles mit Firmware und einer Netzwerk-, Bluetooth- oder USB-Schnittstelle oder einer Cloud-Begleit-App. Wichtige Ausnahmen betreffen unter anderem Medizinprodukte, Fahrzeuge, Luftfahrtprodukte und Produkte, die ausschließlich für nationale Sicherheit oder Verteidigung bestimmt sind (Art. 2).

Ihr Markenname macht Sie zum Hersteller. Ein Importeur oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder wesentlich verändert, gilt als Hersteller und übernimmt die Pflichten aus den Artikeln 13 und 14 (Art. 21) – auch wenn die Firmware von einem ODM stammt und nur als Binärdatei vorliegt.

Anhang I: die wichtigsten Pflichten

Teil I – Produkteigenschaften. Produkte müssen angemessen sicher gestaltet sein: ohne bekannte ausnutzbare Schwachstellen ausgeliefert, sicher vorkonfiguriert mit Rücksetzoption, durch Sicherheitsupdates korrigierbar (standardmäßig automatisch, mit Opt-out), vor unbefugtem Zugriff geschützt, mit minimierter Angriffsfläche.

Teil II – Schwachstellenmanagement. Hersteller müssen Komponenten identifizieren und eine Software-Stückliste (mindestens die unmittelbaren Abhängigkeiten) erstellen, Schwachstellen unverzüglich beheben, regelmäßig testen, Informationen zu behobenen Schwachstellen veröffentlichen, ein Verfahren zur koordinierten Offenlegung von Schwachstellen betreiben und eine Kontaktadresse bereitstellen.

Bußgelder

Verstoß	Maximale Geldbuße
Grundlegende Anforderungen aus Anhang I, Artikel 13 und 14	15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Sonstige Pflichten der Wirtschaftsakteure	10 Mio. EUR oder 2 %
Falsche, unvollständige oder irreführende Angaben gegenüber Behörden	5 Mio. EUR oder 1 %

BSI TR-03183 als praktischer Einstieg

Für Hersteller ohne ausgereifte IT-Sicherheitsprozesse bietet das BSI mit der technischen Richtlinie TR-03183 einen an den CRA-Artikeln und -Anhängen ausgerichteten Einstieg: Teil 1 allgemeine Anforderungen, Teil 2 Software-Stückliste, Teil 3 Schwachstellenmeldung, Teil H Konformitätsbewertung über qualitätssichernde Module (BSI TR-03183, gelesen 26.10.2026). TR-03183 ist keine Zertifizierung und ersetzt nicht die eigene Konformitätsbewertung nach der Verordnung.

Was deutsche Hersteller jetzt tun sollten

1. Schwachstellen-Intake einrichten. Die Meldepflicht ist bereits aktiv. Policy und Sicherheitskontakt veröffentlichen, Entscheidungswege für die 24-Stunden-Frist festlegen.
2. Jede auf dem EU-Markt befindliche Modellreihe erfassen, auch ältere Modelle – Artikel 14 betrifft sie.
3. SBOM pro Firmware-Version aufbauen, auch aus Binärdateien, orientiert an TR-03183 Teil 2.
4. Lückenanalyse gegen Anhang I vor dem 11. Dezember 2027 durchführen.

Harmonisierte Normen für den CRA werden derzeit von CEN, CENELEC und ETSI erarbeitet; ihre Veröffentlichung im Amtsblatt steht noch aus.

SoftWSP scannt Firmware, erstellt SBOMs aus Binärdateien und kann die Schwachstellen-Intake als Dienstleistung übernehmen: siehe Firmware-Sicherheit und CRA-Compliance für Hersteller in Deutschland. Die ausführlichere englischsprachige Fassung dieses Leitfadens steht unter Cyber Resilience Act Requirements for Device Makers.

Dieser Leitfaden bietet allgemeine Informationen und ist keine Rechtsberatung.