Gilt der Cyber Resilience Act für Ihr Produkt?
Der Cyber Resilience Act der EU – die Cyberresilienz-Verordnung (EU) 2024/2847 – gilt für Hardware- und Softwareprodukte, die sich mit einem Gerät oder Netz verbinden können und im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt werden – es sei denn, sektorspezifische Vorschriften wie die Medizinprodukte- oder die Fahrzeug-Typgenehmigungsverordnung erfassen sie bereits. Die meisten betroffenen Produkte fallen in die Standardkategorie und können vom Hersteller selbst bewertet werden; Produkte, deren Kernfunktion in Anhang III oder IV aufgeführt ist, unterliegen strengeren Konformitätsbewertungsverfahren.
Eine Selbstprüfung in verständlicher Sprache, keine Rechtsberatung und keine Konformitätsbewertung. Die Kategorielisten unten geben den Wortlaut der Verordnung wieder: Verordnungstext auf EUR-Lex.
Wer vom Cyber Resilience Act betroffen ist
Die Verordnung erfasst Produkte mit digitalen Elementen: Software oder Hardware, einschließlich getrennt in Verkehr gebrachter Komponenten, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt (Artikel 2 Absatz 1). Darunter fallen Apps, Desktop- und Embedded-Software, als Komponenten verkaufte Bibliotheken und nahezu jedes vernetzte Gerät.
Sie gilt, wenn ein Produkt im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt wird, ob entgeltlich oder unentgeltlich. Bei freier und quelloffener Software entscheidet die Monetarisierung: Ein Projekt, das seine Entwickler nicht monetarisieren, ist nicht erfasst. Eine Stiftung, ein Unternehmen oder eine andere juristische Person, die Open-Source-Software für kommerzielle Tätigkeiten unterstützt, ohne sie selbst zu monetarisieren, ist dagegen ein Verwalter quelloffener Software mit eigenen, leichteren Pflichten (Artikel 24).
Ein gehosteter Dienst allein ist nicht erfasst; für Cloud-Computing-Dienste gilt NIS2. Eine Datenfernverarbeitungslösung – ein Backend in der Verantwortung des Herstellers, ohne das ein ausgeliefertes Produkt eine seiner Funktionen nicht erfüllen könnte – ist jedoch Teil dieses Produkts und mit ihm erfasst.
Die Verordnung gilt nicht für:
- Produkte, die unter die Verordnungen über Medizinprodukte, In-vitro-Diagnostika oder die Typgenehmigung von Kraftfahrzeugen fallen (Artikel 2 Absatz 2);
- nach dem EU-Luftfahrtrecht zertifizierte Produkte (Artikel 2 Absatz 3);
- Geräte im Anwendungsbereich der Schiffsausrüstungsrichtlinie (Artikel 2 Absatz 4);
- identische Ersatzteile, die nach denselben Spezifikationen hergestellt werden (Artikel 2 Absatz 6);
- Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt oder geändert wurden oder speziell für Verschlusssachen konzipiert sind (Artikel 2 Absatz 7).
Wichtige und kritische Produktkategorien
Die Klasse eines Produkts richtet sich nach seiner Kernfunktion, nicht nach seinen Bestandteilen: Wird ein wichtiges Produkt in ein anderes eingebaut, macht das allein das Gesamtprodukt nicht zu einem wichtigen Produkt (Artikel 7 Absatz 1). Alles, was unten nicht aufgeführt ist, fällt in die Standardkategorie. Der (englischsprachige) Leitfaden von FOSSA zur Produktklassifizierung nach dem CRA (auf fossa.com, öffnet in neuem Tab) geht Grenzfälle durch.
Die Kommission hat die technischen Beschreibungen der einzelnen Kategorien in der Durchführungsverordnung (EU) 2025/2392 festgelegt (Artikel 7 Absatz 4). Liegt ein Produkt an einer Grenze, prüfen Sie es anhand dieser Beschreibungen statt anhand der Kurzbezeichnungen. „Standardkategorie“ ist die Bezeichnung dieser Seite für alles, was nicht aufgeführt ist; die Verordnung kennt dafür keinen eigenen Begriff.
Kritische Produkte (Anhang IV)
- Hardwaregeräte mit Sicherheitsboxen
- Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung
- Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente
Wichtige Produkte, Klasse II (Anhang III)
- Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen
- Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme
- manipulationssichere Mikroprozessoren
- manipulationssichere Mikrocontroller
Wichtige Produkte, Klasse I (Anhang III)
- Identitätsmanagementsysteme sowie Software und Hardware für die Verwaltung privilegierter Zugänge bzw. Zugriffe, einschließlich Lesegeräte für die Authentifizierung und Zugangskontrolle, auch biometrische Lesegeräte
- eigenständige und eingebettete Browser
- Passwort-Manager
- Software für die Suche, Entfernung und Quarantäne von Schadsoftware
- Produkte mit digitalen Elementen mit der Funktion eines virtuellen privaten Netzes (VPN)
- Netzmanagementsysteme
- Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen (SIEM)
- Bootmanager
- Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate
- physische und virtuelle Netzschnittstellen
- Betriebssysteme
- Router, Modems für die Internetanbindung und Switches
- Mikroprozessoren mit sicherheitsrelevanten Funktionen
- Mikrocontroller mit sicherheitsrelevanten Funktionen
- anwendungsspezifische integrierte Schaltungen (ASIC) und FPGA (Field Programmable Gate Array) mit sicherheitsrelevanten Funktionen
- virtuelle Assistenten für die intelligente häusliche Umgebung mit allgemeinem Zweck
- Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen
- mit dem Internet verbundenes Spielzeug, das unter die Richtlinie 2009/48/EG des Europäischen Parlaments und des Rates fällt und über Funktionen zur sozialen Interaktion (z. B. sprechen oder filmen) oder zur Ortung verfügt
- am Körper tragbare Produkte, die zum Zwecke der Gesundheitsüberwachung (z. B. Tracking) bestimmt sind und nicht unter die Verordnungen (EU) 2017/745 oder (EU) 2017/746 fallen, oder am Körper tragbare Produkte, die für die Verwendung durch und für Kinder bestimmt sind
Konformitätsbewertung nach Klasse
Die Klasse bestimmt, wie der Hersteller nachweist, dass das Produkt die grundlegenden Cybersicherheitsanforderungen erfüllt (Artikel 32). Praktisch entscheidend ist, ob eine notifizierte Stelle beteiligt werden muss.
| Klasse | Mögliche Verfahren |
|---|---|
| Standard | Internes Kontrollverfahren (Modul A) durch den Hersteller. Verfahren mit Dritten sind freiwillig. |
| Wichtig, Klasse I | Internes Kontrollverfahren nur bei vollständiger Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder eines europäischen Schemas für die Cybersicherheitszertifizierung (Vertrauenswürdigkeitsstufe mindestens „mittel“). Sonst eine notifizierte Stelle: Modul B und C oder Modul H. |
| Wichtig, Klasse II | Eine notifizierte Stelle (Modul B und C oder Modul H) oder, sofern verfügbar, ein europäisches Schema für die Cybersicherheitszertifizierung mit Vertrauenswürdigkeitsstufe mindestens „mittel“. |
| Kritisch | Europäische Cybersicherheitszertifizierung, wo ein delegierter Rechtsakt nach Artikel 8 Absatz 1 sie vorschreibt; bis dahin die Verfahren für Klasse II. |
Freie und quelloffene Software in einer Kategorie aus Anhang III kann das interne Kontrollverfahren nutzen, wenn ihre technische Dokumentation beim Inverkehrbringen öffentlich zugänglich gemacht wird (Artikel 32 Absatz 5).
Häufige Fragen
Ab wann gilt der Cyber Resilience Act?
Er ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, alle übrigen Pflichten ab dem 11. Dezember 2027. Die Einzelheiten stehen in der Zeitleiste (Englisch).
Gilt der Cyber Resilience Act für SaaS?
Nicht für einen gehosteten Dienst allein. Er gilt aber für das Cloud-Backend eines ausgelieferten Produkts, wenn das Produkt ohne es eine seiner Funktionen nicht erfüllen kann. Dieses Backend wird als Teil des Produkts bewertet.
Gilt er für Open-Source-Software?
Nur, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird – bei Open Source hängt das an der Monetarisierung. Hersteller, die nicht monetarisierte Open-Source-Komponenten einbauen, bleiben für deren sorgfältige Prüfung verantwortlich.
Was gilt für Produkte, die schon auf dem Markt sind?
Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten für sie seit dem 11. September 2026. Die übrigen Anforderungen gelten pro Exemplar: Jedes ab dem 11. Dezember 2027 in Verkehr gebrachte Exemplar muss sie erfüllen, auch wenn das Modell früher auf den Markt kam. Vorher in Verkehr gebrachte Exemplare sind nur erfasst, wenn sie danach wesentlich geändert werden.
Mein Produkt enthält eine Komponente der Klasse I. Ist es ein Produkt der Klasse I?
Nicht allein deshalb. Die Klasse folgt der eigenen Kernfunktion des Produkts; ein smartes Haushaltsgerät mit eingebettetem Browser ist kein Browser.
Klasse bekannt? Nächster Schritt: Bereitschaft prüfen
Ein kostenloses Assessment (auf Englisch), das im Browser läuft, ein Produkt anhand der Anforderungen aus Anhang I bewertet und mit einem 30/60/90-Tage-Plan endet.
FOSSA CRA-Readiness-Assessment (auf fossa.com, öffnet in neuem Tab)Ein Produkt, das nicht eindeutig passt?
Fragen Sie Hersteller und Praktiker, die ähnliche Produkte eingestuft haben. Die Community diskutiert auf Englisch.
In der Community fragen