Der Cyber Resilience Act (CRA) ist eine EU-Verordnung (2024/2847), die erstmals verbindliche Cybersicherheitsanforderungen an nahezu jedes Produkt mit digitalen Elementen stellt, das in der Europäischen Union verkauft wird — von Sensoren, Steuerungen und Gateways bis hin zu Firmware und Begleitsoftware. Für Hersteller von IoT-Geräten ist das ein grundlegender Wandel: Sicherheit ist keine Marketingoption mehr, sondern Voraussetzung dafür, ein Produkt in Verkehr zu bringen und die CE-Kennzeichnung zu behalten.
Kurz gefasst: Das Cyberresilienzgesetz verlangt, dass IoT-Geräte nach dem Grundsatz Security by Design entwickelt, ohne bekannte ausnutzbare Schwachstellen ausgeliefert und über den gesamten Supportzeitraum mit Sicherheitsupdates versorgt werden. Die Meldepflicht für aktiv ausgenutzte Schwachstellen greift ab dem 11. September 2026, der vollständige Anforderungskatalog gilt ab dem 11. Dezember 2027.
Was ist der Cyber Resilience Act?
Das Cyberresilienzgesetz ist das erste horizontale EU-Gesetz, das einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Die Verordnung trat am 10. Dezember 2024 in Kraft, ihre Pflichten werden schrittweise bis Dezember 2027 wirksam. Ziel ist es, die Zahl der Schwachstellen in Hardware- und Softwareprodukten zu senken und Nutzern klare Informationen über den Sicherheitssupport zu geben.
In der Praxis erfasst der CRA ein Produkt über den gesamten Lebenszyklus: von Entwurf und Fertigungsprozess über die technische Dokumentation bis zur Schwachstellenbehandlung und zu Updates nach dem Verkauf. Das unterscheidet ihn von einer einmaligen CE- und FCC-Zertifizierung, die die Konformität zum Zeitpunkt des Inverkehrbringens bestätigt.
Für wen gilt der CRA? Der Produktumfang im IoT
Der Anwendungsbereich ist weit gefasst: Der CRA gilt für jedes Produkt mit digitalen Elementen, dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Verbindung mit einem Netz oder einem anderen Gerät umfasst. Damit ist die überwiegende Mehrheit der IoT-Lösungen erfasst — vom einfachen Sensor bis zu industriellen Gateways und Steuerungssystemen.
Die Pflichten treffen vor allem Hersteller, erstrecken sich aber auch auf Importeure und Händler, die Produkte auf dem EU-Markt bereitstellen. Außerhalb des Anwendungsbereichs bleiben unter anderem Medizin-, Luftfahrt- und Automotive-Produkte, die eigenen sektoralen Regelungen unterliegen. Hersteller außerhalb der Union unterliegen dem CRA ebenfalls, sofern sie Produkte für europäische Abnehmer bereitstellen.
Wichtige Fristen: Was ändert sich 2026 und 2027?
Der CRA-Zeitplan ist gestuft, weshalb sich eine frühzeitige Planung lohnt. Die wichtigsten Termine:
- 10. Dezember 2024 — die Verordnung tritt in Kraft (Beginn der Übergangsfrist).
- 11. September 2026 — die Meldepflichten greifen: für aktiv ausgenutzte Schwachstellen und für schwerwiegende Sicherheitsvorfälle.
- 11. Dezember 2027 — vollständige Anwendung des CRA: grundlegende Cybersicherheitsanforderungen, Schwachstellenbehandlung und die Konformitätsbewertung als Grundlage der CE-Kennzeichnung.
Die Meldepflichten gelten auch für Produkte, die bereits vor Dezember 2027 auf dem Markt sind. Ein ausgereifter Incident-Response-Prozess muss deshalb schon 2026 stehen.
Welche Anforderungen stellt Security by Design?
Security by Design bedeutet, dass Sicherheit vom ersten Architekturentwurf an mitgeplant und nicht am Ende angeklebt wird. Der CRA verlangt unter anderem, dass ein Produkt ohne bekannte ausnutzbare Schwachstellen und mit sicherer Standardkonfiguration ausgeliefert wird. Zu den grundlegenden Anforderungen zählen:
- Schutz vor unbefugtem Zugriff sowie Authentifizierung anhand der Geräteidentität, etwa mit X.509-Zertifikaten;
- Vertraulichkeit und Integrität der Daten — einschließlich Firmware-Verschlüsselung und verschlüsselter Kommunikation;
- eine vertrauenswürdige Startkette, also Secure Boot mit Prüfung der Softwaresignatur;
- ein Mechanismus für sichere OTA-Firmware-Updates über den gesamten Supportzeitraum;
- Minimierung der Angriffsfläche und der erhobenen Daten sowie Protokollierung sicherheitsrelevanter Ereignisse.
Der Hersteller muss zudem eine Software-Stückliste (SBOM) erstellen und pflegen, die das Nachverfolgen von Schwachstellen in Abhängigkeiten erleichtert.
Wie funktioniert die Meldepflicht für Schwachstellen und Vorfälle?
Ab dem 11. September 2026 muss ein Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle über eine einheitliche Meldeplattform an das zuständige CSIRT und an die ENISA melden. Die Fristen sind streng:
- 24 Stunden — Frühwarnung ab Kenntnis des Ereignisses;
- 72 Stunden — vollständige Meldung mit Bewertung und ersten Gegenmaßnahmen;
- 14 Tage / 1 Monat — Abschlussbericht (14 Tage nach Bereitstellung einer Abhilfemaßnahme für die Schwachstelle, bis zu einem Monat bei schwerwiegenden Vorfällen).
Um diese Zeitfenster einzuhalten, braucht es Telemetrie aus der Flotte, einen Updatekanal und ein Reaktionsverfahren. Es empfiehlt sich, dieses auf bewährte Best Practices für IoT-Sicherheit zu stützen.
Produktklassen und Konformitätsbewertung (CE)
Der CRA teilt Produkte nach Risiko ein, und davon hängt das Verfahren der Konformitätsbewertung ab. Die meisten IoT-Geräte fallen in die Standardkategorie, in der eine Selbstbewertung durch den Hersteller zulässig ist. Wichtige Produkte (Klasse I und II) sowie kritische Produkte unterliegen strengeren Anforderungen, einschließlich der Anwendung harmonisierter Normen oder der Einbindung einer benannten Stelle.
Unabhängig von der Klasse ist eine positive Konformitätsbewertung die Voraussetzung dafür, die CE-Kennzeichnung anzubringen und das Produkt auf dem EU-Markt in Verkehr zu bringen. Bei Verstößen drohen Bußgelder von bis zu 15 Mio. Euro oder 2,5% des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist.
Wie bereitet man IoT-Geräte auf den CRA vor?
Die Vorbereitung auf den CRA ist ein Engineering-Projekt und nicht allein eine juristische Aufgabe. Empfohlene Reihenfolge:
- eine Risikoanalyse durchführen und das Produkt nach dem CRA-Anwendungsbereich einordnen;
- Root of Trust und Secure Boot umsetzen, um die Firmware bereits beim Start zu authentifizieren;
- einen sicheren OTA-Updatekanal mit Signatur und Rollback bereitstellen;
- eine SBOM aufbauen und einen Prozess zur Überwachung von Schwachstellen in Abhängigkeiten etablieren;
- ein Meldeverfahren für Vorfälle vorbereiten, das den Fristen 24/72 h entspricht;
- alles in der für die Konformitätsbewertung erforderlichen technischen Dokumentation festhalten.
Gerade hier schlägt sich Erfahrung in Hardware, Firmware und Cloud unmittelbar in Zeit und Kosten der Compliance nieder.
Häufig gestellte Fragen (FAQ)
Ab wann gilt der Cyber Resilience Act?
Die Verordnung trat am 10. Dezember 2024 in Kraft. Die Pflichten zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle gelten ab dem 11. September 2026, der vollständige Katalog der grundlegenden Anforderungen samt Konformitätsbewertung ab dem 11. Dezember 2027.
Gilt der CRA auch für kleine IoT-Hersteller?
Ja. Der CRA erfasst nahezu jedes Produkt mit digitalen Elementen, das sich mit einem Netz verbindet, unabhängig von der Unternehmensgröße. Für Kleinstunternehmen sind gewisse Erleichterungen bei der Dokumentation vorgesehen, die grundlegenden Sicherheitsanforderungen und Meldepflichten bleiben jedoch bestehen.
Was ist der Unterschied zwischen dem CRA und der CE-Kennzeichnung?
Die CE-Kennzeichnung ist die Erklärung, dass ein Produkt den EU-Anforderungen entspricht. Der CRA fügt ihr die Dimension der Cybersicherheit hinzu: Wer ein IoT-Gerät nach Dezember 2027 mit der CE-Kennzeichnung versehen will, muss die grundlegenden Sicherheitsanforderungen erfüllen und die passende Konformitätsbewertung durchlaufen.
Fazit und wichtigste Erkenntnisse
Das Cyberresilienzgesetz hebt die Cybersicherheit von IoT-Geräten aus dem Bereich guter Absichten in den Rang verbindlicher Anforderungen des EU-Marktes. Die zentralen Säulen sind Security by Design, keine bekannten Schwachstellen beim Verkauf, Updates über den gesamten Supportzeitraum und eine schnelle Meldung von Vorfällen ab September 2026. Wer jetzt beginnt, ist rechtzeitig vor der vollständigen Anwendung des CRA im Dezember 2027 bereit.
FSS Technology entwickelt und implementiert IoT-Lösungen, die diesen Anforderungen genügen — von Hardware und Firmware bis zu Cloud und Flottenupdates. Sie möchten Ihre Geräte auf den CRA vorbereiten? Lernen Sie unser Angebot für Connected Devices kennen und sprechen wir über Ihre Compliance-Roadmap.