Ein Router, der keine Sicherheitsupdates mehr erhält. Eine App mit einer bekannten Schwachstelle. Ein smartes Türschloss, das mit unsicheren Voreinstellungen ausgeliefert wird. Bislang mussten Käufer häufig selbst herausfinden, wie sicher ein digitales Produkt ist und wie lange der Hersteller es unterstützt. Der Cyber Resilience Act der Europäischen Union soll das grundlegend ändern.

Dr. Hubert Iral, Markus Lempa

Brüssel, den 14.10.2026. Die EU-Verordnung macht Cybersicherheit zu einer verbindlichen Produkteigenschaft. Hersteller müssen Sicherheitsrisiken künftig bereits bei der Entwicklung berücksichtigen, Schwachstellen systematisch behandeln und ihre Produkte über einen festgelegten Zeitraum mit Sicherheitsupdates versorgen.

Für Unternehmen ist das weit mehr als eine neue Compliancepflicht. Der CRA greift tief in Produktentwicklung, Qualitätsmanagement, Lieferketten und Kundenkommunikation ein. Für Verbraucher könnte er verändern, worauf sie beim Kauf digitaler Produkte achten können.

Vom Babyphone bis zur Unternehmenssoftware
Der Cyber Resilience Act gilt grundsätzlich für Produkte mit digitalen Elementen, die mit einem Gerät oder Netzwerk verbunden werden können. Dazu gehören viele Hardwareprodukte und Softwareanwendungen. Das Spektrum reicht von Smartwatches, Routern und vernetztem Spielzeug bis zu Betriebssystemen und Unternehmenssoftware. Auch produktnotwendige Cloudfunktionen können erfasst sein.

Dabei spielt es grundsätzlich keine Rolle, in welchem Land der Hersteller seinen Firmensitz hat. Entscheidend ist, ob das Produkt auf dem europäischen Markt bereitgestellt wird und unter den Anwendungsbereich der Verordnung fällt.

Der breite Anwendungsbereich folgt einer einfachen Logik: Eine Sicherheitslücke in einem einzelnen Produkt kann zum Einfallstor für weitere Systeme werden. Ein schlecht geschütztes vernetztes Gerät betrifft deshalb möglicherweise weit mehr als seinen Besitzer.

Für bestimmte Bereiche bestehen Ausnahmen oder spezielle Regelungen, etwa wenn bereits vergleichbare europäische Sicherheitsvorschriften greifen. Auch freie und quelloffene Software wird differenziert behandelt.

Zu den ausgenommenen Bereichen gehören insbesondere bestimmte Medizinprodukte, Produkte der Luftfahrt und Automobilbranche sowie Schiffsausrüstungen, für die bereits spezielle europäische Vorschriften gelten. Auch bestimmte Fahrzeugklassen sind vom Anwendungsbereich ausgenommen.

Hersteller tragen mehr Verantwortung
Die wichtigste Veränderung betrifft die Verantwortung für die Sicherheit eines Produkts. Sie beginnt künftig wesentlich früher. Hersteller müssen Cyberrisiken bereits bei Konzeption und Entwicklung bewerten. Produkte sollen mit sicheren Standardeinstellungen ausgeliefert werden. Bekannte Schwachstellen müssen behandelt und Sicherheitsupdates bereitgestellt werden. Der CRA folgt damit dem Prinzip „Security by Design“: Sicherheit wird Bestandteil der Produktentwicklung.

Das klingt technisch, hat aber erhebliche wirtschaftliche Konsequenzen. Softwareentwicklung, Produktmanagement, Einkauf, Qualitätsmanagement und Compliance müssen enger zusammenarbeiten. Unternehmen müssen zudem wissen, welche Software und Komponenten in ihren Produkten stecken und welche Risiken daraus entstehen können.

Gerade für Hersteller komplexer Produkte dürfte das anspruchsvoll werden. Viele digitale Produkte bestehen heute aus zahlreichen eigenen und zugekauften Komponenten sowie Open Source Software. Eine Sicherheitslücke in einem kleinen Softwarebaustein kann dadurch Auswirkungen auf das gesamte Produkt haben.

Sicherheit endet künftig nicht mit dem Verkauf

Eine zweite grundlegende Veränderung betrifft die Zeit nach dem Kauf. Hersteller müssen Schwachstellen während des vorgesehenen Unterstützungszeitraums behandeln und Sicherheitsupdates bereitstellen. Das BSI nennt für den Supportzeitraum in der Regel fünf Jahre, wobei die konkrete Dauer vom jeweiligen Produkt und seiner erwarteten Nutzungsdauer abhängt.

Der Unterstützungszeitraum und die erwartete Nutzungsdauer eines Produkts sollen dabei möglichst weitgehend übereinstimmen. Sicherheitsaktualisierungen sind somit nicht nur eine technische Zusatzleistung, sondern ein wesentlicher Bestandteil der fortlaufenden Produktsicherheit.

Damit bekommt eine bislang häufig wenig beachtete Frage wirtschaftliches Gewicht: Wie lange bleibt ein digitales Produkt sicher nutzbar? Bei Smartphones und Computern achten viele Käufer bereits auf Updatezeiträume. Bei Routern, Überwachungskameras, Smart Home Geräten oder vernetztem Spielzeug ist diese Information bislang deutlich weniger präsent. Der CRA könnte dazu führen, dass der garantierte Zeitraum für Sicherheitsupdates zu einem sichtbaren Qualitätsmerkmal wird.

CE bekommt eine zusätzliche Bedeutung
Produkte, die die Anforderungen des CRA erfüllen, erhalten eine entsprechende CE Kennzeichnung. Das bekannte Zeichen steht bei betroffenen Produkten damit künftig auch für die Einhaltung der vorgeschriebenen Cybersicherheitsanforderungen.

Hersteller müssen dafür nachweisen können, dass ihr Produkt die Anforderungen erfüllt. Je nach Risikokategorie gelten unterschiedliche Verfahren. Bei bestimmten wichtigen oder kritischen Produkten können strengere Konformitätsbewertungen erforderlich sein.

Die Unterscheidung zwischen wichtigen und kritischen Produkten ist damit auch für die praktische Umsetzung der Verordnung von Bedeutung. Für die entsprechenden Produktkategorien gelten ergänzende Vorgaben, die in den einschlägigen Durchführungsregelungen konkretisiert werden.

Für Unternehmen entsteht daraus Dokumentationsaufwand. Cybersecurity muss künftig nicht nur technisch umgesetzt, sondern auch nachvollziehbar belegt werden.

Für Verbraucher schafft die Regelung eine bessere Orientierung. Allerdings sollte die CE Kennzeichnung nicht mit einem Qualitätssiegel verwechselt werden, das absolute Sicherheit garantiert. Auch ein regelkonformes Produkt kann später neue Schwachstellen entwickeln. Entscheidend ist deshalb, wie schnell und zuverlässig ein Hersteller darauf reagiert.

Bei Sicherheitslücken läuft die Uhr
Dieser Punkt ist aktuell besonders relevant. Die Meldepflichten des CRA gelten bereits seit dem 11. September 2026. Hersteller müssen aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle melden. Dabei geht es nicht um jeden theoretisch denkbaren Programmfehler. Relevant sind insbesondere Schwachstellen, die tatsächlich von Angreifern ausgenutzt werden, sowie schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit eines Produkts.

Die Meldungen müssen unverzüglich an die zuständigen Stellen erfolgen. Damit soll gewährleistet werden, dass schwerwiegende Cyberbedrohungen frühzeitig erkannt und geeignete Gegenmaßnahmen eingeleitet werden können. Die vorgesehenen Meldeverfahren sollen zugleich eine rasche Reaktion ermöglichen, ohne dass unnötige bürokratische Hürden die Bewältigung dringender Sicherheitsvorfälle erschweren.

Betroffene Nutzer müssen unter bestimmten Voraussetzungen ebenfalls informiert werden und Hinweise erhalten, wie sie sich schützen können.

Für Unternehmen erhöht das den Zeitdruck im Ernstfall. Ein Cybervorfall wird schnell zu einer gemeinsamen Aufgabe von IT Sicherheit, Produktmanagement, Recht, Management und Kommunikation. Wer erst während eines Angriffs klärt, wer einen Vorfall bewertet, meldet und Kunden informiert, verliert wertvolle Zeit.
Auch Importeure und Händler sind betroffen

Die Verantwortung liegt nicht allein bei europäischen Herstellern. Der CRA gilt auch für Produkte aus Drittstaaten, die auf dem europäischen Markt angeboten werden.

Importeure müssen unter anderem prüfen, ob die erforderlichen Konformitätsverfahren durchgeführt wurden und die notwendigen Unterlagen vorhanden sind. Auch Händler haben Prüfpflichten. Bei erheblichen Zweifeln an der Konformität kann ein Produkt nicht einfach weiter angeboten werden.

Insbesondere müssen Händler darauf achten, dass die vorgeschriebene CE Kennzeichnung vorhanden ist und den Nutzern die erforderlichen Informationen und Anweisungen zur Verfügung stehen. Importeure müssen zudem sicherstellen, dass die Produkte ordnungsgemäß gekennzeichnet und dokumentiert sind.

Damit reicht der CRA in die Lieferkette hinein. Ein Handelsunternehmen, das vernetzte Produkte aus Asien importiert, kann das Thema Cybersicherheit künftig kaum vollständig seinem Lieferanten überlassen.

Für Verbraucher ist der CRA vor allem eine Verschiebung der Verantwortung
Die politische Bedeutung des CRA liegt deshalb weniger in einzelnen technischen Vorschriften. Die EU verändert die Rollenverteilung auf dem Markt für digitale Produkte.

Bislang wurde Cybersicherheit häufig auch als Aufgabe des Nutzers behandelt: sichere Passwörter wählen, Updates installieren, Geräte richtig konfigurieren und im Zweifel erkennen, ob ein Produkt noch sicher betrieben werden kann.

Der CRA setzt früher an. Hersteller sollen Produkte so entwickeln und voreinstellen, dass grundlegende Sicherheitsanforderungen bereits erfüllt sind. Sicherheitsupdates sollen verfügbar sein und Informationen zur sicheren Nutzung verständlich bereitgestellt werden. Das entbindet Nutzer nicht von jeder Verantwortung. Updates müssen beispielsweise weiterhin installiert werden. Der Hersteller bekommt jedoch eine deutlich größere Pflicht, die Voraussetzungen für einen sicheren Betrieb zu schaffen.

Für Unternehmen beginnt die eigentliche Arbeit jetzt
Der Großteil der Anforderungen gilt ab dem 11. Dezember 2027. Die verbleibende Zeit kann allerdings täuschen. Wer Produkte entwickelt, die 2027 oder später auf den Markt kommen, muss viele Entscheidungen deutlich früher treffen.

Unternehmen sollten deshalb bereits heute klären, welche Produkte unter den CRA fallen, welche Risikokategorie für sie relevant ist und wie Cyberrisiken dokumentiert werden. Ebenso wichtig sind Prozesse für Schwachstellen, Sicherheitsupdates und Meldungen sowie ein Überblick über eingesetzte Softwarekomponenten und Lieferanten.

Das BSI empfiehlt Herstellern unter anderem Risikobewertungen, Security by Design und Security by Default sowie Instrumente zur Erfassung der verwendeten Softwarekomponenten. Damit rückt Cybersicherheit direkt in den Entwicklungsprozess.

Abwarten kann teuer werden. Bei Verstößen gegen grundlegende Cybersicherheitsanforderungen und zentrale Herstellerpflichten sieht der CRA Geldbußen von bis zu 15 Millionen Euro oder bei Unternehmen bis zu 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor. Maßgeblich ist der höhere Betrag.

Die Einhaltung der Vorgaben wird durch die nationalen Marktüberwachungsbehörden kontrolliert. Neben Geldbußen können bei nicht konformen Produkten auch Einschränkungen des Vertriebs, Verkaufsverbote oder die Rücknahme beziehungsweise der Rückruf vom Markt angeordnet werden. Die Behörden der Mitgliedstaaten sollen dabei Informationen austauschen und ihre Durchsetzungsmaßnahmen koordinieren.

Der CRA dürfte auch den Wettbewerb verändern
Die langfristig interessanteste Folge könnte außerhalb des eigentlichen Rechts liegen. Wenn Hersteller angeben müssen, wie lange sie Sicherheitsupdates bereitstellen, Sicherheitsprozesse dokumentieren und Verantwortung für Schwachstellen übernehmen, wird Cybersecurity vergleichbarer. Unternehmen können sich dann beispielsweise mit längeren Supportzeiträumen, schnellerem Schwachstellenmanagement oder einer transparenten Updatepolitik profilieren.

Für Verbraucher und Unternehmenskunden entsteht damit ein neues Kaufkriterium. Neben Preis, Funktionen und Bedienbarkeit tritt die Frage, wie lange ein Produkt sicher betrieben werden kann.

Zugleich stärkt die Verordnung den europäischen Binnenmarkt, indem sie einheitliche Anforderungen an die Cybersicherheit digitaler Produkte schafft. Die Harmonisierung soll unterschiedliche nationale Vorgaben reduzieren und vergleichbare Wettbewerbsbedingungen innerhalb der EU gewährleisten. Da auch Hersteller außerhalb der Europäischen Union die Anforderungen erfüllen müssen, wenn sie ihre Produkte auf dem europäischen Markt anbieten wollen, könnte der CRA darüber hinaus die Entwicklung internationaler Cybersicherheitsstandards beeinflussen.

Der Cyber Resilience Act könnte deshalb mehr bewirken als zusätzliche Regulierung. Er erhöht den Preis schlechter Cybersicherheit und kann zugleich den wirtschaftlichen Wert guter Cybersicherheit steigern.

Die wichtigsten Termine
Der CRA trat am 10. Dezember 2024 in Kraft. Die Meldepflichten für bestimmte Schwachstellen und Sicherheitsvorfälle gelten seit dem 11. September 2026. Der überwiegende Teil der übrigen Verpflichtungen wird ab dem 11. Dezember 2027 verbindlich.

Für Hersteller digitaler Produkte ist 2027 damit weniger ein Starttermin als eine Ziellinie. Die Prozesse, Produkte und Verantwortlichkeiten, die dann funktionieren müssen, werden heute entwickelt.

Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen

Wenn das gelingt, wäre Kanada weit mehr als Europas erstes assoziiertes Mitglied. Es wäre die Blaupause für eine neue Kategorie europäischer Zugehörigkeit.

Der Europarechtler und Politikwissenschaftler Dr. Hubert Iral (Law of Europe) und der Wirtschaftswissenschaftler Markus Lempa (MEMOCINE) haben gemeinsam das Projekt Futura Fabrica gegründet: die Zukunftswerkstatt Europa. Ziel ist es, komplexe Zusammenhänge in der EU aus Politik, Recht, Wirtschaft, Wissenschaft, Medien und Umwelt verständlich zu erklären. Daraus können Unternehmen wie auch Verbraucher die sich hieraus für sie ergebenden Chancen wie Risiken in Europa schneller erkennen und für eigene Initiativen bzw. Aktionen nutzen.

Weitere Trends und strategische Entwicklungen in der EU werden in dem regelmäßig erscheinenden Futura Fabrica Newsletter vorgestellt. Bei Spezialfragen wenden Sie sich bitte an die Autoren. Darüber hinaus sind alle Europa-Experten wie auch Europa-Unterstützer herzlich eingeladen an der Gestaltung von Futura Fabrica mitzuwirken.
https://law-of-europe.eu/

Transparenzhinweis: Das Bild wurde mit KI erstellt.