Der Cyber Resilience Act (CRA) macht Cybersicherheit zur Marktzugangs-Voraussetzung für viele Produkte mit digitalen Elementen. Zentral sind die Cybersicherheitsanforderungen (Essential Cybersecurity Requirements) in Anhang I CRA. Wir erklären die konkreten Anforderungen, wie harmonisierte Normen bei der Umsetzung helfen und wie Unternehmen alles in der Praxis umsetzen.
Was sind die Anforderungen an die Cybersicherheit aus Anhang I CRA?
Der CRA (Verordnung (EU) 2024/2847) legt in Anhang I für Produkte mit digitalen Elementen verbindliche Cybersicherheitsanforderungen fest: Ein Produkt darf grundsätzlich nur dann auf dem EU‑Markt bereitgestellt werden, wenn es diese Anforderungen erfüllt.
Die Cybersicherheitsanforderungen sind bewusst technologieneutral formuliert und sollen über eine risikobasierte Herangehensweise konkretisiert werden. Unternehmen sollen nicht einer starren Checkliste folgen, sondern einem Zielbild, das zum jeweiligen Produkt, seinem Einsatzzweck und seinem Risikoprofil passen muss.
Anhang I CRA enthält zwei Blöcke mit Cybersicherheitsanforderungen:
- produktbezogene Anforderungen (Teil I) und
- Anforderungen an das Schwachstellenmanagement (Vulnerability handling requirements – Teil II).
In der Praxis gehören beide zusammen: Produktsicherheit ohne belastbares Patch‑ und Meldewesen bleibt Stückwerk.
Die produktbezogenen Anforderungen können je nach Relevanz für das jeweilige Produkt unterschiedlich ausfallen und müssen nicht in jedem Fall vollständig umgesetzt werden. Die Anforderungen an die Behandlung von Schwachstellen nach Anhang I Teil II CRA gelten hingegen verbindlich für alle Produkte.
Welche Cybersicherheitsanforderungen müssen Produkte gemäß Teil I Anhang I CRA erfüllen?
Die produktbezogenen Anforderungen aus Anhang I Teil I CRA lassen sich in mehrere Schutzrichtungen gliedern, die zusammen ein konsistentes Sicherheitszielbild ergeben. Im Kern geht es darum, dass Produkte so konzipiert, entwickelt und hergestellt werden, dass typische Angriffsszenarien und Missbrauchspotenziale bereits im Design adressiert sind – das Prinzip von Security by Design.
Die Cybersicherheitsanforderungen des CRA lassen sich dabei in typische Umsetzungsfelder übersetzen:
- Sichere Voreinstellungen (Secure by Default)
- Minimierung der Angriffsfläche
- Schutz von Daten (Vertraulichkeit/Integrität) und Funktionen gegen unbefugten Zugriff
- Robuste Authentifizierung und Autorisierung
- Protokollierung/Monitoring‑fähige Funktionen
- Sichere Update‑Mechanismen
- Eine durchgängige Fähigkeit, Sicherheitsvorfalls zu erkennen, zu mindern, zu beheben und – wenn erforderlich – zu melden.
Hinweis: Die EU‑Kommission betont in ihren FAQ zum CRA explizit, dass die konkrete technische Ausgestaltung von der jeweils geforderten Cybersecurity‑Risikobewertung abhängt.
Wie können Unternehmen die CRA-Anforderungen an die Cybersicherheit von Produkten praktisch umsetzen?
Der CRA verlangt kein bestimmtes Framework (wie etwa eine Zertifizierung nach ISO 27001), aber eine nachvollziehbare, dokumentierte Risikobewertung als Ausgangspunkt: Hersteller müssen die Risiken anhand des beabsichtigten Zwecks, der vorhersehbaren Nutzung und der Einsatzbedingungen analysieren und daraus ableiten, welche Sicherheitsmaßnahmen erforderlich sind.
Zuerst gilt es die relevanten Anforderungen zu ermitteln – sprich Scoping und Kategorisierung der Produkte – um daraus einen priorisierten Maßnahmenplan zu entwickeln.
Im nächsten Schritt muss die technische Dokumentation erstellt und die Konformitätsbewertung durchgeführt werden. Je nach Kritikalität der Produkte reicht eine interne Bewertung oder es benötigt eine Konformitätsbewertungsstelle.
Als nächstes sind die Meldepflichten zu beachten und die Lieferkette abzusichern.
Tipp: Lesen Sie dazu auch, wie Softwareentwickler die Vorgaben des CRA bestmöglich in der Praxis umsetzen.
Welche Rolle spielen harmonisierte Normen unter dem CRA?
Harmonisierte Normen sind im CRA-Kontext der offizielle Mechanismus, um die technologie-neutral formulierten Cybersicherheitsanforderungen aus Anhang I in konkrete, prüfbare technische Anforderungen zu übersetzen.
Produkte mit digitalen Elementen, die einer harmonisierten Norm entsprechen, profitieren von einer Konformitätsvermutung im Sinne von Art. 27 CRA mit den entsprechenden CRA-Anforderungen. Das vereinfacht die Konformitätsbewertung und macht Nachweise gegenüber der Marktaufsicht (und je nach Produkt auch gegenüber Konformitätsbewertungsstellen) deutlich planbarer.
Die Europäische Kommission hat mit der Standardisierungsanfrage M/606 ein Paket von 41 Standards zur Unterstützung des CRA angefragt. Das CRA Standardisation Dashboard vom Bundesamt für Sicherheit in der Informationstechnik (BSI) illustriert den Standardisierungsfortschritt.
- Vorgesehen sind horizontale Standards (produktübergreifende Rahmen, inklusive Prozesse rund um das Schwachstellenmanagement) sowie
- vertikale produktbezogene Standards, die insbesondere die Produktkategorien „wichtig“ und „kritisch“ adressieren.
- Zusätzlich sind unterstützende Standards geplant, etwa zu Terminologie, einer sektoralen Risk-Assessment-Methodik und einem Threat Catalogue.
Beispiel: horizontaler Standard zu Security by Design
Ein Hersteller eines Smart-Home-Hubs muss die Sicherheitsrisikoabschätzung von Anfang an in den Produktentwicklungsprozess integrieren – nicht erst nachträglich. Die künftige harmonisierte Norm wird definieren, wie dies zu erfolgen hat (Bedrohungsmodellierung, Risikoanalysemethodik, Sicherheitsziele) und Herstellern eine konkrete Checkliste sowie einen klaren Weg zur Konformitätsvermutung bieten.
Beispiel: horizontaler Standard zum Schwachstellenmanagement
Ein Softwarehersteller, der einen vernetzten Industriesensor vertreibt, muss über einen dokumentierten Prozess zur Entgegennahme von Schwachstellenmeldungen, zur Ausgabe von Patches und zur Veröffentlichung einer Software Bill of Materials (SBOM) verfügen. Die Norm wird genau vorgeben, wie dieser Prozess auszugestalten ist – einschließlich Fristen, SBOM-Format (maschinenlesbar) und einer koordinierten Offenlegungsrichtlinie – und dem Hersteller damit eine konkrete Compliance-Vorlage an die Hand geben.
Wichtig für die Praxis: „Angefragt“ ist noch nicht „harmonisiert“. Die Vermutungswirkung entsteht erst, wenn Normen finalisiert und im Amtsblatt der EU zitiert sind. Bis dahin bleibt die risikobasierte Herleitung der Maßnahmen direkt aus Anhang I und eine saubere Dokumentation der entscheidende Pfad zur CRA-Compliance.
Ab wann müssen die CRA-Cybersicherheitsvorgaben erfüllt werden?
Die meisten Pflichten des CRA, inklusive der Vorgaben zur Cybersecurity, greifen ab 11. Dezember 2027 – und zwar für Produkte, die ab diesem Datum neu in den Verkehr gebracht werden.
Für Produkte, die vor diesem Stichtag in den Verkehr gebracht wurden, gilt: Sie werden erst dann CRA‑pflichtig, wenn sie nach dem 11. Dezember 2027 „wesentlich verändert“ werden.
Tipp: Mehr zu den Begriffen „in den Verkehr bringen“ und „wesentlich verändert“ finden Sie in unserem Whitepaper zu Produkten unter dem CRA.
Achtung: Die bereits erwähnten Meldepflichten (insbesondere zu aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen) gelten auch für Produkte, die schon vor dem Stichtag auf dem Markt waren.
Was passiert, wenn Produkte die Anforderungen nicht erfüllen?
Der CRA ist Marktzugangsrecht. Das heißt: Wenn ein Produkt nicht konform ist, drohen Marktüberwachungsmaßnahmen – von der Aufforderung zur Herstellung der Konformität bis hin zu Einschränkungen oder Untersagungen der Bereitstellung auf dem Markt. Zusätzlich sieht der CRA Sanktionen vor, die sich je nach Verstoß unterscheiden können.
Für Softwarehersteller ist dabei nicht nur das vollständige Verkaufsverbot relevant, sondern auch der operative Effekt: Wenn Schwachstellenprozesse, Updates und Nutzerinformationen nicht belastbar funktionieren, kann es schnell zu Melde‑, Patch‑ und Kommunikationsdruck kommen – und zu erhöhten Haftungsrisiken im Zusammenspiel mit dem Produkthaftungsrecht.
Wie kann activeMind Unternehmen bei den Anforderungen zur Cybersicherheit von Produkten unterstützen?
Wenn wir Unternehmen dabei helfen, die Cybersicherheit ihrer Produkte an den CRA anzupassen, mappen wir zunächst die CRA-Anforderungen mit den Produkten und entwickeln daraus einen priorisierten Maßnahmenplan.
Im nächsten Schritt unterstützen wir bei der technischen Dokumentation und der Konformitätsbewertung. Je nach Kritikalität der Produkte übernehmen wir die interne Bewertung oder bereiten auf das externe Audit vor.
Ihre Vorteile:
- Unsere Experten beherrschen alle relevanten Normen zur Cybersecurity und wissen aus jahrelanger Erfahrung in verschiedensten Branchen, wie die Vorgaben am besten in der Praxis umzusetzen sind.
- Im Ergebnis erhalten Sie einen zielorientierten Maßnahmenplan – und sparen sich so sämtliche Umwege zur CRA-Compliance.
Die größte Herausforderung bei der Cybersicherheit von Produkten liegt in den vielfältigen und komplexen Anwendungsfällen. Davon sind interne Teams oft überfordert. Unser Experten helfen hier gerne punktuell oder umfassend. Vereinbaren Sie jetzt ein kostenfreies Erstgespräch!
Fazit: CRA-Compliance ist Produktarbeit – nicht nur Dokumentation
Die Cybersecurityanforderungen aus Anhang I CRA machen aus Security Best Practices eine harte Marktzugangsvoraussetzung für viele Softwareprodukte bzw. Produkte mit digitalen Elementen. Wer frühzeitig mit einer risikobasierten Umsetzung startet, hat mehr belastbare Sicherheit im Produkt und weniger Reibung in Konformitätsbewertung, Dokumentation und Marktüberwachung.
Entscheidend ist, dass Security by Design, Update‑Fähigkeit und Schwachstellenmanagement als zusammenhängendes System über den gesamten Supportzeitraum gedacht werden.
