Der Cyber Resilience Act: Ihr Produkt, nicht Ihr Bestand
Der CRA regelt das Produkt mit digitalen Elementen, das Sie in Verkehr bringen — ein anderes System als die Infrastruktur, auf der Sie es betreiben. Ein Großteil des Compliance-Markts verwischt diese Grenze; dieser Leitfaden zieht sie. Was die Verordnung verlangt, die Fristen vor 2027, der schmale Teil, den ein externer Monitor stützen kann, und die längere Liste, die Ihre bleibt — egal, was Sie kaufen.
Verfasst vom SkyQon-Engineering-Team · Zuletzt geprüft am 6. August 2026
Was der CRA regelt
Die Verordnung (EU) 2024/2847 legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest — Software und Hardware, die auf dem EU-Markt in Verkehr gebracht werden, samt ihren Fernverarbeitungslösungen. Es ist Produktrecht in der Tradition der CE-Kennzeichnung: Konformitätsbewertung nach Artikel 32, EU-Konformitätserklärung nach Artikel 28, CE-Kennzeichnung nach Artikel 30, Marktüberwachung nach Artikel 52. Die nächsten Verwandten sind die Spielzeug- und die Maschinenrichtlinie, nicht NIS2.
Diese Herkunft bestimmt, wer die Pflichten trägt. Sie treffen den Hersteller — Artikel 13 zählt fünfundzwanzig Absätze davon auf —, Importeure und Händler übernehmen eigene Pflichten weiter unten in der Kette, und Artikel 24 gibt Open-Source-Verwaltern ein bewusst leichteres Regime. Einen „Ist die Einrichtung erfasst“-Test wie bei NIS2 gibt es nicht: Wer ein erfasstes Produkt auf dem EU-Markt in Verkehr bringt, ist erfasst.
Die Substanz steht in Anhang I. Teil I nennt die Sicherheitseigenschaften, die das Produkt selbst haben muss — sichere Standardkonfiguration, Schutz von Vertraulichkeit und Integrität, Minimierung der Angriffsfläche und mehr. Teil II nennt die Anforderungen an die Schwachstellenbehandlung: eine SBOM, die mindestens die Top-Level-Abhängigkeiten des Produkts abdeckt, unverzügliche Behebung von Schwachstellen, eine Richtlinie zur koordinierten Offenlegung und die sichere Verteilung von Sicherheitsupdates.
Offizieller Text: Regulation (EU) 2024/2847
Die Fristen — und welche zuerst kommt
Die Verordnung trat am 10. Dezember 2024 in Kraft und gilt vollständig ab dem 11. Dezember 2027. Zwei Teile kommen früher: Kapitel IV zu den notifizierten Stellen gilt seit dem 11. Juni 2026 — und Artikel 14, die Meldepflicht, gilt ab dem 11. September 2026.
Artikel 69 Absatz 2 mildert das Bild für Bestandsprodukte: Was vor dem 11. Dezember 2027 in Verkehr gebracht wurde, wird nur bei einer späteren wesentlichen Änderung erfasst. Artikel 69 Absatz 3 nimmt diese Milderung für den zeitlich nächsten Teil zurück — abweichend davon gilt Artikel 14 für alle erfassten Produkte, die bereits auf dem Markt sind. Die Meldepflicht ist weder auf 2027 verschoben noch auf neue Produkte beschränkt.
Die erste CRA-Pflicht, die die meisten Hersteller spüren werden, ist also eine Uhr: Ab dem 11. September 2026 startet eine aktiv ausgenutzte Schwachstelle in einem vor Jahren ausgelieferten Produkt einen 24-Stunden-Countdown. Zum Zeitpunkt des Schreibens sind das fünf Wochen.
Die Bußgeldobergrenze verleiht den Fristen ihr Gewicht. Artikel 64 Absatz 2 sieht Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes vor — je nachdem, welcher Betrag höher ist — bei Verstößen gegen Anhang I oder die Artikel 13 und 14.
Artikel 14 in der Praxis
Zwei Auslöser, ein Weg. Ein Hersteller, der von einer aktiv ausgenutzten Schwachstelle in seinem Produkt oder von einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf das Produkt Kenntnis erlangt, meldet dies gleichzeitig dem als Koordinator benannten CSIRT und der ENISA — über die zentrale Meldeplattform nach Artikel 16.
| Schritt | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Vorfall |
|---|---|---|
| Frühwarnung | Binnen 24 Stunden nach Kenntniserlangung | Binnen 24 Stunden nach Kenntniserlangung |
| Meldung | Binnen 72 Stunden — Art des Exploits, ergriffene sowie den Nutzern verfügbare Abhilfe- oder Minderungsmaßnahmen | Binnen 72 Stunden — Art des Vorfalls, erste Bewertung, ergriffene sowie den Nutzern verfügbare Maßnahmen |
| Abschlussbericht | Spätestens 14 Tage, nachdem eine Abhilfe- oder Minderungsmaßnahme verfügbar ist | Binnen eines Monats nach der 72-Stunden-Meldung |
Die tragende Formulierung ist „Kenntniserlangung“. Ein Hersteller, der am ersten Tag von der Ausnutzung erfährt und am sechsten mit dem Entwurf beginnt, hat bereits zwei Fristen verpasst. Eine 24-Stunden-Uhr einzuhalten ist eine Eigenschaft Ihres Erkennungs- und Eskalationswegs, nicht Ihrer Rechtsabteilung — und damit der eine Teil von Artikel 14, den man vorab proben kann.
Artikel 13: die Pflichten hinter dem CE-Zeichen
Artikel 13 ist der Kernpflichtenkatalog des Herstellers. Das Produkt muss gemäß den grundlegenden Anforderungen des Anhangs I entworfen, entwickelt und hergestellt werden — auf Grundlage einer dokumentierten, aktuell gehaltenen Cybersicherheits-Risikobewertung, die bestimmt, welche Anforderungen des Anhangs I gelten und wie sie umgesetzt werden.
Artikel 13 Absatz 8 fügt die Zusage mit dem längsten Nachlauf hinzu: einen Unterstützungszeitraum, bemessen an der erwarteten Nutzungsdauer des Produkts, und — unbeschadet dieser Bewertung — von mindestens fünf Jahren, sofern die erwartete Nutzungsdauer nicht kürzer ist. Für den gesamten Zeitraum sind Schwachstellen im Produkt und seinen Komponenten gemäß Anhang I Teil II zu behandeln. Ein Unterstützungszeitraum ist ein Versprechen über Ihre Engineering-Organisation in mehreren Jahren — er gehört in die Produktplanung, nicht in einen Compliance-Ordner.
Darum herum liegen die Sorgfalt bei Drittkomponenten, die technische Dokumentation, der Konformitätsbewertungsweg — Selbstbewertung für die Standardklasse, Einbindung Dritter bei wichtigen und kritischen Produkten —, die Konformitätserklärung und die CE-Kennzeichnung. All das ist die eigene Arbeit des Herstellers, und nichts davon ist von außen beobachtbar.
Die Grenze, die Compliance-Marketing am liebsten verwischt
NIS2 reguliert eine Einrichtung. DORA reguliert ein Finanzunternehmen und seine IKT-Anbieter. Beide stellen Fragen über eine Organisation, und eine Organisation hinterlässt beobachtbare Spuren — Zertifikate, DNS-Einträge, Mail-Richtlinien, TLS-Handshakes. Deshalb kann ein von außen blickender Monitor für diese beiden Rahmenwerke ehrlich einen Teil der Nachweise liefern.
Der CRA stellt eine Frage über das ausgelieferte Artefakt. Ein externer Monitor hat Ihr Produkt nie gesehen: weder sein Binary noch seinen Update-Mechanismus, weder seine Standardkonfiguration noch seinen Abhängigkeitsbaum. Eine Organisation kann einen makellosen externen Bestand halten und trotzdem ein nicht konformes Produkt ausliefern — und der umgekehrte Fall ist genauso möglich.
Die ehrliche Konsequenz: Kein Monitoring-Produkt — unseres eingeschlossen — kann CRA-Konformitätsabdeckung beanspruchen. Was externe Überwachung leisten kann, ist schmaler: eine kleine Zahl von Anhang-I-Eigenschaften belegen, wie sie am Bestand des Herstellers sichtbar sind, klar als bestandsbezogen gekennzeichnet — plus ein genuin operativer Beitrag: die Erkennungsgeschwindigkeit, die die Uhren des Artikels 14 voraussetzen.
Was SkyQon nachweist — genau benannt
Der SkyQon-Nachweisbericht enthält einen CRA-Abschnitt — kein separates Produkt. Der Abschnitt beginnt mit einer Abgrenzungserklärung, die ausdrücklich sagt, dass er keine Aussage zur CRA-Konformität ist und SkyQon keine Produkte bewertet. Er ordnet genau zwei Eigenschaften des Anhangs I zu, und der Zuordnungstext unten wird wörtlich aus einer versionierten regulatorischen Zuordnung in das signierte PDF übernommen.
| Anforderung aus Anhang I | Gelieferter Nachweis | Abdeckung |
|---|---|---|
| Part I, (2)(e) | Vertraulichkeit: Transportverschlüsselungs-Status über den externen Bestand des Herstellers — TLS-Versionen, Cipher-Suiten, Schlüsselstärke und Post-Quanten-Bereitschaft, über die Zeit verfolgt. | Nur Bestand — nicht als Produktkonformität beansprucht |
| Part I, (2)(f) | Integrität: Validierung des Zertifikats-Vertrauenspfads und Sperrstatus — ob die Identitäten, die der Hersteller dem Internet präsentiert, zu einer vertrauenswürdigen Wurzel führen und nicht gesperrt sind. | Nur Bestand — nicht als Produktkonformität beansprucht |
Zwei Zeilen, beide mit demselben Etikett. Jede trägt im Bericht zusätzlich einen Abgrenzungsvermerk, der benennt, was die Anforderung im Produkt regelt — Vertraulichkeitsschutz im ausgelieferten Artefakt, Secure Boot, signierte Updates — und dass SkyQon nichts davon beobachtet. Die zweite Hälfte des Abschnitts ist die Liste der Pflichten, die vollständig Ihre bleiben — aufgezählt, weil eine erklärte Lücke ganz anders gelesen wird als eine, die ein Prüfer findet.
Über den Bericht hinaus leistet die fortlaufende Überwachung einen operativen Beitrag zu Artikel 14: Erkennung mit Zeitstempeln. Eine 24-Stunden-Frühwarnuhr wird tragbar, wenn die Kenntnis aus dem Monitoring kommt statt von einem Kunden — und die datierte Aufzeichnung des Moments Ihrer Kenntniserlangung ist das erste Artefakt, nach dem eine Aufsichtsbehörde fragt.
Was vollständig Ihre Aufgabe bleibt
Der Bericht benennt sie, weil Hersteller häufig annehmen, ein bestehendes Unternehmenssicherheitsprogramm decke sie bereits ab. In der Regel tut es das nicht — es sind produktseitige Pflichten, und jede ist aus dem Text des Amtsblatts zitiert oder abgeleitet.
- Eine Produkt-SBOM — maschinenlesbar, mindestens die Top-Level-Abhängigkeiten des Produkts abdeckend (Anhang I Teil II Nummer 1). Ein kryptografisches Inventar Ihres Bestands ist ein nützlicher Beitrag zu dieser Arbeit; es ist ein anderes Artefakt über ein anderes System und erfüllt die Pflicht nicht.
- Produktschwachstellen unverzüglich beheben — einschließlich Sicherheitsupdates, die, wo technisch machbar, getrennt von Funktionsupdates ausgeliefert werden (Teil II Nummer 2).
- Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen — eingeführt und durchgesetzt (Teil II Nummer 5). Eine bestehende Unternehmenssicherheitsrichtlinie ist das in der Regel nicht.
- Die sichere Verteilung von Sicherheitsupdates — unverzüglich und kostenlos verbreitet, begleitet von Hinweismeldungen (Teil II Nummern 7 und 8).
- Sichere Standardkonfiguration und Updates ab Werk — Design-Eigenschaften des Produkts (Teil I Nummern 2 b und 2 c), die kein externer Beobachter je sieht.
- Die Meldung nach Artikel 14 selbst — die Meldungen an das koordinierende CSIRT und an die ENISA obliegen Ihnen; Monitoring kann Ihre Uhr ehrlich starten, aber nicht für Sie einreichen.
Eine praktische Reihenfolge
- Klassifizieren Sie zuerst Ihre Produkte. Was von dem, was Sie ausliefern, ein Produkt mit digitalen Elementen ist, in welche Klasse es fällt und welcher Konformitätsweg daraus folgt. Alles Weitere im CRA hängt an dieser Antwort.
- Proben Sie die Artikel-14-Uhr vor September 2026. Machen Sie die Übung: ausgenutzte Schwachstelle, gemeldet an einem Freitagabend — wer erlangt wann Kenntnis, und wer hat die Plattform-Zugangsdaten, um binnen 24 Stunden einzureichen. Der Bestand ist erfasst; nichts davon wartet auf Ihr nächstes Release.
- Bauen Sie die SBOM aus dem Build-System, nicht aus einer Umfrage. Handgepflegte Abhängigkeitslisten veralten; Anhang I verlangt etwas, das eine Pipeline bei jedem Release neu erzeugen kann.
- Entscheiden Sie den Unterstützungszeitraum als Produktentscheidung. Fünf Jahre Schwachstellenbehandlung sind eine Engineering-Zusage. Kalkulieren Sie sie, besetzen Sie sie, und halten Sie fest, bei welchen Komponenten Sie von Dritten abhängen.
- Veröffentlichen Sie die Offenlegungsrichtlinie. Eine Richtlinie zur koordinierten Offenlegung ist günstig zu schreiben, für alle sichtbar — und eines der ersten Dinge, die eine Marktüberwachungsbehörde prüfen kann, ohne Sie irgendetwas zu fragen.
- Halten Sie Bestandsnachweise und Produktkonformität in getrennten Ordnern. Beides ist echte Arbeit. Sie zu vermischen ist der Weg, auf dem Übererklärungen entstehen — und eine Übererklärung bei einem CE-gekennzeichneten Produkt ist ein Gespräch mit einer Marktüberwachungsbehörde.
Häufige Fragen
Ab wann gilt der CRA?
Vollständig ab dem 11. Dezember 2027. Kapitel IV zu den notifizierten Stellen gilt seit dem 11. Juni 2026, und die Meldepflichten des Artikels 14 gelten ab dem 11. September 2026 — nach Artikel 69 Absatz 3 auch für Produkte, die bereits auf dem Markt sind.
Erfasst er Produkte, die wir vor Jahren ausgeliefert haben?
Bei den allgemeinen Anforderungen nur, wenn das Produkt nach dem 11. Dezember 2027 wesentlich geändert wird. Bei der Meldepflicht des Artikels 14 ja — die Abweichung in Artikel 69 Absatz 3 wendet sie auf alle erfassten Produkte an, die bereits auf dem Markt sind.
Ist Open-Source-Software erfasst?
Software, die im Rahmen einer Geschäftstätigkeit bereitgestellt wird, ja; Artikel 24 gibt Open-Source-Verwaltern ein eigenes, leichteres Regime. Die Details hängen davon ab, wie die Software monetarisiert und bereitgestellt wird — und gehören im Text nachgelesen, nicht in einer Zusammenfassung.
Wie lang ist der Unterstützungszeitraum?
Bemessen an der erwarteten Nutzungsdauer, und mindestens fünf Jahre, sofern das Produkt nicht kürzer genutzt werden soll (Artikel 13 Absatz 8). Die Schwachstellenbehandlung nach Anhang I Teil II gilt für den gesamten Zeitraum.
Kann uns ein Monitoring-Tool CRA-konform machen?
Nein. Konformität ist eine Eigenschaft des Produkts und seiner Dokumentation, bewertet nach Artikel 32. Externe Überwachung kann bestandsseitiges Stützmaterial und ehrliche Erkennungszeitstempel liefern; ein Anbieter, der mehr behauptet, beschreibt ein System, das er nie gesehen hat.
Wie verhält sich der CRA zu NIS2?
Sie regeln Verschiedenes — das Produkt, das Sie ausliefern, und die Einrichtung, die Sie sind — und können gleichzeitig für Sie gelten. Nachweise über Ihren Bestand dienen NIS2 unmittelbar; unter dem CRA sind dieselben Nachweise nur Stützmaterial, und der Bericht kennzeichnet sie so.
Begleitleitfaden: NIS2 Artikel 21(2) — was als Nachweis zählt · DORA — was als technischer Nachweis zählt
Sehen Sie, was Ihr Bestand heute aussagt
SkyQon verkauft Ihnen keine CRA-Konformität — das kann niemand ehrlich. Was Sie bekommen: die bestandsseitigen Nachweise, klar gekennzeichnet, im selben signierten Bericht wie Ihre NIS2-Arbeit, und die Erkennungsgeschwindigkeit, die die Uhren des Artikels 14 voraussetzen. Beginnen Sie mit einer kostenlosen Prüfung Ihres externen Bestands.