Der Cyber Resilience Act (CRA) bzw. Cyberresilienz-Verordnung „gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“ (Art. 2 Abs. 1 CRA)

Mit dem Ausdruck „Produkt mit digitalen Elementen“ meint die Verordnung „ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“ (Art. 3 Nr. 1 CRA). In Art. 3 CRA werden weitere Begriffe bestimmt, u. a. was unter Software, Hardware, Komponente, logischer, physischer oder indirekter Verbindung, Endpunkt oder Schwachstelle zu verstehen ist.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) fasst die Kriterien für betroffene Produkte wie folgt zusammen:

• „verwendet digitale Elemente oder ist ein Softwareprodukt
• wird ab Ende 2027 neu auf den EU-Markt gebracht
• fällt unter keinen der Ausnahmesektoren (Medizinprodukte, Fahrzeuge, In-vitro-Diagnostika, zivile Luftfahrt, Schiffsausrüstung) oder ist ein Produkt im Kontext der nationalen Sicherheit
• ist keine kostenfreie Open-Source-Software ohne Gewinnerzielungsabsicht
• ist kein Ersatzteil für ein Bestandsprodukt“

Die Cyberresilienz-Verordnung kategorisiert Produkte mit digitalen Elementen auch danach, ob sie „wichtig“ oder „kritisch“ sind, d. h. mit Blick auf die Cybersicherheit sensibler als ein Standardprodukt:

• Standardprodukte sind alle Produkte, die nicht ausdrücklich in Anhang III (wichtige Produkte) oder Anhang IV (kritische Produkte) erfasst sind. Das BSI nennt als Beispiele u. a. Smartphones, Saugroboter, AirTags oder Software. 
• wichtige Produkte mit digitalen Elementen gemäß Art. 7 CRA und Anhang III, dazu zählen in Klasse I z. B. Identitätsmanagementsysteme, Passwort-Manager, Netzmanagementsysteme, Router, Mikroprozessoren, intelligente Türschlösser, Babyüberwachungsanlagen und am Körper tragbare Produkte (Wareables, bspw. zur Gesundheitsüberwachung) und in Klasse II Hypervisoren, Container-Runtime-Systeme, Firewalls, Intrusion-Detection-Systeme, Intrusion-Prevention-Systeme, manipulationssichere Mikroprozessoren und -controller
• kritische Produkte mit digitalen Elementen gemäß Art. 8 CRA und Anhang IV, dazu zählen Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways (SMGW) in intelligenten Messsystemen sowie Chipkarten

Der CRA gilt auch für Hersteller mit Sitz außerhalb der EU, wenn sie Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringen wollen.

Das New Legislativ Framework (NLF) ist ein Regelungssystem für die Produktkonformität in der EU. Die Module des NLF legen zum einen die Pflichten des Herstellers im Rahmen der Konformitätsbewertung fest, zum anderen zeigen sie auch den Grad der Beteiligung der Konformitätsbewertungsstellen. Bei der Konformitätsbewertung im CRA spielen zudem die Kategorien „Standardprodukt“, „wichtiges Produkt“ (Klasse I/II) und „kritisches Produkt“ eine Rolle. 

• Modul A (interne Fertigungskontrolle) umfasst nur die Selbstbewertung durch den Hersteller des Produktes; Konformitätsbewertungsstellen sind nicht beteiligt.
• Modul B (Baumusterprüfung): Hier bewertet eine notifizierte Stelle die Konformität des Produktes. Nach diesem „konformen Muster“ können dann alle weiteren Produkte hergestellt werden.
• Modul C (Fertigungskontrolle): Beim CRA muss das Modul B immer mit dem Modul C kombiniert werden, d. h. der Hersteller muss sicherstellen, dass die weiteren gefertigten Produkte alle dem Muster aus Modul B entsprechen.
• Modul H (umfassende Qualitätssicherung): Die Konformitätsbewertungsstelle überprüft, ob der Prozess der Qualitätssicherung des Herstellers zu CRA-konformen Produkten führt. Entspricht die Qualitätssicherung den Vorgaben, können auch alle weiteren Produkte nach dem Prozess hergestellt werden.

EU-Zertifizierung (Art. 32. Abs. 4 i. V. m. Art. 27 und Art. 8 CRA): eine offizielle EU-Cybersicherheitszertifizierung. Sie stellt eine alternative Nachweismethode zu den Konformitätsbewertungsverfahren nach den Modulen A, B, C und H dar.

Konformitätsnachweise je nach Produkt

Bei Standardprodukten ist das Modul A (Selbsterklärung) vorgesehen. Bei wichtigen Produkten der Klasse I kann ebenfalls Modul A angewandt werden, wenn harmonisierte Europäische Normen (hFN) vorhanden sind. Ansonsten kommen für wichtige Produkte der Klasse I bzw. II die Module B+C oder H für den Konformitätsnachweis zur Anwendung. Grundsätzlich kann jedes Produkt (auch ein Standardprodukt) eine Konformitätsbewertung nach Modul B+C oder H durchlaufen. Produkte, die als kritische Produkte kategorisiert werden, fallen bei der Konformitätsbewertung aktuell unter die Anforderungen an die wichtigen Produkte der Klasse II, da die Anforderungen an die Zertifizierung noch festgelegt und über entsprechende Rechtsakte in Kraft treten müssen. 

Nein, für Produkte, die konform zum Cyber Resilience Act (CRA) sind, gibt es keine gesonderte Kennzeichnung (siehe auch Erwägungsgrund 89 des CRA). Das bekannte CE-Kennzeichen für Produktsicherheit soll zukünftig auch die Cybersicherheitsanforderungen abbilden und Verbrauchern und Unternehmen helfen, bei der Kaufentscheidung das Sicherheitsniveau zu beurteilen. Die Vorschriften und Bedingungen für die Anbringung der CE-Kennzeichnung finden sich in Art. 30 CRA. 

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Herstellern auch, sich mit dem IT-Sicherheitskennzeichen auf die Anforderungen der Cyberresilienz-Verordnung vorzubereiten. 

Bereits ab dem 11. September 2026 müssen Hersteller schwerwiegende Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen melden, und zwar bei einer zentralen Meldeplattform, die bis zu diesem Datum einsatzbereit sein soll. Auf der CRA Single Reporting Platform (SRP) melden Hersteller den Vorfall bzw. die Schwachstelle nur einmal. Die Informationen werden dann sowohl der Agentur der Europäischen Union für Cybersicherheit (ENISA) zur Verfügung gestellt als auch dem zuständigen Computer Security Incident Response Team (CSIRT) weitergeleitet. 

Hersteller müssen nach Bekanntwerden innerhalb von 24 Stunden eine Frühwarnung abgeben und eine vollständige Benachrichtigung dann innerhalb von 72 Stunden. Bei schwerwiegenden Sicherheitsvorfällen muss ein Abschlussbericht innerhalb eines Monats vorgelegt werden; bei Schwachstellen, die aktiv ausgenutzt werden, spätestens 14 Tage nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht.

Der Cyber Resilience Act stellt zukünftig verbindliche Mindestanforderungen an die Cybersicherheit für Produkte mit digitalen Elementen und gilt für Produkte, die auf dem EU-Markt erhältlich sind, unabhängig davon, wo der Hersteller seinen Sitz hat. Die Umsetzung der Vorschriften erfolgt schrittweise bis zum 11. Dezember 2027. 

Die Cybersicherheitsanforderungen gelten auch für die Lieferkette: Hersteller sind verpflichtet, eine sog. Software Bill of Materials (SBOM) zu führen, in der alle Komponenten (eigene und von Drittanbietern) enthalten sind. Der CRA definiert diese „Software-Stückliste“ als „formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts mit digitalen Elementen enthalten sind“. Die SBOM muss nicht veröffentlicht werden und soll dabei helfen, Transparenz in der Lieferkette zu schaffen, Schwachstellen zu analysieren sowie Cyberrisiken zu verfolgen (siehe auch Erwägungsgrund 77 des CRA). Hersteller müssen die gebotene Sorgfaltspflicht bei der Verwendung von Drittkomponenten walten lassen, damit die Cybersicherheit des eigenen Produktes nicht beeinträchtigt wird (siehe Art. 13 Abs. 5 CRA). Zudem haben Hersteller die Pflicht, gefundene Schwachstellen innerhalb der Lieferkette zu melden; gleiches gilt auch für Änderungen an Software oder Hardware, um die Schwachstelle zu beheben (siehe Art. 13 Abs. 6 CRA). 

Der sog. „Unterstützungszeitraum“ spielt eine wesentliche Rolle im CRA: Er ist definiert als „Zeitraum, in dem der Hersteller sicherstellen muss, dass die Schwachstellen des Produkts mit digitalen Elementen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“ (Art. 3 Nr. 20 CRA).

Zu den Pflichten des Herstellers gehört es, während der erwarteten Lebensdauer des Produktes und des Unterstützungszeitraums Schwachstellen entsprechend des CRA wirksam zu beheben. Der Unterstützungszeitraum soll durch die Hersteller so festgelegt werden, dass er die Dauer der voraussichtlichen Produktnutzung widerspiegelt. Zur Orientierung bei der Festlegung des Zeitraums können andere Produkt mit digitalen Elementen und einer ähnlichen Funktion dienen sowie insbesondere die Erwartungen der Nutzer und die Produktart. Grundsätzlich wird im CRA von einem Unterstützungszeitraum von mindestens fünf Jahren ausgegangen (siehe Art. 13 Abs. 8 CRA). Bestimmte Sicherheitsaktualisierungen, technische Dokumentationen, EU-Konformitätserklärungen sowie Informationen/Anleitungen müssen mitunter auch für mindestens zehn Jahre oder für die Dauer des Unterstützungszeitraums (sofern dieser länger ist) für Nutzer und/oder Marktüberwachungsbehörden zur Verfügung stehen (siehe Art. 13 Abs. 9, 13 und 18 CRA).

Zur Vorbereitung auf den Cyber Resilience Act (CRA) empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Technische Richtlinie BSI TR-03183. Die TR ist als Einstiegshilfe gedacht und kann insbesondere für Hersteller nützlich sein, deren IT-Sicherheitsprozesse im Bereich Entwicklung und bei der Behandlung von Schwachstellen noch nicht ausgereift sind. Verpflichtend ist die TR-03183 jedoch nicht. 

Folgende Inhalte bietet die Technische Richtlinie: 

• Teil 1 „Generel requirements“, hier werden die allgemeinen Anforderungen aus dem CRA und seinen Anhängen für Hersteller und Produkte zusammengefasst
• Teil 2 „Software Bill of Materials (SBOM)“, hier gibt es u. a. Tipps für die Zuordnung von Datenfeldern zu den beiden führenden SBOM-Standards CycloneDX und SPDX
• Teil 3 „Vulnerability Reports and Notifications“, hier wird beschrieben, wie mit eingehenden Schwachstellenmeldungen umzugehen ist
• Teil H „Conformity based on full quality assurance (Module H)“, hier wird u. a. auf die CRA-spezifischen Anforderungen mit Bezug zur ISO/IEC 27001 und auf die CRA-spezifischen Leitlinien mit Bezug zur ISO/IEC 27002 eingegangen