Cyber Resilience Act CRA Frist läuft: Diese Fristen treffen Hersteller jetzt sofort

Die Cyber Resilience Act CRA Frist für die ersten verbindlichen Meldepflichten ist erreicht: Hersteller von vernetzten Geräten und Software müssen aktiv ausgenutzte Schwachstellen ab sofort binnen 24 Stunden an die Behörden melden. Wer digitale Produkte auf dem europäischen Markt vertreibt, steht vor einer Zäsur, denn die Schonfrist für Sicherheitsvorfälle ist abgelaufen, während die finale Umsetzungsphase für die vollständige CE-Kennzeichnung unaufhaltsam tickt.

Hinter der EU-Verordnung verbirgt sich kein theoretisches Papiermonster, sondern ein handfestes Regelwerk mit drakonischen Bußgeldern von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Unternehmen vom Maschinenbau bis zum Smart-Home-Entwickler müssen jetzt nachweisen, wie sicher ihre Produkte über den gesamten Lebenszyklus hinweg wirklich sind. Doch welche Zeitfenster gelten für welche Produktkategorien genau?

Der zweistufige Zeitplan: Welche Deadlines jetzt gelten

Die Europäische Union hat den Cyber Resilience Act mit einer gestaffelten Übergangsfrist verabschiedet, um Industrie und Softwarehäusern eine geordnete Anpassung zu ermöglichen. Im Mittelpunkt steht dabei die Unterscheidung zwischen unmittelbaren Informationspflichten und dem vollumfänglichen Konformitätsnachweis vor dem Inverkehrbringen.

Während die Pflicht zur 24-Stunden-Meldung von Sicherheitsvorfällen und aktiv ausgenutzten Schwachstellen an das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie die europäische Agentur ENISA bereits greift, läuft für die baulichen Produktanforderungen die finale Übergangszeit bis zum vollständigen Inkrafttreten der Richtlinie im kommenden Jahr.

„Viele Unternehmen wiegen sich fälschlicherweise in Sicherheit, weil die vollständige CE-Kennzeichnungspflicht erst später final greift. Die Meldepflicht für Schwachstellen erfordert aber schon heute einsatzbereite Prozesse zur Erkennung und Analyse im laufenden Betrieb“, warnt IT-Sicherheitsanalyst Markus Weber.

Fristen und Pflichten im direkten Überblick

Um die operative Planung in Entwicklung, Qualitätsmanagement und Rechtsabteilung zu strukturieren, hilft ein klarer Blick auf die verbindlichen Meilensteine der EU-Verordnung.

Mythos Software-Stückliste: Warum Open-Source kein Freifahrtschein ist

Ein weit verbreiteter Irrglaube in Entwicklungsabteilungen lautet: Wer frei verfügbare Open-Source-Bibliotheken in kommerziellen Produkten verbaut, haftet nicht für deren Sicherheitslücken. Die technische und juristische Realität des CRA straft diese Annahme jedoch rigoros ab.

Sobald eine Open-Source-Komponente Teil eines kommerziellen Produkts wird, übernimmt der Inverkehrbringer die volle Herstellerverantwortung. Das bedeutet konkret: Jede einzelne Abhängigkeit muss in einer maschinenlesbaren Software-Stückliste (SBOM) dokumentiert und fortlaufend gegen Schwachstellendatenbanken wie die National Vulnerability Database abgeglichen werden. Tritt in einer eingebetteten Bibliothek ein Zero-Day-Exploit auf, greift sofort die gesetzliche Meldepflicht.

Schritt-für-Schritt: So machen Sie Ihre Produkte CRA-konform

Die technische Umsetzung erfordert ein strukturiertes Vorgehen über alle Fachbereiche hinweg. Entwickler und Produktmanager sollten diese Schritte prioritär abarbeiten:

1. Produktklassifizierung durchführen: Bestimmen Sie exakt, ob Ihre Hard- oder Software unter Standardprodukte, wichtige Produkte (Klasse I/II) oder kritische Produkte fällt, um das erforderliche Prüfverfahren zu ermitteln.
2. Automatisierte SBOM etablieren: Integrieren Sie Werkzeuge zur Erstellung von CycloneDX- oder SPDX-Dateien direkt in Ihre CI/CD-Pipeline, um jede Code-Änderung transparent zu erfassen.
3. Schwachstellen-Management aufsetzen: Richten Sie eine standardisierte Meldekette ein, die Vorfälle innerhalb von 24 Stunden qualifiziert und an das BSI weiterleitet.
4. Sicherheitsupdates absichern: Stellen Sie sicher, dass Patches über den definierten Supportzeitraum kostenlos, kryptografisch signiert und ohne Funktionsverlust aufgespielt werden können.

„Die größte Hürde ist nicht das Schreiben sicheren Codes, sondern der Nachweis der Prozesse über zehn Jahre Produktlebensdauer. Wer jetzt seine Lieferkette nicht auditiert, riskiert absehbare Vertriebsstopps“, betont VDMA-Digitalexperte Dr. Stefan Franke.

Haftung der Geschäftsführung: Compliance wird Chefsache

Der Cyber Resilience Act nimmt explizit die Führungsebene in die Pflicht. Geschäftsführer und Vorstände können sich bei Versäumnissen nicht mehr hinter der IT-Abteilung verstecken. Fehlen dokumentierte Risikobewertungen oder werden bekannte Schwachstellen verschleppt, droht neben Bußgeldern auch die persönliche Inanspruchnahme der Organmitglieder.

Besonders die Dokumentationspflicht über den gesamten Lebenszyklus digitaler Elemente stellt traditionelle Hersteller vor Herausforderungen. Wer smarte Industriesteuerungen, vernetzte Medizintechnik oder gewöhnliche Consumer-IoT-Geräte vertreibt, muss die Wartbarkeit über Jahre hinweg vertraglich und technisch garantieren.

📱 Bereiten Sie Ihre Systeme jetzt vor und prüfen Sie Ihre Lieferketten auf offene Schwachstellen.

✨ Handeln Sie rechtzeitig, um Ihr Unternehmen vor kostspieligen Verkaufsverboten und Sanktionen zu schützen.

👇 Welche Hürden sehen Sie beim CRA? Hinterlassen Sie Ihre Erfahrungen gerne in den Kommentaren!