Cyber Resilience Act: Die Pflichten für Hersteller 2026 und 2027

Inhalt in Kürze

• Der Cyber Resilience Act — die Verordnung (EU) 2024/2847 — gilt ab dem 11. Dezember 2027. Artikel 14 mit den Meldepflichten gilt schon seit dem 11. September 2026 (Art. 71 Abs. 2).
• Hersteller ist, wer entwickelt oder entwickeln lässt und unter eigenem Namen vermarktet — gegen Bezahlung, zur Monetarisierung oder unentgeltlich (Art. 3 Nr. 13). Kostenlos heißt nicht draußen.
• Gemeldet wird gleichzeitig an das zuständige CSIRT und an die ENISA, über den Meldeendpunkt des CSIRT auf der einheitlichen Meldeplattform. Es gibt drei Pflichtstufen und einen Zwischenbericht auf Anforderung.
• Die Produktklasse entscheidet über den Aufwand: Firewalls sind Klasse II, nicht Klasse I — und Industriesteuerungen stehen in Anhang III gar nicht.
• Für Bestandsprodukte greift der übrige Pflichtenkatalog erst mit der nächsten wesentlichen Änderung (Art. 69 Abs. 2).

Der Cyber Resilience Act macht Cybersicherheit zur Produkteigenschaft. Das ist neu — und es trifft eine Gruppe, die bisher wenig mit EU-Compliance zu tun hatte: Softwarehäuser mit dreißig Leuten, Gerätehersteller mit einer Firmware, Systemhäuser, die eine Branchenlösung unter eigenem Namen verkaufen. Dieser Artikel geht die Pflichten der Reihe nach durch, jeweils mit der Fundstelle. Wer lieber sofort weiß, ob es ihn betrifft, nimmt den kostenlosen CRA-Hersteller-Check.

Die Stichtage stehen in Artikel 71 — nicht in Artikel 69

Das ist der erste Punkt, an dem viele Ratgeber danebengreifen. Artikel 71 Absatz 2 der Verordnung sagt:

„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.”

Artikel 69 regelt etwas anderes, nämlich die Übergangsbestimmungen für Bestandsprodukte — dazu weiter unten mehr. Wer „Art. 69” als Fundstelle für die Stichtage zitiert, zitiert falsch.

Der dritte Termin ist für Hersteller nicht handlungsrelevant: Seit dem 11. Juni 2026 können die Mitgliedstaaten Stellen benennen, die später die Konformitätsbewertung übernehmen. Er steht hier nur, weil ein Zeitstrahl mit zwei Daten Vollständigkeit vortäuscht.

Sind Sie Hersteller? Drei Fragen, die reichen

Erstens: Bringen Sie ein Produkt mit digitalen Elementen auf den Unionsmarkt? Nach Artikel 3 Nummer 1 ist das ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Komponenten, die getrennt in Verkehr gebracht werden. Eine Anwendung, eine Bibliothek, eine App, Firmware, ein Gerät mit Software darin — alles erfasst.

Reine Cloud-Dienste sind es nicht. Erwägungsgrund 12 sagt ausdrücklich, dass für Cloud-Computing-Dienste und Dienstmodelle wie SaaS, PaaS und IaaS die Richtlinie (EU) 2022/2555 gilt, also NIS2. Aber Vorsicht mit der Entwarnung: Wer neben dem Webdienst eine mobile App, einen Desktop-Client, einen Agenten oder ein SDK ausliefert, ist dafür Hersteller. Die zugehörige Backend-Schnittstelle wird dann als Datenfernverarbeitungslösung miterfasst (Art. 3 Nr. 2, Erwägungsgrund 11).

Zweitens: Vermarkten Sie es unter Ihrem Namen? Artikel 3 Nummer 13 definiert den Hersteller als jemanden, der ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet — „sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich”.

Der mittlere Modus ist der, an dem sich Anbieter regelmäßig verschätzen. Wer Software kostenlos abgibt und über bezahlten Support, eine Dual-Lizenz oder eine kostenpflichtige Pro-Version verdient, vermarktet sie „zur Monetarisierung” und ist Hersteller. Die Grenze des Anwendungsbereichs liegt erst bei der Geschäftstätigkeit: Bereitstellung auf dem Markt ist nach Artikel 3 Nummer 22 die entgeltliche oder unentgeltliche Abgabe im Rahmen einer Geschäftstätigkeit.

Drittens: Werden Sie es durch die Hintertür? Einführer und Händler gelten nach Artikel 21 als Hersteller, wenn sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen oder eine wesentliche Änderung vornehmen. Wer sonst wesentlich ändert, trägt die Pflichten nach Artikel 22 Absatz 2 für den geänderten Teil — und für das ganze Produkt, wenn die Änderung dessen Cybersicherheit insgesamt betrifft.

Die Produktklasse entscheidet über den Aufwand

Der Pflichtenkatalog ist für alle gleich. Was sich unterscheidet, ist der Nachweis — und der kostet.

Zwei Dinge daran werden regelmäßig falsch wiedergegeben.

Firewalls sind Klasse II, nicht Klasse I. Anhang III Klasse II hat genau vier Einträge, und Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme sind Nummer 2 davon. Der Unterschied ist keine Formalie: Bei Klasse II ist nach Artikel 32 Absatz 3 immer ein Dritter beteiligt, auch bei vollständiger Anwendung harmonisierter Normen. Erwägungsgrund 91 sagt das ausdrücklich.

Industriesteuerungen stehen in Anhang III überhaupt nicht. Ein Produkt wird nach Artikel 7 Absatz 1 nur dann zum wichtigen Produkt, wenn es die Kernfunktionen einer gelisteten Kategorie aufweist. Die Firmware einer Maschinensteuerung ist deshalb in aller Regel weder wichtig noch kritisch — es sei denn, sie bringt selbst eine Firewall mit. Derselbe Absatz stellt klar: Die Integration eines gelisteten Elements führt für sich genommen nicht dazu, dass das umgebende Produkt den strengeren Verfahren unterliegt.

Eine Einschränkung, die man kennen muss: Bei Klasse I ist die Selbstbewertung nach Artikel 32 Absatz 2 nur zulässig, wenn harmonisierte Normen, gemeinsame Spezifikationen oder eine europäische Cybersicherheitszertifizierung mindestens der Stufe „mittel” vollständig angewandt wurden. Solange zu einem Produkt keine solchen Normen im Amtsblatt gelistet sind, führt praktisch kein Weg an einer notifizierten Stelle vorbei.

Die Meldepflicht gilt seit dem 11. September 2026

Zu melden sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts (Art. 14 Abs. 1 und 3) — nicht jede Schwachstelle. Erwägungsgrund 68 nimmt Funde ausdrücklich aus, die ohne böswillige Absicht bei gutgläubigen Tests, Untersuchungen, Korrekturen oder Offenlegungen entstehen. Bug-Bounty- und Pentest-Ergebnisse lösen also keine Meldung aus.

Der Empfänger wird häufig falsch beschrieben. Gemeldet wird gleichzeitig an das für Sie zuständige, als Koordinator benannte CSIRT und an die ENISA — über den Meldeendpunkt Ihres CSIRT auf der von der ENISA betriebenen einheitlichen Meldeplattform (Art. 14 Abs. 1 und 7, Art. 16 Abs. 1). Weitergeleitet wird nicht von der ENISA an das CSIRT, sondern vom erstempfangenden CSIRT an die CSIRTs der übrigen betroffenen Mitgliedstaaten (Art. 16 Abs. 2). Zuständige Meldestelle in Deutschland ist CERT-Bund beim BSI; das ergibt sich aus der ENISA-Liste der als Koordinatoren benannten CSIRTs (Stand 4. September 2026), nicht aus der Verordnung selbst.

Die Details der drei Stufen und des vierten Falls stehen im eigenen Beitrag zur CRA-Meldepflicht in 24 und 72 Stunden. Hier nur der Rahmen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen nach Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme beziehungsweise binnen eines Monats nach der 72-Stunden-Meldung. Dazu kommt ein Zwischenbericht, wenn das CSIRT ihn anfordert (Art. 14 Abs. 6) — der wird in fast jeder Darstellung unterschlagen.

Was ab dem 11. Dezember 2027 dazukommt

Der eigentliche Pflichtenkatalog steht in Artikel 13 und in Anhang I. Die Punkte, die im Mittelstand am häufigsten übersehen werden:

• Unterstützungszeitraum. Er muss die voraussichtliche Nutzungsdauer abbilden und beträgt mindestens fünf Jahre (Art. 13 Abs. 8). Das ist kein Wahlrecht — Erwägungsgrund 60 nennt Router, Betriebssysteme und Produkte für industrielle Umgebungen als Fälle, in denen längere Zeiträume geboten sind.
• Enddatum beim Kauf. Es ist zum Zeitpunkt des Kaufs leicht zugänglich anzugeben, mit mindestens Monat und Jahr (Art. 13 Abs. 19).
• Zehn Jahre Verfügbarkeit. Bereitgestellte Sicherheitsaktualisierungen müssen mindestens zehn Jahre verfügbar bleiben — oder für den Rest des Unterstützungszeitraums, wenn dieser länger ist (Art. 13 Abs. 9).
• Kostenlos. Sicherheitsaktualisierungen sind unverzüglich und kostenlos zu verbreiten (Anhang I Teil II Nr. 8).
• Software-Stückliste. In einem gängigen maschinenlesbaren Format, mindestens mit den obersten Abhängigkeiten (Anhang I Teil II Nr. 1). Veröffentlichen müssen Sie sie nicht — Details im Beitrag zu SBOM für KMU.
• Koordinierte Offenlegung. Eine Strategie ist aufzustellen und umzusetzen, dazu eine Kontaktadresse für Schwachstellenmeldungen (Anhang I Teil II Nr. 5 und 6). Wie das praktisch geht, steht im Beitrag zu CVD-Policy und security.txt.
• Zentrale Anlaufstelle. Sie muss den Nutzern die Wahl des Kommunikationswegs lassen und darf nicht auf automatisierte Kanäle beschränkt sein (Art. 13 Abs. 17). Ein Formular mit Autoresponder genügt nicht.
• Upstream melden. Wer eine Schwachstelle in einer eingebundenen Komponente feststellt — auch in einer quelloffenen —, meldet sie deren Hersteller oder Betreuer und stellt einen entwickelten Fix zur Verfügung (Art. 13 Abs. 6).
• CE bei Software. Die Kennzeichnung wird auf der EU-Konformitätserklärung oder auf der begleitenden Website angebracht; der betreffende Abschnitt muss für Verbraucher leicht und direkt zugänglich sein (Art. 30 Abs. 1).

Zwei Erleichterungen für kleine Anbieter, die selten beworben werden: Kleinst- und Kleinunternehmen dürfen alle Elemente der technischen Dokumentation in einem vereinfachten Format vorlegen, und notifizierte Stellen müssen dieses Formular akzeptieren (Art. 33 Abs. 5). Die Gebühren für die Konformitätsbewertung werden für sie proportional gesenkt (Art. 32 Abs. 6).

Bestandsprodukte: die gute Nachricht

Artikel 69 Absatz 2 sagt:

„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.”

Für den Altbestand gilt also zunächst nur Artikel 14 — die Meldepflicht, und die dafür ausdrücklich (Art. 69 Abs. 3). Nach der Leitlinie der Kommission C(2026) 5252 vom 27. Juli 2026 (Randnummer 210) gilt sie sogar nach dem Ende des Unterstützungszeitraums weiter.

Praktisch heißt das: Halten Sie fest, welches Produkt in welchem Stand in Verkehr ist. Ohne diese Dokumentation lässt sich später nicht belegen, dass eine Änderung nicht wesentlich war — und „wesentlich” ist nach Artikel 3 Nummer 30 jede Änderung nach dem Inverkehrbringen, die die Konformität mit den grundlegenden Anforderungen berührt oder den bestimmungsgemäßen Zweck verschiebt.

Was ein Verstoß kostet — und was nicht

Für Verstöße gegen die grundlegenden Anforderungen des Anhang I und gegen die Pflichten der Artikel 13 und 14 sieht Artikel 64 Absatz 2 Geldbußen bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für Verstöße gegen die Artikel 18 bis 23 und weitere Vorschriften liegt der Rahmen bei 10 Mio. € oder 2 % (Abs. 3), für falsche Angaben gegenüber Behörden bei 5 Mio. € oder 1 % (Abs. 4).

Zwei weitere Einordnungen gehören dazu. Die Verordnung setzt nur Obergrenzen; die Sanktionen selbst erlassen die Mitgliedstaaten (Art. 64 Abs. 1). Zu einem deutschen Durchführungsgesetz mit Bußgeldvorschriften ließ sich am 5. September 2026 keine belastbare Quelle finden. Und die Unternehmensgröße ist ein ausdrücklicher Zumessungsfaktor (Art. 64 Abs. 5 Buchst. c).

Wirksamer als jede Bußgelddrohung ist ohnehin Artikel 14 Absatz 8: Informiert der Hersteller die betroffenen Nutzer nicht rechtzeitig, können die als Koordinatoren benannten CSIRTs das selbst tun.

Wie viele Unternehmen es trifft

Eine Studie im Auftrag des Bundesministeriums für Wirtschaft und Energie schätzt 38.000 bis 120.000 potenziell vom CRA betroffene Unternehmen in Deutschland (Ramboll Management Consulting mit dem Institut der deutschen Wirtschaft Köln und IW Consult, November 2025). Die Autoren bezeichnen die Spanne ausdrücklich als Orientierung, nicht als juristisch belastbare Schätzung.

Wer die Zahl verwendet, sollte die Aufschlüsselung mitliefern: Im vorsichtigen Szenario sind 27.000 der 38.300 reine Handelsunternehmen; nur rund 11.300 sind Software- oder Hardware-Hersteller. Die 38.000 als Herstellerzahl auszugeben, rechnet den Markt schön.

Ihre nächsten Schritte

1. Rolle und Klasse klären. Der CRA-Hersteller-Check führt in elf Fragen durch Produkt, Rolle, Hauptniederlassung, Produktklasse und Ausnahmen — kostenlos, ohne Anmeldung, rechnet im Browser.
2. Produkte erfassen. Name, Versionen, Vertriebsweg, Mitgliedstaaten der Bereitstellung, eingebundene Fremdkomponenten. Ohne diese Liste lässt sich weder eine Frühwarnung befüllen noch eine Software-Stückliste erstellen.
3. Meldeweg festlegen. Wer meldet, wer vertritt, wann gilt eine Erstbewertung als abgeschlossen. Ab diesem Zeitpunkt laufen die 24 Stunden — auch am Wochenende.
4. Unterstützungszeiträume begründen. Je Produkt festlegen, wie lange es voraussichtlich genutzt wird, und die Begründung dokumentieren. Ab dem 11. Dezember 2027 steht das Enddatum sichtbar am Kaufvorgang.

Fazit

Der CRA ist keine Aufgabe für „irgendwann”, aber er ist auch nicht der Weltuntergang, als der er gelegentlich verkauft wird. Die Meldepflicht läuft seit September 2026 und braucht vor allem eines: einen benannten Menschen und einen geübten Ablauf. Der übrige Pflichtenkatalog trifft ab Dezember 2027 zunächst nur, was danach neu oder wesentlich geändert in Verkehr geht.

Wer den Aufwand klein halten will, fängt bei der Einordnung an — sie entscheidet, ob eine Selbstbewertung reicht oder eine notifizierte Stelle nötig ist.

Sie wollen das strukturiert angehen? Sprechen Sie mit unserem Team oder sehen Sie sich unsere Beratung zu IT-Sicherheit und Compliance an. Wenn Ihr Unternehmen zusätzlich unter NIS2 fällt, hilft Hugo NIS2 beim zweiten Regelwerk.

Häufige Fragen (FAQ)

Ab wann gilt der Cyber Resilience Act?

Die Verordnung (EU) 2024/2847 gilt ab dem 11. Dezember 2027. Artikel 14 mit den Meldepflichten gilt bereits seit dem 11. September 2026, Kapitel IV zur Notifizierung von Konformitätsbewertungsstellen seit dem 11. Juni 2026. Die Fundstelle ist Artikel 71 Absatz 2 — nicht Artikel 69, der die Übergangsbestimmungen für Bestandsprodukte regelt.

Wer ist Hersteller im Sinne des CRA?

Hersteller ist nach Artikel 3 Nummer 13, wer ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet — gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Einführer und Händler werden zu Herstellern, wenn sie unter eigenem Namen in Verkehr bringen oder eine wesentliche Änderung vornehmen (Artikel 21).

Fallen reine SaaS-Anbieter unter den CRA?

Nein. Erwägungsgrund 12 stellt klar, dass für Cloud-Computing-Dienste und Dienstmodelle wie SaaS, PaaS und IaaS die Richtlinie (EU) 2022/2555 gilt — also NIS2. Wer neben dem Webdienst eine App, einen Desktop-Client, einen Agenten oder ein SDK ausliefert, ist dafür allerdings Hersteller; die zugehörige Backend-Schnittstelle wird dann als Datenfernverarbeitungslösung miterfasst.

Sind Firewalls wichtige Produkte der Klasse I?

Nein. Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme stehen in Anhang III Klasse II. Das ist folgenreich: Bei Klasse II ist an der Konformitätsbewertung stets ein Dritter beteiligt, auch wenn harmonisierte Normen vollständig angewandt wurden. Klasse II hat insgesamt nur vier Kategorien.

Reichen fünf Jahre Unterstützungszeitraum?

Nur, wenn das Produkt voraussichtlich weniger als fünf Jahre genutzt wird. Artikel 13 Absatz 8 verlangt, dass der Unterstützungszeitraum die voraussichtliche Nutzungsdauer abbildet; fünf Jahre sind die Untergrenze, kein Wahlrecht. Erwägungsgrund 60 nennt Router, Betriebssysteme und Produkte für industrielle Umgebungen als Fälle, in denen längere Zeiträume geboten sind.

Müssen wir unsere Bestandsprodukte nachrüsten?

Für den Pflichtenkatalog nein, für die Meldepflicht ja. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen der Verordnung nur dann, wenn sie danach einer wesentlichen Änderung unterliegen (Artikel 69 Absatz 2). Die Meldepflicht des Artikels 14 gilt dagegen für alle Produkte im Anwendungsbereich, auch für den Altbestand (Artikel 69 Absatz 3).