Cyber Resilience Act: kurze Antworten

Er gilt für Produkte mit digitalen Elementen auf dem EU-Markt, Hardware und Software, deren bestimmungsgemäße Verwendung eine Datenverbindung zu einem Gerät oder Netzwerk einschließt. Produkte, für die eigenes EU-Produktrecht gilt, etwa Medizinprodukte und typgenehmigte Fahrzeuge, sind ausgenommen.

Die Meldepflichten gelten seit dem 11. September 2026 für alle Produkte auf dem Markt. Die übrigen Anforderungen gelten für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, oder für ältere Produkte, die wesentlich geändert werden.

Der Hersteller legt einen Support-Zeitraum fest, der der erwarteten Nutzungsdauer des Produkts entspricht, grundsätzlich mindestens fünf Jahre, außer das Produkt wird kürzer genutzt. In dieser Zeit müssen Schwachstellen behandelt und Sicherheitsupdates bereitgestellt werden.

Freie und quelloffene Software, die nicht im Rahmen einer gewerblichen Tätigkeit monetarisiert wird, fällt grundsätzlich nicht darunter. Verwalter von Open-Source-Software haben geringere Pflichten. Hersteller, die Open Source einbauen, bleiben für ihr Produkt verantwortlich.

Eine Datenfernverarbeitung, die der Hersteller entwickelt und ohne die das Produkt eine seiner Funktionen nicht erfüllen kann, gilt als Teil des Produkts.

Meldungen laufen über die einheitliche Meldeplattform der ENISA an das als Koordinator benannte CSIRT im Mitgliedstaat Ihrer Hauptniederlassung und an die ENISA.

Harmonisierte Normen für den CRA werden noch erarbeitet. IEC 62443-4-1 und 4-2 decken einen großen Teil der grundlegenden Anforderungen ab und sind eine starke Grundlage. Ein Abgleich mit Anhang I ist trotzdem nötig.

Nein. Die SBOM ist Teil der technischen Dokumentation und muss den Marktüberwachungsbehörden auf Anfrage vorgelegt werden.

Bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen und die Herstellerpflichten. Für andere Verstöße gelten niedrigere Obergrenzen.