Wichtige Begriffe
- Produkt mit digitalen Elementen
- Ein Software- oder Hardwareprodukt einschließlich seiner Datenfernverarbeitungslösungen, das eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt [Art. 3 Nr. 1].
- Software-Stückliste (SBOM)
- Eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen aller Softwarekomponenten eines Produkts mit digitalen Elementen — vergleichbar einer Zutatenliste für Software [Art. 3 Nr. 39].
- Aktiv ausgenutzte Schwachstelle
- Eine Schwachstelle, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat [Art. 3 Nr. 42].
- Unterstützungszeitraum
- Der Zeitraum, in dem der Hersteller sicherstellen muss, dass Schwachstellen seines Produkts wirksam und im Einklang mit Anhang I Teil II behandelt werden — mindestens fünf Jahre [Art. 3 Nr. 20, Art. 13 Abs. 8].
- Wesentliche Änderung
- Eine Änderung am Produkt nach dem Inverkehrbringen, die sich auf die Konformität mit den Cybersicherheitsanforderungen in Anhang I Teil I auswirkt oder den bestimmungsgemäßen Zweck ändert [Art. 3 Nr. 30].
- Konformitätsbewertung
- Das Verfahren zur Überprüfung, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt werden — je nach Produktkategorie als interne Kontrolle (Modul A) oder mit Drittprüfung (Modul B+C, Modul H) [Art. 3 Nr. 27, Art. 32].
- Verwalter quelloffener Software
- Eine juristische Person, die systematisch die Entwicklung kommerziell bestimmter Open-Source-Produkte mit digitalen Elementen unterstützt und deren Brauchbarkeit sicherstellt — ohne selbst Hersteller zu sein [Art. 3 Nr. 14].
?
Häufige Fragen
Gilt die CRA auch für reine Softwareprodukte ohne Hardware?
Ja. Die Verordnung definiert ein Produkt mit digitalen Elementen als Software- oder Hardwareprodukt einschließlich seiner Datenfernverarbeitungslösungen, das eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt [Art. 2 Abs. 1, Art. 3 Nr. 1]. Reine SaaS-Dienste ohne lokale Softwarekomponente fallen jedoch nicht darunter.
Wie werden Open-Source-Projekte behandelt?
Freie und quelloffene Software, die nicht im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt wird, fällt nicht unter die Herstellerpflichten. Wird sie jedoch kommerziell vertrieben oder monetarisiert, gelten die vollen Pflichten. Zusätzlich führt die CRA die Rolle des Verwalters quelloffener Software ein, der eine Cybersicherheitsstrategie dokumentieren und bei Schwachstellenmeldungen mitwirken muss [Art. 24, Erwägungsgrund 18].
Welche Meldefristen gelten bei aktiv ausgenutzten Schwachstellen?
Frühwarnung innerhalb von 24 Stunden, vollständige Schwachstellenmeldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme — jeweils an das zuständige CSIRT und die ENISA über die einheitliche Meldeplattform [Art. 14 Abs. 2 lit. a–c].
Was ist der Unterschied zwischen wichtigen und kritischen Produkten?
Wichtige Produkte (Anhang III, Klasse I und II) müssen strengere Konformitätsbewertungsverfahren durchlaufen (Drittprüfung statt reiner interner Kontrolle) [Art. 7, Art. 32 Abs. 2–3]. Kritische Produkte (Anhang IV) können darüber hinaus ein europäisches Cybersicherheitszertifikat mindestens der Vertrauenswürdigkeitsstufe 'mittel' benötigen [Art. 8 Abs. 1].
Wie lang muss der Unterstützungszeitraum sein?
Mindestens fünf Jahre, es sei denn, die voraussichtliche Nutzungsdauer des Produkts ist kürzer — dann entspricht der Unterstützungszeitraum der Nutzungsdauer. Der Hersteller muss das Enddatum auf dem Produkt, der Verpackung oder digital angeben [Art. 13 Abs. 8, Abs. 19].
Können KMU von Erleichterungen profitieren?
Ja. Kleinstunternehmen und kleine Unternehmen können eine vereinfachte technische Dokumentation vorlegen [Art. 33 Abs. 5]. Die Mitgliedstaaten sollen Schulungen, Beratungskanäle und Reallabore für Cyberresilienz bereitstellen [Art. 33 Abs. 1–2]. Konformitätsbewertungsgebühren sind proportional zu senken [Art. 32 Abs. 6].
Wie verhält sich die CRA zum AI Act bei Hochrisiko-KI-Systemen?
Produkte, die sowohl unter die CRA als auch als Hochrisiko-KI-System unter den AI Act (VO 2024/1689) fallen, gelten als konform mit den Cybersicherheitsanforderungen des AI Act (Art. 15 VO 2024/1689), wenn sie die CRA-Anforderungen in Anhang I erfüllen [Art. 12 Abs. 1]. Das Konformitätsbewertungsverfahren richtet sich dann nach Art. 43 des AI Act [Art. 12 Abs. 2].
3
Prüfungsfaktoren & Checkliste
Premium4
Fragen für Ihren Anwalt
Premium5
Fazit & Zusammenfassung
PremiumDetaillierte Analyse mit Quellenlinks.
Schalten Sie die KI-Analyse frei — mit markierten Fundstellen und direkten Links zu EUR-Lex. Kostenlos prüfen mit Scout.
Keine Kreditkarte. 50 Recherchen + 5 KI-Analysen frei.
Kurz erklärt — Videos zum Thema
60-Sekunden-Erklärungen aus unserem YouTube-Kanal. Klick öffnet YouTube in einem neuen Tab — kein YouTube-Embed, kein Tracking auf dieser Seite.
0:43Produkt fertig — und darf trotzdem nicht verkauft werden (CRA, Art. 6) #compliance #cyberresilience
Öffnet YouTube
5:00Cyber Resilience Act: Darf Ihr vernetztes Produkt 2026 noch auf den EU-Markt?
Öffnet YouTube
0:55Angriff läuft — und Ihr Meldeprozess startet erst 2027? (Art. 14) #compliance #cyberresilience
Öffnet YouTube
0:42Wer prüft Ihr Produkt — Sie selbst oder ein Fremder? (CRA, Art. 7) #compliance #cyberresilience
Öffnet YouTube