Cyber Resilience Act: Pflichten, Fristen und Verantwortung für Unternehmen

Cyber Resilience Act: Was ändert sich ab September 2026?

Beim CRA greifen die Vorgaben in Österreich schrittweise. Für Hersteller starten ab dem 11. September 2026 erste Pflichten, vollständig anwendbar ist der Cyber Resilience Act ab dem 11. Dezember 2027.

Wenn Sie erst dann mit der Vorbereitung beginnen, sind Sie spät dran. Denn Unternehmen müssen vorher klären, welche Produkte betroffen sind, welche Rolle sie dabei haben und wer intern für Security, Support und Meldungen zuständig ist.

Welche Produkte und Unternehmen betrifft der CRA?

Der CRA gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden. Er greift, wenn ein digitales Produkt mit einem Gerät oder Netzwerk verbunden oder dafür vorgesehen ist. Dazu gehören zum Beispiel

• Software
• Hardware
• vernetzte Geräte und
• separat vermarktete Komponenten.

Doch Achtung: Digital bedeutet nicht automatisch CRA-pflichtig. Für einzelne Produktgruppen gibt es Ausnahmen und Sonderregeln. Fällt das Produkt unter die Vorgaben des CRA, folgt die nächste Frage: Welche Rolle übernimmt Ihr Unternehmen? Der CRA unterscheidet vor allem drei:

• Hersteller entwickeln ein Produkt beziehungsweise lassen es entwickeln und bringen es unter eigenem Namen oder eigener Marke auf den Markt.
• Importeure bringen als in der EU ansässige Unternehmen Produkte eines Herstellers auf den europäischen Markt. Der Hersteller selbst sitzt nicht in der EU.
• Händler stellen Produkte innerhalb der Lieferkette bereit, ohne zunächst Hersteller oder Importeur zu sein.

Das klingt zunächst nach klar getrennten Kategorien. In der Praxis kann sich Ihre Rolle aber schnell ändern. Ändern Sie etwa vor dem Weiterverkauf die Firmware eines vernetzten Produkts wesentlich, können Sie als Hersteller gelten, obwohl Sie ursprünglich nur als Händler aufgetreten sind. Daher sollten Sie wissen, welche Pflichten mit dieser Rolle verbunden sind.

Herstellerpflichten: Cybersicherheit endet nicht mit dem Launch

Eine Software ist entwickelt, getestet und veröffentlicht. Projekt erledigt? Nicht aus CRA-Sicht. Hersteller müssen Cybersicherheit über den Produktlebenszyklus hinweg berücksichtigen. Dazu gehören unter anderem

• Risikobewertung,
• sichere Produktgestaltung,
• technische Dokumentation,
• Informationen und Anleitungen für die sichere Nutzung,
• Konformitätsverfahren und
• CE-Kennzeichnung.

Was sichere Produktgestaltung konkret bedeutet, hängt vom jeweiligen Risiko ab. Der CRA verlangt unter anderem die Abwehr unbefugter Zugriffe und den Schutz gespeicherter oder übertragener Daten. Auch wesentliche Funktionen sollen nach einem Sicherheitsvorfall verfügbar bleiben.

Doch nicht für jedes Produkt läuft auch die Konformitätsbewertung gleich ab. Während bei vielen Produkten eine Selbstbewertung möglich ist, gelten für wichtige und kritische Produkte strengere Verfahren, bei denen teilweise eine unabhängige Stelle eingebunden werden muss.

Nach dem Launch geht es weiter. Hersteller müssen Schwachstellen über einen festgelegten Supportzeitraum hinweg behandeln. Dieser richtet sich danach, wie lange das Produkt voraussichtlich genutzt wird, und beträgt grundsätzlich mindestens fünf Jahre. Stellen Sie Sicherheitsupdates bereit, müssen diese Schwachstellen zeitnah beheben und grundsätzlich kostenlos verfügbar sein.

Cybersicherheit wird damit vom Entwicklungsprojekt zur Daueraufgabe.

Dabei müssen Sie als Hersteller nicht nur die eigene Entwicklung im Blick behalten. Sicherheitslücken können auch in zugelieferten Komponenten oder eingebundenen Anwendungen stecken. Unternehmen brauchen deshalb klare Antworten auf Fragen wie:

• Wer überwacht neue Sicherheitsprobleme?
• Wer bewertet sie?
• Wer kümmert sich um Patches?
• Und wer entscheidet im Ernstfall, ob eine Meldung notwendig ist?

Wenn Sie das erst bei einem Sicherheitsvorfall klären, verlieren Sie wertvolle Zeit.

Import und Onlinehandel: Wann wächst Ihre Verantwortung?

Der Einkauf hat ein attraktives vernetztes Produkt gefunden. Der Preis passt, die Lieferzeit stimmt. Doch der Hersteller sitzt außerhalb der EU. Sollten Sie das Produkt einfach bestellen und weiterverkaufen? Bevor Sie das tun, fragen Sie sich: Welche Verantwortung übernehmen Sie mit dem Import?

Denn bringen Sie ein Produkt auf den europäischen Markt, das unter den CRA fällt und von einem Hersteller außerhalb der EU stammt, können Sie als Importeur gelten. Damit entstehen separate Prüfpflichten. Unter anderem geht es darum, ob der Hersteller relevante Anforderungen erfüllt hat, die notwendige Dokumentation vorliegt und die vorgeschriebene Kennzeichnung stimmt.

Auch wenn Sie als Händler Produkte innerhalb der EU einkaufen, sind Sie nicht automatisch außen vor. Sie müssen bei betroffenen Produkten Angaben, Kennzeichnungen und Informationen prüfen. Bestehen begründete Zweifel daran, dass ein Produkt die CRA-Anforderungen erfüllt, dürfen Sie das Produkt grundsätzlich erst weiterverkaufen, wenn die Vorgaben erfüllt sind. Damit landet der CRA an konkreten Stellen des Geschäftsalltags:

• im Einkauf,
• bei der Sortimentsprüfung,
• in Produktdaten und
• in der Lieferantenauswahl.

Wichtig ist künftig also nicht nur: Kann der Lieferant liefern? Sondern auch: Kann er die Informationen, Nachweise und Sicherheitsupdates liefern, die Sie später brauchen?

Private Label: Wenn das eigene Logo die Rolle verändert

Besonders relevant wird die Rollenfrage im Bereich Private Label. Hier ein klassisches Szenario: Sie beziehen ein vernetztes Produkt von einem anderen Anbieter. Technisch verändern Sie nichts. Auf Produkt und Verpackung steht anschließend aber Ihre eigene Marke.

Aus Marketingsicht ist das Private Label. Aus CRA-Sicht kann daraus schnell Herstellerverantwortung werden. Denn wenn Sie ein betroffenes Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen, gelten Sie unter Umständen als Hersteller. Und zwar mit entsprechend weitergehenden Pflichten.

Für Unternehmen ergibt sich daraus eine wichtige Prüffrage: Verändern wir gerade das Branding oder möglicherweise auch unsere CRA-Rolle?

Meldepflichten: Warum 24 Stunden ziemlich kurz sein können

Zurück zu unserem Szenario aus dem Einstieg. Das Security-Team hat bestätigt: Die Schwachstelle wird tatsächlich aktiv ausgenutzt. Jetzt müssen Sie zwei Aufgaben parallel bewältigen. Sie müssen technisch reagieren und prüfen, ob eine CRA-Meldepflicht besteht. Ab dem 11. September 2026 müssen Hersteller insbesondere bestimmte

• aktiv ausgenutzte Schwachstellen und
• schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit

melden. Ist ein Ereignis meldepflichtig, gelten folgende Fristen:

• innerhalb von 24 Stunden: erste Meldung,
• innerhalb von 72 Stunden: ausführlichere Meldung,
• bei aktiv ausgenutzten Schwachstellen: Abschlussbericht spätestens 14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist,
• bei schwerwiegenden Sicherheitsvorfällen: Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung.

Für die Meldungen gibt es ab dem 11. September 2026 eine zentrale Anlaufstelle: die von der EU-Cybersicherheitsagentur ENISA betriebene Single Reporting Plattform, kurz SRP. Mit der Meldung an die Behörden ist es allerdings nicht immer getan. Hersteller müssen auch Nutzer über aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle informieren.

Wichtig: Die Meldepflichten greifen früher als die meisten übrigen CRA-Vorgaben. Sie gelten auch für Produkte, die bereits vor dem vollständigen Anwendungsdatum des CRA am 11. Dezember 2027 auf dem EU-Markt waren.

CRA-Verstöße: Welche Geldbußen drohen?

Verletzen Sie zentrale Pflichten des Cyber Resilience Act, müssen Sie ab dem 11. Dezember 2027 mit harten Sanktionen rechnen. Bei Verstößen gegen grundlegende Cybersicherheitsanforderungen sowie bestimmte Hersteller- und Meldepflichten sind Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich – je nachdem, welcher Betrag höher ist. Verstoßen Sie gegen Vorgaben für Importeure und Händler, können Geldbußen von bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes verhängt werden.

Für Kleinst- und Kleinunternehmen gibt es eine Besonderheit: Versäumen sie die 24-Stunden-Frist für die erste Meldung, sieht der CRA hierfür keine administrative Geldbuße vor. Die Meldepflicht selbst bleibt jedoch bestehen.

Doch mögliche Sanktionen sind nur eine Seite. Fehler rund um den CRA können zusätzlich wirtschaftliche Schäden und Haftungsfragen nach sich ziehen.

CRA und Haftung: Wenn aus einer Pflicht ein finanzielles Risiko wird

Der CRA schafft neue Pflichten. Die Situationen, aus denen später Streit entstehen kann, wirken dagegen ziemlich vertraut. Denn wenn der Betrieb Ihres Unternehmens beeinträchtigt wird oder es Streit über Verantwortlichkeiten und fehlerhafte Leistungen gibt, wird es schnell teuer.

Für die Absicherung macht es einen Unterschied, wen der Schaden trifft. Entsteht einem Dritten durch einen beruflichen Fehler Ihrerseits ein Schaden, kann im Rahmen des vereinbarten Versicherungsschutzes Ihre Berufshaftpflichtversicherung greifen. Treffen die Konsequenzen eines Versäumnisses dagegen Ihr eigenes Unternehmen, stehen mögliche Eigenschäden wie Wiederherstellungskosten oder die Folgen einer Betriebsunterbrechung im Vordergrund. Solche Leistungen hängen vom gewählten Versicherungsschutz und den Voraussetzungen des jeweiligen Bausteins ab.