Der Cyber Resilience Act macht Sicherheit zur Pflicht für alle Produkte mit digitalen Elementen, die in der EU verkauft werden. Dazu gehören vernetzte Geräte und Software, auch Software, die Unternehmen auf eigenen Servern betreiben. Hersteller müssen ihre Produkte sicher entwickeln, Schwachstellen beheben und melden.
Für Software ist das neu. Bisher gab es keine EU-weiten Pflichtregeln für die Sicherheit von Software, die man kauft. Seit September 2026 läuft die erste Stufe, die Meldepflicht. Ab Dezember 2027 gilt der CRA vollständig.
- Der Cyber Resilience Act (Verordnung (EU) 2024/2847) schreibt Mindeststandards für die Sicherheit von Software und vernetzten Geräten vor, die in der EU verkauft werden, über ihren ganzen Lebenszyklus.
- Seit dem 11.
- September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle binnen 24 Stunden melden; ab dem 11.
- Dezember 2027 gelten auch die Anforderungen an Entwicklung, Updates, Dokumentation und CE-Kennzeichnung.
- Die Pflichten liegen beim Hersteller, nicht beim Unternehmen, das die Software nutzt; als Käufer sollten Sie aber gezielt danach fragen.
Was ist der Cyber Resilience Act?
Der CRA ist die Verordnung (EU) 2024/2847. Er funktioniert wie andere Produktgesetze der EU: Der Hersteller prüft, ob sein Produkt die Anforderungen erfüllt, führt technische Unterlagen und bringt ein CE-Kennzeichen an. Neu ist, dass das auch für Software gilt und über die ganze Lebensdauer des Produkts.
Der CRA trat am 10. Dezember 2024 in Kraft und gilt in Stufen. Die Grafik oben zeigt die Fristen. Produkte, die vor Dezember 2027 auf den Markt kamen, fallen nur bei wesentlichen Änderungen unter die vollen Pflichten. Die Meldepflicht gilt aber für alle Produkte auf dem Markt.
Kurz gesagtProduktgesetz für Software und Geräte: sicher entwickeln, Schwachstellen beheben, CE-Kennzeichen.
Wen betrifft der CRA?
Die Pflichten liegen bei denen, die ein Produkt in der EU auf den Markt bringen: Hersteller, Importeure und Händler. Der Hersteller trägt die meisten Pflichten. Unternehmen, die Software nur einsetzen, haben aus dem CRA keine eigenen Pflichten.
Bei Software kommt es darauf an, wie sie geliefert wird:
Software, die Sie selbst betreiben
- Gilt als Produkt mit digitalen Elementen.
- Fällt unter den CRA; der Hersteller trägt die Pflichten.
- Sie bekommen Updates und Sicherheitsinformationen vom Hersteller.
Reiner Cloud-Dienst
- Gilt in der Regel nicht als Produkt, das auf den Markt gebracht wird.
- Fällt meist unter die NIS2-Regeln für Dienste statt unter den CRA.
- Ausnahme: Die Fernverarbeitung gehört zu einem Produkt, das ohne sie nicht funktioniert.
Bei Open Source zählt, ob Geld im Spiel ist. Freie Software, die ihr Hersteller nicht kommerziell vertreibt, ist ausgenommen. Stiftungen, die solche Software dauerhaft betreuen, haben als „Verwalter“ leichtere Pflichten. Wer ein Produkt mit offenem Kern verkauft, ist dagegen Hersteller, egal unter welcher Lizenz.
Kurz gesagtHersteller tragen die Pflichten; selbst betriebene Software ja, reine Cloud-Dienste meist nein.
Die Meldepflicht seit dem 11. September 2026
Seit dem 11. September 2026 müssen Hersteller zwei Arten von Ereignissen melden: Schwachstellen, die nachweislich ausgenutzt werden, und schwere Vorfälle, die die Sicherheit des Produkts beeinträchtigen. Die Fristen laufen ab dem Moment, in dem der Hersteller davon erfährt:
- Frühwarnungbinnen 24 Stunden
- Meldungbinnen 72 Stunden, mit erster Einschätzung
- Abschlussbericht Schwachstellespätestens 14 Tage, nachdem ein Update bereitsteht
- Abschlussbericht Vorfallbinnen eines Monats nach der 72-Stunden-Meldung
Gemeldet wird über die zentrale Meldeplattform der EU, die ENISA betreibt. Die Meldung geht zuerst an das zuständige nationale Computer-Notfallteam. In Deutschland soll nach dem Entwurf des Durchführungsgesetzes das BSI die Marktüberwachung übernehmen. Hersteller informieren zudem betroffene Nutzer und nennen, was sie tun können.
Kurz gesagt24 Stunden, 72 Stunden, 14 Tage oder ein Monat, über die EU-Meldeplattform.
Die Pflichten ab Dezember 2027
Ab dem 11. Dezember 2027 müssen Produkte die grundlegenden Anforderungen aus Anhang I erfüllen. Sie gliedern sich in zwei Teile:
- Eigenschaften des Produkts: sicher entwickelt, ohne bekannte ausnutzbare Schwachstellen ausgeliefert, mit sicheren Voreinstellungen, Schutz von Daten und Zugängen.
- Umgang mit Schwachstellen: eine Stückliste der Softwarebestandteile (SBOM), schnelle und kostenlose Sicherheitsupdates, ein Verfahren zur Meldung von Schwachstellen und eine Kontaktstelle.
Der Hersteller legt einen Unterstützungszeitraum fest und nennt das Enddatum beim Kauf. Er soll mindestens fünf Jahre betragen, außer das Produkt wird kürzer genutzt. Für die meisten Produkte reicht eine Selbstbewertung. Für „wichtige“ und „kritische“ Produkte, etwa Betriebssysteme oder Firewalls, braucht es strengere Verfahren.
Dazu kommt die Sorgfalt bei fremden Bestandteilen. Moderne Software besteht zu einem großen Teil aus Open-Source-Bibliotheken. Der Hersteller muss prüfen, dass diese Bestandteile die Sicherheit nicht gefährden, und Schwachstellen darin genauso behandeln wie im eigenen Code. Bei KI-Plattformen betrifft das auch Komponenten für Suche, Datenbank und Modellbetrieb. Am Ende stehen eine technische Dokumentation und eine EU-Konformitätserklärung.
Kurz gesagtAb Dezember 2027: sichere Produkte, SBOM, Updates, Unterstützungszeitraum, CE.
Was der CRA für Käufer von KI-Software bedeutet
Als Unternehmen, das Software einsetzt, haben Sie keine CRA-Pflichten. Sie profitieren aber, wenn Sie die richtigen Fragen stellen. Gerade bei KI-Plattformen, die Zugriff auf viele Dokumente haben, lohnt sich das:
Alle Punkte abgehakt. Gut vorbereitet.
Bei Cloud-Diensten lohnen ähnliche Fragen, auch wenn der CRA dort meist nicht gilt. Gesetze wie NIS2 und Ihr eigener Vertrag regeln dann die Sicherheit.
Kurz gesagtKeine eigenen Pflichten, aber fünf Fragen an jeden Anbieter.
Was für RAGSuite gilt
Weil RAGSuite auch zum Selbstbetrieb angeboten wird, fällt es unter den Cyber Resilience Act. Die NITSAN GmbH ist der Hersteller. Bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen erfüllen wir die Meldepflichten, die seit dem 11. September 2026 gelten.
Auf die grundlegenden Anforderungen, die ab Dezember 2027 gelten, arbeiten wir hin. Eine Fähigkeit nennen wir im Trust Center erst, wenn sie ausgeliefert ist. Eine CRA-Konformität oder CE-Kennzeichnung beanspruchen wir heute nicht. Eine Schwachstelle melden Sie über Sicherheitslücke melden. Technische Hintergründe finden Sie auf der Seite RAGSuite für Entwickler.
Dies ist eine allgemeine Information, keine Rechtsberatung. Lassen Sie Ihre konkrete Lage von Ihrer Rechtsabteilung oder IT-Sicherheit bewerten.
Kurz gesagtRAGSuite fällt unter den CRA; wir melden, arbeiten auf die Anforderungen hin und nennen nur Ausgeliefertes.
Wie RAGSuite mit Sicherheit, Updates und Meldungen umgeht, sehen Sie im Trust Center, oder Sie besprechen Ihre Fragen mit Stefan.
Häufige Fragen
Was ist der Cyber Resilience Act?
Der Cyber Resilience Act ist die EU-Verordnung 2024/2847. Er schreibt Mindeststandards für die Sicherheit von Produkten mit digitalen Elementen vor, also vernetzter Geräte und Software, die in der EU verkauft werden. Hersteller müssen sicher entwickeln, Schwachstellen beheben und melden und ab Dezember 2027 ein CE-Kennzeichen anbringen.
Ab wann gilt der Cyber Resilience Act?
Der CRA ist seit dem 10. Dezember 2024 in Kraft und gilt in Stufen. Seit dem 11. September 2026 gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle, auch für Produkte, die schon auf dem Markt sind. Ab dem 11. Dezember 2027 gelten alle übrigen Pflichten.
Gilt der CRA für Open-Source-Software?
Freie Software, die ihr Hersteller nicht kommerziell vertreibt, ist ausgenommen. Stiftungen, die solche Software dauerhaft betreuen, haben als Verwalter leichtere Pflichten und keine Bußgelder. Wer ein Produkt mit offenem Kern verkauft, gilt dagegen als Hersteller und trägt die vollen Pflichten, unabhängig von der Lizenz.
Gilt der Cyber Resilience Act auch für SaaS und Cloud-Dienste?
In der Regel nicht. Reine Cloud-Dienste gelten meist nicht als Produkte, die auf den Markt gebracht werden, und fallen eher unter NIS2. Eine Ausnahme ist Fernverarbeitung, ohne die ein Produkt nicht funktioniert. Software, die Sie selbst betreiben, fällt dagegen unter den CRA.
Was müssen Unternehmen tun, die Software nur nutzen?
Aus dem CRA haben sie keine eigenen Pflichten; diese liegen beim Hersteller. Sinnvoll ist trotzdem, beim Kauf nachzufragen: nach dem Enddatum für Sicherheitsupdates, der Kontaktstelle für Schwachstellen, der Stückliste der Bestandteile und dem Weg, auf dem Sie von Updates erfahren. Prüfen Sie außerdem eigene Pflichten etwa aus NIS2.
Quellen
- Cyber Resilience Act, Reg. (EU) 2024/2847: Art. 13, 14, 64, 71, Anhang I
- European Commission: Cyber Resilience Act: summary: Geltungsbereich, Fristen
- ENISA: Factsheet zur CRA-Meldeplattform (September 2026): Meldefristen, Meldeweg
- IHK Nürnberg: CRA: Meldepflichten ab 11. September 2026: Überblick für Unternehmen
- ZVEI: Position zum Referentenentwurf CRA-Durchführungsgesetz (April 2026): BSI als Marktüberwachung (Entwurf)
Stefan betreut Kunden aus öffentlicher Verwaltung und regulierten Branchen. Er schreibt über DSGVO, EU AI Act, Betriebsrat und Ausschreibungen.