Das Produkt von 2028 entsteht heute

Wer heute ein Produkt spezifiziert, entwickelt es bereits unter CRA-Regime.

Das klingt nach Zukunft, ist aber eine Rechenaufgabe. Der Cyber Resilience Act gilt vollständig ab dem 11. Dezember 2027. Bis dahin sind es etwas mehr als dreizehn Monate. Bei vielen Herstellern vernetzter Produkte dauert ein Entwicklungszyklus von der Spezifikation bis zum Marktstart drei bis fünf Jahre. Das Lastenheft, das diesen Herbst geschrieben wird, beschreibt also ein Produkt, das 2028 oder 2029 auf den Markt kommt, und damit eines, das den CRA erfüllen muss.

Das Gesetz kommt nicht erst bei der Auslieferung ins Spiel. Es verlangt, dass Sicherheit im Produkt angelegt ist: sichere Standardeinstellungen, ein dokumentiertes Schwachstellenmanagement, Sicherheitsupdates über den gesamten Supportzeitraum, eine Software-Stückliste und eine technische Dokumentation, die belegt, dass all das stimmt. Alles, was in der Spezifikation fehlt, muss später nachgerüstet werden. Das ist erfahrungsgemäß deutlich teurer als es mitzudenken, weil sich Architekturentscheidungen kaum mehr rückgängig machen lassen, wenn schon Software darauf steht.

Und das Ganze hat eine zweite Zeitachse. Die Meldepflichten für aktiv ausgenutzte Schwachstellen gelten bereits seit September 2026. Die Rechtslage ist also schon beim Lastenheft angekommen, auch wenn die Entwicklung noch Kaffee holt.

Dabei ist die gute Nachricht, dass die Spezifikationsphase der billigste Zeitpunkt für Sicherheit ist. Es braucht dafür keine Task Force, sondern ein paar Sätze im Lastenheft und ein Gespräch mit der Entwicklung. Drei Fragen genügen für den Anfang: Aus welchen Komponenten besteht das Produkt, und wissen wir das so genau, dass wir eine Stückliste führen können? Wie lange wollen wir das Produkt mit Updates versorgen? Und wer im Unternehmen nimmt Schwachstellenmeldungen entgegen und weiß, was dann in den ersten vierundzwanzig Stunden zu tun ist?

Wer das früh klärt, bekommt dafür mehr als Konformität. Einkäufer fragen schon heute nach Nachweisen, und ein Hersteller, der sie ohne Hektik liefern kann, gewinnt dort Vertrauen, wo andere erst anfangen zu suchen. Ob und wie Ihr Produkt unter den CRA fällt, hängt im Einzelfall von Produktart und Rolle ab und sollte fachlich geprüft werden.

Steht in den Lastenheften, die Ihr Unternehmen in dieser Woche schreibt, schon ein Satz zum CRA?

Wenn Sie mehr zum Thema CRA und digitale Resilienz wissen möchten – kurze DM genügt.