Der Cyber Resilience Act führt ab Dezember 2027 eine Anforderung ein die für viele Softwareunternehmen ein echter Paradigmenwechsel ist.

Wer Software entwickelt und verkauft kennt das CE-Kennzeichen bisher vor allem von Hardware. Maschinen, Elektronik, Medizinprodukte – physische Dinge die eine Konformitätsprüfung durchlaufen bevor sie in den EU-Markt kommen. Software war bisher eine andere Welt. Keine CE-Pflicht, keine Konformitätsbewertung, kein formaler Nachweis dass das Produkt sicher ist. Das ändert sich. Grundlegend. Der Cyber Resilience Act führt ab Dezember 2027 eine Anforderung ein die für viele Softwareunternehmen ein echter Paradigmenwechsel ist: Produkte mit digitalen Elementen – und dazu gehört auch Software die eigenständig verkauft wird – müssen die Anforderungen des CRA erfüllen und das durch eine Konformitätsbewertung nachweisen. Für die meisten Standardprodukte reicht eine Selbstbewertung. Für kritische Produkte ist eine externe Prüfung erforderlich. Was steckt hinter diesem Wandel? Die EU hat erkannt dass digitale Produkte heute genauso kritische Infrastruktur sind wie physische. Eine Sicherheitslücke in einer weitverbreiteten Software kann Millionen von Systemen gleichzeitig gefährden – weit mehr als ein fehlerhaftes physisches Produkt. Und trotzdem gab es bisher keine verbindlichen Mindestsicherheitsanforderungen für Software die auf dem EU-Markt verkauft wird. Der CRA schließt diese Lücke. Er verlangt dass Sicherheit nicht nachträglich aufgesetzt wird sondern von Anfang an in das Produkt eingebaut ist – Security by Design. Er verlangt dass Schwachstellen aktiv überwacht und gemeldet werden. Und er verlangt dass Sicherheitsupdates über den gesamten Produktlebenszyklus bereitgestellt werden – mindestens fünf Jahre. Was das für Softwareunternehmen konkret bedeutet: Wer heute noch entwickelt ohne systematische Risikoanalyse, ohne dokumentierte Sicherheitsanforderungen und ohne klare Schwachstellenprozesse, muss seine Entwicklungsprozesse grundlegend anpassen. Das ist kein Compliance-Projekt das man kurz vor dem Stichtag angeht. Es ist eine Veränderung die Zeit braucht und jetzt beginnen sollte. Die gute Nachricht: Wer sichere Software baut hat nach Dezember 2027 einen nachweisbaren Wettbewerbsvorteil gegenüber jedem der das nicht tut.