Der Cyber Resilience Act ist das erste EU-Gesetz das Cybersicherheit direkt in Produkte hineinschreibt.

Der Cyber Resilience Act ist das erste EU-Gesetz das Cybersicherheit direkt in Produkte hineinschreibt. Nicht in Unternehmen, nicht in Prozesse – in Produkte. Wer in der EU ein Produkt mit digitalen Elementen herstellt, verkauft oder vertreibt, ist betroffen. Ab September 2026 gelten erste Meldepflichten, ab Dezember 2027 die vollständigen Anforderungen. Das Grundprinzip ist einfacher als es klingt: Wer ein Produkt mit digitalen Elementen auf den Markt bringt muss sicherstellen dass es sicher ist – nicht nur beim Kauf, sondern über seinen gesamten Lebenszyklus. Sicherheitslücken müssen gemeldet werden. Updates müssen bereitgestellt werden. Und wer das nicht tut haftet dafür. Was fällt darunter? Die Liste ist länger als die meisten vermuten. Router, Kameras, smarte Haushaltsgeräte – das ist das Offensichtliche. Aber auch Industriesteuerungen, Softwareprodukte, Apps, Betriebssysteme, vernetzte Maschinen und jede Hardware die Software-Komponenten enthält. Wer Software entwickelt und verkauft fällt darunter. Wer Hardware mit Software-Komponenten herstellt auch. Und wer Produkte anderer Hersteller unter eigenem Namen in der EU vertreibt ebenfalls. Was fällt nicht darunter? Software die ausschließlich intern genutzt wird und nie in Verkehr gebracht wird. Open-Source-Software die nicht kommerziell vertrieben wird. Cloud-Dienste – die fallen unter andere Regelwerke wie NIS2. Was müssen betroffene Unternehmen konkret tun? Erstens eine Risikoanalyse ihrer Produkte durchführen – welche Schwachstellen existieren, welche Angriffsvektoren sind möglich. Zweitens aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden an die zuständige Behörde melden. Drittens Sicherheitsupdates über den gesamten Produktlebenszyklus bereitstellen – mindestens fünf Jahre. Viertens technische Dokumentation vorhalten die nachweist dass die Anforderungen erfüllt werden. Für KMU die physische Produkte herstellen oder Software verkaufen ist der CRA die dritte große Regulierungswelle nach NIS2 und AI Act – und die konkreteste. Während NIS2 Prozesse und AI Act Systeme reguliert, reguliert der CRA das Produkt selbst. Wer ein Produkt mit digitalen Elementen verkauft trägt ab Dezember 2027 die Verantwortung dafür dass es sicher ist. Nicht der Käufer. Der Hersteller.