Überblick über die EU-Cyberresilienz-Verordnung

Zweck und Aufbau

Der CRA gilt für Verbraucher- und Industrieprodukte, sofern sie seine Anwendungsbereichskriterien erfüllen. Bestimmen Sie zunächst das Produkt und prüfen Sie, ob eine Ausnahme gilt. Die Pflichten des Herstellers und die verfügbaren Konformitätsbewertungsverfahren hängen anschließend von seiner Rolle und der Produktklassifizierung ab.

Die folgenden Themenseiten erläutern diese Fragen mit den rechtlichen Definitionen, Beispielen und Quellenangaben, die für eine produktspezifische Bewertung erforderlich sind.

Grundbegriffe

Leseweg auswählen

Produktverantwortliche, Sicherheitsingenieure und Teams für Konformitätsbewertung benötigen unterschiedliche Teile der Verordnung. Die folgenden Lesewege sind auf diese Zuständigkeiten abgestimmt.

• Produkt- und Compliance-Verantwortliche: Ermitteln Sie, welches Produkt und welche Versionen bereitgestellt werden, ob der CRA gilt, welche rechtliche Rolle vorliegt, welcher Produktkategorie das Produkt angehört und welche Anwendungsdaten relevant sind.
• Sicherheits- und Entwicklungsteams: Verknüpfen Sie Architektur, Anlagen, Vertrauensgrenzen, Komponenten und Updatekonzept mit der Cybersicherheitsrisikobewertung.
• Teams für den Umgang mit Schwachstellen: Führen Sie Komponenten- und Schwachstellenaufzeichnungen, bewerten Sie die Produktauswirkungen, bereiten Sie Abhilfemaßnahmen vor und prüfen Sie Meldeauslöser nach Artikel 14, sobald relevante Fakten bekannt werden.
• Teams für technische Dokumentation und Bewertung: Stellen Sie produktspezifische Nachweise zusammen, überprüfen Sie die Normen und das Bewertungsverfahren und halten Sie die Unterlagen mit der freigegebenen Version konsistent.

Ein vernetztes Gerät kann beispielsweise von eingebetteter Firmware, einer Anwendung und einer vom Hersteller kontrollierten Fernverarbeitung abhängen. Zuerst ist das Produkt zu definieren; anschließend stützen sich Risikobewertung, Komponentenaufzeichnungen und Dokumentation auf dieselbe festgelegte Abgrenzung.

Lesereihenfolge für Hersteller

Stellen Sie zuerst fest, ob das Produkt in den Anwendungsbereich fällt. Die folgenden Seiten erläutern dann die zuständigen Akteure, Produktkategorien und geltenden Anforderungen. Prüfen Sie die Meldevorschriften separat: Artikel 14 gilt ab dem 11. September 2026 und damit vor den wichtigsten Produktanforderungen.

1. Beginnen Sie mit Produkte im Anwendungsbereich und Bereitstellung auf dem Markt .
2. Bestimmen Sie die Rolle des Wirtschaftsakteurs in Rollen und Pflichten .
3. Klassifizieren Sie das Produkt anhand von Produktklassifizierung und Technische Beschreibungen nach Verordnung 2025/2392 .
4. Lesen Sie die Pflichten für Produkte und Prozesse in Grundlegende Cybersicherheitsanforderungen .
5. Lesen Sie die relevanten Normen in Normen und harmonisierte Normen und Produktnormen nach Kategorie .
6. Fahren Sie mit Cybersicherheitsrisikobewertung, Technische Dokumentation und Nutzerinformationen und Anleitungen.
7. Bereiten Sie Meldungen nach Artikel 14 mit Meldung von Schwachstellen und Meldebereitschaft nach Artikel 14 .
8. Nutzen Sie die wichtigen Termine, um Fristen für Meldungen, notifizierte Stellen, Übergangsregelungen und die vollständige Anwendung voneinander abzugrenzen.

Produkte im Anwendungsbereich

Diese Verordnung gilt für Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden und deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder einem Netzwerk umfasst.

Verordnung (EU) 2024/2847, Artikel 2(1)

Ein Produkt mit digitalen Elementen kann Software, Hardware, eine separat bereitgestellte Software- oder Hardwarekomponente sowie die Fernverarbeitungslösung des Produkts sein. Die Fernverarbeitung gehört nur dann zum Produkt, wenn sie vom Hersteller oder in dessen Verantwortung entwickelt wurde und das Produkt ohne sie eine seiner Funktionen nicht erfüllen würde.

Der CRA macht nicht aus jedem digitalen Dienst ein Produkt mit digitalen Elementen. Eine Website oder ein Cloud-Dienst außerhalb der Produktverantwortung des Herstellers unterscheidet sich von einer Fernverarbeitung, die das Produkt für seine Funktion benötigt. Ausdrückliche Ausnahmen werden auf der Seite zum Anwendungsbereich behandelt; der allgemeinere Hintergrund des Produktrechts wird auf der Seite zu den Grundlagen erläutert.

Rollen und Produktkategorien

Hersteller, Importeure und Händler können für dasselbe Produkt jeweils Pflichten haben. Die Produktklassifizierung beantwortet eine andere Frage: Welche Konformitätsbewertungsverfahren verfügbar oder vorgeschrieben sind. Wichtige und kritische Produktkategorien richten sich nach der Kernfunktionalität des Produkts.

• Standardprodukte unterliegen weiterhin dem CRA, verwenden aber normalerweise das Konformitätsbewertungsverfahren der internen Kontrolle.
• Wichtige Produkte sind in Anhang III aufgeführt und in Klasse I und Klasse II unterteilt.
• Kritische Produkte sind in Anhang IV aufgeführt; für sie können eine Zertifizierung oder strengere Bewertungsverfahren durch Dritte vorgeschrieben sein.
• Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält technische Beschreibungen wichtiger und kritischer Produktkategorien.

Ein Produkt ist nicht allein deshalb wichtig oder kritisch, weil es eine Komponente enthält, die in einer aufgeführten Kategorie erscheint. Entscheidend ist, ob das Gesamtprodukt über die Kernfunktionalität dieser Kategorie verfügt.

Grundlegende Anforderungen und Normen

Artikel 6 verlangt, dass sowohl das Produkt als auch die Verfahren des Herstellers zum Umgang mit Schwachstellen Anhang I erfüllen. Die beiden Teile von Anhang I legen diese Anforderungen getrennt fest. Eine harmonisierte Norm, deren Fundstelle im Amtsblatt veröffentlicht wurde, kann für die von ihr abgedeckten Anforderungen eine Konformitätsvermutung begründen.

Die Detailseiten erläutern den Aufbau von Anhang I und wie Normen den Nachweis der Konformität unterstützen können. Grundlegende Cybersicherheitsanforderungen und Normen und harmonisierte Normen.

Meldungen und Umgang mit Schwachstellen

Der Umgang mit Schwachstellen ist eine Pflicht während des gesamten Lebenszyklus. Die Meldepflicht ist enger gefasst und wird durch ein Ereignis ausgelöst. Ab dem 11. September 2026 gilt Artikel 14, wenn ein Hersteller von einer aktiv ausgenutzten Schwachstelle im Produkt oder einem schwerwiegenden Vorfall erfährt, der die Produktsicherheit beeinträchtigt.

• Frühwarnung: innerhalb von 24 Stunden, nachdem der Hersteller Kenntnis erlangt hat.
• Meldung: innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis erlangt hat, sofern die relevanten Informationen nicht bereits übermittelt wurden.
• Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle: spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist.
• Abschlussbericht zu einem schwerwiegenden Vorfall: innerhalb eines Monats nach der 72-Stunden-Meldung des Vorfalls.

Wichtige Termine

Der CRA wurde am 20. November 2024 im Amtsblatt veröffentlicht und trat am 10. Dezember 2024 in Kraft. Er wird schrittweise angewendet; daher gelten die Meldepflichten und die Vorschriften für Konformitätsbewertungsstellen vor der vollständigen Anwendung.