Cyber Resilience Act: Wen die EU-Verordnung wirklich betrifft

Was der Cyber Resilience Act regelt

Der Cyber Resilience Act — kurz CRA, offiziell Verordnung (EU) 2024/2847 — legt erstmals EU-weit einheitliche Mindestanforderungen an die Cybersicherheit von „Produkten mit digitalen Elementen" fest. Gemeint ist damit jede Hardware und jede Software, die direkt oder indirekt eine Datenverbindung zu einem Gerät oder Netzwerk haben kann.

Das ist bewusst weit gefasst und reicht vom smarten Türschloss über Industriesteuerungen bis zu Betriebssystemen, Apps und Plugins. Die Anforderungen decken den kompletten Lebenszyklus ab: sichere Entwicklung, sichere Voreinstellungen und ein funktionierendes Schwachstellenmanagement über den gesamten Supportzeitraum.

Wichtig für die Einordnung: Ob du betroffen bist, hängt nicht von deiner Unternehmensgröße ab. Entscheidend ist allein, ob du ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellst.

Bist du betroffen? Die ehrliche Antwort

Der CRA richtet sich an Hersteller, Importeure und Händler von Produkten. Nicht an Betreiber von Diensten. Dieser Unterschied entscheidet fast alles.

Wahrscheinlich nicht betroffen bist du, wenn:

• Du eine normale Unternehmenswebsite oder einen Blog betreibst
• Du einen Onlineshop mit Standardsoftware betreibst
• Du fertige Plugins, Themes oder Baukästen nutzt, aber keine eigenen verkaufst
• Du reines SaaS anbietest, das ausschließlich im Browser läuft und bei dir gehostet wird

Betroffen bist du dagegen, wenn du zum Beispiel:

• ein eigenes WordPress-Plugin oder -Theme gegen Entgelt anbietest
• Individualsoftware als Produkt verkaufst, die Kunden bei sich installieren
• eine Desktop-Anwendung, eine Mobile App oder eine Browser-Erweiterung veröffentlichst
• vernetzte Geräte herstellst oder unter deinem Namen vertreibst
• eine Cloud-Komponente betreibst, ohne die ein vernetztes Produkt nicht funktioniert

Der Kern der Abgrenzung: Sobald jemand etwas von dir bekommt, das er selbst installiert oder das Teil eines Geräts ist, bist du im Zweifel Hersteller. Wenn du einen Service bereitstellst, den man nur benutzt, eher nicht.

Ein häufiges Missverständnis: Ein Handwerksbetrieb, der ein gekauftes Buchungs-Plugin einsetzt, wird dadurch nicht zum Hersteller dieses Plugins. Die Verantwortung liegt bei dem, der es gebaut und in Verkehr gebracht hat.

Zur Vollständigkeit: Bestimmte Produktgruppen sind ausgenommen, weil bereits eigene EU-Regeln greifen — etwa Medizinprodukte, Fahrzeuge und Luftfahrtprodukte. Das ist aber immer eine produktbezogene Prüfung, keine pauschale Branchenausnahme.

Die Fristen im Überblick

Was ab dem 11. September 2026 gilt

Der erste verbindliche Teil ist die Meldepflicht nach Artikel 14. Sie trifft Hersteller — nicht die Unternehmen, die deren Produkte einsetzen.

Wer betroffen ist, muss ab diesem Datum in einem dreistufigen Verfahren melden, sobald eine Schwachstelle im eigenen Produkt aktiv ausgenutzt wird:

• Innerhalb von 24 Stunden: eine Frühwarnung
• Innerhalb von 72 Stunden: die vollständige Meldung
• Danach: ein Abschlussbericht, bei Schwachstellen innerhalb von 14 Tagen nach Bereitstellung einer Korrekturmaßnahme

Empfänger sind das zuständige nationale CSIRT und die europäische Agentur ENISA. Die zentrale Meldeplattform dafür soll laut ENISA zum 11. September 2026 betriebsbereit sein.

Diese Fristen sind sportlich, und das ist der eigentliche Punkt: 24 Stunden funktionieren nur, wenn vorher geklärt ist, wer meldet, wer eskaliert und wo die Informationen zum eigenen Produkt liegen. Ein Prozess, der erst im Ernstfall erfunden wird, hält die Frist nicht.

Eine Entlastung gibt es für die Kleinsten: Nach der Berichtigung des CRA vom 2. Juli 2025 werden Kleinst- und Kleinunternehmen nicht mit Geldbußen belegt, wenn sie die 24-Stunden-Frist für die Frühwarnung versäumen. Die Meldepflicht selbst entfällt dadurch nicht.

Was ab Dezember 2027 dazukommt

Ab dem 11. Dezember 2027 gilt der CRA vollständig. Produkte mit digitalen Elementen dürfen dann nur noch in der EU verkauft werden, wenn sie ein Konformitätsbewertungsverfahren durchlaufen haben und eine CE-Kennzeichnung tragen — hier mit Fokus auf Cybersicherheit.

Dazu gehören unter anderem:

• Sichere Voreinstellungen ab Werk, also keine Standardpasswörter mehr
• Sicherheitsupdates über einen festgelegten Supportzeitraum
• Eine Software Bill of Materials (SBOM), also eine Stückliste aller enthaltenen Softwarekomponenten
• Eine Konformitätserklärung und technische Dokumentation

Für die konkrete Umsetzung in Deutschland ist die Technische Richtlinie TR-03183 des BSI die praktische Referenz. Die EU-Kommission hat außerdem Leitlinien mit Anwendungsbeispielen veröffentlicht, die beim Abgrenzen des Anwendungsbereichs helfen.

Und was ist mit Open Source?

Open-Source-Software fällt nur dann unter den CRA, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Ehrenamtlich entwickelte Projekte ohne kommerzielle Absicht sind ausgenommen — der EU-Gesetzgeber wollte die Community nicht abwürgen.

Für Hersteller, die Open-Source-Komponenten einbauen, gilt eine Zwischenlösung: Für unabhängige Open-Source-Bausteine haftest du nicht, musst bei der Integration aber sorgfältig vorgehen. Entdeckst du dabei eine Schwachstelle, meldest du sie dem jeweiligen Projekt.

Was du jetzt sinnvollerweise tust

Wenn du kein Hersteller bist, wird der CRA für dich vor allem zu einem Einkaufsfilter. Die Fragen, die du deinen Software-Lieferanten künftig stellst, sind schlicht:

• Wird dieses Plugin, Theme oder Tool aktiv gepflegt?
• Gibt es einen erkennbaren Update-Rhythmus und eine Sicherheitskontaktadresse?
• Wie erfahre ich, wenn eine Schwachstelle bekannt wird?

Verwaiste Erweiterungen waren schon immer ein Risiko. Ab 2027 sind sie zusätzlich ein Produkt, das eigentlich nicht mehr verkauft werden dürfte.

Wenn du Hersteller bist, ist der nächste Schritt eine Betroffenheitsprüfung pro Produkt — nicht pro Firma. Danach die Gap-Analyse: Was fehlt an Prozessen, Dokumentation und Meldewegen? Und weil der 11. September näher ist als der Dezember 2027: Der Meldeprozess kommt zuerst.

Das ist übrigens kein Rechtsrat. Bei Grenzfällen — und davon gibt es viele — lohnt sich der Blick in die Kommissionsleitlinien oder ein Gespräch mit jemandem, der das juristisch bewerten kann.

Wo dein Hosting eine Rolle spielt

Vorweg, damit hier keine falsche Erwartung entsteht: Hosting macht dich nicht CRA-konform. Wenn du ein Produkt herstellst, sind Meldeprozesse, SBOM und Konformitätserklärung deine Aufgabe, unabhängig davon, wo etwas läuft.

Was Hosting beeinflusst, ist die praktische Angriffsfläche darunter. Und die verkleinert sich, wenn die Umgebung gepflegt ist statt vergessen.

Bei unserem Webhosting kümmern wir uns um die Plattform: aktuelle PHP-Versionen, Updates auf Systemebene, SSL-Zertifikate. Du kümmerst dich um das, was du selbst installierst. Beim WordPress Hosting nehmen wir dir zusätzlich einen Teil der Update-Routine ab — was praktisch ist, weil die meisten Sicherheitsprobleme in WordPress-Installationen aus veralteten Plugins entstehen.

Wenn du gar nicht selbst pflegen willst, ist ein Homepage-Baukasten der pragmatischere Weg: Dort gibt es keinen Plugin-Zoo, den du im Blick behalten müsstest. Und wenn du volle Kontrolle brauchst, etwa weil du eigene Software ausrollst, bekommst du sie mit einem VPS — dann liegt allerdings auch die Wartung des Systems bei dir.

Unsicher, was zu deinem Setup passt? Unser deutschsprachiger Support hilft dir bei der Einordnung.

Häufige Fragen zum Cyber Resilience Act

Gilt der Cyber Resilience Act auch für meine normale Firmenwebsite?

Nein. Eine Website ist ein Dienst, kein Produkt mit digitalen Elementen. Sie fällt nicht unter den CRA. Relevant wird die Verordnung für dich erst, wenn du selbst Software oder vernetzte Geräte anbietest.

Bin ich betroffen, wenn ich WordPress und gekaufte Plugins nutze?

Als reiner Nutzer nicht. Die Pflichten liegen bei den Herstellern der Plugins und Themes. Für dich wird der CRA vor allem zum Qualitätskriterium bei der Auswahl.

Ist SaaS vom Cyber Resilience Act ausgenommen?

Reines SaaS, das nur im Browser läuft und keinen Bezug zu einem vernetzten Produkt hat, ist grundsätzlich ausgenommen. Sobald du zusätzlich einen Desktop-Client, eine Mobile App oder eine Browser-Erweiterung anbietest, sind diese Komponenten betroffen. Eine Installationsvariante zum Selbsthosten fällt ebenfalls unter den CRA.

Was passiert genau am 11. September 2026?

Ab diesem Tag müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, danach ein Abschlussbericht. Die übrigen Produktanforderungen greifen erst ab dem 11. Dezember 2027.

Gilt der CRA auch für Kleinunternehmen?

Ja. Die Betroffenheit hängt am Produkt, nicht an der Unternehmensgröße. Es gibt aber Erleichterungen: Kleinst- und Kleinunternehmen werden nicht mit Geldbußen belegt, wenn sie die 24-Stunden-Frühwarnung versäumen.

Was ist eine SBOM?

Eine Software Bill of Materials ist eine Stückliste aller Softwarekomponenten in deinem Produkt, inklusive Fremd- und Open-Source-Bausteinen. Sie ist die Grundlage dafür, bei einer neu bekannten Schwachstelle schnell zu erkennen, ob dein Produkt betroffen ist. Ab dem 11. Dezember 2027 ist sie verpflichtend.