Cyber Resilience Act (CRA): Was KMU als Hersteller digitaler Produkte jetzt tun müssen

Seit 2026 rückt eine neue EU-Verordnung in den Fokus vieler Unternehmen: der Cyber Resilience Act (CRA). Anders als NIS2 richtet sich der CRA nicht in erster Linie an Betreiber kritischer Infrastruktur, sondern an alle Unternehmen, die Produkte mit digitalen Elementen entwickeln, herstellen oder in Verkehr bringen — von der smarten Steuerungssoftware bis zum IoT-Sensor. Auch für ostdeutsche KMU, die Software oder vernetzte Geräte anbieten, wird das Thema damit unmittelbar relevant.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act ist eine EU-Verordnung, die erstmals einheitliche Cybersicherheitsanforderungen für “Produkte mit digitalen Elementen” festlegt. Darunter fallen sowohl Hardware (z. B. Router, IoT-Geräte, Industriesteuerungen) als auch Software (z. B. Business-Anwendungen, Apps, Firmware).

Ziel der Verordnung ist es, Sicherheitslücken in Produkten zu reduzieren, die heute oft ungepatcht über Jahre im Einsatz bleiben. Hersteller sollen Sicherheit von Anfang an (“Security by Design”) mitdenken und über den gesamten Lebenszyklus eines Produkts für Updates sorgen.

Im Unterschied zu NIS2, das Betreiber und Organisationen adressiert, zielt der CRA auf Hersteller, Importeure und Distributoren von Produkten ab — also auch auf kleinere Softwarehäuser, Maschinenbauer mit vernetzten Anlagen oder Startups, die eine eigene App oder ein IoT-Produkt vertreiben.

Wer ist als KMU betroffen?

Der Anwendungsbereich ist bewusst breit gefasst. Betroffen sind grundsätzlich alle Wirtschaftsakteure, die:

• Software oder Hardware mit digitalen Elementen entwickeln und in der EU in Verkehr bringen
• Produkte importieren oder unter eigenem Namen vertreiben (auch White-Label-Produkte)
• Updates und Patches für ausgelieferte Produkte bereitstellen müssen

Nicht betroffen sind reine Dienstleister, die fremde Produkte lediglich einsetzen oder betreiben — hier greift eher NIS2. In der Praxis überschneiden sich beide Regelwerke aber häufig: Ein Dresdner Softwarehaus, das eine eigene Cloud-Anwendung anbietet, kann sowohl CRA-Hersteller als auch NIS2-Betreiber sein.

Ausnahmen

Nicht in den Anwendungsbereich fallen unter anderem:

• Medizinprodukte, die bereits eigenen EU-Regularien unterliegen
• Produkte, die ausschließlich für nationale Sicherheit oder Militär bestimmt sind
• Open-Source-Software, die nicht kommerziell vertrieben wird (mit Einschränkungen)

Zeitplan: Wann gilt was?

Der CRA ist bereits in Kraft getreten, die Pflichten greifen jedoch gestaffelt:

Wer erst kurz vor Ablauf der Fristen beginnt, gerät schnell unter Zeitdruck — insbesondere, wenn eine Konformitätsbewertung durch benannte Stellen oder eine technische Dokumentation neu aufgebaut werden muss.

Was müssen Hersteller konkret umsetzen?

1. Security by Design

Sicherheitsanforderungen müssen bereits in der Entwicklungsphase berücksichtigt werden — nicht nachträglich aufgesetzt. Dazu gehören unter anderem sichere Standardkonfigurationen, Schutz vor unautorisiertem Zugriff und Verschlüsselung sensibler Daten.

2. Schwachstellenmanagement über den Produktlebenszyklus

Hersteller müssen für einen definierten Zeitraum (mindestens fünf Jahre oder die erwartete Nutzungsdauer) Sicherheitsupdates bereitstellen. Ein Prozess zur Erkennung und Behebung von Schwachstellen ist Pflicht — vergleichbar mit einem strukturierten Patch-Management, wie es viele KMU bereits aus der internen IT kennen.

3. Meldepflichten

Aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle müssen der zuständigen Behörde (in Deutschland dem BSI) innerhalb von 24 Stunden gemeldet werden — mit Folgemeldungen nach 72 Stunden und einem Abschlussbericht.

4. Technische Dokumentation und Konformitätserklärung

Für die meisten Produkte reicht eine Selbstbewertung (CE-Kennzeichnung nach Konformitätserklärung). Kritischere Produktkategorien benötigen eine Prüfung durch benannte Stellen.

5. Information der Nutzer

Nutzer müssen verständlich über Sicherheitsrisiken, Update-Zeiträume und den Umgang mit dem Produkt informiert werden.

Praxisteil: So starten Sie als KMU

1. Betroffenheit prüfen – Stellen Sie fest, ob Ihr Unternehmen als Hersteller, Importeur oder Distributor von Produkten mit digitalen Elementen gilt.
2. Produktinventar erstellen – Welche Software- oder Hardware-Produkte werden aktuell entwickelt oder vertrieben, inklusive eingesetzter Drittkomponenten und Bibliotheken?
3. Schwachstellenmanagement aufsetzen – Ein Prozess für Erkennung, Bewertung und Behebung von Sicherheitslücken, inklusive definierter Update-Zyklen.
4. Meldewege festlegen – Klare interne Zuständigkeiten für die Meldung an das BSI innerhalb der 24-Stunden-Frist.
5. Dokumentation vorbereiten – Technische Unterlagen und Konformitätserklärung frühzeitig aufbauen, statt kurz vor der Frist 2027.

Wer bereits ein Informationssicherheits-Managementsystem oder Erfahrung mit NIS2 hat, kann viele Prozesse wiederverwenden — Risikoanalyse, Patch-Management und Meldeprozesse überschneiden sich stark.

Wie Rexoma unterstützt

Sie entwickeln als KMU in Dresden oder Sachsen Software oder vernetzte Produkte und sind unsicher, ob und wie der Cyber Resilience Act Sie betrifft? Rexoma unterstützt ostdeutsche KMU dabei, die Betroffenheit zu klären, ein praxistaugliches Schwachstellenmanagement aufzubauen und technische Schutzmaßnahmen wie Patch-Prozesse, Monitoring und sichere Standardkonfigurationen umzusetzen — pragmatisch und ohne unnötigen Compliance-Ballast.

FAQ

Betrifft der Cyber Resilience Act auch reine IT-Dienstleister? In der Regel nicht direkt — der CRA zielt auf Hersteller von Produkten mit digitalen Elementen. Wer jedoch eigene Software oder Geräte entwickelt und vertreibt, fällt in den Anwendungsbereich, selbst als kleines Unternehmen.

Was ist der Unterschied zwischen CRA und NIS2? NIS2 adressiert Betreiber und Organisationen ab bestimmten Größenschwellen, der CRA hingegen Hersteller, Importeure und Distributoren von Produkten unabhängig von der Unternehmensgröße. Viele Unternehmen sind von beiden Regelwerken gleichzeitig betroffen.

Gilt der CRA auch für kleine Softwarehäuser und Startups? Ja. Der CRA kennt keine pauschale Mitarbeiter- oder Umsatzschwelle für die grundsätzliche Anwendbarkeit — entscheidend ist, ob ein Produkt mit digitalen Elementen kommerziell in der EU in Verkehr gebracht wird.

Was passiert bei Verstößen? Wie bei NIS2 drohen empfindliche Bußgelder, die sich an Umsatz und Schwere des Verstoßes orientieren. Zusätzlich können Produkte vom Markt genommen werden, wenn sie den Anforderungen nicht entsprechen.

Wo bekommen wir als KMU aus Dresden Unterstützung? Rexoma begleitet Unternehmen aus Dresden und ganz Sachsen bei der CRA-Vorbereitung — von der Betroffenheitsprüfung über das Schwachstellenmanagement bis zur technischen Umsetzung.

Quellen: Verordnung (EU) 2024/2847 (Cyber Resilience Act), BSI