Blog.

Cyber Resilience Act – Warum die EU neue Regeln für digitale Produkte einführt.

Software, Apps, Router, Betriebssysteme oder andere vernetzte Geräte sind aus dem Arbeitsalltag kaum noch wegzudenken. Gleichzeitig wächst mit der zunehmenden Digitalisierung auch die Bedeutung der IT-Sicherheit. Denn Sicherheitslücken in Hard- und Software können nicht nur einzelne Geräte betreffen, sondern im schlimmsten Fall auch Auswirkungen auf ganze Unternehmensnetzwerke haben.

Mit dem Cyber Resilience Act (CRA) hat die Europäische Union deshalb neue Regeln für die Cybersicherheit digitaler Produkte geschaffen. Ziel ist es, einheitliche Anforderungen innerhalb der EU zu schaffen und dafür zu sorgen, dass Hersteller die Sicherheit ihrer Produkte stärker über den gesamten Produktlebenszyklus hinweg berücksichtigen.

Doch warum ist eine solche Regelung überhaupt notwendig und was bedeutet sie für Unternehmen, die Hard- und Software kaufen und einsetzen?

Warum gibt es den Cyber Resilience Act?

Digitale Produkte werden immer komplexer und sind zunehmend miteinander vernetzt. Gleichzeitig werden viele Geräte und Softwarelösungen über mehrere Jahre genutzt. Sicherheitslücken können jedoch auch lange nach der Markteinführung eines Produkts entdeckt werden.

Dann stellt sich die Frage: Wer kümmert sich um die Schwachstelle? Gibt es ein Sicherheitsupdate? Wie lange stellt der Hersteller überhaupt Updates zur Verfügung?

Bisher gibt es hier teilweise große Unterschiede. Während einige Hersteller ihre Produkte über viele Jahre mit Sicherheitsupdates versorgen, endet die Unterstützung bei anderen Produkten deutlich früher. Für Käufer ist zudem nicht immer auf den ersten Blick ersichtlich, wie lange ein Produkt unterstützt wird.

Der Cyber Resilience Act soll deshalb für einheitlichere Anforderungen und mehr Transparenz sorgen.

Vereinfacht gesagt verfolgt die EU dabei zwei Ziele: Digitale Produkte sollen bereits bei ihrer Entwicklung möglichst sicher gestaltet werden. Gleichzeitig sollen Hersteller auch nach dem Verkauf Verantwortung für die Sicherheit ihrer Produkte übernehmen und bekannte Schwachstellen innerhalb eines festgelegten Zeitraums behandeln.

Cybersicherheit soll damit nicht erst dann beginnen, wenn ein Problem auftritt.

Welche Produkte sind betroffen?

Der Cyber Resilience Act gilt grundsätzlich für viele Hard- und Softwareprodukte mit digitalen Elementen, die in der Europäischen Union angeboten werden und direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden können.

Dazu können beispielsweise Betriebssysteme, Anwendungen, mobile Apps, Netzwerkprodukte oder vernetzte Hardware gehören.

Für einige Produktgruppen gelten Ausnahmen, weil sie bereits durch andere spezielle Vorschriften geregelt werden.

Die umfangreichsten Anforderungen des CRA richten sich dabei vor allem an Hersteller. Aber auch Importeure und Händler können bestimmte Pflichten haben.

Unternehmen, die eine Standardsoftware oder ein Gerät lediglich kaufen und wie vorgesehen einsetzen, werden dadurch dagegen nicht automatisch selbst zum Hersteller.

Was ändert sich für Hersteller?

Hersteller müssen sich künftig noch stärker mit der Sicherheit ihrer Produkte beschäftigen und zwar nicht nur während der Entwicklung.

Sie müssen unter anderem mögliche Cybersicherheitsrisiken berücksichtigen, bekannte Schwachstellen behandeln und notwendige Sicherheitsupdates bereitstellen. Hinzu kommen Vorgaben zur Dokumentation und zu den Informationen, die Nutzern zur Verfügung gestellt werden müssen.

Ein wichtiger Punkt ist dabei der sogenannte Unterstützungszeitraum.

Hersteller müssen angeben, wie lange ein Produkt sicherheitsseitig unterstützt wird. Dieser Zeitraum soll sich grundsätzlich an der erwarteten Nutzungsdauer des Produkts orientieren und mindestens fünf Jahre betragen, sofern das Produkt üblicherweise nicht kürzer genutzt wird.

Während dieses Zeitraums müssen notwendige Sicherheitsupdates grundsätzlich kostenlos zur Verfügung gestellt werden.

Damit wird eine Information stärker sichtbar, die auch für Unternehmen bei der Beschaffung interessant ist: Wie lange kann ich damit rechnen, dass ein Produkt Sicherheitsupdates erhält?

Was bedeutet der CRA für Geschäftskunden?

Auch wenn sich viele Pflichten des Cyber Resilience Act direkt an Hersteller richten, werden die Auswirkungen langfristig auch für Geschäftskunden sichtbar.

Denn Informationen rund um die Sicherheit und den Support eines Produkts sollen transparenter werden. Unternehmen können diese Angaben bei der Auswahl neuer Hard- und Software berücksichtigen.

Neben Funktionen, Preis und Lizenzmodell können damit weitere Fragen eine größere Rolle spielen:

Wie lange wird das Produkt vom Hersteller unterstützt? Wie werden Sicherheitsupdates bereitgestellt? Wann endet der Support? Und welche Informationen stellt der Hersteller für eine sichere Nutzung zur Verfügung?

Gerade bei Produkten, die über viele Jahre eingesetzt werden sollen, können solche Fragen wichtig sein.

Warum der Produktlebenszyklus wichtiger wird

Ein einfaches Beispiel zeigt, warum das relevant ist.

Ein Unternehmen führt eine neue Software ein und plant, diese sechs oder sieben Jahre zu nutzen. Endet der Sicherheitssupport des Herstellers aber bereits deutlich früher, kann ein Versionswechsel oder sogar die Einführung einer neuen Lösung notwendig werden.

Das verursacht möglicherweise zusätzlichen Aufwand und Kosten.

Deshalb lohnt es sich, bei der Auswahl von Hard- und Software nicht nur auf den aktuellen Funktionsumfang zu schauen. Auch der Lebenszyklus eines Produkts sollte berücksichtigt werden.

Das ist grundsätzlich kein neues Thema. Unternehmen beschäftigen sich bereits heute mit Sicherheitsupdates, Versionswechseln und End-of-Support-Terminen. Der Cyber Resilience Act sorgt jedoch dafür, dass diese Punkte bei digitalen Produkten noch stärker in den Vordergrund rücken.
Ein guter Überblick über die eingesetzte Hard- und Software kann dabei helfen. Welche Produkte und Versionen sind im Einsatz? Werden sie noch vom Hersteller unterstützt? Wann endet der Support? Gibt es weiterhin Sicherheitsupdates?

Wer diese Informationen kennt, kann notwendige Veränderungen frühzeitig planen.

Was gilt bereits und was kommt noch?

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten. Die einzelnen Anforderungen werden allerdings schrittweise wirksam.

Seit dem 11. September 2026 gelten bereits bestimmte Meldepflichten für Hersteller. Dabei geht es unter anderem um aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.

Die wesentlichen Anforderungen des Cyber Resilience Act werden ab dem 11. Dezember 2027 vollständig anwendbar.
Bis dahin werden weitere technische Details konkretisiert. Unter anderem wird an europäischen Normen gearbeitet, die Herstellern dabei helfen sollen, die Anforderungen des CRA einheitlich umzusetzen.

Das Thema wird Unternehmen daher auch in den kommenden Jahren weiter begleiten.

Was können Unternehmen daraus mitnehmen?

Für Unternehmen, die Hard- und Software lediglich einsetzen, bedeutet der Cyber Resilience Act nicht automatisch eine neue umfangreiche Aufgabenliste.

Trotzdem kann die neue Regelung ein guter Anlass sein, den Blick stärker auf den gesamten Lebenszyklus digitaler Produkte zu richten.

Bei einer Neuanschaffung sollte deshalb nicht nur die Frage gestellt werden: Was kann das Produkt und was kostet es?

Ebenso interessant kann sein: Wie lange wird das Produkt unterstützt und mit Sicherheitsupdates versorgt?

Auch bei bereits eingesetzter Software lohnt sich ein regelmäßiger Blick auf die unterstützten Versionen und angekündigten Supportenden. So können notwendige Updates, Versionswechsel oder Neuanschaffungen rechtzeitig eingeplant werden.

Fazit: Mehr Transparenz bei digitalen Produkten

Der Cyber Resilience Act soll dazu beitragen, digitale Produkte in Europa sicherer zu machen. Gleichzeitig sollen Käufer besser erkennen können, wie Hersteller mit Sicherheitsupdates, Schwachstellen und Supportzeiträumen umgehen.

Die Hauptverantwortung liegt dabei vor allem bei den Herstellern und weiteren Unternehmen, die entsprechende Produkte auf dem europäischen Markt bereitstellen.

Für Geschäftskunden dürfte sich der CRA vor allem durch mehr Transparenz rund um Sicherheitsupdates, Supportzeiträume und Produktlebenszyklen bemerkbar machen.

Damit gewinnt ein Punkt weiter an Bedeutung, der bei der Auswahl von Hard- und Software ohnehin berücksichtigt werden sollte: Nicht nur die heutigen Funktionen eines Produkts sind entscheidend. Ebenso wichtig ist die Frage, wie lange es gepflegt und sicherheitsseitig unterstützt wird.

Genau hier setzt der Cyber Resilience Act an: Sicherheit soll bei digitalen Produkten von Anfang an mitgedacht werden und nicht erst dann, wenn eine Sicherheitslücke bekannt wird.

(Hinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information. Er stellt keine Rechtsberatung, Prüfung der CRA-Konformität oder Beratung zur Umsetzung des Cyber Resilience Act dar.)

***Dieser Text wurde mithilfe generativer Künstlicher Intelligenz optimiert.