Sicherheitslücken in Software und vernetzten Geräten sind längst keine reine Frage des Kundendienstes. Der Cyber Resilience Act, Verordnung (EU) 2024/2847, regelt Cybersicherheitsanforderungen für bestimmte Produkte mit digitalen Elementen. Hersteller sollten Produktentwicklung, Schwachstellenbearbeitung und Vertragsgestaltung gemeinsam betrachten. Wir klären den rechtlichen Anwendungsbereich und unterstützen bei der Zuordnung der Pflichten.
Welche Produkte und Unternehmen erfasst werden
Ausgangspunkt sind Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung umfasst. Neben Hardware kann Software betroffen sein. Eine zur Funktion erforderliche Datenfernverarbeitungslösung kann zum Produkt gehören. Ein eigenständiger Cloud-Dienst fällt dagegen nicht schon deshalb unter den CRA, weil er Software verwendet.
Zu prüfen sind Hersteller, Einführer und Händler sowie besondere Rollen bei freier und quelloffener Software. Für bestimmte Produkte bestehen sektorale Ausnahmen. Auch die Abgrenzung einer nicht gewerblichen Open-Source-Entwicklung von einer Bereitstellung im Rahmen einer Geschäftstätigkeit verlangt eine konkrete Betrachtung. Die Bezeichnung „Open Source“ allein beantwortet die Frage nicht.
Was seit September 2026 zu beachten ist
Die meisten materiellen Anforderungen gelten ab dem 11. Dezember 2027. Die Meldepflichten für Hersteller nach Artikel 14 gelten jedoch bereits seit dem 11. September 2026. Dabei geht es um aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines erfassten Produkts beeinträchtigen. Nicht jede gefundene Schwachstelle löst dieselbe Meldepflicht aus.
Für diese Meldungen gelten gestufte Fristen: grundsätzlich eine Frühwarnung binnen 24 Stunden und eine weitergehende Meldung binnen 72 Stunden nach Kenntniserlangung. Für den Abschlussbericht unterscheiden sich die Vorgaben. Bei einer aktiv ausgenutzten Schwachstelle ist grundsätzlich spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme zu berichten; bei einem schwerwiegenden Vorfall grundsätzlich innerhalb eines Monats nach der 72-Stunden-Meldung. Der einschlägige Tatbestand muss deshalb früh feststehen.
Die Meldung erfolgt über die dafür vorgesehene europäische Plattform. Daneben können andere Pflichten bestehen, etwa nach Datenschutzrecht oder dem BSIG. Ein interner Alarmierungsplan sollte diese Verfahren unterscheiden und aufeinander abstimmen. Die besonderen Pflichten von Open-Source-Software-Stewards haben einen eigenen Anwendungszeitpunkt; sie dürfen nicht pauschal mit den Herstellerpflichten gleichgesetzt werden.
Vorbereitung auf die weiteren Produktpflichten
Für die Umsetzung wird zunächst ein Produktverzeichnis benötigt: Produktfamilie, Funktionen, Bereitstellung, vorgesehene Nutzer, technische Abhängigkeiten und Verantwortliche. Darauf bauen Cybersicherheitsrisikobewertung, Entwicklungsanforderungen, technische Dokumentation und das passende Konformitätsbewertungsverfahren auf. Die Einstufung wichtiger oder kritischer Produkte beeinflusst das Verfahren.
Der Unterstützungszeitraum und die Bereitstellung von Sicherheitsupdates müssen rechtlich und technisch tragfähig geplant werden. Das betrifft auch eingekaufte Komponenten und die Frage, wie Schwachstellen in Abhängigkeiten bekannt werden. Eine Software-Stückliste kann dabei helfen, ersetzt aber weder die rechtliche Rollenprüfung noch die Bearbeitung konkreter Sicherheitsmeldungen.
Was in die Verträge gehört
Verträge mit Entwicklern und Zulieferern sollten Sicherheitsanforderungen, Informationen über Komponenten, Updatepflichten und die Zusammenarbeit bei Vorfällen regeln. Dabei ist festzuhalten, wer welche Meldung vorbereitet und welche Informationen binnen welcher internen Frist liefern muss. Öffentlich-rechtliche Herstellerpflichten werden durch eine Vertragsklausel nicht beliebig auf den Dienstleister verlagert.
Auch Kundenverträge benötigen einen Abgleich mit Produktbeschreibung, Supportzusagen und Updatekonzept. Pauschale Haftungsausschlüsse lösen einen Widerspruch zwischen zugesagter Nutzungsdauer und tatsächlicher Sicherheitsversorgung nicht.
Rechtliche Begleitung eines CRA-Projekts
Wir können die Einordnung einzelner Produkte, die Pflichtenverteilung in einer Lieferkette oder die Überarbeitung von Entwicklungs- und Vertriebsverträgen übernehmen. Eine technische Sicherheitsprüfung oder eine erforderliche Konformitätsbewertung wird durch dafür zuständige Fachstellen durchgeführt. Für den Einstieg sollten Produktunterlagen, Vertriebsmodell, wesentliche Komponenten und bestehende Supportregelungen zusammengestellt werden. Kontakt zur Kanzlei.
Rechtsgrundlagen und Entscheidungen: Cyber Resilience Act – Verordnung (EU) 2024/2847; Europäische Kommission: Meldepflichten nach dem CRA; Europäische Kommission: Zeitplan der Umsetzung.
Stand: 2. November 2026.
Weiterführend: Produktcompliance, CE und Rückrufmanagement · Compliance für Softwareunternehmen · Datenschutz und IT-Sicherheits-Compliance