„Cyber Resilience Act? Das ist doch was für Siemens.” — So ungefähr endet gerade jedes zweite Gespräch, wenn ich das Thema anschneide. Der Name klingt nach Großindustrie, nach Zertifizierungsabteilung, nach einem Problem für andere. Das Unangenehme daran: Eine der beiden Fristen ist schon vorbei. Die Meldepflicht aus dem Cyber Resilience Act gilt seit dem 11. September 2026, also seit über einem Monat.
Und die entscheidende Frage ist nicht, wann etwas gilt. Sie lautet: Bin ich überhaupt „Hersteller” im Sinne dieser Verordnung? Denn davon hängt alles ab — und die Antwort fällt bei kleinen Betrieben häufig anders aus, als sie selbst vermuten. Manche sind betroffen, ohne es zu wissen. Andere machen sich Sorgen, obwohl die Verordnung sie gar nicht meint. Genau diese Unterscheidung nehme ich hier auseinander.
Die zwei Stichtage, auf die es ankommt
Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847. Sie ist am 10. Dezember 2024 in Kraft getreten, greift aber gestaffelt — und das ist der Grund, warum so viele den Überblick verlieren. In Kraft heißt hier nämlich nicht, dass auch schon alles gilt.
| Was | Ab wann | Was das praktisch heißt |
|---|---|---|
| Inkrafttreten der Verordnung | 10. Dezember 2024 | noch keine operativen Pflichten |
| Meldepflicht für ausgenutzte Schwachstellen und schwere Vorfälle | 11. September 2026 | gilt jetzt — Meldewege müssen stehen |
| Alle Herstellerpflichten (SBOM, CE, Supportzeitraum) | 11. Dezember 2027 | betrifft Produkte, die danach auf den Markt kommen |
Der Zwischenstand im Oktober 2026 ist also: Du musst noch kein CE-Zeichen für Cybersicherheit an deinem Produkt haben und noch keine Software-Stückliste vorlegen. Aber wenn in deinem Produkt heute eine Schwachstelle aktiv ausgenutzt wird, läuft eine 24-Stunden-Uhr. Diese Reihenfolge überrascht viele — üblicherweise kommt die Dokumentationspflicht zuerst und die Meldepflicht später. Hier ist es umgekehrt.
Cyber Resilience Act: Wer ist betroffen?
Hersteller im Sinne der Verordnung ist, wer ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen vermarktet. Der zweite Halbsatz ist der wichtige. Es geht nicht darum, ob du selbst programmierst. Es geht darum, ob dein Name draufsteht.
Daraus folgt eine Konsequenz, die regelmäßig übersehen wird: Händler und Importeure werden selbst zum Hersteller, wenn sie ein Produkt unter eigener Marke vertreiben oder es wesentlich verändern. Wer also ein zugekauftes Gerät mit dem eigenen Logo verkauft oder eine eingekaufte Software unter eigenem Produktnamen anbietet, trägt die Herstellerpflichten — auch ohne eine Zeile eigenen Code. Dasselbe gilt für den Betrieb, der seine App von einer Agentur bauen lässt und sie dann im eigenen Namen in den Store stellt.
Und wer überraschend nicht betroffen ist
Hier kommt die Entlastung, die ich den meisten meiner Kunden geben kann: Reine Webanwendungen, die ausschließlich im Browser laufen, sind in der Regel nicht erfasst. Deine Website fällt nicht unter den CRA. Dein Online-Konfigurator, der nur im Browser rechnet, ebenfalls nicht. Ein gehostetes Kundenportal als reines Software-as-a-Service-Angebot grundsätzlich auch nicht.
Erfasst sind dagegen Dinge, die beim Kunden installiert werden oder ohne die ein Produkt nicht funktioniert:
- Desktop-Programme und mobile Apps
- Browser-Erweiterungen und Plug-ins
- SDKs und Bibliotheken, die andere einbauen
- Agenten und Clients, die auf Kundensystemen laufen
- Cloud-Funktionen, ohne die das Produkt seine Funktion nicht erfüllen kann
- vernetzte Hardware: Maschinen, Sensorik, Smart-Home-Geräte, Wearables
Ausgenommen sind außerdem Bereiche, die schon anderweitig reguliert sind — Medizinprodukte, In-vitro-Diagnostika, Fahrzeuge, Zivilluftfahrt und der Bereich nationale Sicherheit. Und Open-Source-Software, die ohne kommerzielle Tätigkeit bereitgestellt wird, fällt heraus. Kommerziell wird es allerdings schon bei Preismodellen, Werbung oder Abos; ein Spendenlink allein macht ein Projekt noch nicht kommerziell.
Die Unternehmensgröße spielt dabei keine Rolle. Es gibt keine Mitarbeiterschwelle und keine Umsatzgrenze, unter der der CRA nicht gilt. Ein Dreipersonenbetrieb mit einem vernetzten Gerät im Sortiment ist genauso Hersteller wie ein Konzern — bei einzelnen Nachweispflichten gibt es Erleichterungen für Kleinst- und Kleinunternehmen, bei der Grundpflicht nicht.
Die CRA Meldepflicht im Detail
Seit dem 11. September 2026 gilt: Wird eine Schwachstelle in deinem Produkt aktiv ausgenutzt, oder kommt es zu einem schwerwiegenden Sicherheitsvorfall, musst du melden. Nicht jede theoretische Lücke löst das aus — der Auslöser ist die aktive Ausnutzung beziehungsweise ein Vorfall, der die Sicherheit des Produkts erheblich beeinträchtigt.
Gemeldet wird über die Single Reporting Platform der EU-Agentur ENISA an das zuständige nationale CSIRT und an ENISA. Die Fristen sind gestaffelt:
- 24 Stunden — Frühwarnung, ab Kenntnis
- 72 Stunden — vollständige Meldung mit Details
- 14 Tage — Abschlussbericht bei Schwachstellen
- ein Monat — Abschlussbericht bei Sicherheitsvorfällen
24 Stunden sind für einen Betrieb ohne Rufbereitschaft knapp. Wenn eine Meldung am Freitagabend fällig wird, entscheidet nicht die Technik, sondern die Organisation: Wer darf das melden, wer hat den Zugang zur Plattform, wer erreicht wen? Diese drei Antworten sollten auf einem Blatt Papier stehen, nicht im Kopf einer einzelnen Person. Das ist der mit Abstand günstigste Teil der ganzen Verordnung — und der, der am häufigsten fehlt.
Was ab Dezember 2027 dazukommt
Zum 11. Dezember 2027 greifen dann die Produktpflichten. Diese Liste ist der Teil, der echten Aufwand bedeutet:
- dokumentierte Risikobewertung für das Produkt
- Security by Design und by Default
- funktionierendes Schwachstellenmanagement über die Produktlebensdauer
- Software-Stückliste (SBOM), also eine Liste aller enthaltenen Komponenten
- Unterstützungszeitraum von mindestens fünf Jahren
- EU-Konformitätserklärung und CE-Kennzeichnung
Der Punkt mit den fünf Jahren wird regelmäßig unterschätzt. Er bedeutet, dass du für jedes Produkt, das du ab Dezember 2027 in Verkehr bringst, mindestens fünf Jahre Sicherheitsupdates einplanen musst — kalkulatorisch, personell und vertraglich mit deinen Zulieferern. Wer Komponenten einkauft, deren Hersteller nach zwei Jahren den Support einstellt, hat ein Problem, das sich nicht mehr reparieren lässt. Deshalb ist die Lieferantenfrage nach der Supportdauer heute schon die wichtigste Frage im Einkauf.
Was Verstöße kosten
Die Verordnung staffelt die Bußgelder nach Schwere. Maßgeblich ist jeweils der höhere der beiden Werte:
| Verstoß gegen | Bußgeldrahmen |
|---|---|
| grundlegende Cybersicherheitsanforderungen | bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes |
| sonstige Pflichten, z. B. Verfahren und Kennzeichnung | bis 10 Mio. € oder 2 % |
| falsche oder unvollständige Angaben gegenüber Behörden | bis 5 Mio. € oder 1 % |
Für kleine Betriebe ist die Prozentgröße in der Praxis die relevante, nicht der Millionenbetrag. Entscheidender als die Zahl ist aber meist etwas anderes: Ohne Konformität darf das Produkt ab Dezember 2027 nicht mehr neu in der EU in Verkehr gebracht werden. Das Vertriebsverbot trifft härter als jedes Bußgeld.
Was ich kleinen Unternehmen jetzt empfehle
Drei Schritte, in dieser Reihenfolge, und der erste kostet einen Nachmittag:
Erstens: Produktinventur. Schreib auf, was du in der EU in Verkehr bringst und unter wessen Namen. Jede App, jedes Gerät, jedes Plug-in, jede Bibliothek. Danach streichst du alles, was reine Browseranwendung ist. Was übrig bleibt, ist dein CRA-Umfang — bei den meisten kleinen Dienstleistern ist diese Liste am Ende leer, und dann ist das Thema für dich erledigt. Dieses Ergebnis ist genauso wertvoll wie das andere, denn es nimmt dir ein Compliance-Projekt vom Tisch.
Zweitens: Meldeweg festlegen. Wenn die Liste nicht leer ist, definiere die 24-Stunden-Kette, bevor du irgendetwas anderes anfängst. Diese Pflicht läuft schon, die übrigen nicht. Ein Blatt mit Zuständigkeit, Vertretung und Plattformzugang reicht als Anfang.
Drittens: Zulieferer fragen. Erst danach lohnt sich der Blick auf SBOM, Risikobewertung und CE. Für den Dezember 2027 hast du noch über ein Jahr — aber nur, wenn du jetzt weißt, wie lange deine Zulieferer ihre Komponenten pflegen.
Die Dokumentation und die Meldewege lassen sich gut automatisieren, damit sie im Alltag nicht an einzelnen Personen hängen. Wenn du zusätzlich unsicher bist, ob eure internen Prozesse und die Website selbst sauber dastehen, ist ein Website-Audit der schnellste Einstieg: Ich schaue mir an, was ihr digital betreibt, und sage dir klar, was unter die Verordnung fällt und was nicht. Melde dich einfach über das Kontaktformular.
Häufige Fragen zum Cyber Resilience Act
Gilt der Cyber Resilience Act schon oder erst 2027? Beides. Die Verordnung ist seit 10. Dezember 2024 in Kraft, die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt seit 11. September 2026. Die vollständigen Herstellerpflichten wie SBOM, CE-Kennzeichnung und Supportzeitraum greifen ab 11. Dezember 2027.
Fällt meine Website oder mein SaaS-Angebot unter den CRA? Reine Webanwendungen, die ausschließlich im Browser laufen, sind in der Regel nicht erfasst — eine normale Unternehmenswebsite also nicht. Erfasst sind Desktop-Clients, Apps, Browser-Erweiterungen, SDKs, Plug-ins, Agenten beim Kunden sowie Cloud-Funktionen, ohne die ein Produkt seine Funktion nicht erfüllen kann.
Bin ich Hersteller, wenn ich meine Software extern entwickeln lasse? Ja. Hersteller ist, wer ein Produkt entwickelt oder entwickeln lässt und unter eigenem Namen vermarktet. Auch Händler und Importeure werden zu Herstellern, wenn sie unter eigener Marke vertreiben oder ein Produkt wesentlich verändern.
Gibt es eine Ausnahme für kleine Unternehmen? Keine generelle. Der CRA kennt keine Mitarbeiter- oder Umsatzschwelle, unter der er nicht gilt. Für Kleinst- und Kleinunternehmen gibt es Erleichterungen bei einzelnen Nachweis- und Dokumentationspflichten, nicht bei der Pflicht selbst.
An wen muss ich einen Vorfall melden? Über die Single Reporting Platform von ENISA an das zuständige nationale CSIRT und an ENISA: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden, Abschlussbericht nach 14 Tagen bei Schwachstellen beziehungsweise nach einem Monat bei Vorfällen.
Was passiert, wenn ich die Pflichten ignoriere? Bußgelder reichen bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Praktisch schwerer wiegt meist, dass nicht konforme Produkte ab 11. Dezember 2027 nicht mehr neu in der EU in Verkehr gebracht werden dürfen.
