CRA EU

Der CRA EU ist die Verordnung (EU) 2024/2847 – der Cyber Resilience Act. Er legt erstmals verbindliche Cybersicherheitsanforderungen fuer Produkte mit digitalen Elementen im gesamten EU-Binnenmarkt fest. Als EU-Verordnung gilt der CRA unmittelbar in allen Mitgliedstaaten ohne nationale Umsetzung. Die Verordnung trat am 10. Dezember

2024 in Kraft und regelt Sicherheitsanforderungen fuer Hardware und Software ueber den gesamten Produktlebenszyklus.

Die CRA EU Verordnung sieht einen gestaffelten Zeitplan vor: Inkrafttreten am 10. Dezember 2024, Meldepflichten fuer aktiv ausgenutzte Schwachstellen ab 11. September 2026, und volle Anwendbarkeit aller Hauptpflichten ab 11. Dezember 2027. Hersteller muessen die 21-monatige Uebergangsfrist fuer die Meldepflichten und die 36-monatige Frist fuer alle uebrigen Anforderungen einhalten.

Der EU CRA betrifft drei Wirtschaftsakteure: Hersteller von Produkten mit digitalen Elementen (z.B. IoT-Geraete, Software), Importeure, die solche Produkte in die EU einfuehren, und Haendler, die sie im EU-Markt vertreiben. Auch Open-Source-Software ist grundsaetzlich erfasst, wobei die Verordnung eine Ausnahme fuer nichtkommerzielle Open-Source-Entwicklung und die neue Rolle des Open Source Steward vorsieht.

Die CRA EU Verordnung unterscheidet drei Produktkategorien: Standard-Produkte (Selbstbewertung durch den Hersteller genuegt), wichtige Produkte der Klasse I und II (z.B. Passwort-Manager, Firewalls – teilweise Drittbewertung noetig), und kritische Produkte (z.B. Smartcard-Systeme, Hardware-Sicherheitsmodule – zwingend Bewertung durch eine Benannte Stelle). Die Einstufung bestimmt das erforderliche Konformitaetsbewertungsverfahren und den Aufwand fuer die CE-Kennzeichnung.

Die CRA EU Verordnung verpflichtet Hersteller, eine Software Bill of Materials (SBOM) zu erstellen. Die SBOM dokumentiert alle Software-Komponenten eines Produkts, einschliesslich Drittanbieter-Bibliotheken und Open-Source-Bestandteile. Sie dient der Transparenz ueber die Software-Lieferkette und ermoeglicht schnelle Identifikation betroffener Produkte bei neu entdeckten Schwachstellen. Die SBOM muss maschinenlesbar und aktuell gehalten werden.

Bei Verstoessen gegen die CRA EU Verordnung drohen Geldbussen von bis zu

15 Millionen Euro oder 2,

5 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag hoeher ist. Nationale Marktaufsichtsbehoerden ueberwachen die Einhaltung und koennen nicht-konforme Produkte vom EU-Markt nehmen lassen. Zusaetzlich kann die CE-Kennzeichnung entzogen werden, was den Marktzugang im gesamten EU-Binnenmarkt blockiert.

ADVISORI begleitet Hersteller, Importeure und Haendler bei der vollstaendigen CRA EU Compliance: von der Produktklassifizierung ueber Gap-Analysen und SBOM-Erstellung bis zur CE-Kennzeichnung. Unsere Berater verbinden regulatorische Expertise mit technischem Verstaendnis fuer Security-by-Design, Schwachstellenmanagement und Konformitaetsbewertungsverfahren – abgestimmt auf Ihre Produktkategorie und EU-Marktanforderungen.