Cyber Resilience Act: erst prüfen, ob Sie betroffen sind
Ab 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act. Betroffen sind Hersteller von Produkten mit digitalen Elementen: nicht jeder, der Software einsetzt.
ISO 27001 · Microsoft Solutions Partner
Am 11. September 2026 wird die Meldepflicht des Cyber Resilience Act wirksam. Sie trifft Hersteller von Produkten mit digitalen Elementen: Nicht jeden, der Software einsetzt. Wir klären zuerst, ob Sie betroffen sind, und begleiten dann die Umsetzung.
Betrifft der Cyber Resilience Act mein Unternehmen?
Nur, wenn Sie Produkte mit digitalen Elementen kommerziell auf dem EU-Markt bereitstellen. Wer Software ausschließlich im eigenen Betrieb einsetzt, fällt nicht darunter, und das trifft auf die meisten mittelständischen Unternehmen zu.
Betroffen sind Sie zum Beispiel, wenn Sie:
Maschinen oder Geräte mit Software verkaufen, auch als Zulieferer
eine Anwendung oder App unter eigenem Namen auf den Markt bringen
Hardware mit Firmware importieren und unter eigenem Namen vertreiben
Software als Produkt lizenzieren und nicht nur als Dienstleistung erbringen
Nicht betroffen sind Sie, wenn Sie:
Software nur im eigenen Betrieb einsetzen
IT-Dienstleistungen erbringen, ohne ein Produkt bereitzustellen
fremde Produkte weiterverwenden, ohne sie unter eigenem Namen in Verkehr zu bringen
Die Rolle entscheidet, nicht das Produkt. Wer ein Gerät unter eigenem Namen auf den Markt bringt, ist Hersteller im Sinne der Verordnung: Auch wenn die Software von einem Zulieferer stammt.
Was gilt ab dem 11. September 2026?
Zuerst nur die Meldepflichten aus Artikel 14. Die vollen Anforderungen an Produktsicherheit, Konformitätsbewertung und CE-Kennzeichnung folgen am 11. Dezember 2027.
24 Stunden: Frühwarnung an die zuständige CSIRT-Stelle und an die europäische Agentur ENISA
72 Stunden: Meldung mit den bis dahin bekannten Einzelheiten
14 Tage beziehungsweise ein Monat: Abschlussbericht
Vierundzwanzig Stunden sind kurz. Wer keinen benannten Verantwortlichen und keinen vorbereiteten Weg hat, verpasst die Frist beim ersten Vorfall: Nicht aus Nachlässigkeit, sondern weil in den ersten Stunden alle mit der Technik beschäftigt sind.
Gilt die Meldepflicht auch für ältere Produkte?
Ja. Die Verordnung nimmt Altprodukte von den Sicherheitsanforderungen aus, nicht aber von der Meldepflicht. Was vor dem 11. Dezember 2027 in Verkehr gebracht wurde, muss die Anforderungen nach Anhang I nicht erfüllen: Gemeldet werden muss trotzdem.
Das ist der häufigste Denkfehler beim Cyber Resilience Act, und wir haben ihn in einem eigenen Fachbeitrag ausführlich beschrieben.
Wie gehen wir vor?
In fünf Schritten, und der erste ist immer die Betroffenheitsprüfung: Auch wenn sie ergibt, dass wir nichts weiter für Sie tun müssen.
Betroffenheit: Was stellen Sie bereit, unter wessen Namen, auf welchem Markt? Ergebnis ist eine schriftliche Einordnung, auch wenn sie „nicht betroffen" lautet
Bestandsaufnahme: welche Produkte, welche Software-Bestandteile, welche Zulieferer
Meldeweg: wer meldet, an wen, in welcher Frist, mit welcher Vorlage, und wer vertritt ihn im Urlaub
Übung: ein Probelauf mit einer erfundenen Schwachstelle, damit der Weg im Ernstfall trägt
Dauerbetrieb: Beobachtung der eigenen Produktbestandteile auf bekannte Schwachstellen
Welche Produkte sind ausgenommen?
Einige Produktgruppen fallen nicht unter den Cyber Resilience Act, weil sie bereits anderen Regelwerken unterliegen: Medizinprodukte, Fahrzeuge mit Typgenehmigung, Luftfahrtausrüstung und bestimmte Ausrüstung für die Schifffahrt.
Freie und quelloffene Software ist ausgenommen, solange sie außerhalb einer geschäftlichen Tätigkeit bereitgestellt wird. Sobald sie in ein verkauftes Produkt eingebaut wird, verantwortet der Hersteller dieses Produkts sie mit: Das ist der Punkt, an dem die Stückliste der verbauten Software wichtig wird.
Was kostet die Betroffenheitsprüfung?
Das erste Gespräch von dreißig Minuten ist kostenfrei und klärt in den meisten Fällen schon die Grundfrage. Ist die Lage komplizierter: Mehrere Produktlinien, Zulieferteile mit eigener Software, Vertrieb über Dritte: , machen wir daraus eine schriftliche Einordnung mit fester Preisabsprache.
Was die Umsetzung kostet, hängt davon ab, was bereits vorhanden ist. Ein Unternehmen mit gepflegter Softwarestückliste und benanntem Sicherheitsverantwortlichen braucht überwiegend einen Meldeweg. Wer bei null anfängt, braucht mehr.
Was unterscheidet den Cyber Resilience Act von NIS2?
Beide betreffen Cybersicherheit, aber verschiedene Rollen. NIS2 verpflichtet Betreiber in bestimmten Sektoren ab einer bestimmten Größe, ihren eigenen Betrieb zu schützen. Der Cyber Resilience Act verpflichtet Hersteller, sichere Produkte in Verkehr zu bringen.
Viele Unternehmen sind von beidem betroffen: Ein Maschinenbauer, der Anlagen mit Software verkauft, ist Hersteller nach dem Cyber Resilience Act und je nach Größe Betreiber nach NIS2. Die Meldewege lassen sich zusammenlegen, die Pflichten nicht.
Was tun wir nicht?
Wir machen Sie nicht CRA-konform. Das kann niemand für Sie tun: Die Verordnung verpflichtet den Hersteller, und diese Verantwortung bleibt bei Ihnen. Wir begleiten die Umsetzung, richten den Meldeweg ein und üben ihn mit Ihnen: Die Erklärung unterschreiben Sie.
Wir ersetzen auch keine Rechtsberatung. Ob ein bestimmtes Produkt unter die Verordnung fällt, ist im Zweifel eine Rechtsfrage. Wir sagen Ihnen, wo der Zweifel liegt, und arbeiten mit Ihrem Anwalt zusammen.
Und wir verkaufen Ihnen keine Umsetzung, wenn Sie nicht betroffen sind. Die Betroffenheitsprüfung ist der erste Schritt und oft auch der letzte.
Wie fangen wir an?
Mit einem Gespräch von dreißig Minuten. Es klärt, ob der Cyber Resilience Act Sie betrifft. Wenn nicht, haben Sie eine schriftliche Begründung für Ihre Unterlagen: die ist im Zweifel mehr wert als eine Umsetzung, die Sie nicht brauchen. Termin vereinbaren oder über das Kontaktformular schreiben.
Lösungen in einer neuen Dimension.
Ein Gespräch genügt, um herauszufinden, wo IT, Microsoft Cloud und KI den Arbeitsalltag wirklich entlasten können.
Ihr Ansprechpartner: Jan Emmerich, Geschäftsführer