Was ist der Cyber Resilience Act?

Der Cyber Resilience Act ist eine EU-Verordnung, die seit Dezember 2024 in Kraft ist. Während NIS2 Organisationen und deren Betrieb reguliert, setzt der CRA beim Produkt an. Er gilt für Hard- und Software mit digitalen Elementen, also für alles, was sich direkt oder indirekt mit einem Gerät oder Netzwerk verbindet: Business-Software und Apps, Router und Firewalls, vernetzte Sensoren, industrielle Steuerungen.

Das Prinzip ist aus der Produktsicherheit bekannt. Wer ein Produkt in der EU in Verkehr bringt, weist nach, dass es sicher ist, und trägt die Verantwortung dafür über den gesamten Lebenszyklus. Neu ist, dass «sicher» nun auch Cybersicherheit bedeutet. Ab Dezember 2027 wird sie Teil der CE-Kennzeichnung.

Wer ist vom Cyber Resilience Act betroffen?

Massgeblich ist der Markt, nicht der Firmensitz. Ein Unternehmen, das Produkte mit digitalen Elementen in der EU verkauft, trägt dieselben Pflichten wie ein Hersteller mit Sitz in der EU. Den grössten Teil tragen die Hersteller, doch auch Importeure und Händler haben Prüfpflichten. Wer ein fremdes Produkt unter eigenem Namen vertreibt oder wesentlich verändert, gilt selbst als Hersteller.

Ausgenommen sind Bereiche mit eigener Regulierung, etwa Medizinprodukte und Fahrzeuge, sowie reine SaaS-Angebote. Die Grenze verläuft aber nicht immer dort, wo man sie erwartet: Eine Cloud-Komponente wird mitbewertet, wenn das Produkt ohne sie eine seiner Funktionen nicht erfüllen kann.

Indirekt betroffen sind Zulieferer. Wer Komponenten an EU-Hersteller liefert, findet die Anforderungen früher oder später im Vertrag wieder.

Und auch wer nur einkauft, spürt den CRA, im positiven Sinn. Hersteller müssen Sicherheitsupdates über eine definierte Supportdauer bereitstellen und eine Software-Stückliste (SBOM) führen. Für IT-Abteilungen wird damit sichtbarer, was in den eingesetzten Produkten steckt und wie lange sie gepflegt werden.

Meldepflichten seit dem 11. September 2026

Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform der ENISA, in drei Stufen:

• Frühwarnung innert 24 Stunden
• Meldung innert 72 Stunden
• Abschlussbericht innert 14 Tagen, nachdem eine Korrektur verfügbar ist (Schwachstellen), beziehungsweise innert eines Monats (Vorfälle)

Zusätzlich sind betroffene Nutzerinnen und Nutzer zu informieren, einschliesslich der Massnahmen, die sie selbst ergreifen können.

Zwei Punkte werden oft übersehen. Die Meldepflicht gilt auch für Produkte, die bereits auf dem Markt sind. Und die Frist beginnt nicht mit dem Angriff, sondern mit der Kenntnis davon: sobald eine erste Einschätzung mit hinreichender Sicherheit ergibt, dass eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Vorfall vorliegt.

Anforderungen ab dem
11. Dezember 2027

Ab diesem Datum müssen neue Produkte:

• nach dem Prinzip Security by Design entwickelt und ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden
• über eine definierte Supportdauer Sicherheitsupdates erhalten
• mit SBOM, technischer Dokumentation und EU-Konformitätserklärung in Verkehr gebracht werden

Für die meisten Produkte genügt eine Selbstbewertung. Wichtige und kritische Produkte, etwa Firewalls, VPNs oder industrielle Steuerungen, durchlaufen strengere Verfahren, teils unter Einbezug einer notifizierten Stelle. Verstösse gegen die grundlegenden Anforderungen oder die Meldepflichten können Bussen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes nach sich ziehen.

Cyber Resilience Act und die Schweiz

Der CRA gilt für Schweizer Unternehmen, sobald sie Produkte mit digitalen Elementen in der EU verkaufen. Parallel dazu hat der Bundesrat im August 2025 das Bundesamt für Cybersicherheit beauftragt, bis Herbst 2026 eine Vernehmlassungsvorlage für eine Schweizer Gesetzgebung zur Cyberresilienz digitaler Produkte auszuarbeiten. Sie soll sich am CRA orientieren und international tätige Unternehmen nicht mit abweichenden Vorgaben belasten. Wer die Anforderungen des CRA heute umsetzt, schafft damit die Grundlage für beide Regelwerke.

CRA-Compliance: Wo die eigentliche Arbeit liegt

Die 24-Stunden-Frist ist weniger eine Frage der Dokumentation als des Betriebs. Melden kann nur, wer weiss, dass eine Schwachstelle ausgenutzt wird. Das setzt voraus:

• Transparenz über die eigenen Produkte und ihre Komponenten
• einen Prozess, der Schwachstellen aufnimmt, bewertet und priorisiert, mit einer erreichbaren Anlaufstelle für externe Hinweise
• Überwachung, die aktive Ausnutzung erkennt, auch ausserhalb der Bürozeiten
• klare Zuständigkeiten: Wer entscheidet, ob gemeldet wird, und wer meldet?

Wie CLUE unterstützt

Wir setzen dort an, wo der CRA auf den technischen Betrieb trifft:

• Managed Detection and Response: kontinuierliche Überwachung, die aktive Ausnutzung erkennt und die Grundlage für eine fristgerechte Meldung schafft
• Vulnerability Management: laufende Sicht auf Schwachstellen und ihre Priorität
• Application Security: Sicherheit im Entwicklungszyklus, damit Produkte ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden
• OT Security: für Maschinen- und Anlagenbauer, deren Steuerungen und vernetzte Komponenten unter den CRA fallen

Der Cyber Resilience Act verlangt wenig, was ein gut geführtes Sicherheitsprogramm nicht ohnehin leisten sollte. Er macht es verbindlich und überprüfbar.

Sie möchten wissen, wo Ihr Unternehmen steht? Sprechen Sie mit uns.