Cyber Resilience Act: Rechtliche Beratung durch unsere Kanzlei.

Der Cyber Resilience Act betrifft insbesondere Hersteller, Einführer und Händler von Produkten mit digitalen Elementen, die auf dem europäischen Markt bereitgestellt werden. Dazu gehören zahlreiche Hardware- und Softwareprodukte, beispielsweise vernetzte Geräte, IoT-Produkte, industrielle Steuerungssysteme und kommerzielle Softwarelösungen. Welche Anforderungen konkret gelten, hängt unter anderem vom Produkt, der Rolle des Unternehmens und möglichen Ausnahmen ab.

Der Cyber Resilience Act soll die Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg verbessern. Dafür schafft die EU einheitliche Anforderungen an die sichere Produktentwicklung, das Schwachstellenmanagement, die Dokumentation und die Konformitätsbewertung. Ziel ist es, Sicherheitsrisiken zu reduzieren und das Vertrauen in digitale Produkte zu stärken.

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten und wird stufenweise anwendbar. Seit dem 11. September 2026 gelten bestimmte Meldepflichten. Die wesentlichen Anforderungen werden ab dem 11. Dezember 2027 verbindlich. Für einzelne Bestimmungen gelten abweichende Termine und Übergangsregelungen.

Hersteller müssen unter den gesetzlichen Voraussetzungen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit ihrer Produkte auswirken. Die Meldeverfahren sehen unter anderem eine Frühwarnung innerhalb von 24 Stunden und weitere Meldungen innerhalb festgelegter Fristen vor. Unternehmen benötigen deshalb geeignete Prozesse zur Erkennung, Bewertung, Eskalation und Meldung relevanter Ereignisse.

Der Cyber Resilience Act und die NIS2-Richtlinie verfolgen das gemeinsame Ziel, die Cybersicherheit in der EU zu stärken, setzen jedoch unterschiedliche Schwerpunkte. Während der CRA vor allem Anforderungen an Produkte mit digitalen Elementen stellt, adressiert NIS2 die Cybersicherheit und das Risikomanagement bestimmter Einrichtungen. Unternehmen können von einer abgestimmten Umsetzung profitieren, müssen jedoch die jeweiligen Pflichten eigenständig erfüllen.

Eine CRA-Beratung hilft Unternehmen, ihre regulatorischen Pflichten zu verstehen und systematisch umzusetzen. Dazu gehören die Prüfung der Betroffenheit, die Analyse bestehender Prozesse, die Entwicklung einer CRA-Roadmap sowie die Begleitung bei Governance, Meldepflichten, Lieferkettenmanagement und Produkt-Compliance.