Cyber Resilience Act: Rechtliche Beratung durch unsere Kanzlei.
Der Cyber Resilience Act (CRA) stellt Unternehmen vor neue rechtliche und organisatorische Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen. Unsere Anwälte unterstützen Sie dabei, Ihre CRA-Betroffenheit zu prüfen, rechtliche Risiken zu identifizieren und die Anforderungen des Cyber Resilience Act strukturiert umzusetzen.
Cyber Resilience Act: Was Unternehmen jetzt wissen müssen.
Mit dem Cyber Resilience Act schafft die EU einen einheitlichen Rechtsrahmen für die Cybersicherheit von Hardware und Software. Die Verordnung verpflichtet betroffene Unternehmen, Sicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg zu berücksichtigen – von der Entwicklung über die Bereitstellung bis zum Schwachstellenmanagement.
Die CRA-Meldepflichten gelten seit dem 11. September 2026. Die wesentlichen Anforderungen des Cyber Resilience Act werden ab dem 11. Dezember 2027 verbindlich.
Unternehmen sollten deshalb frühzeitig klären, welche Produkte betroffen sind, welche Pflichten gelten und wie sich diese in bestehende Compliance-Prozesse integrieren lassen.
11. September 2026
Meldepflichten gelten
Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.
11. Dezember 2027
Wesentliche Anforderungen gelten
Die wesentlichen Cybersicherheitsanforderungen des CRA werden verbindlich.
Unsere Beratung zum EU-Datenverordnung (Data Act).
Anwendungsbereich und CRA-Betroffenheit
Wir prüfen, ob Ihre Produkte und Softwarelösungen unter den Cyber Resilience Act fallen und klären Ihre Rolle und Pflichten innerhalb der Lieferkette.
Lieferkettenmanagement
Wir beraten zu Hersteller- und Zuliefererpflichten, CRA-relevanten Vertragsanforderungen sowie zum sicheren Umgang mit Open-Source-Software und Drittkomponenten.
Governance und Compliance
Wir unterstützen Sie beim Aufbau klarer Verantwortlichkeiten und geeigneter Compliance-Strukturen. Dabei berücksichtigen wir Schnittstellen zu NIS2, Datenschutz und Informationssicherheit.
Produkt-Compliance und Cybersicherheit
Wir unterstützen bei der Integration von Security-by-Design, beim Aufbau eines strukturierten Schwachstellenmanagements sowie bei Dokumentations- und Konformitätsanforderungen.
CRA-Meldepflichten
Wir begleiten Sie bei der Umsetzung gesetzlicher Meldepflichten, definieren Eskalations- und Entscheidungswege und etablieren Prozesse für das Vulnerability- und Incident-Reporting.
Ihre Rechtsanwälte für den Cyber Resilience Act.
Dr. Kim Manuel Künstner, Partner.
Dr Tilmann Dittrich,
Associate.
Thorsten Walter,
Partner.
Cyber Resilience Act: Häufige Fragen.
-
Der Cyber Resilience Act betrifft insbesondere Hersteller, Einführer und Händler von Produkten mit digitalen Elementen, die auf dem europäischen Markt bereitgestellt werden. Dazu gehören zahlreiche Hardware- und Softwareprodukte, beispielsweise vernetzte Geräte, IoT-Produkte, industrielle Steuerungssysteme und kommerzielle Softwarelösungen. Welche Anforderungen konkret gelten, hängt unter anderem vom Produkt, der Rolle des Unternehmens und möglichen Ausnahmen ab.
-
Der Cyber Resilience Act soll die Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus hinweg verbessern. Dafür schafft die EU einheitliche Anforderungen an die sichere Produktentwicklung, das Schwachstellenmanagement, die Dokumentation und die Konformitätsbewertung. Ziel ist es, Sicherheitsrisiken zu reduzieren und das Vertrauen in digitale Produkte zu stärken.
-
Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten und wird stufenweise anwendbar. Seit dem 11. September 2026 gelten bestimmte Meldepflichten. Die wesentlichen Anforderungen werden ab dem 11. Dezember 2027 verbindlich. Für einzelne Bestimmungen gelten abweichende Termine und Übergangsregelungen.
-
Hersteller müssen unter den gesetzlichen Voraussetzungen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit ihrer Produkte auswirken. Die Meldeverfahren sehen unter anderem eine Frühwarnung innerhalb von 24 Stunden und weitere Meldungen innerhalb festgelegter Fristen vor. Unternehmen benötigen deshalb geeignete Prozesse zur Erkennung, Bewertung, Eskalation und Meldung relevanter Ereignisse.
-
Der Cyber Resilience Act und die NIS2-Richtlinie verfolgen das gemeinsame Ziel, die Cybersicherheit in der EU zu stärken, setzen jedoch unterschiedliche Schwerpunkte. Während der CRA vor allem Anforderungen an Produkte mit digitalen Elementen stellt, adressiert NIS2 die Cybersicherheit und das Risikomanagement bestimmter Einrichtungen. Unternehmen können von einer abgestimmten Umsetzung profitieren, müssen jedoch die jeweiligen Pflichten eigenständig erfüllen.
-
Eine CRA-Beratung hilft Unternehmen, ihre regulatorischen Pflichten zu verstehen und systematisch umzusetzen. Dazu gehören die Prüfung der Betroffenheit, die Analyse bestehender Prozesse, die Entwicklung einer CRA-Roadmap sowie die Begleitung bei Governance, Meldepflichten, Lieferkettenmanagement und Produkt-Compliance.
Klären Sie Ihre CRA-Betroffenheit und schaffen Sie die Grundlage für eine sichere, strukturierte Umsetzung.
Sprechen Sie mit uns über Ihre individuellen CRA-Herausforderungen.
Rufen Sie an oder schreiben Sie uns
Neue Mainzer Straße 28
60311 Frankfurt am Main
info@schulte-lawyers.com
(+49) 069 900 26 6