Cyber Resilience Act: Fristen und wen er betrifft
Veröffentlicht am , aktualisiert am · Cyber Resilience Act
Der Cyber Resilience Act — Verordnung (EU) 2024/2847 — legt erstmals verbindliche Sicherheitsanforderungen für „Produkte mit digitalen Elementen" fest. Er wirkt in zwei Stufen: Die Meldepflichten gelten ab dem 11. September 2026, die vollen Produktpflichten ab dem 11. Dezember 2027. Wer davon betroffen ist, wird häufig falsch eingeschätzt.
Was ein „Produkt mit digitalen Elementen" ist
Die Verordnung meint Software- und Hardwareprodukte, die in Verkehr gebracht werden und eine Datenverbindung zu einem Gerät oder Netz haben können. Das reicht vom vernetzten Sensor über Betriebssysteme und Bibliotheken bis zu Anwendungssoftware, die Sie verteilen — als Download, im Verzeichnis, über einen Paketmanager oder als Teil eines Geräts.
Entscheidend ist das Inverkehrbringen. Eine Software, die Sie ausschließlich selbst betreiben und die Ihre Kunden nur als Dienst über das Netz nutzen, wird nicht in diesem Sinne in Verkehr gebracht. Reine Cloud-Dienste sind deshalb grundsätzlich nicht erfasst — mit einer Ausnahme: Fernverarbeitungsfunktionen, ohne die ein Produkt seine Funktion nicht erfüllen kann, gehören zum Produkt und damit in den Anwendungsbereich.
Ihre Website ist in der Regel nicht gemeint
Für die meisten Betreiber ist das die wichtigste Botschaft: Eine Unternehmenswebsite, ein Shop oder ein Portal ist kein Produkt mit digitalen Elementen. Sie stellen damit eine Dienstleistung bereit, Sie bringen kein Produkt in Verkehr. Der CRA verlangt von Ihnen als reinem Website-Betreiber also weder eine CE-Kennzeichnung noch eine technische Dokumentation.
Anders sieht es aus, sobald Sie Software verbreiten. Betroffen sind typischerweise:
- Agenturen und Entwickler, die ein Plugin, ein Theme oder eine Extension öffentlich anbieten — auch kostenlos, sofern es im Rahmen einer wirtschaftlichen Tätigkeit geschieht;
- Anbieter von Software zum Download oder Kauf;
- Hersteller vernetzter Geräte einschließlich der mitgelieferten Firmware;
- Importeure und Händler, die solche Produkte in der EU auf den Markt bringen — sie haben eigene, wenn auch geringere Pflichten.
Für Open Source enthält die Verordnung eigene Regeln. Nicht-kommerzielle Entwicklung fällt heraus; die neue Rolle des „Open-Source-Software-Verwalters" trifft Organisationen, die die Entwicklung solcher Software nachhaltig unterstützen, mit abgeschwächten Pflichten.
Die beiden Fristen
Die Verordnung ist bereits in Kraft, ihre Pflichten greifen aber gestaffelt:
- 11. September 2026 — Meldepflichten. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und einen Abschlussbericht. Adressat ist die zuständige Stelle über die dafür vorgesehene Plattform, unter Beteiligung von ENISA.
- 11. Dezember 2027 — volle Anwendung. Dann gelten die grundlegenden Sicherheitsanforderungen, die Pflicht zur Schwachstellenbehandlung über den Unterstützungszeitraum, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung.
Zwischen diesen Daten liegt eine Übergangszeit, die man gut nutzen kann. Wer erst im Dezember 2027 anfängt, muss Prozesse aufbauen, während die Pflichten bereits laufen.
security.txt: der Meldeweg, der heute schon Sinn ergibt
Eine Anforderung zieht sich durch die gesamte Verordnung: Hersteller müssen erreichbar sein, wenn jemand eine Schwachstelle findet. Verlangt wird eine Anlaufstelle für Meldungen und eine Leitlinie zur koordinierten Offenlegung. Das ist die Pflicht, die sich am leichtesten und am billigsten erfüllen lässt — und die praktisch am meisten bringt.
Der etablierte Weg dafür ist eine Datei unter
/.well-known/security.txt nach RFC 9116. Sie ist eine
Textdatei mit wenigen Feldern:
- Contact — Pflichtfeld: eine E-Mail-Adresse oder eine Meldeseite;
- Expires — Pflichtfeld: das Datum, bis zu dem die Angaben gelten; es zwingt zur regelmäßigen Pflege;
- Preferred-Languages, Policy, Encryption und Canonical — optional, aber hilfreich.
Wenn Sie die Datei gleich anlegen wollen: Unser kostenloser security.txt-Generator erzeugt sie für Ihre Domain, samt Hinweis, wohin sie gehört. Verbreitet ist sie bisher kaum — nach einer BSI-Messung (heise online, 10. August 2026) haben sie nur 1,8 % der deutschen Websitebetreiber.
Der Nutzen ist unmittelbar: Ohne einen sichtbaren Meldeweg erreicht ein Hinweis auf eine Sicherheitslücke oft niemanden. Er landet im Kontaktformular, im Vertriebspostfach oder im Spamordner — und dann vielleicht irgendwann in einem Forum. Eine Textdatei mit zwei Zeilen ändert das. Deshalb prüfen wir sie im Katalog, auch wenn der CRA für viele Websites inhaltlich gar nicht greift.
Was Sie jetzt tun können
Klären Sie zuerst, ob Sie überhaupt Hersteller im Sinne der Verordnung sind — die Antwort lautet für reine Website-Betreiber meist Nein. Wenn Sie Software verbreiten, verschaffen Sie sich einen Überblick: Welche Produkte sind es, welche Fremdbestandteile stecken darin, wie lange werden sie unterstützt? Richten Sie unabhängig davon heute einen Meldeweg ein und halten Sie ihn aktuell; das kostet wenig und wirkt sofort.
Kein Rechtsrat. Der Beitrag gibt den Stand zum Zeitpunkt der Veröffentlichung wieder. Ob ein konkretes Produkt in den Anwendungsbereich der Verordnung fällt und welche Konformitätsbewertung dafür vorgesehen ist, hängt vom Einzelfall ab und sollte anwaltlich geprüft werden.