1. Warum der CRA auch Ihr Unternehmen betrifft
Die meisten Geschäftsführer, mit denen ich über EU-Cyberregulierung spreche, haken das Thema mit einem Satz ab: "Wir sind kein kritischer Betreiber, uns betrifft das nicht." Bei NIS2 stimmt das oft. Bei der Cyberresilienz-Verordnung, kurz CRA, stimmt es meistens nicht, und der Grund liegt in einer einzigen Formulierung im Gesetzestext.
Die Verordnung (EU) 2024/2847 knüpft ihre Pflichten nicht an Unternehmensgröße, Branche oder Umsatz. Sie knüpft sie an eine Rolle. Wer ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet, ist Hersteller. Artikel 3 stellt ausdrücklich klar, dass das gilt, "sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich". Ein kostenloses Tool auf Ihrer Website macht Sie damit zum Hersteller.
Und "Produkt mit digitalen Elementen" ist weit gefasst: jedes Software- oder Hardwareprodukt samt zugehöriger Datenfernverarbeitung, dessen bestimmungsgemäßer Zweck eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt. Eine Windows-Anwendung fällt darunter. Eine Mobile App fällt darunter. Ein Kundenportal, das Sie als Teil Ihres Maschinenangebots mitliefern, fällt darunter.
Selbsttest in drei Fragen: Vertreiben Sie Software oder ein Gerät mit Netzwerkfunktion unter Ihrem Namen? Verkaufen oder verschenken Sie es in der EU? Ist es kein Medizinprodukt, Fahrzeug oder zertifiziertes Luftfahrtteil? Drei Mal ja bedeutet: Sie sind Hersteller im Sinne des CRA und ab 11. September 2026 meldepflichtig.
2. Hersteller, Importeur, Händler: welche Rolle Sie haben
Der CRA verteilt Pflichten entlang der Wertschöpfungskette, und die Rolle entscheidet über den Umfang. Die Hauptlast trägt der Hersteller, weil er das Produkt konzipiert.
Der Fall, den viele übersehen
Sie lassen eine App von einer Agentur entwickeln und verkaufen sie unter Ihrer Marke. Die Agentur schreibt den Code, aber Sie sind der Hersteller. Die Verordnung erfasst ausdrücklich auch den, der Produkte "konzipieren, entwickeln oder herstellen lässt". Die Meldung an die Behörde kann Ihnen niemand abnehmen, sie ist Ihre Pflicht. Wer Softwareentwicklung auslagert, sollte das im Vertrag abbilden: Ihr Dienstleister muss Sie unverzüglich informieren, wenn er von einer ausgenutzten Schwachstelle erfährt, sonst können Sie die 24-Stunden-Frist gar nicht halten.
Was nicht erfasst ist
Reine Cloud-Dienste bleiben außen vor. SaaS, PaaS und IaaS werden von der NIS2-Richtlinie adressiert, nicht vom CRA. Die Grenze verläuft bei der Datenfernverarbeitung nach Artikel 3 Nummer 2: erfasst ist nur Fernverarbeitung, ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Das Backend Ihrer Mobile App gehört dazu. Ein davon unabhängiges Analytics-Portal nicht. Wenn Sie an dieser Grenze arbeiten, lohnt der Blick in unseren Beitrag zu NIS2 und dem NISG 2026, weil dann meist beide Regelwerke im Spiel sind.
3. Die Meldepflicht ab 11. September 2026
Artikel 71 der Verordnung staffelt den Geltungsbeginn. Der Hauptteil greift erst am 11. Dezember 2027, aber Artikel 14 gilt bereits ab 11. September 2026. Genau dieser Artikel enthält die Meldepflichten, und er ist damit die erste Vorschrift des CRA, an der Sie sich messen lassen müssen.
Zu melden sind zwei Dinge: aktiv ausgenutzte Schwachstellen in Ihrem Produkt und schwerwiegende Sicherheitsvorfälle, die sich auf dessen Sicherheit auswirken. Entscheidend ist das Wort "aktiv ausgenutzt". Eine theoretische Lücke, die Sie im eigenen Audit finden, löst keine Meldung aus. Ein Angreifer, der sie nachweislich nutzt, schon.
Beides geht gleichzeitig an zwei Stellen: an das als Koordinator benannte CSIRT und an die ENISA, über die einheitliche Meldeplattform nach Artikel 16. Die Fristen sind knapp bemessen:
| Datum | Was gilt | Fundstelle |
|---|---|---|
| 10.12.2024 | Verordnung in Kraft getreten, noch keine Pflichten für Hersteller | Art. 71 Abs. 1 |
| 11.06.2026 | Kapitel IV gilt: Konformitätsbewertungsstellen können notifiziert werden | Art. 71 Abs. 2 |
| 11.09.2026 | Meldepflichten greifen. Frühwarnung binnen 24 Stunden, Schwachstellenmeldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme | Art. 14 |
| 11.12.2027 | Vollständige Geltung: Cybersicherheitsanforderungen nach Anhang I, CE-Kennzeichnung, Software-Stückliste, Unterstützungszeitraum | Art. 71 Abs. 2 |
Der Bußgeldrahmen ist kein Rundungsfehler: Artikel 64 Absatz 2 sieht für Verstöße gegen Artikel 13 und 14 sowie gegen die Anforderungen aus Anhang I Geldbußen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem welcher Betrag höher ist. Für kleinere Unternehmen ist die Prozentgrenze der relevante Maßstab.
4. Was bis 11. Dezember 2027 dazukommt
Die Meldepflicht ist die sichtbare Spitze. Der substanzielle Teil folgt Ende 2027 und verlangt Änderungen am Entwicklungsprozess, nicht nur an der Kommunikation.
Nach Artikel 13 müssen Produkte so konzipiert, entwickelt und hergestellt sein, dass sie die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllen. Voraus geht eine Cybersicherheits-Risikobewertung, deren Ergebnis in Planung, Konzeption, Entwicklung, Lieferung und Wartung einfließen muss. Das ist der Punkt, an dem viele Teams merken, dass Sicherheit bei ihnen bisher am Ende des Projekts stand und nicht am Anfang. Wer schon einmal gesehen hat, wie schnell sich Sicherheitslücken in KI-generiertem Code einschleichen, ahnt, wie viel Arbeit in dieser Umstellung liegt.
Dazu kommen drei Anforderungen mit unmittelbarer Konsequenz für die Architektur:
- Software-Stückliste: Sie müssen dokumentieren, aus welchen Komponenten Ihr Produkt besteht, mindestens für die Top-Level-Abhängigkeiten. Veröffentlichen müssen Sie sie nicht, den Marktüberwachungsbehörden auf Verlangen vorlegen schon.
- Unterstützungszeitraum: Sie legen fest und kommunizieren, wie lange Sie Schwachstellen Ihres Produkts behandeln. Das ist eine Zusage mit Kostenfolge, die in die Preiskalkulation gehört.
- Sichere Voreinstellungen und Updates: Produkte müssen in einer sicheren Standardkonfiguration ausgeliefert werden und Sicherheitsaktualisierungen ermöglichen. Ein Gerät, das sich nach dem Verkauf nie mehr aktualisieren lässt, ist ab Dezember 2027 nicht verkehrsfähig.
5. Fahrplan für die nächsten Wochen
Bis zum 11. September bleiben wenige Wochen. In dieser Zeit lässt sich kein Entwicklungsprozess umbauen, aber die Meldefähigkeit herstellen, und genau darauf kommt es zuerst an.
Was bis September stehen muss
- Rolle klären. Listen Sie jedes Produkt auf, das Sie in der EU bereitstellen, und bestimmen Sie je Produkt Ihre Rolle. Bei ausgelagerter Entwicklung sind Sie in der Regel trotzdem Hersteller.
- Zuständigkeit benennen. Eine Person, die im Ernstfall die Meldung auslöst, plus Vertretung. Eine 24-Stunden-Frist läuft auch im Urlaub.
- Meldeweg vorbereiten. Zugang zur nationalen Anlaufstelle klären und den Ablauf einmal trocken durchspielen. Wer im Vorfall erst den richtigen Empfänger sucht, verliert die Frist.
- Erkennung sicherstellen. Sie können nur melden, was Sie merken. Ohne Monitoring und ohne Kanal, über den Dritte Ihnen Schwachstellen berichten können, erfahren Sie von der Ausnutzung womöglich nie.
- Verträge nachziehen. Dienstleister und Zulieferer müssen Sie unverzüglich informieren. Ohne diese Klausel ist Ihre Frist von deren Kulanz abhängig.
Die Kommission hat Ende Juli 2026 eine Praxis-Guidance zur Umsetzung veröffentlicht, die sich ausdrücklich auch an kleinere Unternehmen richtet. Artikel 33 verpflichtet die Mitgliedstaaten außerdem zu Unterstützungsmaßnahmen für Kleinst- und Kleinunternehmen, von eigenen Beratungskanälen bis zu Reallaboren für Cyberresilienz. Diese Angebote zu nutzen kostet nichts außer Zeit.
Fazit
Der CRA ist keine Regulierung, die man einmal abarbeitet und dann ablegt. Er verschiebt Produktsicherheit dauerhaft von der freiwilligen Kür in die dokumentierte Pflicht, mit einer Frist, die in wenigen Wochen greift, und einem Bußgeldrahmen, der auch für kleine Anbieter existenzrelevant ist. Der erste Schritt ist unspektakulär und kostet einen halben Tag: eine Liste Ihrer Produkte, je Produkt Ihre Rolle, und ein Name für den Ernstfall. Wer im September belastbar melden kann, hat den kritischen Teil erledigt und Zeit für den größeren Umbau bis Dezember 2027.