Cyber Resilience Act (CRA): Pflichten, Fristen und Personalbedarf

Der Cyber Resilience Act ist seit dem 10. Dezember 2024 in Kraft, seine Pflichten gelten jedoch gestaffelt. Die erste harte Frist für Hersteller ist der 11. September 2026: Ab dann müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden an das zuständige CSIRT und die ENISA gemeldet werden, mit Detailmeldung nach 72 Stunden und Abschlussbericht. Ab dem 11. Dezember 2027 gelten alle Anforderungen vollständig — neue Produkte mit digitalen Elementen dürfen dann nur noch mit nachgewiesener CRA-Konformität und CE-Kennzeichnung in der EU in Verkehr gebracht werden. Da Produktentwicklungszyklen im Maschinenbau und in der Elektronik oft länger als zwei Jahre dauern, müssen Produkte, die 2027 auf den Markt kommen, bereits heute CRA-konform entwickelt werden.

Der CRA erfasst „Produkte mit digitalen Elementen“: alle Hardware- und Softwareprodukte, die direkt oder indirekt mit einem Gerät oder Netz verbunden werden können — vom IoT-Sensor über Maschinensteuerungen, Router und Smart-Home-Geräte bis zu Betriebssystemen und Standardsoftware. Ausgenommen sind Produkte mit eigenen sektoralen EU-Cybersicherheitsregeln, etwa Medizinprodukte, Kraftfahrzeuge und Luftfahrtkomponenten, sowie nicht-kommerzielle Open-Source-Software. Die Verordnung staffelt nach Risiko: Für rund 90 % der Produkte genügt die Selbstbewertung des Herstellers, „wichtige Produkte“ wie Firewalls oder Passwortmanager (Anhang III) unterliegen strengeren Verfahren, „kritische Produkte“ wie Smart-Meter-Gateways (Anhang IV) können zertifizierungspflichtig werden. Ob und in welcher Klasse ein konkretes Produkt erfasst ist, sollte je Produktportfolio einzeln geprüft werden.

Eine SBOM (Software Bill of Materials) ist eine maschinenlesbare Stückliste aller Softwarekomponenten eines Produkts — inklusive Open-Source-Bibliotheken und Abhängigkeiten. Der CRA verlangt sie in Anhang I Teil II als Teil der Schwachstellenbehandlung: Hersteller müssen jederzeit wissen, welche Komponenten in ihren Produkten stecken, um neue Schwachstellen (etwa in einer weit verbreiteten Bibliothek) schnell den betroffenen Produkten zuordnen und beheben zu können. Das BSI konkretisiert die Anforderungen an SBOM-Formate und -Inhalte in der Technischen Richtlinie TR-03183 Teil 2. Praktisch bedeutet das: Build-Pipelines müssen SBOMs automatisiert erzeugen, und es braucht Prozesse und Verantwortliche, die SBOM-Daten kontinuierlich gegen Schwachstellendatenbanken abgleichen — eine Kernaufgabe von Product-Security- und PSIRT-Rollen.

Die Abgrenzung ist einfach: NIS2 reguliert Organisationen, der CRA reguliert Produkte. Die NIS2-Richtlinie verpflichtet Betreiber in 18 kritischen Sektoren, die eigene Organisation abzusichern — mit Risikomanagement, Meldepflichten und Governance-Verantwortung der Geschäftsleitung. Der Cyber Resilience Act verpflichtet dagegen Hersteller, Importeure und Händler, nur cybersichere Produkte mit digitalen Elementen auf den EU-Markt zu bringen — unabhängig davon, wer sie kauft. Rechtlich unterscheiden sich auch die Instrumente: NIS2 ist eine Richtlinie und brauchte ein deutsches Umsetzungsgesetz, der CRA ist eine Verordnung und gilt unmittelbar. Viele Industrieunternehmen trifft beides: NIS2 für die eigene IT- und OT-Sicherheit, der CRA für jedes vernetzte Produkt im Portfolio. Entsprechend brauchen sie sowohl organisatorische Security-Rollen als auch Produktsicherheits-Kompetenz in der Entwicklung.

CRA-Konformität ist eine Daueraufgabe der Produktorganisation und erfordert typischerweise vier Kompetenzfelder: Product Security Engineers, die Risikobewertungen durchführen und Security by Design in Architektur und Entwicklungsprozesse verankern; Embedded-Security-Spezialisten für sichere Firmware, Secure Boot, Kryptografie und Update-Mechanismen auf Geräteebene; ein PSIRT (Product Security Incident Response Team), das Schwachstellenmeldungen entgegennimmt, SBOM-Daten überwacht und die ab September 2026 geltenden Meldefristen einhält; sowie Compliance- und GRC-Profile für technische Dokumentation und Konformitätsbewertung. Penetration Tester ergänzen das Bild für die Wirksamkeitsprüfung. Gerade Embedded-Security-Profile sind am deutschen Markt rar — NOBA Experts besetzt diese Rollen für Maschinenbau-, Elektronik- und IoT-Hersteller und kennt die aktuellen Gehaltsbänder und Verfügbarkeiten im Detail.