Cyber Resilience Act: Pflichten für Produkte mit digitalen Elementen

Welche Produkte der Cyber Resilience Act erfasst

Die Verordnung gilt für Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden und deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1 Verordnung (EU) 2024/2847). Produkt mit digitalen Elementen ist ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, auch eine getrennt in Verkehr gebrachte Komponente (Art. 3 Nr. 1). Bereitgestellt wird ein Produkt, wenn es entgeltlich oder unentgeltlich im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt abgegeben wird (Art. 3 Nr. 22).

Cloud-Dienste sind nur erfasst, soweit sie Datenfernverarbeitung sind, also eine entfernt stattfindende Datenverarbeitung, deren Software der Hersteller selbst oder unter seiner Verantwortung entwickelt und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte (Art. 3 Nr. 2). Als Beispiel nennen die Erwägungsgründe die Fernsteuerung eines intelligenten Haushaltsgeräts über die Cloud des Herstellers; für Software as a Service (SaaS) verweisen sie auf die NIS-2-Richtlinie (Erwägungsgrund 12, dazu die Seite NIS2).

Ausgenommen sind unter anderem Produkte, für die die Verordnungen über Medizinprodukte, In-vitro-Diagnostika oder die Typgenehmigung von Kraftfahrzeugen gelten, nach dem Luftfahrtrecht der Verordnung (EU) 2018/1139 zertifizierte Produkte, Schiffsausrüstung, identische Ersatzteile und Produkte ausschließlich für die nationale Sicherheit oder die Verteidigung (Art. 2 Abs. 2 bis 4, 6 und 7).

Pflichten der Hersteller und Unterstützungszeitraum

Hersteller ist, wer Produkte mit digitalen Elementen entwickelt oder herstellt oder entwickeln oder herstellen lässt und sie unter eigenem Namen oder eigener Marke vermarktet, auch unentgeltlich (Art. 3 Nr. 13). Hersteller müssen gewährleisten, dass ihr Produkt nach den Cybersicherheitsanforderungen in Anhang I Teil I konzipiert, entwickelt und hergestellt ist, und dafür die Cybersicherheitsrisiken bewerten und dokumentieren (Art. 13 Abs. 1 bis 3). Danach muss ein Produkt, soweit zutreffend, unter anderem ohne bekannte ausnutzbare Schwachstellen und mit sicherer Standardkonfiguration bereitgestellt werden, Sicherheitsaktualisierungen ermöglichen, vor unbefugtem Zugriff schützen, Vertraulichkeit und Integrität von Daten schützen und nur die erforderlichen Daten verarbeiten. Für den Umgang mit Schwachstellen verlangt Anhang I Teil II unter anderem eine Software-Stückliste, die unverzügliche Behebung, regelmäßige Tests, eine Strategie für die koordinierte Offenlegung, eine Kontaktadresse für Meldungen und die unverzügliche, unentgeltliche Verbreitung von Sicherheitsaktualisierungen, soweit mit einem gewerblichen Nutzer für ein maßgeschneidertes Produkt nichts anderes vereinbart ist.

Schwachstellen muss der Hersteller während des Unterstützungszeitraums wirksam behandeln. Diesen Zeitraum legt er nach der voraussichtlichen Nutzungsdauer fest; er beträgt mindestens fünf Jahre, bei kürzerer voraussichtlicher Nutzungsdauer entsprechend weniger (Art. 13 Abs. 8). Das Enddatum gibt der Hersteller beim Kauf mindestens mit Monat und Jahr an (Art. 13 Abs. 19). Vor dem Inverkehrbringen erstellt er die technische Dokumentation, führt das Konformitätsbewertungsverfahren durch oder lässt es durchführen, stellt die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an (Art. 13 Abs. 12). Was das für Pflegeverträge bedeutet, behandelt die Seite Wartungsvertrag für Software, die Rechte von Verbrauchern bei Mängeln vernetzter Geräte die Seite Mängelrechte bei Handy und smarten Geräten. Den Zugang zu Daten vernetzter Produkte regelt die Datenverordnung (Data Act).

Für die Konformitätsbewertung wählt der Hersteller grundsätzlich zwischen interner Kontrolle (Modul A), EU-Baumusterprüfung mit anschließender interner Fertigungskontrolle (Module B und C), umfassender Qualitätssicherung (Modul H) und, soweit verfügbar, einem europäischen Schema für die Cybersicherheitszertifizierung (Art. 32 Abs. 1). Bei wichtigen Produkten nach Anhang III der Klasse I, etwa bei Passwort-Managern, Betriebssystemen und Routern, scheidet die interne Kontrolle aus, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema mindestens der Stufe „mittel“ nicht oder nur zum Teil anwendet oder es sie nicht gibt (Art. 32 Abs. 2). In Klasse II, etwa bei Firewalls, kommen nur die Module B und C, Modul H oder ein Zertifizierungsschema in Betracht (Art. 32 Abs. 3). Für kritische Produkte nach Anhang IV wie Chipkarten gilt ein europäisches Zertifizierungsschema nach Art. 8 Abs. 1 oder, wenn dessen Voraussetzungen fehlen, eines der Verfahren der Klasse II (Art. 32 Abs. 4).

Meldepflichten seit dem 11. September 2026

Seit dem 11. September 2026 muss ein Hersteller jede aktiv ausgenutzte Schwachstelle in seinem Produkt und jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, gleichzeitig dem als Koordinator benannten Computer Security Incident Response Team (CSIRT) und der Agentur der Europäischen Union für Cybersicherheit (ENISA) melden. Die Meldung geht über die einheitliche Meldeplattform an das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat (Art. 14 Abs. 1, 3 und 7, Art. 71 Abs. 2).

Gemeldet wird in Stufen, zuerst mit einer Frühwarnung unverzüglich, in jedem Fall innerhalb von 24 Stunden nach Kenntnis, dann mit einer Meldung unverzüglich, in jedem Fall innerhalb von 72 Stunden nach Kenntnis. Den Abschlussbericht legt der Hersteller bei einer Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, und bei einem Sicherheitsvorfall innerhalb eines Monats nach der 72-Stunden-Meldung vor (Art. 14 Abs. 2 und 4). Schwerwiegend ist ein Sicherheitsvorfall, der die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder der zur Einführung oder Ausführung böswilligen Codes geführt hat oder führen kann (Art. 14 Abs. 5).

Der Hersteller informiert außerdem die betroffenen Nutzer über die Schwachstelle oder den Vorfall und, soweit erforderlich, über Maßnahmen, die sie selbst ergreifen können (Art. 14 Abs. 8). Diese Pflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Ist der Hersteller zugleich eine Einrichtung nach dem BSI-Gesetz, kann derselbe Vorfall auch unter die Meldepflicht nach § 32 BSIG fallen.

Einführer und Händler

Einführer ist, wer in der Union ansässig ist und ein Produkt unter dem Namen oder der Marke einer Person außerhalb der Union hier in Verkehr bringt (Art. 3 Nr. 16). Händler ist jede andere Person in der Lieferkette, die ein Produkt ohne Änderung seiner Eigenschaften bereitstellt (Art. 3 Nr. 17).

Einführer und Händler gelten selbst als Hersteller mit dessen Pflichten aus Art. 13 und 14, wenn sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen oder ein bereits in Verkehr gebrachtes Produkt wesentlich ändern (Art. 21). Wesentlich ist eine Änderung, die sich auf die Konformität mit den Anforderungen in Anhang I Teil I auswirkt oder den bestimmungsgemäßen Zweck ändert, für den das Produkt geprüft wurde (Art. 3 Nr. 30). Auch jeder andere, der ein Produkt wesentlich ändert und bereitstellt, gilt als Hersteller, für den geänderten Teil oder, wenn die Änderung die Cybersicherheit des ganzen Produkts betrifft, für das ganze Produkt (Art. 22).

Einführer dürfen nur Produkte in Verkehr bringen, die den Anforderungen in Anhang I genügen. Vorher stellen sie sicher, dass der Hersteller die Konformitätsbewertung durchgeführt und die technische Dokumentation erstellt hat, dass das Produkt die CE-Kennzeichnung trägt und EU-Konformitätserklärung und Nutzerinformationen beiliegen und dass Typen- oder Seriennummer, Kontaktangaben und das Enddatum des Unterstützungszeitraums angegeben sind (Art. 19 Abs. 1 und 2). Händler prüfen vor der Bereitstellung, ob das Produkt die CE-Kennzeichnung trägt und ob Hersteller und Einführer ihre Angabe- und Informationspflichten erfüllt und die erforderlichen Dokumente zur Verfügung gestellt haben (Art. 20 Abs. 1 und 2).

Haben Einführer oder Händler Grund zu der Annahme, dass ein Produkt den Anforderungen nicht genügt, darf es der Einführer erst in Verkehr bringen und der Händler erst bereitstellen, wenn die Konformität hergestellt ist. Von einer Schwachstelle unterrichten sie den Hersteller unverzüglich, bei einem erheblichen Cybersicherheitsrisiko auch die Marktüberwachungsbehörden (Art. 19 Abs. 3 und 5, Art. 20 Abs. 3 und 4).

Zeitplan, ältere Produkte und Geldbußen

Die Verordnung ist am 10. Dezember 2024 in Kraft getreten und gilt ab dem 11. Dezember 2027. Abweichend davon gilt Art. 14 seit dem 11. September 2026 und Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen seit dem 11. Juni 2026 (Art. 71). Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen nur, wenn sie danach wesentlich geändert werden (Art. 69 Abs. 2).

Die Sanktionen legen die Mitgliedstaaten fest (Art. 64 Abs. 1), die Verordnung gibt die Obergrenzen der Geldbußen vor. Bei Verstößen gegen die Cybersicherheitsanforderungen in Anhang I und gegen Art. 13 und 14 reichen sie bis zu 15.000.000 Euro oder bei Unternehmen bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Bei Verstößen unter anderem gegen Art. 18 bis 23 liegen sie bei 10.000.000 Euro oder 2 Prozent, bei falschen, unvollständigen oder irreführenden Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden bei 5.000.000 Euro oder 1 Prozent (Art. 64 Abs. 2 bis 4).