Der CRA unterteilt Produkte mit digitalen Elementen in insgesamt vier Risikoklassen
Der Cyber Resilience Act (CRA) schafft erstmals einen verbindlichen Rahmen für die Cyber Security von Produkten mit digitalen Elementen. Unternehmen müssen künftig nachweisen, dass ihre Produkte grundlegende Sicherheitsanforderungen erfüllen. Zu den Produkten mit digitalen Elementen zählen Hard- und Software mit Kommunikationsfähigkeiten. Diese Vorgaben gelten sowohl für neue als auch für bestehende Produkte. Entscheidend ist dabei nicht die Unternehmensgröße, sondern ausschließlich die Art des Produkts. Damit sind u. a. Maschinenbauer, Gerätehersteller und Softwareanbieter gleichermaßen betroffen.
Der CRA unterscheidet Produkte je nach Funktion, Verwendungszweck und Risikoniveau in verschiedene Kategorien. Für jede dieser Kategorien gelten spezifische Anforderungen. Während für viele Produkte eine Selbsterklärung auf Basis des Stands der Technik ausreicht, müssen für höher eingestufte Produkte harmonisierte Normen angewendet werden. Ist dies nicht möglich oder handelt es sich um besonders kritische Produkte, ist die Einbindung einer benannten Stelle, wie z. B. der TÜV, erforderlich. Nach ersten Schätzungen der Europäischen Kommission fallen etwa 90 % der betroffenen Produkte in die niedrigste Risikokategorie.
Die wichtigsten Meilensteine des CRA im Überblick
Die Umsetzung des CRA erfolgt nach einem klar definierten Zeitplan mit mehreren Meilensteinen. Nach der Veröffentlichung im EU-Amtsblatt trat die Verordnung am 10. Dezember 2024 in Kraft. Die Anwendungspflicht greift nach einer Übergangsfrist, in der Hersteller ihre Produkte, Prozesse und Dokumentation entsprechend anpassen können.
Diese Fristen müssen Sie kennen:
Produkte, die ab dem 11. Dezember 2027 die CRA-Anforderungen nicht erfüllen, dürfen in der Europäischen Union nicht mehr in Verkehr gebracht werden. Cyber Security wird damit zur grundlegenden Voraussetzung für Produkte.
Unser vollständiges 360°-Security-Konzept
Für uns ist Cyber Security mehr als sichere Produkte und regulatorische Anforderungen. Wir unterstützen Sie dabei, Ihre industriellen Netzwerke effektiv vor Cyber-Angriffen zu schützen.
Dafür betrachten wir Industrial Security ganzheitlich. Genau hier setzt unser 360°-Security-Ansatz an: Er verbindet technische, organisatorische und prozessuale Maßnahmen auf Basis etablierter Standards wie der IEC 62443 und führt diese zu einem durchgängigen Gesamtkonzept zusammen. So decken wir alle relevanten Ebenen ab, von der Auswahl und Integration sicherer Komponenten über die Gestaltung robuster Netzwerkarchitekturen bis hin zum sicheren Betrieb sowie dem strukturierten Umgang mit Sicherheitsvorfällen.
Gleichzeitig unterstützen wir Sie konkret bei der Umsetzung neuer regulatorischer Vorgaben wie dem Cyber Resilience Act, NIS 2 oder der Maschinenverordnung. Unsere Expertinnen und Experten analysieren gemeinsam mit Ihnen Ihre Anforderungen und entwickeln passgenaue Lösungen, damit Ihre Maschinen und Anlagen sicher aufgestellt sind.
Zu den Anforderungen des CRA gehören u. a. sichere Entwicklungsprozesse (Secure by Design), ein geschützter Auslieferzustand (Secure by Default) sowie Maßnahmen zur Gewährleistung von Vertraulichkeit, Integrität und Verfügbarkeit.
Ergänzend fordert der CRA ein strukturiertes Schwachstellenmanagement, klare Meldeprozesse und die Bereitstellung regelmäßiger Sicherheitsupdates über den gesamten Produktlebenszyklus hinweg.
Die Konformität mit dem Cyber Resilience Act wird abhängig von der jeweiligen Produktkategorie und dem Risikoniveau nachgewiesen. Für jede Kategorie gelten spezifische Anforderungen und Verfahren. Für viele Produkte ist eine Selbsterklärung des Herstellers ausreichend. Diese basiert auf dem Stand der Technik und bestätigt die Einhaltung der definierten Sicherheitsanforderungen.
Für Produkte mit höherem Risikoniveau ist die Anwendung harmonisierter europäischer Normen erforderlich. Können diese nicht vollständig angewendet werden oder handelt es sich um besonders kritische Produkte, ist eine Konformitätsbewertung durch eine benannte Stelle, z. B. den TÜV, notwendig. Der Nachweis der Konformität ist Voraussetzung für die CE-Kennzeichnung.
Die Nichteinhaltung der Anforderungen des Cyber Resilience Act kann für Hersteller weitreichende Konsequenzen haben. Produkte ohne gültige CE-Kennzeichnung oder ohne nachgewiesene Konformität dürfen in der Europäischen Union nicht in Verkehr gebracht oder weiter vertrieben werden.
Zudem drohen erhebliche Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist).
Der Cyber Resilience Act gilt nicht nur für EU‑Hersteller, sondern für alle Produkte, die auf dem EU‑Markt bereitgestellt werden, unabhängig vom Herstellungsort.
Auch Produkte aus z. B. den USA oder Asien müssen die CRA‑Anforderungen erfüllen, sobald sie in der EU verkauft oder in Verkehr gebracht werden.
Der CRA und die NIS‑2-Richtlinie verfolgen unterschiedliche Ansätze, ergänzen sich aber in ihrer Wirkung: Während der CRA die Cyber Security von Produkten mit digitalen Elementen regelt und sich damit vor allem an Hersteller richtet, zielt NIS 2 auf die Sicherheit von Betreibern ab.
Unternehmen müssen im Rahmen von NIS 2 ihre Systeme und Prozesse absichern, während der CRA sicherstellt, dass die eingesetzten Produkte bereits die notwendigen Sicherheitsanforderungen erfüllen.
Industrielle Kommunikationsnetzwerke ermöglichen es uns, Daten vom Feld über die Steuerungsebene bis hin zur Cloud zuverlässig zu übertragen. Auf unserer LinkedIn-Seite Industrial Communication und Cyber Security finden Sie interessante Informationen rund um die Themen Netzwerkverfügbarkeit, Cyber Security, Fernwartung und vieles mehr. Werden Sie Teil unserer Community!
