Cyber
Resilience
ACT (CRA).

Der Cyber Resilience Act (CRA) soll die Sicherheit digitaler Elemente erhöhen und führt zu erhöhten Pflichten der Unternehmen. Unser Team berät und begleitet Unternehmen bei der Umsetzung der gesetzlichen Vorgaben.

Jetzt anrufen!

Der Cyber Resilience Act (CRA)

In unserer zunehmend digitalisierten Welt sind Cyberangriffe eine ständige Bedrohung, die Unternehmen jeder Größe empfindlich treffen kann. Von Datenlecks über Betriebsstillstand bis hin zu massiven finanziellen Schäden – die Konsequenzen mangelnder Cybersicherheit sind weitreichend. Genau hier setzt der neue Cyber Resilience Act (CRA) der Europäischen Union an.

Diese wegweisende Verordnung, auch bekannt als Cyberresilienz-Verordnung, markiert einen entscheidenden Schritt zur Stärkung der Cyberresilienz von digitalen Produkten und Dienstleistungen. Für viele Unternehmen bedeutet dies Handlungsbedarf. Als Ihre spezialisierte Rechtsanwaltskanzlei möchten wir Ihnen einen umfassenden Überblick über den CRA geben und aufzeigen, wie wir Sie bei der rechtskonformen Umsetzung unterstützen können.

Was ist der Cyber Resilience Act (CRA)?

Der Cyber Resilience Act ist eine EU-Verordnung, die darauf abzielt, die digitale Sicherheit von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden, zu verbessern. Es geht darum, dass diese Produkte von Grund auf sicherer gestaltet werden, um Cyberbedrohungen besser standhalten zu können. Man spricht hier auch vom Prinzip „Security by Design“ und „Security by Default“.

Im Kern bedeutet das: Hersteller und Anbieter digitaler Produkte müssen sicherstellen, dass ihre Produkte während des gesamten Lebenszyklus – von der Entwicklung über die Bereitstellung bis zur Wartung – bestimmte Sicherheitsanforderungen erfüllen.

Was ist der Sinn und Zweck des CRA?

Der CRA verfolgt mehrere wichtige Ziele:

Erhöhung der Cybersicherheit von Produkten: Verbraucher und Unternehmen sollen sich darauf verlassen können, dass die von ihnen genutzten digitalen Produkte ein angemessenes Sicherheitsniveau aufweisen.
Stärkung des Vertrauens in digitale Produkte: Durch klar definierte Sicherheitsstandards wird das Vertrauen in den digitalen Binnenmarkt gestärkt.
Abwehr von Cyberbedrohungen: Produkte sollen von Anfang an so konzipiert sein, dass sie widerstandsfähiger gegenüber Cyberangriffen sind.
Förderung der Transparenz: Nutzer sollen besser über die Sicherheitsmerkmale von Produkten informiert werden.
Reduzierung von Fragmentierung: Einheitliche Regeln in der gesamten EU sollen einen Flickenteppich unterschiedlicher nationaler Vorschriften vermeiden und so den Handel erleichtern.

Kurz gesagt: Der CRA will Europa sicherer machen – für digitale Anwender und für Unternehmen.

Wer ist vom CRA betroffen?

Der Anwendungsbereich des CRA ist breit gefächert und betrifft grundsätzlich alle Hersteller und Anbieter von Produkten mit digitalen Elementen, die in der EU in Verkehr gebracht werden. Dazu gehören sowohl Hard- als auch Software, die über eine direkte oder indirekte logische Verbindung Daten empfangen oder versenden können.

Dies umfasst eine Vielzahl von Produkten und Branchen, darunter beispielsweise:

Informationstechnologie (IT) und Software-Entwicklung

Betriebssysteme: Windows, macOS, Linux, Android, iOS.
Anwendungssoftware: Browser, E-Mail-Programme, Büro-Software, CRM-Systeme, ERP-Software, Videokonferenz-Tools.
Netzwerkgeräte: Router, Switches, Firewalls, WLAN-Access-Points.
Sicherheitskomponenten: Antivirensoftware, Verschlüsselungstools, VPN-Clients.
Cloud-Lösungen und SaaS-Produkte: Software-as-a-Service-Angebote, die direkt in Produkte integriert sind oder deren Funktionalität wesentlich bestimmen (z.B. Cloud-Management-Software für IoT-Geräte).

Internet der Dinge (IoT) und Smart Devices

Smarte Haushaltsgeräte: Kühlschränke, Waschmaschinen, Thermostate, Beleuchtungssysteme.
Wearables: Smartwatches, Fitness-Tracker.
Smarte Sicherheitskameras und Alarmanlagen.
Industrielle IoT-Geräte (IIoT): Sensoren, Aktuatoren, Steuerungen in Produktionsanlagen oder Energieversorgung.
Smart-Home-Hubs und Gateways.

Automobilindustrie

Steuergeräte und Infotainmentsysteme in Fahrzeugen: Alles, was digital vernetzt ist oder Software-Funktionen steuert.
Fahrerassistenzsysteme.
Ladestationen für Elektrofahrzeuge, wenn sie über digitale Elemente verfügen.

Medizintechnik

Verbundene medizinische Geräte: Überwachungsgeräte, Infusionspumpen, bildgebende Diagnosesysteme mit Netzwerkanbindung.
Telemedizinische Anwendungen und Health-Apps, die mit Hardware interagieren.

Industrie und Maschinenbau

Industriesteuerungen (PLCs) und SCADA-Systeme.
Robotik und Automatisierungssysteme.
Digital gesteuerte Werkzeugmaschinen.

Konsumgüterelektronik

Smart-TVs, Streaming-Geräte.
Gaming-Konsolen.
Drucker und Scanner mit Netzwerkfunktionen.

Energie- und Versorgungswirtschaft

Smart Meter und intelligente Stromnetze (Smart Grids).
Steuerungskomponenten für kritische Infrastrukturen (z.B. in Kraftwerken oder Wasserversorgungsanlagen).

Es ist entscheidend zu prüfen, ob Ihr Unternehmen unter den Anwendungsbereich des CRA fällt. Auch wenn Sie kein klassischer Hardware-Hersteller sind, können Sie als Software-Entwickler oder Anbieter von Cloud-Diensten betroffen sein, wenn Ihre Angebote Produkte mit digitalen Elementen beinhalten oder stark mit diesen interagieren. Das Kriterium ist oft, ob ein Produkt eine „direkte oder indirekte logische Verbindung“ für Datenkommunikation herstellt.

Welche Pflichten gehen mit dem CRA einher?

Der CRA legt eine Reihe von grundlegenden Sicherheitsanforderungen und Pflichten für betroffene Akteure fest. Zu den wichtigsten gehören:

Sicherheit während des gesamten Lebenszyklus („Security by Design“): Produkte müssen so entwickelt und hergestellt werden, dass sie ein hohes Maß an Cybersicherheit gewährleisten. Dies bedeutet, Sicherheitsaspekte müssen von Anfang an in den Design- und Entwicklungsprozess integriert werden.
Risikobewertung und -management: Hersteller müssen vor dem Inverkehrbringen eine umfassende Risikobewertung durchführen und geeignete Maßnahmen zur Minderung von Cyberrisiken ergreifen.
Angemessene Sicherheitsmerkmale: Produkte müssen grundlegende Sicherheitsfunktionen bieten, wie z.B. Schutz vor unbefugtem Zugriff, Datenintegrität, Vertraulichkeit und Verfügbarkeit. Dies beinhaltet oft sichere Standardkonfigurationen, die Vermeidung bekannter Schwachstellen und sichere Authentifizierungsmechanismen.
Bereitstellung von Software-Updates: Hersteller sind verpflichtet, Sicherheitsupdates und -patche für einen angemessenen Zeitraum bereitzustellen, um bekannte Schwachstellen zu beheben. Dieser Zeitraum kann je nach Produkt variieren und muss klar kommuniziert werden.
Meldepflichten bei Sicherheitsvorfällen und Schwachstellen: Schwerwiegende Sicherheitsvorfälle, die das Produkt betreffen, oder entdeckte Schwachstellen müssen den zuständigen Behörden (z.B. der ENISA) gemeldet werden.
Bereitstellung von Informationen und Dokumentation: Nutzer müssen klare und verständliche Informationen über die Sicherheit des Produkts erhalten, und die Hersteller müssen technische Dokumentationen bereithalten, die die Einhaltung der Anforderungen nachweisen.
Konformitätsbewertungsverfahren: Produkte müssen einem Konformitätsbewertungsverfahren unterzogen werden, um nachzuweisen, dass sie die CRA-Anforderungen erfüllen. Die Komplexität des Verfahrens hängt von der Risikoklasse des Produkts ab, wobei Produkte mit höherem Risiko strengeren Prüfungen unterliegen.
CE-Kennzeichnung: Nach erfolgreichem Abschluss des Konformitätsbewertungsverfahrens muss das Produkt mit der CE-Kennzeichnung versehen werden, was seine Konformität mit den EU-Vorschriften signalisiert.

Diese Pflichten erfordern eine Neuausrichtung vieler Prozesse innerhalb Ihres Unternehmens, von der Produktentwicklung über das Qualitätsmanagement bis hin zum Risikomanagement.

Wie und bis wann sind diese Pflichten umzusetzen?

Der Cyber Resilience Act ist bereits in Kraft getreten. Allerdings gibt es Übergangsfristen, um Unternehmen ausreichend Zeit zur Anpassung zu geben. Die meisten Bestimmungen werden Ende 2027 vollumfänglich anwendbar sein. Dies gilt insbesondere für die grundlegenden Sicherheitsanforderungen und die Meldepflichten. Die Meldepflicht für aktiv ausgenutzte Schwachstellen wird sogar schon früher, nämlich im Jahr 2025, wirksam.

Die Umsetzung der CRA-Pflichten erfordert einen strategischen Ansatz und eine sorgfältige Planung. Hier sind einige Schritte, die Sie in Betracht ziehen sollten:

Analyse des Produktportfolios: Identifizieren Sie präzise, welche Ihrer Produkte unter den Anwendungsbereich des CRA fallen und in welche Risikokategorie sie eingeordnet werden.
GAP-Analyse: Vergleichen Sie Ihre aktuellen Sicherheitsprozesse, Produktmerkmale und Dokumentationen mit den detaillierten Anforderungen des CRA, um Lücken zu identifizieren.
Anpassung von Entwicklungsprozessen: Integrieren Sie „Security by Design“- und „Security by Default“-Prinzipien fest in Ihre Produktentwicklung und Software-Lebenszyklen (SDLC).
Implementierung von Risikomanagementsystemen: Etablieren Sie robuste Prozesse zur kontinuierlichen Risikoidentifizierung, -bewertung und -minderung während des gesamten Produktlebenszyklus.
Schulung der Mitarbeiter: Sensibilisieren und schulen Sie Ihre Teams – von Entwicklern über Qualitätsmanager bis hin zum Management – umfassend in Bezug auf Cybersicherheit und die neuen CRA-Anforderungen.
Vorbereitung auf Konformitätsbewertung: Wählen Sie gegebenenfalls eine benannte Stelle für die Konformitätsbewertung aus und bereiten Sie die notwendigen Unterlagen und Nachweise vor.
Anpassung von Verträgen: Prüfen Sie Lieferanten- und Kundenverträge auf Anpassungsbedarf, um die CRA-Anforderungen vertraglich zu verankern und Verantwortlichkeiten klar zu regeln.
Einrichtung von Meldeprozessen: Definieren Sie klare interne Prozesse für die Erkennung, Bewertung und Meldung von Sicherheitsvorfällen und Schwachstellen.

Es ist ratsam, diesen Prozess frühzeitig zu beginnen, da die Umsetzung komplex sein kann und erhebliche interne Ressourcen bindet. Eine proaktive Herangehensweise minimiert Risiken und ermöglicht eine reibungslose Anpassung.

Welche Sanktionen drohen bei Nichtbeachtung?

Die Nichtbeachtung des Cyber Resilience Act kann erhebliche Konsequenzen haben, sowohl finanzieller als auch reputatorischer Art. Der CRA sieht empfindliche Bußgelder vor, die Unternehmen an ihre Compliance-Verpflichtungen erinnern sollen:

Geldbußen für schwerwiegende Verstöße: Bei schwerwiegenden Verstößen gegen die Anforderungen des CRA, insbesondere in Bezug auf die grundlegenden Sicherheitsanforderungen und die Meldepflichten, können Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden, je nachdem, welcher Betrag höher ist.
Geldbußen für weniger schwerwiegende Verstöße: Auch bei weniger schwerwiegenden Verstößen (z.B. Formfehler oder das Fehlen erforderlicher Dokumentation) sind empfindliche Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich.
Geldbußen für falsche oder fehlende Informationen: Für die Bereitstellung falscher, unvollständiger oder irreführender Informationen können bis zu 5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes verhängt werden.
Produktrückruf und Verkaufsverbot: Produkte, die den Anforderungen nicht genügen, können vom Markt genommen oder ihr Inverkehrbringen kann untersagt werden. Dies kann zu massiven Umsatzeinbußen und Lagerkosten führen.
Reputationsschäden: Die öffentliche Wahrnehmung Ihres Unternehmens kann massiv leiden, was langfristige Auswirkungen auf Kundenbeziehungen, Marktposition und Investorenvertrauen hat. Ein Verstoß gegen den CRA signalisiert mangelnde Sorgfalt im Bereich Cybersicherheit.

Angesichts dieser potenziellen Sanktionen ist es unerlässlich, den CRA ernst zu nehmen und rechtzeitig die notwendigen Schritte zur Compliance einzuleiten.

Wie wir Sie unterstützen können

Der Cyber Resilience Act stellt viele Unternehmen vor neue Herausforderungen. Die Komplexität der Verordnung, die technischen Anforderungen und die potenziellen rechtlichen Risiken erfordern eine fundierte Expertise im IT-Recht.

Wir bieten Ihnen umfassende Beratung und Unterstützung bei allen Fragen rund um den CRA:

Ersteinschätzung und GAP-Analyse: Wir prüfen, ob und in welchem Umfang Ihr Unternehmen vom CRA betroffen ist, welche Produkte relevant sind und identifizieren konkrete Handlungsfelder.
Rechtliche Beratung zur CRA-Compliance: Wir unterstützen Sie bei der Auslegung der Verordnung und der Ableitung konkreter, rechtssicherer Maßnahmen für Ihr Unternehmen.
Anpassung von Verträgen: Wir helfen Ihnen bei der Gestaltung oder Anpassung von Lieferanten-, Kunden- und Softwareverträgen im Hinblick auf die CRA-Anforderungen, um Verantwortlichkeiten klar zu regeln.
Beratung zu Meldepflichten: Wir begleiten Sie bei der Umsetzung der Meldepflichten im Falle von Sicherheitsvorfällen oder Schwachstellen gegenüber den zuständigen Behörden.
Begleitung bei Konformitätsbewertungsverfahren: Wir beraten Sie bei der Auswahl benannter Stellen und der Vorbereitung der erforderlichen technischen Dokumentation und Nachweise.
Risikomanagement und Haftungsfragen: Wir analysieren und bewerten rechtliche Risiken im Kontext des CRA und entwickeln Strategien zur Haftungsvermeidung.
Vertretung bei Sanktionen und Behördenverfahren: Im Falle von behördlichen Ermittlungen, drohenden Sanktionen oder Streitigkeiten vertreten wir Ihre Interessen konsequent.

Lassen Sie uns gemeinsam sicherstellen, dass Ihr Unternehmen nicht nur rechtlich abgesichert ist, sondern auch von einer gestärkten Cyberresilienz profitiert.