Der Cyber Resilience Act legt grundlegende Cybersicherheitsregeln für jedes Hardware- oder Softwareprodukt mit einem digitalen Element fest, das auf dem EU-Markt angeboten wird.

Er richtet sich an Hersteller, Importeure und Händler, was bedeutet, dass reguläre Dienstleistungsunternehmen nicht in den Anwendungsbereich fallen, es sei denn, sie bringen solche Produkte auf den Markt. Dies ist von Bedeutung, da die CRA strenge Sicherheitsanforderungen vor dem Inverkehrbringen und langfristige Verpflichtungen zum Schwachstellenmanagement einführt, so dass die Frage "Wer muss den Cyber Resilience Act einhalten?

Lesen Sie auch: Was ist der Cyber Resilience Act?

Anwendbarkeitskriterien für das Gesetz über die Widerstandsfähigkeit im Internet (CRA)

CRA wird auf der Grundlage einiger klarer Faktoren angewendet. Unternehmen müssen ihre Produkte, ihre Rolle in der Lieferkette sowie den Ort und die Art ihrer Tätigkeit bewerten.

• Industrie/Sektor - jeder Sektor, der Hardware oder Software mit einem digitalen Element auf den EU-Markt bringt, vom IoT für Verbraucher bis zu industriellen Steuerungssystemen.
• Rolle der Organisation - Hersteller, Importeure oder Händler (einschließlich Wiederverkäufer) sind abgedeckt; Nutzer von Standardprodukten sind nicht abgedeckt.
• Geografie/Region - gilt, wenn das Produkt in der EU angeboten wird, unabhängig davon, wo das Unternehmen ansässig ist.
• Produkttyp/Klasse - für kritische Produkte (z. B. Firewalls, Passwortmanager) gelten strengere Konformitätspfade; für nicht kritische Produkte sind weiterhin Basiskontrollen erforderlich.
• Ausnahmen - freie und quelloffene Software, die auf nichtkommerzieller Basis bereitgestellt wird, und Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt werden, fallen nicht in den Anwendungsbereich.

Ist der Cyber Resilience Act (CRA) verpflichtend und wie können Sie prüfen, ob er für Sie gilt?

Ja, die Einhaltung der CRA ist verpflichtend, wenn Ihr Unternehmen digitale Produkte auf den EU-Markt bringt, die in den Anwendungsbereich fallen. Hier erfahren Sie, wie Sie überprüfen können, ob dies auf Sie zutrifft:

• Bestätigen Sie, dass das Produkt digitale Elemente enthält und auf dem EU-Markt in Verkehr gebracht wird.
• Bestimmen Sie Ihre Rolle: Hersteller, Importeur oder Händler.
• Prüfen Sie, ob es Ausnahmeregelungen gibt (nichtkommerzielle Open-Source-Nutzung, ausschließliche Verwendung im Verteidigungsbereich).
• Vergleich des Produkts mit den Cybersicherheitsanforderungen von Anhang I der CRA.
• Bestimmen Sie, ob das Produkt in eine kritische Klasse fällt, die eine Bewertung durch einen Dritten erfordert.

Beispiele für Organisationen, die diese Anforderungen erfüllen müssen

Hier sind einige typische Unternehmensprofile, die unter die Anforderungen der CRA fallen:

• Ein finnisches Startup, das intelligente IoT-Beleuchtungsgeräte in ganz Europa verkauft (Hersteller).
• Ein deutscher Großhändler, der Netzwerk-Router aus Asien für Einzelhändler in der EU importiert (Importeur).
• Ein SaaS-Anbieter in Irland liefert eine Sicherheitsanwendung vor Ort an EU-Kunden (Händler und Hersteller).

Wann tritt der Cyber Resilience Act (CRA) in Kraft?

Die CRA ist bereits in Kraft, aber für bestimmte Verpflichtungen gelten gestaffelte Fristen. Zu den wichtigsten Daten gehören:

• 10. Dezember 2024 - Die Verordnung tritt in Kraft.
• 10. September 2026 - erste Verpflichtungen (frühzeitige Meldung von Zwischenfällen und Schwachstellen) beginnen 21 Monate nach Inkrafttreten.
• 10. Dezember 2027 - vollständige Einhaltung 36 Monate nach Inkrafttreten erforderlich.

Lesen Sie, wie Sie die Anforderungen der CRA erfüllen in diesem Artikel.

Was passiert, wenn Sie sich nicht daran halten?

Die Nichteinhaltung der Vorschriften hat schwerwiegende finanzielle und betriebliche Folgen. Folgendes kann passieren:

• Geldbußen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist
• Rücknahme des Produkts vom EU-Markt
• Obligatorische Rückrufe für unsichere Produkte
• Verkaufsverbote in allen EU-Ländern
• Untersuchungen der nationalen Marktüberwachungsbehörden

Wie Cyberday Organisationen im Geltungsbereich unterstützt

Wenn Ihre Produkte unter die CRA fallen, bietet Cyberday Ihnen eine klare Struktur, um die Anforderungen zu erfüllen. Unsere Plattform bildet die Anforderungen von Anhang I in nachvollziehbaren Aufgaben ab, hilft bei der Erstellung der technischen Dokumentation und unterstützt die Arbeitsabläufe für die Meldung von Vorfällen und Schwachstellen. Sie wurde entwickelt, um Ihnen dabei zu helfen, den Cyber Resilience Act auf praktische und kontinuierliche Weise zu erfüllen.

Beginnen Sie noch heute mit der Einhaltung Ihrer CRA-Vorschriften mit der kostenlosen Testversion von Cyberday!