Cyber Resilience Act: Pflichten, Fristen und was sich für die Cyber-Versicherung ändert

Regulatorisches Faktenblatt · Stand 1. November 2026 · von cybercoverinsurance

Die Verordnung (EU) 2024/2847, der Cyber Resilience Act (CRA), legt Cybersicherheitsanforderungen für in Europa verkaufte Produkte mit digitalen Elementen fest: Hardware und Software, vom Router bis zur App, vom Industriesensor bis zur Unternehmenssoftware (Hogan Lovells). NIS2 und DORA richten sich an die Nutzer von Technologie; der CRA richtet sich an ihre Hersteller.

Für Risikoträger zählt der CRA, weil er die Sicherheit in der Lieferkette nach vorn verlagert. Ein Hersteller von Software oder vernetzten Geräten muss nachweisen, dass er sichere Produkte entwickelt hat und ihre Schwachstellen über Jahre behebt. Ab dem 9. Dezember 2026 wird ein Produkt, das die CRA-Anforderungen nicht erfüllt, nach der neuen Produkthaftungsrichtlinie zudem leichter als fehlerhaft gelten.

Im Text bezeichnet „Artikel“ eine verbindliche Regel; „Erwägungsgrund“ bezeichnet die einleitenden Absätze, die erklären, wie sie zu lesen ist.

Wer betroffen ist

Der CRA gilt für Hersteller, Einführer und Händler von Produkten mit digitalen Elementen, also Hardware und Software, die sich direkt oder indirekt mit einem Gerät oder Netz verbinden. Ausgenommen sind Produkte, die bereits unter sektorale Regeln fallen, etwa Medizinprodukte, Fahrzeuge und Luftfahrzeuge, sowie reine Online-Dienste (SaaS), die gegebenenfalls unter NIS2 fallen.

Die Hauptpflichten trägt der Hersteller, auch wenn er seinen Sitz außerhalb der EU hat. Freie Software, die außerhalb einer gewerblichen Tätigkeit entwickelt wird, ist nicht erfasst; Organisationen, die kommerziell genutzte Open-Source-Projekte dauerhaft unterstützen („Verwalter quelloffener Software“), haben geringere Pflichten.

Die wichtigsten Pflichten

Meldung von Schwachstellen und Vorfällen (seit 11. September 2026)

Seit dem 11. September 2026 muss der Hersteller jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Vorfall melden, der die Sicherheit des Produkts beeinträchtigt (Artikel 14) (Europäische Kommission):

• Frühwarnung innerhalb von 24 Stunden nach Kenntnis;
• Meldung innerhalb von 72 Stunden;
• Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Korrektur bei Schwachstellen oder innerhalb eines Monats nach der Meldung bei schwerwiegenden Vorfällen.

Die Meldungen laufen über die zentrale Meldeplattform der ENISA, die seit dem 11. September 2026 in Betrieb ist und sie an das zuständige nationale CSIRT weiterleitet (ENISA). Die Pflicht gilt auch für Produkte, die vor 2027 in Verkehr gebracht wurden, und der Hersteller muss betroffene Nutzer informieren (Hogan Lovells).

Sicherheitsanforderungen (ab 11. Dezember 2027)

Ab dem 11. Dezember 2027 müssen in Verkehr gebrachte Produkte grundlegende Sicherheitsanforderungen schon im Design erfüllen: keine bekannten ausnutzbaren Schwachstellen beim Verkauf, sichere Standardkonfiguration, Sicherheitsupdates während des gesamten Unterstützungszeitraums und Schwachstellenmanagement mit einer Software-Stückliste. Ein konformes Produkt trägt die CE-Kennzeichnung. Für bestimmte Kategorien wichtiger oder kritischer Produkte ist eine Konformitätsbewertung durch eine Drittstelle erforderlich.

Unterstützungszeitraum

Der Hersteller muss angeben, wie lange er Sicherheitsupdates bereitstellt. Der Zeitraum muss der erwarteten Nutzungsdauer entsprechen und beträgt in der Regel mindestens fünf Jahre.

Sanktionen

Artikel 64 sieht drei Stufen vor: bis zu 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes für Verstöße gegen die grundlegenden Anforderungen und Meldepflichten; bis zu 10 Millionen oder 2 % für andere Pflichten; bis zu 5 Millionen oder 1 % für falsche Angaben gegenüber Behörden. Die Marktüberwachungsbehörden können zudem die Rücknahme oder den Rückruf des Produkts anordnen.

Fristen

• 10. Dezember 2024: Inkrafttreten;
• 11. Juni 2026: Vorschriften über Konformitätsbewertungsstellen;
• 11. September 2026: Meldung ausgenutzter Schwachstellen und schwerwiegender Vorfälle;
• 11. Dezember 2027: volle Anwendung, einschließlich der grundlegenden Anforderungen und der Pflichten der Open-Source-Verwalter.

Was sich für die Cyber-Police ändert

Lieferkette. Der CRA ist das erste Gesetz, das Technologieanbieter verpflichtet, Schwachstellen zu beheben und innerhalb von 24 Stunden zu melden. Für ein Cyber-Portfolio senkt er mit der Zeit das Risiko durch ungepatchte Komponenten, aber nur bei neuen Produkten: Der installierte Bestand bleibt noch Jahre exponiert.

Herstellerhaftung. Ein Hersteller von Software oder Geräten, der den CRA nicht einhält, riskiert Bußgelder, Marktrücknahmen und, nach der Produkthaftungsrichtlinie, Schadensersatzklagen, die Geschädigte leichter gewinnen. Das Risiko verlagert sich auf Tech E&O und Produkthaftpflicht, und die Kosten eines Rückrufs unsicherer Produkte sind nicht in jeder Police gedeckt.

Meldung. Die 24-Stunden-Frühwarnung kommt zu den 24 Stunden von NIS2 und im Finanzsektor zu den 4 Stunden von DORA hinzu. Ein Hersteller, der zugleich NIS2-Einrichtung ist, kann für dasselbe Ereignis zwei verschiedene Meldungen haben. Der Incident-Response-Dienst der Police muss beide bewältigen können.

Informationen für die Risikoübernahme. Der CRA erzeugt nützliche Dokumente: Software-Stückliste, Richtlinie zum Schwachstellenmanagement, erklärter Unterstützungszeitraum, Meldehistorie. Für Versicherungsnehmer, die Technologie Dritter nutzen, hilft das Wissen, ob die wichtigsten Lieferanten den CRA einhalten, bei der Einschätzung des Kumuls in der Lieferkette.

Auswirkung für VersichererMittel

Der CRA macht die Sicherheit digitaler Produkte und die schnelle Meldung von Schwachstellen verpflichtend, doch die Anforderungen gelten erst für ab Dezember 2027 verkaufte Produkte, und die Wirkung auf Schäden wird schrittweise eintreten.

Quellen

• Europäische Kommission, Meldepflichten nach dem CRA
• ENISA, Start der zentralen Meldeplattform
• Hogan Lovells, CRA-Meldepflichten gelten