Cyber Resilience Act
Der Cyber Resilience Act ist ein EU-Gesetz, das Hersteller von digitalen Produkten — von Smartwatches bis zu Industriesoftware — dazu verpflichtet, Sicherheitslücken über die gesamte Lebensdauer eines Produkts zu beheben. Es trat 2024 in Kraft und gilt ab 2027 verbindlich für den gesamten europäischen Markt.
Der Cyber Resilience Act, kurz CRA, ist ein Gesetz der Europäischen Union. Es legt fest, dass Produkte mit digitalen Bestandteilen — also Software, vernetzte Geräte und Apps — von Anfang an sicher gebaut und dauerhaft mit Sicherheitsupdates versorgt sein müssen. Das Gesetz wurde 2024 verabschiedet und gilt ab 2027 verbindlich für alle Unternehmen, die solche Produkte in der EU verkaufen wollen. Wer sich nicht daran hält, riskiert hohe Bußgelder und darf sein Produkt nicht mehr auf dem europäischen Markt anbieten. Der CRA ist damit das erste Gesetz weltweit, das Mindestsicherheitsanforderungen für digitale Produkte so umfassend und rechtsverbindlich regelt.
Warum der CRA ein Einschnitt für die Branche ist
Bisher war es gang und gäbe, Produkte mit bekannten Sicherheitslücken zu verkaufen und Updates nur so lange zu liefern, wie es dem Hersteller wirtschaftlich passte. Für Verbraucher bedeutete das: Ein Router, eine smarte Türklingel oder eine Industriesteuerung konnte nach wenigen Jahren zum Sicherheitsrisiko werden — ohne dass der Hersteller dazu verpflichtet war, das zu beheben.
Der CRA ändert das grundlegend. Hersteller müssen Sicherheitslücken jetzt aktiv melden und über den gesamten „Support-Zeitraum“ des Produkts — mindestens fünf Jahre — mit Updates schließen. Das klingt selbstverständlich, ist es in der Praxis aber bislang nicht. Viele günstige Geräte aus dem Internet-of-Things-Bereich, also vernetzte Alltagsgeräte, wurden jahrelang ohne jegliche Sicherheitspflege verkauft. Genau das hat den Gesetzgeber zum Handeln bewogen.
Was der CRA von Herstellern konkret verlangt
Das Gesetz unterscheidet zwischen Produkten nach ihrem Risikograd. Einfache Produkte — etwa eine Tischlampe mit WLAN — müssen grundlegende Anforderungen erfüllen und können sich selbst zertifizieren. Kritischere Produkte, zum Beispiel Passwortmanager oder Firewalls, brauchen eine unabhängige Prüfung durch eine externe Stelle. Für besonders sicherheitskritische Infrastruktur gelten die strengsten Regeln.
Konkret bedeutet das für Hersteller: Sie müssen Sicherheitsrisiken bereits beim Entwurf eines Produkts berücksichtigen — nicht erst, wenn Kunden sich beschweren. Dieses Prinzip nennt sich „Security by Design“, also Sicherheit als eingebautes Merkmal von Anfang an. Außerdem müssen Schwachstellen innerhalb von 24 Stunden nach ihrer Entdeckung an die zuständige EU-Behörde gemeldet werden. Das ist ein sehr kurzes Zeitfenster, das viele Unternehmen intern neu organisieren müssen.
Wichtig: Der CRA gilt nicht nur für Unternehmen mit Sitz in der EU. Jeder, der ein digitales Produkt in der EU verkauft — egal ob aus den USA, China oder einem anderen Land — muss die Anforderungen erfüllen. Das macht das Gesetz zu einem echten globalen Hebel, ähnlich wie es die Datenschutzverordnung DSGVO aus 2018 für den Umgang mit persönlichen Daten war.
Wo der CRA in der Praxis auftaucht
In den Wirtschaftsnachrichten taucht der CRA vor allem in Debatten rund um Open-Source-Software auf. Viele Entwickler, die ihren Code kostenlos und freiwillig veröffentlichen, befürchten, plötzlich als „Hersteller“ zu gelten und damit haftbar zu sein. Die EU hat daraufhin klargestellt, dass nicht-kommerzielle Open-Source-Projekte in der Regel ausgenommen sind — die genaue Abgrenzung ist aber weiterhin umstritten.
Für Verbraucher wird der CRA vor allem beim Kauf von Smart-Home-Geräten, Spielekonsolen, vernetzten Kameras oder Fitness-Trackern spürbar. Ab 2027 müssen all diese Produkte mit einer klar ausgewiesenen Update-Garantie verkauft werden — ähnlich wie bei einem Verfallsdatum. Kauft man ein Gerät, soll erkennbar sein, wie lange der Hersteller es mit Sicherheits-Updates unterstützt.
In der Tech-Industrie wird der CRA häufig in einem Atemzug mit der DSGVO genannt, weil er einen ähnlichen Mechanismus nutzt: strenge europäische Regeln, die weltweit Wirkung entfalten, weil kein Unternehmen auf den EU-Markt verzichten will. Kritiker warnen, das Gesetz könnte kleinere Softwareentwickler überfordern. Befürworter sehen darin längst überfälligen Verbraucherschutz im digitalen Zeitalter.