Was den CRA von anderen EU-Regularien unterscheidet – Ein Kommentar von Thorsten Eckert, Regional Vice President Sales Central von Claroty
Die EU macht weiter Ernst und geht ihren Weg der Digital-Regulierung entschieden weiter. Wer jedoch den Cyber Resilience Act (CRA) als bloße nächste Compliance-Pflichtübung abtut, unterschätzt seine Wirkung fundamental: DSGVO und NIS2 drohen mit Bußgeldern, wenn etwas schiefgeht. Der CRA geht deutlich weiter: Produkte mit digitalen Elementen, die die Anforderungen nicht erfüllen, dürfen ab Dezember 2027 schlicht nicht mehr in der EU verkauft werden. Für Hersteller heißt das: Der CRA entscheidet nicht über eine Strafzahlung, sondern über den Zugang zum EU-Markt und damit direkt über den Umsatz. Das ist ein Paradigmenwechsel, den viele noch nicht auf dem Schirm haben.
Die Zeit läuft
Genau deshalb zählt jetzt jeder Monat. Der CRA ist seit Dezember 2024 teilweise in Kraft, die Konformitätsbewertungen für kritische Produktkategorien müssen ab Juni 2026 vorliegen und am 11. September 2026 startet die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Ab dem 11. Dezember 2027 gilt der CRA dann vollständig. Nur Produkte mit CE-Kennzeichnung dürfen dann noch auf den Markt. Zwischen diesen Stufen liegt kein Puffer, sondern ein enges Zeitfenster: Secure-by-Design-Prinzipien lassen sich nicht über Nacht in bestehende Entwicklungsprozesse einbauen. Produktentscheidungen für die Zeit nach 2027 müssen jetzt getroffen werden. Wer erst im kommenden Jahr beginnt, kommt zu spät.
Die gute Nachricht: Der Cyber Resilience Act ist im Kern schlank und pragmatisch formuliert. Die Essential Requirements aus Anhang I stehen seit der Verabschiedung fest und werden sich nicht mehr ändern. Unternehmen können also heute planen, statt auf letzte Details zu warten. Sinnvolle erste Schritte sind eine Risikobewertung entlang der eigenen Produktlandschaft, der Aufbau eines belastbaren Schwachstellenmanagements inklusive Meldewegen, ein Blick in die eigene Lieferkette (Stichwort SBOM und Zulieferer-Compliance) sowie der Start der technischen Dokumentation samt verständlicher Sicherheitsinformationen für Kunden. Wer diese vier Bereiche jetzt angeht, verschafft sich nicht nur Rechtssicherheit, sondern sendet ein starkes Signal an seine Kunden: Sicherheit ist kein Add-On mehr, sondern Teil des Produkts. Sie wird nicht nachgerüstet, sondern von Anfang an mitgedacht. Genau das ist die eigentliche Stärke des CRA: Er macht aus dem lange geforderten Prinzip des „Secure by Design“ endlich eine verbindliche Regel.
