Cyber Resilience Act: Gilt er für Ihr Produkt?
Am 6. Oktober 2026 mit den Quellen abgeglichen
Der Cyber Resilience Act legt Cybersicherheitsanforderungen für Hard- und Softwareprodukte in der EU fest. Seine Meldepflichten gelten ab dem 11. September 2026, der Rest ab dem 11. Dezember 2027.
Welche Produkte
Produkte mit digitalen Elementen: Hard- und Softwareprodukte einschließlich ihrer Datenfernverarbeitung, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine Datenverbindung zu einem Gerät oder Netzwerk umfasst. Typische Beispiele sind Smart-Home-Geräte, Router, Apps, vernetztes Spielzeug und viele Industriekomponenten.
Was ausgenommen ist
Produkte, für die schon sektorale Cybersicherheitsregeln gelten: Medizinprodukte und In-vitro-Diagnostika, Kraftfahrzeuge, zivile Luftfahrt und Schiffsausrüstung. Ebenfalls ausgenommen sind Produkte, die nur für die nationale Sicherheit oder Verteidigung entwickelt werden, und freie und quelloffene Software, die nicht im Rahmen einer Geschäftstätigkeit bereitgestellt wird.
Termine
| Datum | Was gilt |
|---|---|
| 11. September 2026 | Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, dann ein Abschlussbericht. |
| 11. Juni 2026 | Regeln für Konformitätsbewertungsstellen. |
| 11. Dezember 2027 | Alle übrigen Anforderungen: sichere Konstruktion, Umgang mit Schwachstellen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation. |
Was er von Herstellern verlangt
- grundlegende Cybersicherheitsanforderungen in Konstruktion und Herstellung erfüllen;
- Schwachstellen während eines Unterstützungszeitraums behandeln, in der Regel mindestens fünf Jahre;
- eine Konformitätsbewertung: Selbstbewertung für die meisten Produkte; für wichtige und kritische Produkte harmonisierte Normen oder eine Drittstelle;
- technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung.
Vernetzte Verbraucherprodukte fallen oft auch unter die GPSR. Prüfen Sie das mit dem GPSR-Check.