Skip to main content
Marsh logo

Artikel

Cyber Resilience Act (CRA): Neue Anforderungen an Produkte mit digitalen Elementen

Fristen, Pflichten und Handlungsbedarf rund um den CRA im Überblick für Hersteller, Softwareanbieter und Händler digitaler Produkte.
Person's name and title

Von Roy Krischer , 

Practice Leader Cyber Security

08/10/2026 · 3 Min. Lesedauer

Einordnung

Mit dem Cyber Resilience Act (CRA) verfolgt die Europäische Union das Ziel, einheitliche Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen zu etablieren. Betroffen sind insbesondere Hersteller, Softwareentwickler, Vertriebsgesellschaften und Händler, die entsprechende Produkte auf dem europäischen Markt bereitstellen. Der CRA verankert damit Security by Design, laufendes Schwachstellenmanagement und klare Melde- und Informationspflichten als regulatorische Erwartung über den gesamten Produktlebenszyklus.

Was Unternehmen jetzt wissen sollten

Im Mittelpunkt der Regulierung stehen Produkte mit digitalen Elementen (PDE), also Hardware oder Software, die mit anderen Geräten oder Netzwerken verbunden sind oder digitale Komponenten enthalten. Die Verordnung differenziert gemäß Risikoklasse zwischen Standardprodukten, wichtigen Produkten und kritischen Produkten. Je nach Einordnung steigen die Anforderungen an Konformitätsbewertung, Nachweisführung und gegebenenfalls die Einbindung unabhängiger oder benannter EU-akkreditierten Konformitätsbewertungsstellen. Für viele Unternehmen ist daher die frühe Einordnung des eigenen Produktportfolios ein entscheidender erster Schritt.

Aus Unternehmenssicht ist der CRA nicht nur ein regulatorisches Thema, sondern auch ein Organisations- und Governance-Thema. Die Anforderungen greifen in Produktentwicklung,
IT-Sicherheit, Compliance, Einkauf, Qualitätsmanagement und Kommunikation ein. Unternehmen sollten den CRA deshalb nicht isoliert betrachten, sondern als Querschnittsthema, das bestehende Prozesse, Rollen und Nachweise zusammenführt und in Teilen neu strukturiert.

Schnittstellen bestehen vor allem zur NIS2-Richtlinie: Während der CRA die Cybersicherheit von Produkten mit digitalen Elementen regelt, adressiert NIS2 die Cybersicherheits- und Risikomanagementpflichten auf Unternehmensebene. Überschneidungen bestehen insbesondere bei Governance, Risikomanagement, Incident Handling, Schwachstellenmanagement und Dokumentation. Unternehmen sollten deshalb keine Parallelstrukturen aufbauen, sondern beide Anforderungen in einem abgestimmten Compliance- und Sicherheitsansatz zusammenführen.

Zentrale CRA-Pflichten im Überblick

  • Risikobewertung über den gesamten Lebenszyklus von Produkten mit digitalen Elementen
  • Umsetzung von Security by Design in Entwicklung und Designprozessen
  • Etablierung eines kontinuierlichen Schwachstellen- und Patch-Managements
  • Bereitstellung technischer Dokumentation sowie klarer Nutzerinformationen
  • Aufbau belastbarer Melde- und Informationsprozesse gegenüber ENISA (Agentur der Europäischen Union für Cybersicherheit) und zuständigen Stellen
  • Konformitätsbewertung und, abhängig von der Produktkategorie, Nachweisführung bzw. Zertifizierung mit sichtbarer CE-Kennzeichnung auf dem PDE

Zeitlicher Rahmen und regulatorischer Druck

Die EU hebt zwei Eckdaten besonders hervor: Ab dem 11. September 2026 beginnen die Meldepflichten für Schwachstellen und Vorfälle im Anwendungsbereich des CRA. Die vollständige Umsetzung der Anforderungen für Produkte, die in der EU bereitgestellt werden, ist bis zum 11. Dezember 2027 relevant. Hinzu kommt ein spürbarer Durchsetzungsrahmen: Neben behördlichen Abhilfemaßnahmen können Vertriebsverbote, Rücknahmen der Bestände aus den Geschäften oder Rückrufe nicht konformer Produkte angeordnet werden. Auch die vorgesehenen finanziellen Sanktionen von bis zu 15 Mio. EUR oder 2,5 % des Vorjahresumsatzes, je nachdem welcher Betrag höher ist, unterstreichen die Relevanz des Themas.

Warum das Thema für viele Unternehmen jetzt relevant ist

Die Auswirkungen der EU-Gesetzgebung werden weit über einzelne Spezialanbieter hinausgehen. Insbesondere produzierende Unternehmen sowie Groß- und Mittelstandsunternehmen in Deutschland sollten sich frühzeitig damit auseinandersetzen, ob sie betroffen sind. In der Praxis stellt sich häufig nicht die Frage, ob Handlungsbedarf besteht, sondern an welcher Stelle der Einstieg am sinnvollsten ist: bei der Produktklassifizierung, der Prozessaufnahme, der Dokumentationslage oder den internen Verantwortlichkeiten.

Pragmatischer Einstieg in die Umsetzung mit Marsh Risk Consulting

Ein sinnvoller Startpunkt ist eine strukturierte Lückenanalyse. Dabei werden zunächst Schlüsselpersonen und Fachexpertinnen bzw. -experten aus relevanten Bereichen benannt, ein Anforderungskatalog vorbereitet und ein unternehmensspezifischer Prüfplan aufgesetzt. Auf dieser Basis lässt sich der Status quo in Workshops erheben und den CRA-Anforderungen systematisch gegenüberstellen. Typischer Output ist eine priorisierte Übersicht identifizierter Lücken sowie eine Roadmap mit Quick Wins und mittel- bis langfristigen Maßnahmen.

Genau an dieser Stelle kann Marsh Risk Consulting unterstützen: mit einer initialen Lückenanalyse, einer strukturierten Einordnung der Ergebnisse und Maßnahmenempfehlungen für die nächsten Schritte. Ziel ist es, Unternehmen eine belastbare Grundlage für Priorisierung, Projektplanung und weitere Entscheidungen zu geben.

Ihr Kontakt

Roy Krischer

Roy Krischer

Practice Leader Cyber Security

  • Germany

Weiterführende Informationen

Digital cyberspace with particles and Digital data network connections concept.

Report

Europe Cyber Claims Report 2025

06/23/2026
Cybersecurity risk

Artikel

Was versteht man unter einem Cyber-Sicherheitsrisiko?

10/31/2025
Futuristic smart city scene featuring AI-generated grid

Report

Inside the Ransomware Ecosystem

10/20/2025
Cybersecurity signals: Connecting controls and incident outcome

Report

Cyber-Sicherheitsmaßnahmen: Wie sich die Implementierung von Kontrollen auf Cyber-Vorfälle auswirkt

08/27/2025
Mehr erfahren