Cyber Resilience Act (EU) 2024/2847

Unmittelbar nur, wenn Sie selbst Produkte entwickeln, herstellen lassen oder verändern. Die Verordnung (EU) 2024/2847 richtet sich an Hersteller, Bevollmächtigte, Einführer und Händler von Produkten mit digitalen Elementen. Betreiber, die solche Produkte nur einsetzen, haben aus dem CRA keine eigenen Pflichten. Sie profitieren aber davon: Hersteller müssen Schwachstellen behandeln, Sicherheitsupdates bereitstellen, Nutzer über aktiv ausgenutzte Schwachstellen informieren und ihren Produkten Anleitungen mit Sicherheitshinweisen beilegen.

Die Verordnung gilt für Produkte, die auf dem Markt bereitgestellt werden und deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. Für Servicefirmen kommt es deshalb auf die Rolle an. Hersteller ist, wer ein solches Produkt entwickelt oder herstellt oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet, auch unentgeltlich. Wer ein eigenes Fernwartungsgateway unter eigenem Namen ausliefert oder eine eigene Servicesoftware vertreibt, ist Hersteller im Sinn der Verordnung. Wer fremde Produkte nur einbaut und wartet, wird dadurch nicht zum Hersteller.

Für Betreiber heißt das praktisch: beim Kauf nach Unterstützungszeitraum und Updatezusagen fragen, die vernetzten Komponenten je Anlage erfassen und klären, wer beim Hersteller als Ansprechpartner für Sicherheitshinweise eingetragen ist.

In der Regel ja. Ein Produkt mit digitalen Elementen ist nach Artikel 3 Nummer 1 ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, auch wenn Komponenten getrennt in Verkehr gebracht werden. In einer Anlage fallen darunter das Gateway im Schaltschrank, der Router mit VPN-Funktion, die vernetzte Steuerung und die Wartungssoftware, mit der sich ein Techniker verbindet.

Bei Cloud-Diensten ist die Abgrenzung enger. Datenfernverarbeitung zählt nur mit, wenn die Software vom Hersteller selbst oder unter seiner Verantwortung entwickelt wurde und das Produkt ohne sie eine seiner Funktionen nicht erfüllen könnte. Ein Serviceportal, auf das die Anlage auch ohne Einschränkung ihrer Funktion verzichten könnte, gehört demnach nicht dazu.

Ausgenommen sind unter anderem Produkte, die unter die Medizinprodukteverordnungen oder die Typgenehmigung für Kraftfahrzeuge fallen, außerdem nach der Luftfahrtverordnung zertifizierte Produkte. Nach Artikel 2 Absatz 6 gilt die Verordnung auch nicht für Ersatzteile, die identische Komponenten ersetzen und nach denselben Spezifikationen hergestellt werden. Der Austausch einer defekten Baugruppe gegen ein baugleiches Teil löst für das Teil daher keine neuen CRA-Pflichten aus.

Für Produkte, die zugleich unter andere Harmonisierungsvorschriften fallen, kann die Kommission den Anwendungsbereich des CRA durch delegierte Rechtsakte einschränken (Artikel 2 Absatz 5). Betreiber sollten die Liste vernetzter Komponenten je Anlage daher mit Herstellerangabe und Softwarestand führen.

Seit dem 11. September 2026 gilt Artikel 14 mit den Meldepflichten der Hersteller. Wird eine Schwachstelle in einem Produkt aktiv ausgenutzt, muss der Hersteller dem als Koordinator benannten CSIRT und der ENISA gleichzeitig melden, über die einheitliche Meldeplattform. Die Frist für die Frühwarnung beträgt 24 Stunden nach Kenntnis, nach 72 Stunden folgt die Meldung mit allgemeinen Informationen, der Abschlussbericht kommt spätestens 14 Tage nachdem eine Korrektur oder Risikominderung zur Verfügung steht. Für schwerwiegende Sicherheitsvorfälle gelten ebenfalls 24 und 72 Stunden, der Abschlussbericht ist innerhalb eines Monats nach der Meldung fällig.

Diese Pflichten betreffen auch Produkte, die schon vor Dezember 2027 in Verkehr gebracht wurden, das legt Artikel 69 Absatz 3 fest. Ein Gateway aus dem Jahr 2022 ist also bereits betroffen, sofern es unter die Verordnung fällt. Betreiber melden dabei nichts, sie sind aber die Nutzer, die der Hersteller nach Artikel 14 Absatz 8 informieren muss.

Ab dem 11. Dezember 2027 gilt die Verordnung insgesamt. Dann müssen neu in Verkehr gebrachte Produkte die grundlegenden Cybersicherheitsanforderungen erfüllen, der Hersteller muss einen Unterstützungszeitraum festlegen und Konformität nachweisen. Bereits vorher in Verkehr gebrachte Produkte unterliegen diesen Anforderungen nur, wenn sie nach diesem Datum wesentlich geändert werden. Betreiber, die selbst nach NIS2 melden müssen, haben dafür eigene Meldefristen nach NIS2, die getrennt laufen.

Der Hersteller legt einen Unterstützungszeitraum fest, in dem er Schwachstellen behandelt und Sicherheitsupdates bereitstellt. Er muss ihn an der erwarteten Nutzungsdauer ausrichten, an den Erwartungen der Nutzer und an der Art des Produkts. Nach Artikel 13 Absatz 8 beträgt er mindestens fünf Jahre, es sei denn, das Produkt wird voraussichtlich kürzer genutzt. Das Enddatum, mindestens mit Monat und Jahr, muss beim Kauf leicht zugänglich angegeben werden (Artikel 13 Absatz 19). Jede bereitgestellte Sicherheitsaktualisierung bleibt mindestens zehn Jahre oder bis zum Ende des Unterstützungszeitraums verfügbar, je nachdem, was länger ist (Absatz 9).

Die Updates sind nach Anhang I Teil II grundsätzlich kostenlos und unverzüglich zu verbreiten. Bei einem maßgeschneiderten Produkt dürfen Hersteller und gewerblicher Nutzer etwas anderes vereinbaren. Wer eine Sonderanfertigung kauft, sollte diese Abweichung im Vertrag daher bewusst regeln und nicht stillschweigend hinnehmen.

Für Altgeräte gilt nach Artikel 69 Absatz 2: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen nur, wenn sie danach wesentlich geändert werden. Ein vorhandenes Gateway ohne Update-Zusage bleibt also ohne Anspruch auf Support aus dem CRA, nur die Meldepflichten gelten für den Hersteller. Beim Ersatz oder Zukauf lohnt sich die Frage nach dem Enddatum des Unterstützungszeitraums, es muss beim Kauf angegeben sein.

Nach Artikel 22 gilt als Hersteller, wer ein Produkt mit digitalen Elementen wesentlich ändert und es auf dem Markt bereitstellt, ohne selbst Hersteller, Einführer oder Händler zu sein. Zwei Voraussetzungen müssen also zusammenkommen: eine wesentliche Änderung und die Bereitstellung des geänderten Produkts auf dem Markt. Wer ein Gerät nur im eigenen Betrieb ändert, gibt es in der Regel nicht an andere ab und stellt es damit nicht auf dem Markt bereit. Eine Servicefirma, die ein verändertes Gerät an Kunden liefert oder weitergibt, kann dagegen darunter fallen.

Wesentlich ist nach Artikel 3 Nummer 30 eine Änderung nach dem Inverkehrbringen, die sich auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I auswirkt oder den Zweck ändert, für den das Produkt geprüft wurde. Ob eine andere Firmware, ein geänderter Fernzugang oder neue Parameter die Schwelle überschreiten, hängt davon ab, ob sich die Konformität mit Anhang I Teil I ändert. Die Verordnung nennt dafür kein Schema, die Prüfung ist im Einzelfall zu begründen.

Die Folgen sind nach Artikel 22 Absatz 2 begrenzt: Es gelten die Pflichten aus den Artikeln 13 und 14 für den von der Änderung betroffenen Teil des Produkts, nur bei Auswirkung auf die Cybersicherheit des Ganzen für das gesamte Produkt. Das ist weniger als die volle Herstellerrolle, bedeutet aber Risikobewertung, Dokumentation und Meldewege. Vor einer solchen Änderung gehört die Rollenfrage in den Vertrag.

Die wichtigste Frage ist, wer die Herstellerinformation nach Artikel 14 Absatz 8 tatsächlich bekommt. Der Hersteller muss die betroffenen Nutzer informieren, sobald er von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall weiß, und ihnen Maßnahmen zur Abhilfe nennen. Kennt er nur die Servicefirma, die das Gerät eingebaut hat, landet der Hinweis dort. Im Servicevertrag sollte deshalb stehen, dass die Servicefirma solche Hinweise unverzüglich weiterleitet, bis wann, an wen und in welcher Form.

Im Kaufvertrag gehören Unterstützungszeitraum und Enddatum hinein, so wie es Artikel 13 Absatz 19 für den Zeitpunkt des Kaufs vorsieht. Dazu kommen die Zusage kostenloser Sicherheitsupdates, die Frist, in der der Hersteller sie bereitstellt, und eine Regelung, wie Updates in laufenden Anlagen eingespielt werden, ohne die Betriebssicherheit zu gefährden. Wenn Updates die Sicherheitssteuerung berühren, kommt die Maschinenverordnung dazu.

Für den Fernzugang selbst sind zu regeln: wer ihn freischaltet, welche Verbindung er nutzt, wie Zugriffe protokolliert werden und wer bei einem Vorfall wen informiert. Betreiber, die unter NIS2 fallen, müssen Lieferanten und Dienstleister ohnehin in ihr Risikomanagement einbeziehen. vi liest Update- und Supportzusagen aus Verträgen aus und erinnert an Fristen.