Mit dem europäischen Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) werden umfassende, unionsweit einheitliche Cybersicherheitsanforderungen für zahlreiche Produkte mit digitalen Elementen eingeführt. Betroffen sind insbesondere Hersteller von Software, vernetzten Geräten und industriellen IT-Produkten.

Seit dem 11. September 2026 gelten bereits verbindliche Meldepflichten. Hersteller müssen ihnen bekannt gewordene, aktiv ausgenutzte Schwachstellen ihrer Produkte sowie schwerwiegende Sicherheitsvorfälle im Sinne des CRA grundsätzlich innerhalb von 24 Stunden erstmals und innerhalb von 72 Stunden ergänzend melden. Hinzu kommen weitere Berichtspflichten. Die Meldungen erfolgen über die zentrale Meldeplattform der europäischen Cybersicherheitsagentur ENISA. Weitere Einzelheiten erläutert die Europäische Kommission zu den CRA-Meldepflichten.

Die wesentlichen weiteren Anforderungen des CRA werden ab dem 11. Dezember 2027 anwendbar. Die bereits geltenden Meldepflichten erfassen grundsätzlich auch Produkte, die schon zuvor auf dem EU-Markt bereitgestellt wurden. Unternehmen sollten daher frühzeitig prüfen, ob und in welchem Umfang ihre Produkte und Geschäftsmodelle dem CRA unterliegen.

Besonderer Handlungsbedarf besteht insbesondere bei folgenden Fragen:

• Welche Software- und Hardwareprodukte fallen in den Anwendungsbereich des CRA?

• Wie müssen Schwachstellenmanagement, Sicherheitsupdates und Meldeprozesse organisiert werden?

• Welche Anforderungen ergeben sich für Produktentwicklung, technische Dokumentation und Cybersicherheits-Risikomanagement?

• Wie sollten Sicherheits-, Update- und Mitwirkungspflichten zwischen Herstellern, Softwareentwicklern, Zulieferern und IT-Dienstleistern vertraglich geregelt werden?

• Welche Auswirkungen ergeben sich auf Produkthaftung, Geschäftsleiterverantwortung und bestehende IT-Compliance-Strukturen?

Unsere Einschätzung: Der CRA ist weit mehr als eine technische Sicherheitsverordnung. Er verlangt eine frühzeitige Auseinandersetzung mit Produktverantwortlichkeiten, Entwicklungs- und Lieferverträgen, Sicherheitsprozessen und bestehenden Compliance-Strukturen. Gerade die rechtssichere Gestaltung der vertraglichen Verantwortlichkeiten kann entscheidend dazu beitragen, regulatorische und wirtschaftliche Risiken zu begrenzen.

Die Jordan & Wagner Rechtsanwaltsgesellschaft mbH begleitet Unternehmen bei der rechtlichen Einordnung europäischer IT-Sicherheitsanforderungen sowie bei der Gestaltung und Überprüfung von IT-Verträgen, Haftungsregelungen und Compliance-Strukturen.

Sie möchten wissen, welche Anforderungen des Cyber Resilience Act für Ihr Unternehmen gelten? Gerne unterstützen wir Sie bei einer strukturierten rechtlichen Bestandsaufnahme und der Entwicklung geeigneter Maßnahmen.

Ihre Ansprechpartner

Dr. Thomas A. Degen
Rechtsanwalt | Fachanwalt für IT-Recht
IT-Recht · Cybersecurity · Datenschutz

Peter Wagner
Rechtsanwalt | Mediator
IT-Vertragsrecht · Vertriebsrecht · Compliance

Tilo Schindele
Rechtsanwalt
IT-Vertragsrecht · Exportkontrolle · Compliance

Jordan & Wagner Rechtsanwaltsgesellschaft mbH