{
    "slug": "cyber-resilience-act-cra",
    "titre": "Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Die Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen (Hardware +…",
    "resume_court": "Die **Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA)** verpflichtet **Hersteller, Importeure und Händler** von **Produkten mit digitalen Elementen** (Hardware + Software, IoT, SaaS in Hardware) zu Cybersecurity-by-Design, **Vulnerability-Disclosure** und einer **CE-Konformitätsbewertung** für Cybersecurity. Die Verordnung ist am **10. Dezember 2024** in Kraft getreten. Volle Anwendung ab **11. Dezember 2027** (Hauptpflichten), für **Vulnerability-Meldungen** bereits ab **11. September 2026**. Bußgelder bis **15 Mio. €** oder **2,5 %** des weltweiten Jahresumsatzes (Art. 64).",
    "faits": [
        {
            "point": "Rechtsgrundlage",
            "valeur": "Verordnung (EU) 2024/2847 (CRA) [eur-lex.europa.eu, CELEX:32024R2847]",
            "autorite": "A"
        },
        {
            "point": "Inkrafttreten",
            "valeur": "10. Dezember 2024 [Art. 71 CRA]",
            "autorite": "A"
        },
        {
            "point": "Vulnerability-Meldepflichten anwendbar ab",
            "valeur": "11. September 2026 [Art. 71 Abs. 2 CRA]",
            "autorite": "A"
        },
        {
            "point": "Vollständige Anwendung Hauptpflichten",
            "valeur": "11. Dezember 2027 [Art. 71 Abs. 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "Erfasste Produkte",
            "valeur": "Hardware + Software mit digitalen Elementen, vernetzbar (IoT, Router, Smart-Home, Smartphones, Industrial Control, Betriebssysteme, Anwendungen) [Art. 3 Nr. 1 CRA]",
            "autorite": "A"
        },
        {
            "point": "Ausnahmen",
            "valeur": "bereits regulierte Produkte: Medizinprodukte (MDR), KFZ (UN R155), Luftfahrt, Marine, In-vitro-Diagnostik [Art. 2 CRA]",
            "autorite": "A"
        },
        {
            "point": "Open-Source-Sonderregel",
            "valeur": "freiwillig bereitgestellte, nicht-kommerzielle Open-Source-Software ausgenommen [Art. 2 Abs. 5 CRA, Erwägungsgrund 18-19]",
            "autorite": "A"
        },
        {
            "point": "Wichtige Produkte Klasse I",
            "valeur": "Self-Assessment möglich (z.B. Passwort-Manager, IAM-Tools, VPN-Clients) [Anhang III CRA]",
            "autorite": "A"
        },
        {
            "point": "Wichtige Produkte Klasse II",
            "valeur": "Drittstellen-Konformitätsbewertung Pflicht (z.B. Firewalls, IDS, Public-Key-Infrastructure) [Anhang III CRA]",
            "autorite": "A"
        },
        {
            "point": "Kritische Produkte",
            "valeur": "Pflicht zu europäischer Zertifizierung (z.B. Smartcards, Secure Elements, HSM) [Anhang IV CRA]",
            "autorite": "A"
        },
        {
            "point": "Meldepflicht Vulnerabilities",
            "valeur": "Meldung innerhalb 24 Std. Frühwarnung an ENISA + CSIRT [Art. 14 Abs. 1 lit. a CRA]",
            "autorite": "A"
        },
        {
            "point": "Meldepflicht detaillierte Meldung",
            "valeur": "innerhalb 72 Stunden [Art. 14 Abs. 1 lit. b CRA]",
            "autorite": "A"
        },
        {
            "point": "Meldepflicht Abschlussbericht",
            "valeur": "innerhalb 14 Tage nach Maßnahme [Art. 14 Abs. 1 lit. c CRA]",
            "autorite": "A"
        },
        {
            "point": "Pflicht Security-Updates Mindestlaufzeit",
            "valeur": "5 Jahre Standard oder Produktlebensdauer [Art. 13 Abs. 8 CRA, Anhang I]",
            "autorite": "A"
        },
        {
            "point": "Bußgelder Pflichtverstoß",
            "valeur": "bis 15 Mio. € oder 2,5 % weltw. Jahresumsatz [Art. 64 Abs. 2 CRA]",
            "autorite": "A"
        },
        {
            "point": "Bußgelder Vulnerability-Meldepflicht",
            "valeur": "bis 10 Mio. € oder 2 % weltw. Jahresumsatz [Art. 64 Abs. 3 CRA]",
            "autorite": "A"
        },
        {
            "point": "CE-Kennzeichnung",
            "valeur": "Pflicht ab 11.12.2027 für alle erfassten Produkte [Art. 30 CRA]",
            "autorite": "A"
        },
        {
            "point": "Aufsicht DE",
            "valeur": "BSI + Marktüberwachungsbehörden der Bundesländer",
            "autorite": "A"
        },
        {
            "point": "Single Reporting Platform",
            "valeur": "ENISA-betriebene Plattform für Vulnerability-Meldungen [Art. 16 CRA]",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2024/2847 (CRA Volltext)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847",
            "autorite": "A"
        },
        {
            "titre": "ENISA – Cyber Resilience Act Information",
            "url": "https://www.enisa.europa.eu/topics/product-security-and-certification",
            "autorite": "A"
        },
        {
            "titre": "BSI – CRA-Hinweise",
            "url": "https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt Cyber Resilience Act (CRA) – CE-Pflichten für Produkte mit digitalen Elementen?",
            "reponse": "Die Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen (Hardware + Software, IoT, SaaS in Hardware) zu Cybersecurity-by-Design, Vulnerability-Disclosure und einer CE-Konformitätsbewertung für Cybersecurity. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Volle Anwendung ab 11."
        },
        {
            "question": "Für wen gilt Cyber Resilience Act (CRA)?",
            "reponse": "Der CRA gilt für alle Hersteller, Importeure und Händler, die ein „Produkt mit digitalen Elementen\u0022 auf dem EU-Markt in Verkehr bringen. Der Begriff ist weit: jedes Software- oder Hardware-Produkt, das verbunden werden kann oder Datenverarbeitung leistet. SaaS ohne Hardware-Anteil fällt grundsätzlich NICHT unter den CRA (sondern ggf. unter NIS-2 oder den DORA, je nach Sektor)."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei Cyber Resilience Act (CRA)?",
            "reponse": "„Mein IoT-Gerät ist nach FunkRL/EMV CE-konform, das reicht.\u0022 Falsch – CRA erfordert eine zusätzliche Cybersecurity-Konformitätsbewertung. „Open Source ist komplett ausgenommen.\u0022 Nur bei nicht-kommerzieller Bereitstellung. Kommerzielle Distributionen erfasst. „Erst ab 2027 muss ich tätig werden.\u0022 Die Vulnerability-Meldepflichten gelten bereits ab September 2026. Wer Lücken in Produkten erfährt, muss melden."
        }
    ],
    "wikidata": [
        "Q118945294",
        "Q3510521"
    ],
    "valid_from": "2024-12-10",
    "valid_to": null,
    "derniere_revision": "2026-08-15",
    "derniere_verification": "2026-08-15",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/cyber-resilience-act-cra"
}