Cyber Resilience Act.
Was Einkäufer von Softwareanbietern verlangen sollten.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act ist die Verordnung (EU) 2024/2847, im Deutschen Cyberresilienz-Verordnung. Sie legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest, also für Software und Hardware mit Datenverbindung zu einem Gerät oder Netz (Art. 2 Abs. 1). Pflichten tragen Hersteller, Bevollmächtigte, Einführer und Händler. Die Verordnung ist am 10.12.2024 in Kraft getreten, die Meldepflichten gelten seit 11.09.2026, die übrigen Pflichten ab 11.12.2027. Als Käufer prüfen Sie vor allem, ob Ihr Anbieter Schwachstellen behandelt, meldet und das Supportende nennt.

Gilt der Cyber Resilience Act für Unternehmen, die Software nur einkaufen?

Nicht unmittelbar. Die Pflichten treffen Wirtschaftsakteure, also Hersteller, Bevollmächtigte, Einführer und Händler (Art. 3 Nr. 12). Reine Anwender stehen dort nicht. Zwei Ausnahmen: Wer Fremdkomponenten in eigene Produkte einbaut, wählt sie mit Sorgfalt aus (Art. 13 Abs. 5). Wer ein Produkt wesentlich ändert und auf den Markt bringt, gilt als Hersteller (Art. 22). Mittelbar wirkt der CRA trotzdem: Er stärkt, was Sie vom Anbieter verlangen können, etwa Supportende, Meldekontakt und kostenlose Sicherheitsupdates.

Ab wann gilt der Cyber Resilience Act?

Die Verordnung gilt nach Art. 71 Abs. 2 ab dem 11.12.2027. Zwei Teile sind vorgezogen: Kapitel IV zur Notifizierung von Prüfstellen gilt seit 11.06.2026, die Meldepflichten nach Art. 14 gelten seit 11.09.2026. Produkte, die vor dem 11.12.2027 in Verkehr kommen, müssen die übrigen Anforderungen nur erfüllen, wenn sie danach wesentlich geändert werden (Art. 69 Abs. 2). Die Meldepflichten gelten dagegen auch für diese älteren Produkte (Art. 69 Abs. 3). Stand: 11/2026.

Welche Meldepflichten haben Softwarehersteller seit dem 11. September 2026?

Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, die ihr Produkt betreffen (Art. 14). Die Frühwarnung folgt innerhalb von 24 Stunden, die Meldung innerhalb von 72 Stunden. Der Abschlussbericht ist 14 Tage nach Verfügbarkeit einer Korrektur fällig, bei Vorfällen einen Monat nach der Meldung. Die Meldung geht über die Plattform der ENISA an das CSIRT des Mitgliedstaats der Hauptniederlassung, in Deutschland CERT-Bund beim BSI. Außerdem müssen Hersteller betroffene Nutzer informieren (Art. 14 Abs. 8). Fragen Sie Ihren Anbieter, wie das bei ihm abläuft.

Gilt der Cyber Resilience Act für Software as a Service?

Für reine Browser-Anwendungen nicht: Nach den Leitlinien der Kommission ist eine Anwendung, die ausschließlich über den Browser genutzt wird, nicht selbst ein Produkt mit digitalen Elementen (Rn. 21, Beispiel 5). Anders ist es bei Datenfernverarbeitung, ohne die ein Produkt eine Funktion nicht erfüllt, etwa dem Back-End einer vom Hersteller entwickelten App (Art. 3 Nr. 2). Für Cloud-Dienste gilt die NIS2-Richtlinie, wenn der Anbieter mindestens mittelgroß ist (Erwägungsgrund 12). Fragen Sie bei SaaS nach Sicherheitsnachweisen und nach einem Desktop-Client oder einer App.

Gilt der Cyber Resilience Act für Open-Source-Software?

Nur, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird (Erwägungsgrund 18). Ein Gemeinschaftsprojekt ohne Geschäftstätigkeit ist nicht erfasst. Ein Anbieter mit bezahltem Support oder kostenpflichtiger Edition ist Hersteller. Für Verwalter quelloffener Software gilt eine vereinfachte Regelung (Art. 24). Kommerzielle Hersteller, die Open-Source-Komponenten einbauen, müssen diese mit Sorgfalt prüfen (Art. 13 Abs. 5) und Schwachstellen an die Pflegenden melden (Art. 13 Abs. 6). Als reiner Nutzer treffen Sie daraus keine Pflichten. Fragen Sie deshalb nach der Software-Stückliste.

Wie lange muss ein Hersteller Sicherheitsupdates liefern?

Der Unterstützungszeitraum beträgt mindestens fünf Jahre, es sei denn, das Produkt wird voraussichtlich kürzer genutzt (Art. 13 Abs. 8). Bei längerer erwarteter Nutzung muss er länger sein. Das Enddatum, mindestens Monat und Jahr, muss beim Kauf klar angegeben sein (Art. 13 Abs. 19). Bereitgestellte Sicherheitsupdates bleiben mindestens zehn Jahre oder bis zum Ende des Unterstützungszeitraums verfügbar, je nachdem, was länger ist (Art. 13 Abs. 9). Sie sind kostenlos, außer bei Sonderanfertigungen mit anderer Vereinbarung (Anhang I Teil II Nr. 8). Die Pflichten gelten ab 11.12.2027.

Was sollte im Softwarevertrag zum Cyber Resilience Act stehen?

Vereinbaren Sie das Supportende als Datum, die Information bei ausgenutzten Schwachstellen mit Frist und Kanal, kostenlose Sicherheitsupdates getrennt von Upgrades und einen Ansprechpartner für Schwachstellenmeldungen. Ergänzen Sie ein Auskunftsrecht zur Software-Stückliste, den Nachweis der Konformität bei Neuversionen ab 11.12.2027 und eine Regelung zum Ausstieg, falls der Hersteller den Betrieb einstellt (Art. 13 Abs. 23). Die Checkliste im Ratgeber Softwarevertrag prüfen nennt 20 Punkte. Nehmen Sie die Punkte auch in die Leistungsbeschreibung auf. Die Formulierung klärt Ihre Rechtsberatung.

Was ist eine Software-Stückliste und muss der Hersteller sie herausgeben?

Eine Software-Stückliste ist die formale Aufzeichnung der Komponenten und Lieferkettenbeziehungen einer Software (Art. 3 Nr. 39), englisch SBOM. Hersteller müssen sie in einem gängigen maschinenlesbaren Format erstellen, mindestens mit den obersten Abhängigkeiten (Anhang I Teil II Nr. 1). Eine Pflicht, sie Kunden zu geben, enthält die Verordnung nicht. Anhang II Nr. 9 verlangt nur die Angabe, wo sie zugänglich ist, falls der Hersteller sie bereitstellt. Das BSI hält fest, dass sie nicht veröffentlicht werden muss. Vereinbaren Sie ein Auskunftsrecht.

Wie unterscheidet sich der Cyber Resilience Act von NIS2?

Der CRA regelt Produkte und richtet sich an Hersteller, Importeure und Händler. NIS2 regelt Einrichtungen und richtet sich an Betreiber, in Deutschland über das BSI-Gesetz. Wer als wichtige oder besonders wichtige Einrichtung gilt, muss nach § 30 Abs. 2 BSIG unter anderem die Sicherheit der Lieferkette und Sicherheitsmaßnahmen beim Erwerb von Systemen beachten. Der CRA kann dabei helfen, weil er Lieferanten zu Schwachstellenmanagement und Meldungen verpflichtet. Ein Softwarehersteller kann beiden Regelwerken unterliegen. Mehr im Ratgeber NIS2 Software.

Welche Bußgelder drohen bei Verstößen gegen den Cyber Resilience Act?

Verstöße gegen die Sicherheitsanforderungen in Anhang I sowie gegen Art. 13 und 14 können mit Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2). Für andere Pflichten, etwa von Einführern und Händlern, liegt der Rahmen bei 10 Millionen Euro oder 2 Prozent. Der Sanktionsartikel gehört nicht zu den vorgezogenen Teilen und gilt damit nach Art. 71 Abs. 2 ab 11.12.2027. Die Bußgelder treffen Hersteller, für Sie sind sie ein Lieferantenrisiko.

Wer überwacht den Cyber Resilience Act in Deutschland?

Nach dem Beschluss des Bundestags vom 15.10.2026 zum Durchführungsgesetz wird das BSI Marktüberwachungsbehörde und notifizierende Behörde, die Konformitätsbewertungsstellen unter Einbeziehung der Deutschen Akkreditierungsstelle prüft und notifiziert. Für die Meldungen ist CERT-Bund beim BSI das als Koordinator benannte CSIRT. Hersteller melden über die Single Reporting Platform der ENISA, die seit 11.09.2026 in Betrieb ist. Die Verordnung selbst gilt unmittelbar, das Durchführungsgesetz regelt Zuständigkeit und Verfahren. Das BSI kontrolliert die Cybersicherheit vernetzter Produkte auf dem deutschen Markt.

Betrifft der Cyber Resilience Act bereits gekaufte Software?

Nur in Teilen. Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden, müssen die Anforderungen der Verordnung nur erfüllen, wenn sie danach wesentlich geändert werden (Art. 69 Abs. 2). Eine Ausnahme gilt für die Meldepflichten, die auch für diese Produkte seit dem 11.09.2026 gelten (Art. 69 Abs. 3). Ein gesetzliches Supportende gibt es für Bestandssoftware daher nicht. Vereinbaren Sie es bei der nächsten Verlängerung vertraglich und lassen Sie sich die Versionsstände nennen, auf die sich Zusagen beziehen.