Das CE-Zeichen (Conformité Européenne, d. h. „europäische Konformität“) hat schon immer signalisiert, dass ein Produkt den EU-Sicherheitsstandards entspricht. Ab 2027 wird es zudem etwas Neues bescheinigen: dass Ihr vernetztes Produkt von Grund auf mit kryptografischer Sicherheit entwickelt wurde. Der Cyber Resilience Act (CRA) macht „Secure-by-Design“-Cybersicherheit zu einer gesetzlichen Anforderung für alle Produkte unter hardware oder software mit einer digitalen Komponente, die in der Europäischen Union verkauft werden.
Für digitale Produkte (und alle, die damit zu tun haben) bedeutet dies eine grundlegende Veränderung. Nach dem Stichtag erfüllen Produkte, die ohne eindeutige Gerätekennung, signierte Firmware-Updates oder standardmäßig aktivierte Verschlüsselung ausgeliefert werden, nicht mehr die Voraussetzungen für die CE-Kennzeichnung. Keine CE-Kennzeichnung bedeutet keinen Zugang zum EU-Markt.
In diesem Leitfaden wird erläutert, welche Anforderungen die CRA stellt, für wen diese gelten, welche Sanktionen bei Nichteinhaltung drohen und welche praktischen Schritte Sie jetzt unternehmen können, um sich vor Ablauf der Frist im Dezember 2027 auf eine Prüfung vorzubereiten.
Was das Gesetz zur Cyber-Resilienz tatsächlich vorschreibt
Das Gesetz zur Cyber-Resilienz, offiziell Verordnung (EU) 2024/2847, ist das erste horizontale Gesetz der EU, das eine „Secure-by-Design“-Cybersicherheit für Produkte vorschreibt, die ein digitales Element enthalten. Es gilt für alle Produkte mit digitalen Elementen, die in der EU in Verkehr gebracht werden: hardware, software sowie für alle Lösungen zur Fernverarbeitung von Daten, die Teil der Funktion des Produkts sind. Die Verordnung knüpft die Einhaltung der Vorschriften direkt an die CE-Kennzeichnung.
Die CRA unterteilt die Verpflichtungen in zwei Kategorien. Anhang I, Teil I behandelt die Anforderungen an die Produktsicherheit bei der Konstruktion und legt fest, wie Produkte gebaut werden müssen. Anhang I, Teil II behandelt die Anforderungen an den Umgang mit Schwachstellen während des Lebenszyklus und definiert, wie Anbieter Produkte nach dem Verkauf unterstützen müssen.
Im Gegensatz zu früheren Rahmenwerken, die sich auf vage Formulierungen wie „angemessene Sicherheitsmaßnahmen“ stützten, geht die CRA konkret ins Detail. Digitale Produkte müssen standardmäßig mit kryptografischem Schutz für die Vertraulichkeit und Integrität der Daten, kryptografisch verifizierten software und Firmware-Updates sowie einem sicheren Identitäts- und Authentifizierungsmechanismus ausgeliefert werden. Diese Anforderungen müssen durch eine produktspezifische Cybersicherheits-Risikobewertung und nicht durch eine starre Checkliste begründet werden.
Die drei unverzichtbaren Elemente der Kryptografie
Die CRA behandelt das Thema Kryptografie anhand mehrerer wesentlicher Anforderungen in Anhang I. Drei Bereiche erfordern die sofortige Aufmerksamkeit der Produktsicherheitsteams.
Verschlüsselte Daten im Ruhezustand und während der Übertragung. Produkte müssen relevante Daten mithilfe modernster Verschlüsselungsmechanismen schützen. Dies gilt sowohl für gespeicherte Daten als auch für Daten, die zwischen Geräten übertragen werden. Die PKI, die Geräte- und Sitzungszertifikate ausstellt, bildet das Rückgrat dieser Anforderung.
Signierte Firmware- und „ software “-Updates. Sicherheitsupdates müssen kryptografisch signiert sein und während des gesamten vorgeschriebenen Supportzeitraums unverzüglich und kostenlos bereitgestellt werden. Die Überprüfung muss vor der Installation erfolgen. Automatische Updates sollten standardmäßig aktiviert sein.
Sichere Geräteidentität. Produkte müssen mit einer sicheren Standardkonfiguration und einer identitätsbasierten Zugriffskontrolle ausgeliefert werden. In der Praxis bedeutet dies eine eindeutige kryptografische Identität, die bereits bei der Herstellung zugewiesen wird, und keine gemeinsam genutzten oder voreingestellten Anmeldedaten.
Diese drei Funktionen sind voneinander abhängig. Ohne eine zuverlässige Geräteidentität lassen sich keine authentifizierten und sicheren Kanäle einrichten. Ohne signierte Updates lassen sich Sicherheitslücken nicht beheben, ohne neue zu verursachen. Ohne Verschlüsselung ist die Vertraulichkeit der Daten bereits beim ersten Abfangen gefährdet.
Wer ist davon betroffen und was kostet es, dies zu ignorieren?
Die CRA ist sehr weit gefasst. Sie gilt im Wesentlichen für alle vernetzten Produkte oder „ software “, die in der EU verkauft werden, unabhängig von ihrem Herkunftsland. Die meisten Produkte fallen in die Standardkategorie mit den üblichen Verpflichtungen. Wichtige Produkte (in Anhang I, Klasse I und II) und kritische Produkte unterliegen strengeren Anforderungen an die Konformitätsbewertung. Zu diesen Kategorien gehören Identitätsmanagementsysteme, VPN- software sowie Smart-Meter-Gateways. Darüber hinaus können kritische Produkte gemäß Anhang IV, wie beispielsweise Smart-Meter-Gateways, Smartcards und Secure Elements sowie Geräte für das „ hardware “ mit Sicherheitsboxen, durch delegierte Rechtsakte einer obligatorischen europäischen Cybersicherheitszertifizierung unterworfen werden. Die Verordnung bindet nahezu jeden Akteur in der Lieferkette, angefangen bei den Herstellern. Importeure müssen die Einhaltung der Vorschriften durch den Hersteller überprüfen, bevor sie ein Produkt auf dem EU-Markt in Verkehr bringen. Für Händler gelten ähnliche Überprüfungspflichten. Open-source Betreiber, die „ software “ mit digitalen Elementen kommerziell vertreiben, können unter bestimmten, in der Verordnung festgelegten Bedingungen ebenfalls unter diese Regelung fallen.
Die Strafen sind erheblich. Verstöße können zu Geldbußen von bis zu ~15 Millionen oder 2,5 % des weltweiten Jahresumsatzes führen, je nachdem, welcher Betrag höher ist. Über die finanziellen Sanktionen hinaus verlieren nicht konforme Produkte die CE-Kennzeichnung, die für den Zugang zum EU-Markt erforderlich ist. Dadurch wird die CRA von einer Sicherheitsvorschrift zu einer Voraussetzung für den Marktzugang.
Die entscheidenden Fristen: 2027 und die kürzere Frist bis 2026
Der Zeitplan der CRA lässt weniger Spielraum, als es auf den ersten Blick scheint. Die wesentlichen Anforderungen müssen bis zum 11. Dezember 2027 vollständig umgesetzt sein. Die Meldepflichten für Sicherheitslücken und aktive Ausnutzung beginnen jedoch bereits früher, nämlich im September 2026.
Sechsunddreißig Monate klangen zunächst nach einem großzügigen Zeitrahmen, doch für diejenigen, die ihre Produkte überarbeiten müssen, schwindet diese Zeit rasch. Die Neugestaltung von Produkten, die ursprünglich nicht mit einer eindeutigen Geräteidentität entwickelt wurden, erfordert Änderungen an der „ hardware “, die Modernisierung der Fertigungslinien sowie die Koordination der Lieferkette. Die Implementierung einer Signaturpipeline für Firmware-Updates bedeutet den Aufbau einer PKI-Infrastruktur, Verfahren zur Schlüsselverwaltung und sicherer Vertriebskanäle. Die Erstellung eines kryptografischen Inventars für jede eingebettete Bibliothek und jeden Algorithmus über alle Produktlinien hinweg erfordert eine systematische Erfassung und kontinuierliche Pflege.
Unternehmen, die mit dem Einstieg bis 2026 gewartet haben, sehen sich nun auf der Suche nach Lösungen. Die Komplexität nimmt noch zu, wenn man bedenkt, dass die Entwicklungszyklen von Industrieprodukten, Automobilsystemen und vernetzten Geräten oft Jahre und nicht Monate betragen. Es ist noch nicht zu spät, aber die Zeit läuft.
Zuordnung der CRA-Anforderungen zu kryptografischen Kontrollmaßnahmen
Der CRA behandelt das Thema Kryptografie in sechs Kontrollbereichen, die direkte Auswirkungen auf die Umsetzung haben.
| Kontrollbereich | CRA-Referenz | Umsetzungsansatz |
| Vertraulichkeit von gespeicherten und übertragenen Daten | Anhang I, Teil I, § 2 Buchstabe e | Verschlüsseln Sie relevante Daten mithilfe modernster Verfahren, gestützt durch eine PKI, die Geräte- und Sitzungszertifikate ausstellt. |
| Integrität von Daten, Befehlen und Konfiguration | Anhang I, Teil I, § 2 Buchstabe f | Schützen Sie Befehle, Programme und Konfigurationen vor unbefugten Manipulationen durch signierte Konfigurationen und authentifizierte Kanäle |
| Standardmäßig sichere Konfiguration und Identität | Anhang I, Teil I, § 2 Buchstabe b und § 2 Buchstabe d | Produkte mit einer sicheren Standardkonfiguration und einer bei der Herstellung zugewiesenen eindeutigen Gerätekennung ausliefern |
| Sicherer Aktualisierungsmechanismus | Anhang I, Teil I, § 2 Buchstabe c; Anhang I, Teil II, § 7 | Sicherheitsupdates kryptografisch signieren und sie während des gesamten Supportzeitraums unverzüglich bereitstellen |
| Sichtbarkeit kryptografischer Komponenten | Im Rahmen der Risikobewertung implizit enthalten; in Anhang K vorgesehen | Identifizierung und Nachverfolgung eingebetteter kryptografischer Bibliotheken und Algorithmen im gesamten Produkt und dessen Abhängigkeiten |
| Sichere Datenlöschung | Anhang I, Teil I, § 2 Buchstabe m | Sicheres und endgültiges Löschen von Daten und Einstellungen ermöglichen, einschließlich der Vernichtung kryptografischer Schlüssel |
Jeder Kontrollbereich erfordert sowohl die technische Umsetzung als auch die Dokumentation. Im Rahmen von Konformitätsprüfungen wird untersucht, ob Ihre kryptografischen Designentscheidungen dokumentiert, risikobegründet und nachweislich umgesetzt sind. Im Hinblick auf das Gesetz zur Cyber-Resilienz reicht die bloße Absicht allein nicht aus.
Sich auf ein Audit vorbereiten, bevor eine benannte Stelle darum bittet
Bei den Konformitätsbewertungen der CRA steht der Nachweis der umgesetzten Kontrollmaßnahmen im Vordergrund, nicht allein die Dokumentation der Richtlinien. Unabhängig davon, ob Ihre Produkte einer selbstdeklarierten Konformitätsbewertung oder einer Prüfung durch eine benannte Stelle unterzogen werden, werden die Prüfer bestimmte Bereiche genauer unter die Lupe nehmen. Wenn Sie die folgenden Fragen berücksichtigen, können Sie sich im Voraus gut vorbereiten.
- Bestandsaufnahme der kryptografischen Komponenten. Führt das Unternehmen ein Verzeichnis aller im Produkt integrierten kryptografischen Bibliotheken und Algorithmen, einschließlich der vererbten Abhängigkeiten? Wenn Sie dieses Verzeichnis nicht vorlegen können, können Sie einer Aufsichtsbehörde nicht mitteilen, welche Risiken tatsächlich bestehen, wenn die nächste Sicherheitslücke auftritt.
- Dokumentation der Risikobewertung. Hat die Organisation eine produktspezifische Cybersicherheits-Risikobewertung durchgeführt und dokumentiert, die ihre Entscheidungen hinsichtlich des kryptografischen Designs begründet? Allgemeine Sicherheitsrichtlinien reichen nicht aus.
- Bereitstellung der Geräteidentität. Wird jedem Gerät während der Herstellung eine eindeutige kryptografische Identität zugewiesen? Gemeinsame oder Standard-Anmeldedaten erfüllen diese Anforderung nicht.
- Signierte Update-Pipeline. Kann die Organisation nachweisen, dass Firmware- und „ software “-Updates vor der Installation kryptografisch signiert und verifiziert werden? Automatische Updates sollten standardmäßig aktiviert sein.
- Sicheres Löschen und Vernichtung von Schlüsseln. Unterstützt das Produkt die sichere Datenlöschung, einschließlich der Vernichtung kryptografischer Schlüssel, im Rahmen einer Eigentumsübertragung oder Stilllegung?
- Verpflichtungen hinsichtlich der Supportdauer. Ist der vorgeschriebene Supportzeitraum für Sicherheitsupdates dokumentiert und den Benutzern mitgeteilt? Die Mindestdauer beträgt fünf Jahre oder die erwartete Lebensdauer des Produkts, falls diese kürzer ist.
Wie Keyfactor helfen kann
Keyfactor bietet die PKI- und Zertifikatslebenszyklus-Management-Infrastruktur, die Hersteller benötigen, um die kryptografischen Anforderungen der CRA zu erfüllen. Die Plattform deckt jeden der sechs Kontrollbereiche mit speziell dafür entwickelten Funktionen ab.
AgileSec erkennt und erfasst kryptografische Ressourcen produkt- und abhängigkeitsübergreifend und verschafft Anbietern so den nötigen Überblick, um Risiken einzuschätzen und Abhilfemaßnahmen zu planen.
EJBCA bietet eine PKI auf Unternehmensniveau, die Gerätezertifikate ausstellt, sichere Kanäle authentifiziert und die Vernichtung kryptografischer Schlüssel für die sichere Datenlöschung unterstützt.
Keyfactor Command bietet eine zentralisierte Übersicht und Automatisierung für den Lebenszyklus von Zertifikaten über alle Geräte und Produkte hinweg. Es setzt Kryptografie-Richtlinien durch, überwacht das Ablaufdatum von Zertifikaten und stellt den für Prüfungen erforderlichen Prüfpfad bereit.
SignServer und Signum die Codesignierung für Firmware- und „ software “-Updates aktivieren, um sicherzustellen, dass jedes Update vor der Bereitstellung kryptografisch verifiziert wird.
Diese Tools arbeiten zusammen, um die von der CRA vorgeschriebenen kryptografischen Kontrollen zu automatisieren und gleichzeitig die Dokumentation und Prüfungsnachweise zu erstellen, die für Konformitätsbewertungen erforderlich sind.
Maßnahmen ergreifen, bevor die Zeit abläuft
Die CRA stellt einen grundlegenden Wandel in der Art und Weise dar, wie die EU vernetzte digitale Produkte reguliert. Cybersicherheit ist nicht länger eine bewährte Praxis oder ein Wettbewerbsvorteil. Sie ist eine Voraussetzung für den Marktzugang, die durch die CE-Kennzeichnung durchgesetzt wird.
Die Organisationen, die für Dezember 2027 am besten aufgestellt sind, sind diejenigen, die bereits heute eine Infrastruktur für die kryptografische Governance aufbauen. Beginnen Sie mit der Bestandsaufnahme: Erfassen Sie die kryptografischen Assets, Bibliotheken und Algorithmen, die in Ihren Produkten eingebettet sind. Bewerten Sie diese Assets im Hinblick auf die CRA-Anforderungen. Richten Sie Automatisierungsprozesse zur Verwaltung des Lebenszyklus von Zertifikaten und Schlüsseln ein, bevor Lücken zu Vorfällen führen.
Abwarten ist die riskanteste Strategie. Produkte, die sich derzeit in der Entwicklung befinden, werden auf einen von der CRA regulierten Markt gelangen. Die kryptografischen Entscheidungen, die Sie heute treffen, entscheiden darüber, ob diese Produkte das CE-Zeichen erhalten oder den Zugang zu 450 Millionen Verbrauchern verlieren.
Haben Sie Fragen zum „Cyber Resilience Act“? Wir haben die Antworten.
Was ist das Gesetz zur Cyber-Resilienz?
Die CRA (Verordnung (EU) 2024/2847) ist das erste horizontale Gesetz der EU, das für jedes auf dem EU-Markt verkaufte Produkt mit einer digitalen Komponente „Secure-by-Design“-Cybersicherheit vorschreibt. Die Einhaltung dieser Vorschriften ist an die CE-Kennzeichnung geknüpft, wodurch Cybersicherheit zu einer Voraussetzung für den Marktzugang wird.
Wann tritt das Gesetz zur Cyber-Resilienz in Kraft?
Die wesentlichen Anforderungen müssen bis zum 11. Dezember 2027 vollständig umgesetzt sein. Die Meldepflichten für Sicherheitslücken und aktive Ausnutzung treten bereits früher, nämlich im September 2026, in Kraft.
Für wen gilt das CRA?
Die CRA gilt für jedes Produkt mit digitalen Elementen auf dem EU-Markt, unabhängig von seiner konkreten Herkunft. Dazu gehören hardware, software sowie jede Lösung zur Fernverarbeitung von Daten, die für die Funktionsweise des Produkts unerlässlich ist.
Welche Sanktionen drohen bei Nichteinhaltung der CRA-Vorschriften?
Verstöße können zu Geldbußen von bis zu ~15 Millionen oder 2,5 % des weltweiten Jahresumsatzes führen, je nachdem, welcher Betrag höher ist. Nicht konforme Produkte verlieren die für den Zugang zum EU-Markt erforderliche CE-Kennzeichnung.
Welche kryptografischen Anforderungen schreibt die CRA vor?
Die Produkte müssen standardmäßig mit aktiviertem verschlüsseltem Datenschutz, kryptografisch signierten und verifizierten Firmware-Updates sowie einer bei der Herstellung zugewiesenen eindeutigen Gerätekennung ausgeliefert werden.
Benötige ich ein kryptografisches Inventar, um die CRA-Vorschriften einzuhalten?
Ja. Im Rahmen von Konformitätsbewertungen müssen Anbieter ein Verzeichnis aller im Produkt integrierten kryptografischen Bibliotheken und Algorithmen führen, einschließlich der Abhängigkeiten. Dieses Verzeichnis ist unerlässlich, um das Risiko einzuschätzen, wenn Schwachstellen entdeckt werden.
Wie wirkt sich die CRA auf bestehende Produkte aus?
Produkte, die nach Dezember 2027 in der EU in Verkehr gebracht werden, müssen die CRA-Anforderungen erfüllen. Bei Produkten, die bereits auf dem Markt sind, sind möglicherweise Aktualisierungen erforderlich, um die Verpflichtungen hinsichtlich des Umgangs mit Sicherheitslücken und der Supportdauer zu erfüllen.
Was ist der erste Schritt zur Einhaltung der CRA-Vorschriften?
Beginnen Sie mit der Transparenz. Erfassen Sie die in Ihren Produkten eingesetzten kryptografischen Ressourcen, prüfen Sie diese anhand der CRA-Anforderungen und richten Sie automatisierte Prozesse für das Zertifikats- und Schlüssellebenszyklusmanagement ein, bevor Lücken zu Compliance-Verstößen führen.
