Cyber Resilience Act

Der Cyber Resilience Act, kurz CRA, ist die Verordnung (EU) 2024/2847 und schreibt Herstellern von Produkten mit digitalen Elementen verbindliche Anforderungen an die Cybersicherheit vor. Gemeint sind Hardware und Software, vom Router bis zur App. Er richtet sich nach Darstellung der Kommission an Hersteller und die weitere Lieferkette, nicht an jeden, der solche Produkte nur nutzt.

Kurz zusammengefasst:

• In Kraft seit dem 10. Dezember 2024.
• Meldepflichten für Hersteller gelten seit dem 11. September 2026.
• Die übrigen Pflichten greifen ab dem 11. Dezember 2027.
• Eine Website, die nur informiert, ist laut Kommission kein Produkt im Sinne der Verordnung.
• WordPress-Plugins nennen die Leitlinien der Kommission nicht ausdrücklich.

Was der CRA von Herstellern verlangt

Sicherheit soll schon bei Planung und Entwicklung mitgedacht werden und nicht erst nach dem Verkauf. Das Bundesamt für Sicherheit in der Informationstechnik nennt als Kern eine Risikobewertung, sichere Voreinstellungen, eine Softwarestückliste und den Umgang mit Schwachstellen über den Unterstützungszeitraum. Der beträgt in der Regel fünf Jahre, und sein Ende muss klar angegeben sein. Hinzu kommt eine Konformitätserklärung, meist als Selbstbewertung. Ein neues Prüfzeichen gibt es laut BSI nicht, das CE-Kennzeichen umfasst künftig auch die Cybersicherheit.

Aktiv ausgenutzte Schwachstellen und schwere Vorfälle müssen Hersteller melden. Die erste Warnung ist innerhalb von 24 Stunden fällig, weitere Angaben innerhalb von 72 Stunden. Das betrifft jede aktiv ausgenutzte Sicherheitslücke im eigenen Produkt. Verstöße gegen die grundlegenden Anforderungen und die Pflichten aus Artikel 13 und 14 können nach Artikel 64 bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes kosten, je nachdem, welcher Betrag höher ist.

Die Rollen im Überblick

Für die Einordnung zählt zuerst, was du tust. Freie Software bringt noch eine eigene Linie mit: Die Verordnung erfasst sie nur, wenn sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Open Source ist deshalb nicht automatisch die Antwort.

Rolle	Stellung im CRA
Hersteller	trägt die Hauptpflichten
Einführer, Händler	eigene Pflichten
Verwalter quelloffener Software	leichtere eigene Rolle ohne Geldbußen
Reiner Nutzer	keine eigene Rolle mit Pflichtenkatalog gefunden, das ist unsere Lesart

Website und Plugins

Bei einer rein informierenden Website sind die Leitlinien der Kommission eindeutig: Sie ist laut Beispiel 6 selbst kein Produkt mit digitalen Elementen und fällt daher nicht unter die Verordnung. Das gilt auch für eine Webanwendung, die nur im Browser läuft, solange sie nicht die Funktion eines solchen Produkts unterstützt. Bindend ist diese Auslegung nicht, verbindlich entscheidet der Europäische Gerichtshof.

Bei einem WordPress-Plugin ist die Lage offener. In den Leitlinien findet sich dazu kein Wort. Die Kommission zählt zwar Software, die heruntergeladen und auf dem System des Nutzers ausgeführt wird, zu den erfassten Fällen. Für den einzelnen Plugin-Anbieter bleibt die Einordnung aber eine Übertragung allgemeiner Regeln und damit unsicher. Sicher ist nur, dass unbetreute Plugins ein Risiko sind, wie der Supply-Chain-Angriff auf WordPress-Plugins gezeigt hat.

Was das für deinen Betrieb und deine Website bedeutet

Für einen Handwerksbetrieb zählt die einfache Frage: Liefere ich selbst Software oder ein vernetztes Gerät an andere, oder nutze ich nur, was andere liefern? Wer ein Produkt herstellt oder unter eigener Marke vertreibt, sollte seine Rolle rechtlich klären lassen. Für die kaufmännische Seite lohnt ein Blick auf den Einkauf: Bei neuer Software lässt sich künftig nach dem Ende des Unterstützungszeitraums fragen, und das hilft bei der Planung.

Unabhängig davon bleiben WordPress-Updates im Betrieb wichtig. Wer sie nicht selbst im Blick behalten will, kann das über eine WordPress Wartung regeln. Andere Regeln für die eigene Organisation, wie NIS2, sind ein getrenntes Thema.

Diese Hinweise ersetzen keine Rechtsberatung.

Häufige Fragen

Gilt der CRA für meine Firmenwebsite?

Eine Website, die nur informiert und keine Funktion eines Produkts mit digitalen Elementen unterstützt, ist laut Leitlinien der Kommission kein solches Produkt. Anders kann es sein, wenn über die Website eine Funktion einer App oder eines Geräts läuft.

Ab wann gilt der CRA?

Die Meldepflichten gelten seit dem 11. September 2026, alle übrigen Pflichten ab dem 11. Dezember 2027. Das BSI nennt zudem den 11. Juni 2026 für die Regeln zu Konformitätsbewertungsstellen.

Was ist ein Produkt mit digitalen Elementen?

Die Kommission nennt Software oder Hardware wie Babyfone, Smartwatches, Apps und Computerprogramme. Eine Anwendung, die auf dem Gerät des Nutzers läuft, zählt dazu, eine reine Browseranwendung für sich genommen nicht.

Muss ich als Nutzer meine Software zertifizieren lassen?

Eine solche Pflicht für reine Nutzer ist uns aus den gelesenen Primärquellen nicht bekannt. Die Konformitätserklärung liegt beim Hersteller. Prüfe deshalb bei Angeboten für eine Zertifizierung zuerst, worauf sie sich stützen.

Was unterscheidet den CRA von NIS2?

Der CRA regelt die Sicherheit von Produkten und richtet sich an deren Hersteller. NIS2 regelt das Risikomanagement in Einrichtungen bestimmter Sektoren. Ein Unternehmen kann von beiden, einem oder keinem betroffen sein.

Was läuft auf deiner Website, und wer kümmert sich darum?

Wir sehen uns gemeinsam an, welche Plugins bei dir laufen und wie aktuell sie sind. Die rechtliche Einordnung bleibt bei deinem Rechtsbeistand.