CRA Readiness: Was der Cyber Resilience Act für KI- und Software-Produkte bedeutet

Was ist der Cyber Resilience Act (CRA)?

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist die erste EU-weite Gesetzgebung, die Cybersicherheit für Produkte mit digitalen Elementen (PDE) — also Software, Firmware und vernetzte Hardware — über deren gesamten Lebenszyklus vorschreibt. Er gilt ergänzend zum EU AI Act (VO (EU) 2024/1689): Während der AI Act das KI-Risiko regelt, sichert die CRA die Cybersicherheit des Produkts selbst ab.

Kurz gesagt: Wer ein software- oder KI-haltiges Produkt in die EU bringt, muss nachweislich Schwachstellen managen, Sicherheitsupdates liefern und konform gekennzeichnet sein — sonst drohen Marktverbot und Bußgelder.

Warum die CRA gerade für KI-Anbieter entscheidend ist

KI-Systeme sind PDE: Sie verarbeiten Daten, laden Modelle nach, kommunizieren über APIs und enthalten Abhängigkeiten (Bibliotheken, Container, Modell-Gewichte). Genau diese Angriffsflächen adressiert die CRA:

Schwachstellenmanagement wird zur Pflicht — nicht mehr freiwillig.
Sicherheitsupdates müssen kostenlos für die erwartete Lebensdauer (mindestens 5 Jahre) bereitstehen.
Software-Stücklisten (SBOM) machen Lieferketten- und Modell-Abhängigkeiten prüfbar.
CE-Kennzeichnung + EU-Datenbank machen Konformität nachweisbar.
ENISA-Meldungen bei aktiv ausgenutzten Schwachstellen werden verpflichtend (24 h / 72 h / 1 Jahr).

Ein fehlender CRA-Rahmen wird zum realen Haftungs- und Vertriebsrisiko — genau hier setzt dieser Readiness-Check an.

CRA Readiness Selbstcheck (interaktiv)

Interaktiver CRA Readiness-Check

Stellen Sie Ihr Szenario ein und haken Sie jede Pflicht an, sobald sie vertraglich oder technisch abgesichert ist. Der Readiness-Score wird live berechnet.

1 · Szenario

Hersteller / Anbieter (bringt PDE in EU-Verkehr)ProduktklasseProdukt enthält KI (Überschneidung EU AI Act)Verarbeitet personenbezogene DatenOpen-Source-Komponenten / OSS-ProduktKommerzielle Nutzung (auch bei OSS)Internet-/netzwerkfähiges ProduktErwartete Supportdauer

Geltungsbeginn der Pflichten: 11.12.2027 (netzwerkfähige Produkte). Die CRA-Pflichten binden Hersteller/Anbieter, die ein Produkt mit digitalen Elementen (PDE) in die EU bringen.

2 · Anwendbare Pflichten (16)

PDE werden nach anerkannten Sicherheitspraktiken entworfen, entwickelt und gefertigt (Anhang I(a)).
hochSicheres Design & Entwicklung
Quelle: CRA Art. 9 + Anhang I(a)
Sichere Standardkonfiguration; Angriffsfläche minimiert, privilegierter Zugriff beschränkt (Anhang I(e)/(f)).
mittelSichere Standardeinstellungen
Quelle: CRA Anhang I(e)/(f)
Vertraulichkeit, Integrität und Authentizität von Daten (inkl. personenbezogener Daten) gewahrt (Anhang I(f)).
hochSchutz gespeicherter/übermittelter Daten
Quelle: CRA Anhang I(f)
PDE wird vor und während des Inverkehrbringens regelmäßig auf Sicherheit geprüft/überwacht (Anhang I(d)).
mittelRegelmäßige Prüfung
Quelle: CRA Anhang I(d)
Hersteller identifizieren und dokumentieren Schwachstellen (Anhang I(b)(1)).
kritischIdentifikation & Dokumentation
Quelle: CRA Art. 10 + Anhang I(b)(1)
Schwachstellen werden wirksam und unverzüglich behoben (Anhang I(b)(2)).
kritischBehebung ohne Verzögerung
Quelle: CRA Anhang I(b)(2)
Sicherheitsupdates (kostenlos) für die erwartete Lebensdauer bereitgestellt (Anhang I(b)(3), Art. 13(2)).
kritischKostenlose Sicherheitsupdates
Quelle: CRA Anhang I(b)(3) + Art. 13(2)
Behobene Schwachstellen werden veröffentlicht (z.B. CVE), damit Nutzer/Abhängige patchen können (Anhang I(b)(4)).
hochVeröffentlichung (CVE)
Quelle: CRA Anhang I(b)(4)
Koordinierter Offenlegungsprozess für Schwachstellen (Anhang I(b)(5)).
mittelKoordinierte Offenlegung
Quelle: CRA Anhang I(b)(5)
Beim Inverkehrbringen und bis Lebensende keine bekannten, ausnutzbaren Schwachstellen (Art. 13(1)).
kritischKeine bekannten Exploits
Quelle: CRA Art. 13(1)
Software-Stückliste (SBOM) wird gepflegt, um Schwachstellen in Abhängigkeiten schnell zu analysieren.
hochSBOM für Risikoanalyse
Quelle: CRA Art. 12
Klare Anleitung, Kontakt für Schwachstellenmeldungen, Supportdauer kommuniziert (Art. 11, Anhang IV).
mittelAnleitung, Kontakt & Supportdauer
Quelle: CRA Art. 11 + Anhang IV
Sicherheitsupdates für die erwartete Lebensdauer, mindestens 5 Jahre ab Inverkehrbringen (Art. 13(2)).
hochSupportdauer (≥ 5 Jahre)
Quelle: CRA Art. 13(2)
EU-Konformitätsbewertung, technische Dokumentation (Anhänge II/III), CE-Kennzeichnung (Art. 17–21).
kritischTechn. Dokumentation & CE
Quelle: CRA Art. 17–21
Aktiv ausgenutzte Schwachstellen und Vorfälle an ENISA gemeldet (24 h / 72 h / 1 Jahr, Art. 14).
kritischSchwachstellen-/Vorfallmeldung
Quelle: CRA Art. 14
KI-haltige PDE unterliegen sowohl CRA (Cybersicherheit) als auch EU AI Act (KI-Risiko) — Pflichten abgleichen.
hochÜberschneidung EU AI Act
Quelle: EU AI Act (VO (EU) 2024/1689) + CRA

Readiness: 0 %

nicht bereit

Anwendbare CRA-Familien: Allgemeine Sicherheitsanforderungen (Art. 9) · Schwachstellenmanagement (Art. 10) · Keine bekannten Schwachstellen (Art. 13) · Software-Stückliste / SBOM (Art. 12) · Transparenz & Dokumentation · Konformitätsbewertung & CE-Kennzeichnung (Art. 17–21) · Meldepflichten ENISA (Art. 14) · Verhältnis zum EU AI Act

6 kritische Lücke(n) blockieren eine CRA-konforme Kennzeichnung — vor Inverkehrbringen nachbessern.

Sicheres Design & Entwicklung: PDE werden nach anerkannten Sicherheitspraktiken entworfen, entwickelt und gefertigt (Anhang I(a)).
Sichere Standardeinstellungen: Sichere Standardkonfiguration; Angriffsfläche minimiert, privilegierter Zugriff beschränkt (Anhang I(e)/(f)).
Schutz gespeicherter/übermittelter Daten: Vertraulichkeit, Integrität und Authentizität von Daten (inkl. personenbezogener Daten) gewahrt (Anhang I(f)).
Regelmäßige Prüfung: PDE wird vor und während des Inverkehrbringens regelmäßig auf Sicherheit geprüft/überwacht (Anhang I(d)).
Identifikation & Dokumentation: Hersteller identifizieren und dokumentieren Schwachstellen (Anhang I(b)(1)).
Behebung ohne Verzögerung: Schwachstellen werden wirksam und unverzüglich behoben (Anhang I(b)(2)).
Kostenlose Sicherheitsupdates: Sicherheitsupdates (kostenlos) für die erwartete Lebensdauer bereitgestellt (Anhang I(b)(3), Art. 13(2)).
Veröffentlichung (CVE): Behobene Schwachstellen werden veröffentlicht (z.B. CVE), damit Nutzer/Abhängige patchen können (Anhang I(b)(4)).
Koordinierte Offenlegung: Koordinierter Offenlegungsprozess für Schwachstellen (Anhang I(b)(5)).
Keine bekannten Exploits: Beim Inverkehrbringen und bis Lebensende keine bekannten, ausnutzbaren Schwachstellen (Art. 13(1)).
SBOM für Risikoanalyse: Software-Stückliste (SBOM) wird gepflegt, um Schwachstellen in Abhängigkeiten schnell zu analysieren.
Anleitung, Kontakt & Supportdauer: Klare Anleitung, Kontakt für Schwachstellenmeldungen, Supportdauer kommuniziert (Art. 11, Anhang IV).
Supportdauer (≥ 5 Jahre): Sicherheitsupdates für die erwartete Lebensdauer, mindestens 5 Jahre ab Inverkehrbringen (Art. 13(2)).
Techn. Dokumentation & CE: EU-Konformitätsbewertung, technische Dokumentation (Anhänge II/III), CE-Kennzeichnung (Art. 17–21).
Schwachstellen-/Vorfallmeldung: Aktiv ausgenutzte Schwachstellen und Vorfälle an ENISA gemeldet (24 h / 72 h / 1 Jahr, Art. 14).
Überschneidung EU AI Act: KI-haltige PDE unterliegen sowohl CRA (Cybersicherheit) als auch EU AI Act (KI-Risiko) — Pflichten abgleichen.

Keine Rechtsberatung. Verbindlich sind die amtlichen CRA-Texte (Verordnung (EU) 2024/2847, EUR-L) sowie EU AI Act.

CRA-konformes Angebot anfragen →

Report & Vorlagen zum Mitnehmen

Nach dem Check können Sie einen CRA-Readiness-Report (Pflicht-Matrix + Maßnahmenplan mit exakten CRA-Artikeln) direkt als Markdown herunterladen. Für den direkten Start liegen diese Arbeitshilfen bereit:

Die wichtigsten Pflichtbereiche im Überblick

Allgemeine Sicherheitsanforderungen (Art. 9): sicheres Design, minimale Angriffsfläche, Schutz von Daten, regelmäßige Prüfung.
Schwachstellenmanagement (Art. 10): Identifikation, unverzügliche Behebung, kostenlose Updates, CVE-Veröffentlichung, koordinierte Offenlegung.
Keine bekannten Schwachstellen (Art. 13): beim Inverkehrbringen und bis Lebensende.
SBOM (Art. 12): nachvollziehbare Software-Lieferkette.
Konformität & CE (Art. 17–21): technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung.
EU-Datenbank & Erklärung (Art. 23–24): besonders für kritische Produkte (Klasse I/II).
Meldepflichten (Art. 14): Schwachstellen/Vorfälle an ENISA.

Fristen

11.12.2027: Pflichten gelten für netzwerkfähige Produkte (bzw. ab Inkrafttreten + 36 Monate).
12.12.2028 (bzw. + 42 Monate): für nicht-netzwerkfähige Produkte.
Physische Sicherheit (Anhang II) und Klasse-I/II-Produkte (Anhang III) unterliegen teils strengeren Regeln (z.B. Drittanbieter-Bewertung für Klasse II).

CRA und EU AI Act: Zwei Regime, ein Produkt

KI-haltige PDE fallen unter beide Verordnungen. Typische Überschneidungen:

Ein KI-Training mit personenbezogenen Daten braucht DSGVO und CRA.
Ein High-Risk-KI-System (Anhang III AI Act) ist oft auch ein PDE → CRA Konformität zusätzlich nötig.
Die EU AI Act Art. 4 (KI-Literacy) und Art. 9–17 (Provider-Pflichten) verlangen kompetente Nutzer — genau das liefert ein KI-Literacy-Training.

Nächste Schritte

Sie wollen Ihr KI- oder Software-Produkt CRA-konform gestalten? Wir unterstützen vom Readiness-Check über die technische Dokumentation bis zum roll-out-fähigen KI-Literacy-Training:

EVB-IT Readiness-Check — komplementärer Check für die öffentliche Beschaffung
KI-Literacy-as-a-Service: Angebotsstufen — passende Stufe wählen
Kontakt & Angebot — CRA-konformes Angebot für Hersteller & Anbieter

Hinweis: Dieser Self-Check ersetzt keine Rechtsberatung. Verbindlich sind die jeweiligen CRA-Verordnungstexte in ihrer aktuellen amtlichen Fassung (EUR-L) sowie der EU AI Act.