CRA-Compliance für EU-Produkthersteller: Was Sie jetzt wissen müssen

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist eine EU-weite Verordnung, die verbindliche Cybersicherheitsanforderungen für alle Hersteller von Produkten mit digitalen Elementen einführt. Sie gilt für Software, Hardware mit Software-Komponenten und eingebettete Systeme, die auf dem EU-Markt vertrieben werden — von vernetzten IoT-Geräten über industrielle Steuerungssoftware bis hin zu Enterprise-SaaS. Ab dem 11. September 2026 tritt die kritischste Pflicht in Kraft: die 24-Stunden-Meldepflicht bei aktiv ausgenutzten Schwachstellen.

Was ist eine SBOM und warum brauchen Hersteller sie?

Eine Software Bill of Materials (SBOM) ist ein maschinenlesbares Verzeichnis aller Software-Komponenten eines Produkts — einschließlich Bibliotheken, Abhängigkeiten und deren Versionen. Der CRA verpflichtet Hersteller zur Erstellung und Pflege einer SBOM als Grundlage für das Schwachstellenmanagement. Das BSI hat in der Technischen Richtlinie TR-03183-2 konkrete Anforderungen an Format und Inhalt festgelegt: Pflichtfelder, unterstützte Formate (CycloneDX 1.6 und SPDX 3.0) und die erforderliche Komponententiefe. Eine einfache Liste von Abhängigkeiten oder eine Excel-Tabelle erfüllt diese Anforderungen nicht.

Was ist die ENISA Single Reporting Platform?

Die ENISA Single Reporting Platform (SRP) ist die zentrale EU-Meldeplattform, über die Hersteller aktiv ausgenutzte Schwachstellen gemäß Art. 14 CRA melden müssen. Der Meldeprozess ist dreistufig: 24-Stunden-Frühwarnung, 72-Stunden-Notification und ein 14-Tage-Final-Report. Stand April 2026 befindet sich die SRP noch in der Beta-Phase — SBOMfunk ist einer der ersten Anbieter mit direkter API-Integration und testet die Plattform aktiv für seine Nutzer.

Wer ist betroffen? Produktklassen im CRA

Der CRA unterscheidet vier Produktklassen mit unterschiedlichen Anforderungen: die Default-Kategorie (Selbstbewertung möglich), Klasse I (erhöhte Anforderungen, z. B. Sicherheitssoftware und Consumer-IoT), Klasse II (Drittpartei-Bewertung erforderlich, z. B. kritische Infrastruktur-Komponenten) und kritische Produkte. Nicht sicher, in welche Klasse Ihr Produkt fällt? Unser kostenloser CRA-Pflicht-Check beantwortet diese Frage in 2 Minuten.

Wie hilft SBOMfunk bei der CRA-Compliance?

SBOMfunk automatisiert den gesamten CRA-Compliance-Workflow: SBOM-Generierung direkt aus Ihrer CI/CD-Pipeline (GitHub Actions, GitLab CI, CLI), täglicher Abgleich gegen NVD, OSV und CISA-KEV zur Erkennung aktiv ausgenutzter Schwachstellen, automatischer Start des 24h-Frist-Timers und halbautomatische Generierung der ENISA-SRP-Meldung. Ergänzt wird dies durch einen Disclosure-Policy-Generator (security.txt nach RFC 9116) und einen Compliance-Dashboard-Portfolio-View. Für IoT-Hersteller, Embedded-Software-Teams, Medizintechnik-Hersteller und Industrial-Software-ISVs bietet SBOMfunk branchenspezifische Workflows, die die jeweiligen regulatorischen Besonderheiten (MDR-Abgrenzung, UNECE R155-Überschneidung, ASPICE-Kompatibilität) berücksichtigen.

Der CRA-Stichtag am 11. September 2026 ist weniger als 138 Tage entfernt. Hersteller, die jetzt mit dem Aufbau ihrer SBOM-Infrastruktur beginnen, haben ausreichend Zeit für Tests, Onboarding und die Integration der ENISA-SRP. Wer wartet, riskiert Marktverbot — oder einen Bußgeldbescheid von bis zu 15 Mio. EUR. SBOMfunk ist in der Beta-Phase — wie auch die ENISA-SRP selbst. Gemeinsam testen wir die Integration und sind am Stichtag bereit.