Cyber Resilience Act (CRA): Was Unternehmen jetzt wissen müssen

Cybersicherheit ist längst kein Thema mehr, das nur grosse Konzerne betrifft. Ob Webshop, Unternehmenssoftware, mobile App oder Smart-Home-Gerät – digitale Produkte begleiten unseren Alltag und sind zunehmend Ziel von Cyberangriffen. Gleichzeitig steigen die Anforderungen an Hersteller, ihre Produkte sicher zu entwickeln und über Jahre hinweg mit Sicherheitsupdates zu versorgen.

Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union erstmals einheitliche Sicherheitsanforderungen für Produkte mit digitalen Elementen. Ziel ist es, Sicherheitslücken frühzeitig zu vermeiden und die Verantwortung der Hersteller über den gesamten Produktlebenszyklus zu stärken.

Die ersten gesetzlichen Pflichten treten bereits am 11. September 2026 in Kraft. Weitere Anforderungen folgen Ende 2027. Doch was bedeutet das konkret? Betrifft der CRA auch Schweizer Unternehmen? Und müssen Betreiber einer Website oder eines Webshops jetzt aktiv werden?

In diesem Beitrag erklären wir die wichtigsten Punkte verständlich und zeigen auf, worauf Unternehmen jetzt achten sollten.

• Was der Cyber Resilience Act (CRA) genau regelt
• Welche Unternehmen und Produkte vom CRA betroffen sind
• Ob Ihre Website oder Ihr Webshop unter die neuen Vorgaben fällt
• Welche Fristen und Termine Sie kennen sollten
• Was sich ab dem 11. September 2026 konkret ändert
• Welche Anforderungen Hersteller bis Ende 2027 erfüllen müssen
• Warum der CRA auch für Schweizer Unternehmen relevant sein kann
• Wie Sie sich bereits heute sinnvoll vorbereiten können

Der Cyber Resilience Act (CRA) ist eine Verordnung der Europäischen Union, welche erstmals einheitliche Sicherheitsanforderungen für sogenannte Produkte mit digitalen Elementen festlegt.

Darunter fallen beispielsweise Software, mobile Apps, vernetzte Geräte oder digitale Komponenten, die auf dem europäischen Markt angeboten werden. Ziel ist es, dass diese Produkte bereits bei der Entwicklung sicher konzipiert werden und auch nach ihrer Veröffentlichung regelmässig Sicherheitsupdates erhalten.

Während heute oft Funktionalität und Markteinführung im Vordergrund stehen, soll Cybersicherheit künftig ein fester Bestandteil des gesamten Produktlebenszyklus werden – von der Entwicklung über den Vertrieb bis hin zur Wartung.

Für Endkunden bedeutet dies langfristig mehr Sicherheit. Für Hersteller entstehen hingegen neue Pflichten hinsichtlich Entwicklung, Dokumentation und dem Umgang mit Sicherheitslücken.

Die Digitalisierung bringt zahlreiche Vorteile – gleichzeitig entstehen aber auch neue Risiken. Schwachstellen in Software werden heute häufig innerhalb kürzester Zeit ausgenutzt. Viele erfolgreiche Cyberangriffe beginnen mit einer bekannten Sicherheitslücke, für die längst ein Update verfügbar wäre oder die bereits bei der Entwicklung hätte verhindert werden können.

In den vergangenen Jahren zeigte sich zudem immer wieder, dass manche Hersteller ihre Produkte nach der Veröffentlichung kaum noch pflegen. Sicherheitsupdates bleiben aus, bekannte Schwachstellen werden verspätet oder gar nicht behoben und Endkunden wissen oft nicht, wie lange ein Produkt überhaupt unterstützt wird.

Mit dem Cyber Resilience Act möchte die Europäische Union genau hier ansetzen.

Anstatt Sicherheitslücken erst nachträglich zu beheben, sollen Hersteller Sicherheit bereits während der Entwicklung berücksichtigen – ein Prinzip, das unter dem Begriff “Security by Design” bekannt ist. Gleichzeitig sollen Unternehmen Verantwortung für ihre Produkte übernehmen und bekannte Sicherheitsprobleme während des gesamten Lebenszyklus aktiv verwalten.

Der CRA verfolgt dabei mehrere Ziele:

• sicherere digitale Produkte auf dem europäischen Markt
• weniger bekannte Sicherheitslücken
• regelmässige Sicherheitsupdates
• klar definierte Verantwortlichkeiten für Hersteller
• mehr Transparenz für Unternehmen und Endkunden

Langfristig soll dies das Vertrauen in digitale Produkte stärken und gleichzeitig das Risiko erfolgreicher Cyberangriffe reduzieren.

Eine der häufigsten Fragen lautet:

“Betrifft der Cyber Resilience Act mein Unternehmen überhaupt?”

Die Antwort lautet: Das hängt davon ab, was Sie entwickeln oder vertreiben.

Der CRA richtet sich in erster Linie an Unternehmen, welche eigene Produkte mit digitalen Elementen auf dem europäischen Markt bereitstellen. Es spielt dabei keine Rolle, ob es sich um ein physisches Gerät oder um reine Software handelt.

Wichtig zu wissen

Viele Unternehmen gehen zunächst davon aus, dass jede Website oder jeder Webshop automatisch unter den CRA fällt. Das ist jedoch in den meisten Fällen nicht so.

Entscheidend ist vielmehr, ob Sie ein eigenes digitales Produkt entwickeln oder unter Ihrem Namen vertreiben.

Ein Unternehmen, das beispielsweise einen Shopware-Shop betreibt, ist normalerweise Nutzer einer Software und nicht deren Hersteller.

Entwickeln Sie hingegen ein eigenes Plugin, eine Softwarelösung oder ein digitales Produkt, das Sie verkaufen oder Kunden zur Verfügung stellen, kann der Cyber Resilience Act durchaus relevant werden.

Wenn vom Cyber Resilience Act die Rede ist, denken viele Unternehmen zuerst an ihre Website oder ihren Webshop. Tatsächlich betrifft der CRA jedoch nicht automatisch jede Internetpräsenz.

Entscheidend ist vielmehr, welche Rolle Ihr Unternehmen einnimmt: Sind Sie lediglich Nutzer einer Software oder bringen Sie selbst ein digitales Produkt auf den Markt?

Die folgenden Beispiele helfen bei der Einordnung.

Beispiel 1: Sie betreiben eine Unternehmenswebsite

Sie betreiben eine klassische Firmenwebsite, beispielsweise mit Contao, TYPO3 oder einem anderen Content-Management-System.
In diesem Fall sind Sie in der Regel nicht direkt vom Cyber Resilience Act betroffen. Sie nutzen bestehende Software, entwickeln jedoch kein eigenes digitales Produkt.
Natürlich bleibt es trotzdem wichtig, Ihre Website regelmässig zu aktualisieren und Sicherheitsupdates einzuspielen – unabhängig vom CRA.

Beispiel 2: Sie betreiben einen Webshop

Auch Betreiber eines Online-Shops mit Shopware, Shopify, WooCommerce oder einem ähnlichen Shopsystem fallen normalerweise nicht direkt unter den CRA.
Sie setzen eine bestehende Software ein, um Ihre Produkte oder Dienstleistungen zu verkaufen. Solange Sie keine eigene Software entwickeln oder vertreiben, gelten Sie grundsätzlich als Anwender und nicht als Hersteller.

Beispiel 3: Sie entwickeln eigene Software

Anders sieht es aus, wenn Ihr Unternehmen beispielsweise:

• eine eigene Software entwickelt
• eine interaktive Kundenplattform als Produkt anbietet
• eine SaaS-Lösung vertreibt
• eine App veröffentlicht
• ein Contao-Modul oder Shopware-Plugin verkauft
• eigene digitale Komponenten entwickelt und vermarktet

In diesen Fällen können Sie als Hersteller eines digitalen Produkts gelten. Damit können auch die Anforderungen des Cyber Resilience Acts relevant werden.

Was bedeutet das für Agenturen?

Auch Webagenturen stellen sich häufig die Frage, ob sie vom CRA betroffen sind - wir uns natürlich auch ;)

Die Antwort lautet: Es kommt darauf an.

Eine Agentur, die ausschliesslich individuelle Websites oder Webshops im Auftrag ihrer Kunden erstellt, fällt in den meisten Fällen nicht direkt unter den CRA, da sie kein eigenes Produkt vertreibt.

Anders kann es aussehen, wenn eine Agentur zusätzlich:

• eigene Software entwickelt,
• kostenpflichtige Plugins vertreibt,
• wiederverwendbare Module verkauft,
• oder eine eigene SaaS-Lösung betreibt.

Hier lohnt sich eine genauere Prüfung der gesetzlichen Anforderungen.

Bin ich betroffen?

Mit den folgenden Fragen können Sie eine erste Einschätzung vornehmen.

Wahrscheinlich nicht direkt betroffen, wenn Sie …

• eine Unternehmenswebsite betreiben
• einen klassischen Webshop betreiben
• Standardsoftware wie Shopware, Contao oder Microsoft 365 nutzen
• individuelle Kundenprojekte umsetzen, ohne eigene Softwareprodukte zu vertreiben

Eine Prüfung ist sinnvoll, wenn Sie …

• eigene Software verkaufen
• Apps veröffentlichen
• Shopware- oder Contao-Plugins entwickeln
• eine SaaS-Plattform betreiben
• digitale Produkte innerhalb der EU vertreiben

Wichtig: Diese Übersicht dient lediglich der Orientierung und ersetzt keine rechtliche Beurteilung. Ob ein Produkt tatsächlich unter den Cyber Resilience Act fällt, hängt von verschiedenen Faktoren und der konkreten Ausgestaltung ab.

Der Cyber Resilience Act wird nicht auf einen Schlag, sondern schrittweise eingeführt. Dadurch erhalten Hersteller Zeit, ihre Prozesse und Produkte an die neuen Anforderungen anzupassen.

Die wichtigsten Termine sind:

Für viele Unternehmen ist insbesondere der 11. September 2026 relevant. Ab diesem Zeitpunkt gelten erstmals gesetzliche Meldepflichten für bestimmte Sicherheitsvorfälle.

Die umfassenden technischen Anforderungen – beispielsweise an die sichere Entwicklung, Dokumentation oder Bereitstellung von Sicherheitsupdates – werden erst ab 11. Dezember 2027 verbindlich.

Ab dem 11. September 2026 müssen Hersteller bestimmter digitaler Produkte schwerwiegende Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen innerhalb vorgegebener Fristen an die zuständigen Behörden melden.

Das Ziel dieser Meldepflichten ist es, Bedrohungen schneller zu erkennen und andere Unternehmen oder Hersteller frühzeitig warnen zu können.

Für betroffene Unternehmen bedeutet dies vor allem, dass sie klare interne Abläufe benötigen:

• Wie werden Sicherheitslücken erkannt?
• Wer bewertet deren Schweregrad?
• Wer meldet einen Vorfall an die zuständigen Behörden?
• Wie werden betroffene Kunden informiert?
• Wie wird der Vorfall dokumentiert?

Viele Unternehmen verfügen bereits heute über Prozesse für Support oder Qualitätsmanagement. Künftig wird es jedoch ebenso wichtig sein, Sicherheitsvorfälle strukturiert zu erfassen und nachvollziehbar zu dokumentieren.

Für Betreiber einer klassischen Unternehmenswebsite oder eines gewöhnlichen Webshops ergeben sich daraus in der Regel keine unmittelbaren zusätzlichen Pflichten, solange sie nicht als Hersteller eines digitalen Produkts gelten.

Mit dem 11. Dezember 2027 gelten sämtliche Anforderungen des Cyber Resilience Acts verbindlich. Hersteller müssen dann nachweisen können, dass ihre Produkte grundlegende Sicherheitsanforderungen erfüllen – und dies nicht nur zum Zeitpunkt der Veröffentlichung, sondern über den gesamten Lebenszyklus hinweg.

Viele dieser Anforderungen entsprechen bereits heute bewährten Vorgehensweisen in der Softwareentwicklung. Der CRA macht sie jedoch erstmals verbindlich.

Security by Design

Sicherheit soll nicht erst dann berücksichtigt werden, wenn ein Produkt bereits veröffentlicht wurde. Stattdessen müssen Sicherheitsaspekte bereits während der Planung und Entwicklung mitgedacht werden.

Das bedeutet beispielsweise:

• sichere Standardkonfigurationen
• möglichst geringe Angriffsflächen
• sorgfältiger Umgang mit Benutzerdaten
• regelmässige Sicherheitsprüfungen während der Entwicklung

Das Ziel ist, Sicherheitslücken gar nicht erst entstehen zu lassen, anstatt sie später aufwendig beheben zu müssen.

Sicherheitsupdates während des Produktlebenszyklus

Kein digitales Produkt ist vollkommen fehlerfrei. Deshalb verpflichtet der CRA Hersteller dazu, bekannte Sicherheitslücken zeitnah zu beheben und Sicherheitsupdates bereitzustellen.

Benutzer sollen ausserdem klar erkennen können,

• wie lange ein Produkt Sicherheitsupdates erhält,
• welche Sicherheitslücken behoben wurden,
• und wie Updates installiert werden können.

Dadurch erhalten Unternehmen und Endkunden mehr Transparenz und können besser einschätzen, wie lange ein Produkt sicher eingesetzt werden kann.

Schwachstellen erkennen und verwalten

Hersteller müssen künftig Prozesse etablieren, um Sicherheitslücken systematisch zu erfassen und zu bewerten.

Dazu gehört beispielsweise:

• Meldungen von Sicherheitsforschern entgegennehmen
• Schwachstellen dokumentieren
• Risiken bewerten
• Sicherheitsupdates entwickeln
• betroffene Kunden informieren, sofern erforderlich

Ein professionelles Schwachstellenmanagement wird damit zu einem festen Bestandteil des Produktlebenszyklus.

Nachvollziehbare Dokumentation

Der CRA verlangt ausserdem eine technische Dokumentation, welche die Einhaltung der Sicherheitsanforderungen belegt.

Dazu können beispielsweise gehören:

• Sicherheitskonzepte
• Risikobeurteilungen
• Informationen zu eingesetzten Komponenten
• Dokumentationen durchgeführter Sicherheitsmassnahmen
• Angaben zur Update-Strategie

Diese Unterlagen dienen nicht nur Behörden, sondern helfen Unternehmen auch dabei, ihre eigenen Prozesse langfristig nachvollziehbar zu dokumentieren.

Verantwortung endet nicht mit der Veröffentlichung

Eine wichtige Neuerung des Cyber Resilience Acts besteht darin, dass die Verantwortung eines Herstellers nicht mit der Veröffentlichung eines Produkts endet.

Hersteller müssen ihre Produkte während der vorgesehenen Nutzungsdauer beobachten, bekannte Sicherheitslücken beheben und angemessen auf neue Bedrohungen reagieren.

Cybersicherheit wird dadurch zu einer dauerhaften Aufgabe und nicht zu einem einmaligen Projektschritt.

Auch wenn der Cyber Resilience Act eine Verordnung der Europäischen Union ist, sollten Schweizer Unternehmen das Thema nicht unterschätzen.

Viele Schweizer Softwareunternehmen entwickeln Produkte für Kunden innerhalb der EU oder vertreiben ihre Lösungen europaweit. In solchen Fällen können die Anforderungen des CRA ebenfalls relevant werden.

Wer heute bereits auf strukturierte Entwicklungsprozesse, regelmässige Sicherheitsupdates und eine saubere Dokumentation setzt, schafft eine gute Grundlage für die kommenden Anforderungen.

Cybersicherheit ist kein Thema, das erst durch neue Gesetze relevant wird. Sie bildet bereits heute die Grundlage für stabile und vertrauenswürdige digitale Lösungen.

Deshalb achten wir bei unseren Projekten unter anderem auf:

• den Einsatz aktueller und unterstützter Softwareversionen (Daher die "ständigen" Updates)
• regelmässige Sicherheitsupdates (z.B. mit Wartungsverträgen)
• den Einsatz vertrauenswürdiger Erweiterungen
• eine sichere Hosting-Infrastruktur
• langfristige Wartungs- und Supportkonzepte
• nachhaltige Softwareentwicklung

Sollten zukünftige gesetzliche Anforderungen Ihr Unternehmen betreffen, unterstützen wir Sie gerne dabei, die technischen Auswirkungen zu beurteilen und geeignete Lösungen zu erarbeiten.

Unser Ziel ist es nicht nur, funktionierende Websites und Webshops zu entwickeln, sondern digitale Lösungen, die auch langfristig sicher und zuverlässig betrieben werden können.

Der Cyber Resilience Act ist ein wichtiger Schritt hin zu mehr Sicherheit bei digitalen Produkten. Er verpflichtet Hersteller dazu, Cybersicherheit bereits bei der Entwicklung zu berücksichtigen und ihre Produkte auch nach der Veröffentlichung aktiv zu betreuen.

Für viele Unternehmen mit einer klassischen Website oder einem Webshop besteht aktuell kein unmittelbarer Handlungsbedarf. Entwickeln oder vertreiben Sie jedoch eigene Software, Apps oder andere digitale Produkte, sollten Sie sich frühzeitig mit den neuen Anforderungen auseinandersetzen.

Wer heute bereits auf strukturierte Entwicklungsprozesse, regelmässige Sicherheitsupdates und eine saubere Dokumentation setzt, schafft nicht nur gute Voraussetzungen für den CRA, sondern verbessert gleichzeitig die Qualität und Sicherheit seiner Produkte.