AFDirector of Product Marketing
Seit dem 11. September 2026 ist der Cyber Resilience Act der EU kein „Zukunftsproblem“ mehr. Hersteller von Produkten mit digitalen Elementen müssen nun aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle den zuständigen Behörden melden – in einem Zeitrahmen, der in Stunden statt in Wochen gemessen wird. Die übrigen Pflichten, einschließlich CE-Kennzeichnung und Konformitätsdokumentation, gelten ab dem 11. Dezember 2027. Importeure, Distributoren und Wiederverkäufer haben unter der Verordnung ebenfalls „Sorgfaltspflichten“.
Für eine Verordnung, die im Dezember 2024 in Kraft getreten ist, hat der CRA außerhalb von Compliance-Teams bemerkenswert wenig Aufmerksamkeit erhalten. Das beginnt sich zu ändern – und nicht immer auf angenehme Weise.
Wenn Sie Hardware oder Software mit digitalen Elementen auf dem EU-Markt verkaufen – sei es eine Smartwatch für Verbraucher oder ein B2B-Backup-Appliance –, gilt der CRA für Sie (und auch für uns!). Und wenn Sie eher kaufen als verkaufen, wirkt der CRA zu Ihren Gunsten: Ihre Resilienz hängt von Ihren Anbietern ab, und Sie haben jetzt einen gemeinsamen Standard, an dem Sie sie messen können.
Was sich im September tatsächlich geändert hat
Die Meldepflicht ist der Teil, der sofortige Aufmerksamkeit erfordert. Ein Hersteller, der von einer aktiv ausgenutzten Schwachstelle in seinem Produkt Kenntnis erlangt, muss nun das zuständige nationale Computer Sicherheit Incident Response Team (CSIRT) und die ENISA, die EU-Agentur für Cybersicherheit, benachrichtigen. Es ist ein dreistufiger Prozess: eine Frühwarnung, dann eine umfassendere Bewertung und schließlich ein Abschlussbericht. Dasselbe gilt für schwerwiegende Vorfälle, die die Sicherheit des Produkts betreffen.
Das ist keine Dokumentationsübung, die man in der Woche vor einem Audit abschließen kann. Es erfordert einen Prozess, damit Personen Probleme an Sie melden können, jemanden zur Bewertung, benannte Verantwortliche und eine abgestimmte Regel zur Entscheidung, was gemeldet werden muss – und das alles muss funktionieren, bevor das auslösende Ereignis eintritt.
Wenn Sie in der EU weiterverkaufen oder distribuieren, wird bereits erwartet, dass Sie verifizieren, dass dieser Prozess existiert – unabhängig davon, ob der Hersteller eine EU-Rechtseinheit hat.
Warum Sie unvorbereitet getroffen werden könnten
Vor allem drei Dinge. Das erste ist der Geltungsbereich. Der CRA umfasst Produkte mit „digitalen Elementen“, was ein deutlich größeres Spektrum ist, als viele Anbieter angenommen haben, als sie ihn erstmals betrachtet haben. Vernetzte Hardware, eigenständige Software und Komponenten, die in andere Produkte verkauft werden, fallen alle darunter.
Das zweite ist, wen die Pflicht trifft: Importeure, Distributoren und Wiederverkäufer tragen ebenfalls Pflichten, einschließlich der Prüfung, dass der Hersteller getan hat, was er hätte tun sollen.
Das dritte ist der Zeitplan. Dezember 2027 klang 2024 angenehm weit entfernt, daher ist es wahrscheinlich, dass viele Roadmaps von Organisationen die Arbeit zugunsten dringenderer Aufgaben aufgeschoben haben – zum Beispiel NIS2- oder DORA-Vorgaben. Aber der erste Meilenstein des CRA, das Meldedatum im September 2026, war immer früher und ist jetzt da – mit unmittelbaren Pflichten.
Compliance ist der Startpunkt, nicht das Ziel
Unter den Fristen liegt eine interessantere Frage. Der CRA ist darauf ausgelegt, das Sicherheit-Basisniveau von in Europa verkauften Produkten anzuheben, und das ist sinnvoll. Aber nahezu jede Anforderung darin zielt darauf ab, die Wahrscheinlichkeit einer Kompromittierung zu reduzieren: Sicher Entwicklung, Umgang mit Schwachstellen, zeitnahe Updates, keine Standardpasswörter, die mitgeliefert werden.
Nichts davon sagt einer Organisation, was an dem Tag passiert, an dem Prävention trotz dieser Vorsichtsmaßnahmen versagt. Selbst reife, gut finanzierte, gut besetzte Sicherheit-Programme werden unweigerlich kompromittiert.
Der CRA hilft, Angriffe zu verhindern. Backup-Speicher mit Absolute Immutability hilft Organisationen, sich davon zu erholen.
Wir begrüßen jede Anstrengung, die Sicherheit-Messlatte in der gesamten Branche anzuheben, und der CRA tut das. Aber bei Object First betrachten wir ihn als Zwischenstation statt als Ziellinie. Ihn zu erfüllen ist notwendig, und wir erfüllen ihn; das Ergebnis, das Kunden tatsächlich interessiert, ist jedoch, ob sie ihre Daten zurückbekommen, wenn ein Angreifer ihre Abwehr durchbricht.
Wo Object First steht
Als Hersteller selbst sind unsere Prozesse zur Meldung von Vorfällen und Schwachstellen seit Inkrafttreten der September-Pflicht etabliert, an den ENISA-Meldeanforderungen ausgerichtet, und wir arbeiten die künftig anwendbaren CRA-Anforderungen bereits vor Dezember 2027 ab, einschließlich CE-Kennzeichnung und Konformitätsdokumentation.
Zwei Zusagen sind über den Papierkram hinaus wichtig.
Die erste ist, dass Sicherheit von Anfang an in unsere Produkte hineinentwickelt wird, statt später nachträglich angebaut zu werden – deshalb haben wir das CISA Secure by Design Pledge unterzeichnet, bevor uns irgendeine Regulierung dazu verpflichtet hat.
Die zweite ist, dass wir nicht erwarten, dass irgendjemand unseren Sicherheit-Aussagen blind vertraut. Der CRA erlaubt eine Selbstbewertung für Produkte wie Backup-Appliances; wir finden, Kunden und Partner verdienen mehr als das, daher wurde unsere Architektur unabhängig von der NCC Group getestet – mit Absolute Immutability, Multi-Faktor-Authentifizierung und rollenbasierten Zugriffskontrollen, die vor Personen platziert wurden, die aktiv versucht haben, sie zu brechen.
Die Nachweise hinter all dem befinden sich jetzt in unserem Trust Center, das der schnellste Weg zu der Dokumentation ist, nach der Ihr eigenes Compliance-Team fragen wird.
Was Sie Ihre Anbieter fragen sollten
Wenn Sie Importeur, Distributor, Wiederverkäufer oder Käufer statt Hersteller sind, hat Ihnen der CRA faktisch eine Due-Diligence-Checkliste an die Hand gegeben. Drei Fragen bringen Sie größtenteils ans Ziel:
- Haben Sie heute einen Prozess zur Meldung von Schwachstellen etabliert, und können Sie ihn mir zeigen?
- Wurde Ihre Sicherheit-Architektur von jemand anderem als Ihnen getestet, und kann ich den Bericht vollständig lesen?
- Wenn Prävention in meiner Umgebung versagt und Angreifer eindringen, wird Ihr Produkt dann immer noch das tun, was es tun soll?
Ein Anbieter, der die ersten beiden Fragen beantwortet und die dritte nicht beantworten kann, hat für Compliance gebaut, nicht für Resilienz. Sehen Sie, wie unabhängige Sicherheit-Tests durch NCC den Secure by Design-Storage von Object First validieren.