Cyber Resilience Act: Pflichten für Hersteller und der Aufwand für Legal & Compliance

Kurzantwort: Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Hersteller von Produkten mit digitalen Elementen zu Cybersicherheit über den ganzen Lebenszyklus: Risikobewertung, technische Dokumentation, Konformitätsbewertung mit CE-Kennzeichnung, Schwachstellenbehandlung während eines Unterstützungszeitraums von in der Regel mindestens fünf Jahren. Die Meldepflichten nach Art. 14 gelten seit dem 11. September 2026, alle übrigen Pflichten ab dem 11. Dezember 2027.

Dieser Beitrag richtet sich an Heads of Legal, Heads of Compliance und Produktverantwortliche bei Herstellern, Einführern und Händlern von Hard- und Software in der Schweiz und in Deutschland. Er zeigt, welche Cyber-Resilience-Act-Pflichten gelten, welche Fristen laufen und welchen Aufwand Legal und Compliance einplanen sollten.

Worum geht es beim Cyber Resilience Act?

Der Cyber Resilience Act legt erstmals horizontale Cybersicherheitsanforderungen für fast alle vernetzbaren Produkte im EU-Binnenmarkt fest. Er gilt für Produkte mit digitalen Elementen, deren Zweck oder vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschliesst (Art. 2 Abs. 1). Ein Produkt mit digitalen Elementen ist jedes Software- oder Hardwareprodukt samt seiner Datenfernverarbeitung, auch einzeln vertriebene Komponenten (Art. 3 Nr. 1).

Die Verordnung wurde am 23. Oktober 2024 erlassen, am 20. November 2024 im Amtsblatt veröffentlicht und ist seit dem 10. Dezember 2024 in Kraft. Sie wirkt unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz für die Kernpflichten. Für Legal und Compliance entstehen drei Arbeitsfelder:

• Produktpflichten: grundlegende Cybersicherheitsanforderungen nach Anhang I, Bewertung der Cybersicherheitsrisiken, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung (Art. 13).
• Lebenszyklus: Schwachstellen während des Unterstützungszeitraums behandeln, Sicherheitsupdates bereitstellen, eine Strategie für die koordinierte Offenlegung von Schwachstellen betreiben (Art. 13 Abs. 8).
• Meldewesen: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das zuständige CSIRT und die ENISA melden (Art. 14).

Wer ist vom Cyber Resilience Act betroffen?

Betroffen ist jeder Wirtschaftsakteur, der Produkte mit digitalen Elementen auf dem EU-Markt bereitstellt – unabhängig vom Sitz. Die Hauptlast tragen die Hersteller; Einführer und Händler haben eigene Prüfpflichten.

Ausgenommen sind unter anderem Medizinprodukte und In-vitro-Diagnostika, Fahrzeuge nach der Typgenehmigungsverordnung, zertifizierte Luftfahrtprodukte und Schiffsausrüstung (Art. 2 Abs. 2–4) sowie Produkte, die ausschliesslich für die nationale Sicherheit oder Verteidigung entwickelt wurden (Art. 2 Abs. 7).

Schweiz: Der Cyber Resilience Act ist EU-Recht. Für Schweizer Unternehmen wird er relevant, sobald sie Produkte auf dem EU-Markt bereitstellen. Wer ohne EU-Niederlassung liefert, trifft auf einen Einführer, der die Konformität prüfen muss (Art. 19). Die Herstellerpflichten bleiben beim Hersteller; ein Bevollmächtigter kann sie nicht übernehmen (Art. 18 Abs. 2).

Fristen und Stand

Der Cyber Resilience Act gilt gestaffelt. Die Meldepflichten laufen bereits, die vollen Produktpflichten folgen Ende 2027.

Die Meldefristen nach Art. 14 sind kurz: Frühwarnung innerhalb von 24 Stunden nach Kenntnis, Meldung innerhalb von 72 Stunden, Abschlussbericht bei Schwachstellen spätestens 14 Tage nach Verfügbarkeit einer Korrektur, bei Sicherheitsvorfällen innerhalb eines Monats nach der Meldung. Gemeldet wird gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA über die einheitliche Meldeplattform (Art. 14 Abs. 1 und 3, Art. 16).

Verstösse gegen Anhang I oder die Art. 13 und 14 können mit Geldbussen bis 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Art. 64 Abs. 2).

Was Unternehmen jetzt tun müssen

Unternehmen sollten zuerst klären, welche Produkte erfasst sind und in welcher Rolle sie handeln. Danach folgen Meldeprozess, Lieferkette und Dokumentation.

1. Produktinventar erstellen: alle Hard- und Softwareprodukte mit Datenverbindung erfassen, Ausnahmen nach Art. 2 prüfen und wichtige Produkte nach Anhang III oder kritische nach Anhang IV kennzeichnen (Art. 7, 8).
2. Rolle je Produkt festlegen: Hersteller, Einführer oder Händler; Eigenmarken und wesentliche Änderungen gesondert prüfen (Art. 21).
3. Meldeprozess betreiben: Zuständigkeiten, Eskalation und Vorlagen für 24-Stunden-, 72-Stunden- und Abschlussmeldungen festlegen und mit bestehenden NIS2- und Datenschutzmeldungen abstimmen.
4. Lieferkette absichern: Sorgfalt bei zugekauften Komponenten einschliesslich Open Source dokumentieren (Art. 13 Abs. 5) und Lieferantenverträge um Pflichten zu Schwachstelleninformationen und Updates ergänzen.
5. Unterstützungszeitraum festlegen: je Produkt begründen und in der technischen Dokumentation festhalten; Sicherheitsupdates bleiben mindestens zehn Jahre oder für den Rest des Unterstützungszeitraums verfügbar (Art. 13 Abs. 8–9).
6. Dokumentation und Konformität vorbereiten: Risikobewertung, technische Dokumentation, Konformitätsbewertung, EU-Konformitätserklärung und CE-Kennzeichnung bis Dezember 2027; Unterlagen mindestens zehn Jahre aufbewahren (Art. 13 Abs. 12–13).
7. Kundenverträge und Produktinformationen anpassen: Zusagen zu Updates, Supportdauer und Schwachstellenhinweisen mit dem festgelegten Unterstützungszeitraum in Einklang bringen.

Welche Rollen und Kapazitäten nötig sind

Der Cyber Resilience Act ist ein Querschnittsprojekt: Produktentwicklung und Security tragen die Technik, Legal und Compliance die Auslegung, die Verträge und die Nachweise.

Für Legal und Compliance bündelt sich der Aufwand in drei Blöcken: das erstmalige Inventar, die Anpassung vieler Lieferantenverträge und die Dokumentation je Produkt. Diese Arbeit fällt einmalig und in Wellen an. Die Grundlast danach – Meldungen, neue Produkte, Vertragsprüfungen – trägt meist das bestehende Team.

Wie Interim-Unterstützung hilft

Interim-Fachkräfte decken die Projektspitze ab, ohne dass Unternehmen dauerhaft Stellen schaffen. Alpinum Solutions, der führende Anbieter für Interim Legal & Compliance im DACH-Raum, stellt Projektjuristen, Contract Lawyers und Compliance-Fachkräfte über Staff Leasing und Freelancing bereit – in Teilzeit oder Vollzeit (20–100 %), als Einzelperson oder Team, von Junior bis Senior.

• Staff Leasing: Das fachliche Weisungsrecht liegt beim Unternehmen; die Fachkraft arbeitet integriert im Team, etwa in der Vertragsremediation.
• Freelancing: Die Fachkraft arbeitet eigenverantwortlich im Rahmen des vereinbarten Mandats, etwa für die Rollenprüfung eines Produktportfolios.

Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

Grenzen und Risiken

Die Verantwortung für Konformität und Meldungen bleibt beim Hersteller. Interim-Fachkräfte arbeiten nach den Vorgaben des Unternehmens und ersetzen weder die technische Sicherheitsprüfung noch eine notifizierte Stelle. Delegierte Rechtsakte und Normen zum Cyber Resilience Act können Details noch ändern; Projektpläne sollten deshalb regelmässig gegen den aktuellen Stand geprüft werden.

Häufige Fragen zum Cyber Resilience Act

Gilt der Cyber Resilience Act auch für reine Software?

Ja. Ein Produkt mit digitalen Elementen ist jedes Software- oder Hardwareprodukt samt Datenfernverarbeitung, auch separat vertriebene Komponenten (Art. 3 Nr. 1). Voraussetzung ist eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz (Art. 2 Abs. 1). Für Software mit Bezug zu bestimmten Sektoren, etwa Medizinprodukte, gelten die Ausnahmen nach Art. 2.

Müssen Produkte, die schon auf dem Markt sind, nachgerüstet werden?

Grundsätzlich nein. Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen nur, wenn sie danach wesentlich geändert werden (Art. 69 Abs. 2). Die Meldepflichten nach Art. 14 gelten aber für alle erfassten Produkte, auch für ältere (Art. 69 Abs. 3).

Was müssen Hersteller seit dem 11. September 2026 melden?

Jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Sicherheitsvorfall, der die Sicherheit des Produkts betrifft. Fristen: Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden, danach ein Abschlussbericht. Gemeldet wird gleichzeitig an das koordinierende CSIRT und die ENISA über die einheitliche Meldeplattform (Art. 14, Art. 16).

Betrifft der Cyber Resilience Act Schweizer Hersteller?

Ja, sobald sie Produkte auf dem EU-Markt bereitstellen. Die Verordnung knüpft an die Bereitstellung auf dem Unionsmarkt an, nicht an den Sitz. Ein Einführer in der EU muss prüfen, ob der Hersteller die Anforderungen erfüllt (Art. 19). Für Produkte, die nur in der Schweiz vertrieben werden, gilt die Verordnung nicht unmittelbar.

Wie hängen Cyber Resilience Act und NIS2 zusammen?

NIS2 regelt die Cybersicherheit von Einrichtungen und deren Betrieb, der Cyber Resilience Act die Sicherheit von Produkten. Ein Unternehmen kann von beiden betroffen sein, etwa als Hersteller und als Betreiber wichtiger Dienste. Meldeprozesse sollten deshalb gemeinsam geplant werden, mit klaren Zuständigkeiten je Meldeweg.

Nächster Schritt

Nennen Sie uns Produktportfolio, Vertragsvolumen und Zeitplan Ihres CRA-Projekts. Wir zeigen Ihnen passende Profile für Legal und Compliance.

• Projektjuristen für Datenschutz und IT-Recht
• Regulatorik-Radar: Fristen und Pflichten im Überblick
• NIS2 und Cyber-Meldepflicht in der Schweiz
• Datenschutz beim Produktlaunch
• Bedarf besprechen

Stand: 10. November 2026.