Cyber Resilience Act (CRA)
Der CRA ist die CE-Pflicht für Cybersicherheit.
Der Cyber Resilience Act (CRA) macht Cybersicherheit zur Voraussetzung für den Marktzugang in der EU. Wer Hardware oder Software mit digitalen Elementen in Verkehr bringt, muss nachweisen können, dass diese Produkte über ihren gesamten Lebenszyklus hinweg ausreichend cybersicher entwickelt, dokumentiert, überwacht und gepflegt werden. Der CRA ist damit faktisch die CE-Pflicht für Cybersicherheit.
Für die Unternehmensleitung bedeutet das: Es reicht nicht mehr, dass ein Produkt technisch funktioniert. Erforderlich sind unter anderem eine dokumentierte Cyber-Risikobewertung, sichere Entwicklungsprozesse, Schwachstellenmanagement, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung sowie ein klar definierter Supportzeitraum.
Betroffen sind nicht nur Hersteller, sondern auch Händler und Importeure. Es gibt keine größenabhängigen Ausnahmen. Auch KMU müssen die Anforderungen erfüllen. Importeure dürfen nicht-konforme Produkte nicht einfach in den EU-Markt weitergeben.
Hersteller müssen Cybersecurity bereits in Planung, Design, Entwicklung, Produktion, Auslieferung und Wartung berücksichtigen. Dazu zählen auch der sorgfältige Umgang mit Fremdkomponenten, klare Informationen und Anleitungen für Nutzer sowie die Offenlegung des Supportendes bereits beim Kauf. Während des Supportzeitraums sind Schwachstellen wirksam zu behandeln.
Ab 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle: Frühwarnung binnen 24 Stunden, Hauptmeldung binnen 72 Stunden und ein Abschlussbericht innerhalb der vorgesehenen Fristen. Ab 11. Dezember 2027 gelten die wesentlichen CRA-Pflichten insgesamt.
Damit wird Cybersicherheit zu einem geschäftskritischen Faktor für Verkauf, Ausschreibungsfähigkeit und Lieferkettenfähigkeit. Unternehmen, die nicht vorbereitet sind, riskieren nicht nur Sicherheitsprobleme, sondern gleichzeitig Rechts-, Audit- und Krisenkosten. Gerade für KMU ist das relevant, weil dieselben regulatorischen Pflichten mit meist begrenzteren Ressourcen umgesetzt werden müssen.
Hinzu kommen erhebliche Sanktionsrisiken: Vorgesehen sind Höchststrafen von bis zu 15 Mio. EUR oder bis zu 2,5% des weltweiten Jahresumsatzes.
Ich unterstütze Sie dabei, rasch zu klären, ob Ihr Unternehmen direkt oder indirekt betroffen ist, welche Maßnahmen jetzt wirklich notwendig sind und wie Sie die Anforderungen pragmatisch und nachvollziehbar umsetzen noch bevor Kunden, Behörden oder ein Sicherheitsvorfall Sie dazu zwingen.
Sichern Sie sich ab: lassen Sie uns klären ob Sie vom Cyber Resilience Act betroffen sind
Ist auch Ihr Unternehmen davon betroffen? Erfüllen Sie die neuen gesetzlichen Anforderungen?
Holen Sie sich die Meinung eines Experten zu den neuen Gesetzen ein: kontaktieren Sie mich für ein unverbindliches Erstgespräch.
Wobei SUDO Sie auch unterstützen kann
Präzision in der Beratung für IT-Recht, KI-Compliance und strategische Cyber-Sicherheit, maßgeschneidert für den österreichischen Mittelstand.
Verwenden sie ChatGPT,
Copilot uä?
Alle Unternehmen, die KI-Systeme einsetzen – etwa Chatbots wie ChatGPT, Gemini oder Copilot – unterliegen seit dem 2. Februar 2026 dem AI Act und sind zum Handeln verpflichtet.
Die größte Gefahr ist nicht Feuer oder Einbruch
Die größte Gefahr für österreichische Unternehmen, weit vor Feuer- oder Einbruchsschäden, sind Cyberangriffe. Dabei geht es nicht um die Frage, ob ein Cyber-Vorfall eintritt, sondern wann dieser passiert.
Was Künstliche Intelligenz (AI) schon jetzt kann
Die Fähigkeiten von LLM-Chatbots wie ChatGPT sind beeindruckend – und zugleich nur die Spitze des Eisbergs: Bereits heute ermöglichen frei verfügbare KI-Tools deutlich weitreichendere Anwendungen.