Der Cyber Resilience Act (CRA) der Europäischen Union definiert die Spielregeln für Marktzugang und Produktsicherheit im EU-Binnenmarkt neu. Seit dem 10. Dezember 2024 ist der CRA in Kraft. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten bereits ab dem 11. September 2026. Die vollständige Anwendbarkeit aller Cybersicherheitsanforderungen folgt nach einer Übergangsfrist von 36 Monaten am 11. Dezember 2027.
Jedes Produkt mit digitalen Elementen muss von der Entwicklung bis zum Ende seines Lebenszyklus nachweisbar sicher sein. Für Unternehmen, die die Fristen verpassen, drohen empfindliche Strafen bis hin zum Verbot des Inverkehrbringens.
Was der CRA konkret verlangt
Der CRA führt verbindliche Pflichten ein, die den gesamten Produktlebenszyklus umfassen. Sicherheit wird zum integralen Bestandteil, nicht zum nachträglichen Add-on.
- Secure by Design: Sicherheit muss von Beginn an in der Produktarchitektur verankert sein.
- Kontinuierliches Risikomanagement: Hersteller müssen über den gesamten Lebenszyklus eines Produkts aktiv nach Schwachstellen suchen und diese durch Updates beheben.
- Lückenlose Dokumentation: Alle sicherheitsrelevanten Prozesse und die Software-Stückliste (SBOM – Software Bill of Materials) müssen transparent dokumentiert und für Audits bereitgehalten werden.
- Erweiterte Verantwortung und Haftung: Die Verantwortung für Sicherheitslücken liegt beim Hersteller – mit entsprechend höheren Haftungsrisiken für die Geschäftsführung.
- CE-Kennzeichnung: Produkte müssen eine CE-Konformitätskennzeichnung tragen, die die CRA-Konformität des Produkts bestätigt.
Was das für Automotive bedeutet
Für die Automobilindustrie, bereits geprägt durch UNECE R155 (CSMS), R156 (SUMS) und ISO/SAE 21434, schließt der CRA eine Lücke. Bestehende Vorschriften decken vor allem sicherheitskritische Fahrzeugsysteme wie Bremsen oder Lenkung ab. Der CRA erweitert die Anforderungen auf alle übrigen digitalen Komponenten – von Infotainmentsystemen über Flottenmanagement-Software bis zu Apps von Drittanbietern.
Komplette Fahrzeuge sind von der CRA-Regulierung ausgenommen, da sie bereits unter UN R155 fallen. Automotive-Komponenten, Steuergeräte, Zulieferteile und Aftermarket-Produkte mit digitalen Elementen müssen die CRA-Anforderungen jedoch erfüllen.
Was das für Elektronikhersteller bedeutet
Für Elektronikhersteller außerhalb der Automotive-Regulierung greift der CRA unmittelbarer, weil es keine vergleichbaren sektoralen Vorschriften gibt, die einzelne Anforderungen bereits abdecken. Betroffen sind unter anderem IoT-Geräte, Industrie- und Steuerungselektronik, Consumer-Electronics sowie Komponenten für Smart-Home- und Smart-City-Anwendungen.
Für diese Hersteller bedeutet der CRA häufig den ersten verbindlichen Cybersicherheitsrahmen für ihre Produkte überhaupt. Wer bislang keine strukturierte Schwachstellenverwaltung oder SBOM-Dokumentation betrieben hat, muss diese Prozesse jetzt neu aufbauen – inklusive der Fähigkeit, im Ereignisfall innerhalb von 24 Stunden zu melden.
Warum die Lieferkette betroffen ist
Die Verantwortung endet nicht am eigenen Werkstor. Der CRA fordert Auditierbarkeit über die gesamte Lieferkette. OEMs und Markenhersteller geben die Anforderungen an ihre Zulieferer weiter – Lieferkettensicherheit wird damit zu einem Auswahlkriterium für Partner und Lieferanten.
Wer hier keine nachweisbare Prozesssicherheit bieten kann, verliert den Anschluss. Das betrifft nicht nur technische Dokumentation, sondern auch, ob ein Lieferant seinen eigenen Sicherheitsstandard glaubhaft machen kann – etwa über den TISAX®-Standardisierungsprozess.
Wo btv TAK® und btv SEEL® ansetzen
btv technologies dokumentiert Prozesse entlang der Komponentenversorgung – von Beschaffung über Lagerung und Bearbeitung bis zur Auslieferung. Diese Nachweise entstehen im laufenden Prozess, nicht erst für ein Audit.
btv TAK® macht diese Schritte auf Ebene der Verpackungseinheit nachvollziehbar. Bei programmierbaren Komponenten ergänzt btv SEEL® die Nachweiskette um Programmierung und Initialisierung – auf Ebene des einzelnen Bauteils.
Der Programmiervorgang selbst läuft dabei abgesichert ab: Sensible Firmware wird ausschließlich temporär im flüchtigen Arbeitsspeicher (RAM) verarbeitet und nach Abschluss der Programmierung vollständig und unwiderruflich gelöscht. Wer die eigene PKI-Infrastruktur einbinden möchte, bindet über btv SEEL® INTERCONNECT einen zertifikatsbasierten Datenraum an – Root-Zertifikate und private Schlüssel bleiben dabei durchgehend beim Kunden. Für Serienfertigung mit individuellen Geräteidentitäten skaliert btv SEEL® UNLIMITED das Verfahren: jedes Zertifikat einem Mikrocontroller eindeutig zugeordnet, jeder Prozessschritt dokumentiert und signiert.
Wichtig ist die Abgrenzung: btv SEEL® ist eine Programmierdienstleistung, keine CRA-pflichtige Ware. Die Konformität des Endprodukts bleibt Aufgabe des Herstellers. Was btv liefert, sind die Nachweise aus dem eigenen Prozessbereich, die in die Konformitätsbewertung des Kunden einfließen können.
Was bei Verstößen droht
Der CRA sieht ein mehrstufiges Bußgeldsystem vor:
- Bis zu 15 Mio. € oder 2,5% des weltweiten Jahresumsatzes bei Verstößen gegen grundlegende Sicherheitsanforderungen.
- Bis zu 10 Mio. € oder 2% des weltweiten Jahresumsatzes bei Verstößen gegen sonstige Pflichten, etwa Melde- oder Dokumentationspflichten.
- Bis zu 5 Mio. € oder 1% des weltweiten Jahresumsatzes bei unrichtigen, unvollständigen oder irreführenden Angaben gegenüber Behörden.
Zusätzlich können Produkte vom Markt genommen oder zurückgerufen werden.
Zertifizierungen und Mitgliedschaften
btv technologies ist nach ISO 9001 und IATF 16949 zertifiziert und hat den Standardisierungsprozess gemäß TISAX® durchlaufen; das Ergebnis ist im ENX-Portal veröffentlicht. Als VDA-Mitglied arbeitet btv aktiv an den Standards mit, die diese Anforderungen in der Praxis konkretisieren.
FAQ zum Cyber Resilience Act
Der CRA ist seit dem 10. Dezember 2024 in Kraft. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle greifen bereits ab dem 11. September 2026. Die vollständige Anwendbarkeit für die meisten Produkte folgt nach einer Übergangsfrist von 36 Monaten am 11. Dezember 2027.
Ja, sogar unmittelbarer. Für viele Elektronikhersteller – etwa in IoT, Industrieelektronik oder Consumer-Electronics – ist der CRA der erste verbindliche Cybersicherheitsrahmen für ihre Produkte. Es gibt hier keine bereits bestehenden sektoralen Vorschriften wie in der Automobilindustrie, die einzelne Anforderungen abdecken.
Nachvollziehbare Prozesse helfen Unternehmen, im Audit zu zeigen, welche Komponente, welcher Softwarestand und welcher Prozessschritt zusammengehören. btv TAK® dokumentiert diese Informationen auf Ebene der Verpackungseinheit; btv SEEL® ergänzt sie bei programmierbaren Komponenten auf Ebene des einzelnen Bauteils. Die eigentliche Konformitätsbewertung bleibt dabei Aufgabe des Herstellers.
Verstöße gegen grundlegende Sicherheitsanforderungen können mit bis zu 15 Mio. € oder 2,5% des weltweiten Jahresumsatzes geahndet werden. Für sonstige Pflichtverstöße gelten bis zu 10 Mio. € oder 2%, für unrichtige Angaben gegenüber Behörden bis zu 5 Mio. € oder 1%. Zusätzlich können Produkte vom Markt genommen oder zurückgerufen werden.
Sprechen wir über Ihren Fahrplan
Der Cyber Resilience Act ist keine ferne Regulierung, sondern eine konkrete unternehmerische Aufgabe – für Automotive genauso wie für Elektronikhersteller. Wir schauen gemeinsam darauf, welche Bauteile betroffen sind und welche Nachweise aus Ihrer Lieferkette heute schon vorliegen.
