Zu den Mindestanforderungen für Hersteller gehört die verpflichtende Beachtung von Cybersicherheitsmaßnahmen während des gesamten Produktlebenszyklus – einschließlich Planung, Entwicklung, Herstellung, Lieferung und Wartung. Was Schritt-für-Schritt zu tun ist, ist im Folgenden erklärt:

1. Produktkategorie der betroffenen Produkte bestimmen

Für betroffene Produkte ist zu prüfen, ob sie als wichtiges Produkt der Klasse I oder II gemäß Anhang III oder als kritisches Produkt gemäß Anhang IV des CRA einzustufen sind. Produkte, die keiner dieser Kategorien zugeordnet sind, unterliegen den allgemeinen Anforderungen des CRA. Gerade für sie ändert sich daher das Konformitätsbewertungsverfahren, weil sie potenzielle Auswirkungen auf die Wirtschaft sowie öffentliche Sicherheit haben können.

• Kritische Produkte: z. B. Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways und Chipkarten
• Wichtige Produkte Klasse 2: z. B. Firewalls, manipulationssichere Mikroprozessoren, manipulationssichere Mikrocontroller
• Wichtige Produkte Klasse 1: z. B. Passwortmanager, Sprachassistenten im Smarthome, Spielzeug mit Internetverbindung, Betriebssysteme
• Sonstige Produkte mit digitalen Elementen (häufig vereinfachend als „Standardprodukte” bezeichnet): z. B. Smartphones, Steuererklärungssoftware, Saugroboter, AirTag.

Die Beispiele dienen ausschließlich der Veranschaulichung. Maßgeblich für die rechtliche Einstufung sind ausschließlich die Produktkategorien in Anhang III und IV des CRA.

2. Konformitätserklärung erstellen

Eine Konformitätserklärung wird benötigt, um nachzuweisen, dass das Produkt alle Anforderungen des CRA erfüllt. Welches Konformitätsbewertungsverfahren in Frage kommt, hängt von der Produktkategorie ab – wie in Schritt 1 beschrieben. Bei den meisten Produkten ist dies eine Selbstbewertung des Herstellers, bei wenigen eine Bewertung durch eine notifizierte Drittstelle. Hersteller stellen die EU‑Konformitätserklärung aus, nachdem alle einschlägigen Anforderungen erfüllt und dokumentiert wurden.

3. Sicherheitsvorfälle melden

Hersteller sind verpflichtet:

• aktiv ausgenutzte Schwachstellen unverzüglich zu melden,
• schwere Sicherheitsvorfälle zu melden, die einen Einfluss auf die Sicherheit des Produkts haben,
• Meldungen über die dafür vorgesehene einheitliche Meldeplattform vorzunehmen.

Diese Pflicht gilt auch für bereits in Verkehr gebrachte Produkte.

Bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen mit Auswirkung auf die Sicherheit von Produkten mit digitalen Elementen muss innerhalb von 24 Stunden eine Frühwarnung erfolgen. Innerhalb von 72 Stunden ist eine vollständige Meldung nachzureichen, anschließend folgt der jeweils vorgesehene Abschlussbericht. Die Meldung erfolgt über die neue zentrale Meldeplattform, die durch die europäische IT-Sicherheitsbehörde ENISA etabliert wird.

4. Regelmäßige Updates

Während des gesamten Supportzeitraum müssen für den Endanwender Sicherheitsupdates zur Verfügung gestellt und Schwachstellen gemanagt werden. Hersteller müssen Nutzern klare Informationen über den Update‑ und Supportzeitraum offenlegen. Der Unterstützungszeitraum muss die erwartete Nutzungsdauer des Produkts widerspiegeln und beträgt grundsätzlich mindestens fünf Jahre. Wird erwartet, dass das Produkt weniger als fünf Jahre genutzt wird, kann der Unterstützungszeitraum dieser kürzeren Nutzungsdauer entsprechen. Die Dauer darf nicht unangemessen kurz sein und ist den Nutzern transparent mitzuteilen.

5. Dokumentation und Anleitung

Hersteller müssen Nutzern klare Informationen zur sicheren Nutzung bereitstellen und Marktüberwachungsbehörden auf Verlangen alle erforderlichen Informationen zur Verfügung stellen. Darüber hinaus verlangt der CRA die Erstellung einer Software Bill of Materials (SBOM). Die SBOM beschreibt, welche Komponenten im Produkt benutzt werden. Die SBOM ist eine zentrale Grundlage für Schwachstellenmanagement, Incident Response und Marktüberwachung. Der CRA schreibt das Erstellen einer SBOM vor, sie muss jedoch nicht veröffentlicht werden.

6. Security by Design

Bereits während der Produktentwicklung sollten die Anforderungen des CRA berücksichtigt und die verpflichtende Behandlung von Schwachstellen der Produkte betrachtet werden.

Vernetzte Produkte müssen im Hinblick auf Cybersicherheit konzipiert werden, zum Beispiel indem sichergestellt wird, dass die mit dem Produkt gespeicherten oder übertragenen Daten verschlüsselt sind. Die Standardeinstellungen vernetzter Produkte müssen zur Erhöhung deren Sicherheit beitragen, zum Beispiel durch das Verbot schwacher Standardpasswörter oder durch die automatische Installation von Sicherheitsupdates.

Der Beleg dafür, dass ein Produkt im Sinne der Verordnung sicher entwickelt wurde, ist die technische Dokumentation. Sie muss bei Markteinführung vollständig vorliegen und auf Anforderung der Marktüberwachungsbehörde zur Verfügung gestellt werden.

Produkte mit digitalen Elementen, die dem CRA unterliegen, müssen vor dem Inverkehrbringen die erforderliche Konformitätsbewertung durchlaufen und mit der CE-Kennzeichnung versehen werden.