Der Cyber Resilience Act (CRA) ist die erste horizontale Cybersicherheits-Verordnung der EU für alle Produkte mit digitalen Elementen – und er betrifft auch Online-Shops. Die Verordnung (EU) 2024/2847 ist seit dem 10. Dezember 2024 in Kraft (EUR-Lex). Ab dem 11. September 2026 greift die Schwachstellen- und Vorfallsmeldepflicht mit ihren engen 24-, 72- und 14-Tage-Fristen, ab dem 11. Dezember 2027 dann die vollen Herstellerpflichten inklusive CE-Kennzeichnung, Konformitätsbewertung und Software-Stückliste (SBOM) (Europäische Kommission). Dieser Leitfaden erklärt, welche Pflichten 2026 auf Händler, Importeure und Hersteller zukommen, wen der CRA im E-Commerce konkret trifft und wie sich Patch-Management, Sicherheitsüberwachung und eine saubere technische Dokumentation im Hosting organisieren lassen.
Was der Cyber Resilience Act regelt
Der CRA ist die Verordnung (EU) 2024/2847 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (EUR-Lex). Als Verordnung gilt sie – anders als eine Richtlinie – unmittelbar in allen 27 Mitgliedstaaten, ohne dass sie in nationales Recht umgesetzt werden muss. Erfasst wird ein sehr breites Spektrum: jedes Hardware- und Softwareprodukt, das eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz herstellen kann und auf dem EU-Markt bereitgestellt wird (Europäische Kommission). Vom smarten Türschloss über die Router-Firmware bis zur herunterladbaren Anwendung fällt damit fast alles unter den CRA, für das es keine spezifischere Produktvorschrift gibt.
Rund 90 Prozent aller Produkte mit digitalen Elementen fallen in die Standardkategorie, für die Hersteller die Anforderungen selbst bewerten, eine EU-Konformitätserklärung ausstellen und technische Unterlagen bereitstellen (Europäische Kommission). Für wichtige Produkte (Anhang III) und kritische Produkte (Anhang IV) – etwa Passwortmanager, Firewalls oder Betriebssysteme – gelten strengere Prüfpfade, teils unter Beteiligung einer benannten Stelle.
Hinter der Verordnung steht ein reales wirtschaftliches Problem: Die weltweiten Schäden durch Cyberkriminalität wurden bereits für 2021 auf rund 5,5 Billionen Euro jährlich geschätzt (Europäische Kommission). Die EU rechnet damit, dass der CRA die Kosten von Sicherheitsvorfällen um jährlich 180 bis 290 Milliarden Euro senken kann (Europäische Kommission). In Deutschland ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) die zentrale Stelle, die Hersteller und Händler zum CRA informiert und Meldungen entgegennimmt (BSI). Für Shop-Betreiber ist der CRA damit kein abstraktes IT-Thema, sondern Teil der IT-Sicherheit im E-Commerce.
Der Begriff horizontal ist dabei entscheidend: Anders als sektorspezifische Vorschriften, die nur einzelne Produktgruppen betreffen, legt der CRA einheitliche Cybersicherheitsanforderungen quer über alle Produkte mit digitalen Elementen fest. Für Shop-Betreiber bedeutet das, dass sich die Pflichten nicht auf eine Nische beschränken, sondern potenziell das gesamte Sortiment mit vernetzten oder softwarebasierten Artikeln erfassen. Wichtig ist außerdem die Abgrenzung zu bereits bestehenden Regelwerken: Produkte, die schon strengeren, gleichwertigen EU-Vorschriften unterliegen – etwa bestimmte Medizinprodukte oder Fahrzeuge –, sind teils ausgenommen, damit keine doppelten Anforderungen entstehen (EUR-Lex).
Zeitplan: Diese CRA-Fristen gelten 2026 und 2027
Der CRA gilt gestuft. Nach dem Inkrafttreten am 10. Dezember 2024 folgen drei Termine, die Sie kennen sollten (EUR-Lex):
| Datum | Was ab diesem Tag gilt | Betroffene |
|---|---|---|
| 11. Juni 2026 | Regeln zur Notifizierung der Konformitätsbewertungsstellen | Prüfstellen, benannte Stellen |
| 11. September 2026 | Melde- und Schwachstellenpflicht (24 h / 72 h / 14 Tage) | Alle Hersteller |
| 11. Dezember 2027 | Volle Herstellerpflichten, CE-Kennzeichnung, SBOM | Hersteller, Importeure, Händler |
Für die Praxis zählen vor allem zwei Termine: Der 11. September 2026 bringt die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Der 11. Dezember 2027 macht CE-Kennzeichnung, Konformitätsbewertung und technische Dokumentation zur Voraussetzung, um Produkte mit digitalen Elementen überhaupt noch auf dem EU-Markt anbieten zu dürfen (Europäische Kommission).
Betrifft der Cyber Resilience Act meinen Online-Shop?
Der CRA unterscheidet vier Rollen von Wirtschaftsakteuren: Hersteller, Bevollmächtigter, Importeur und Händler – jede mit eigenen Pflichten (EUR-Lex). Ein Online-Shop ist selten nur eine dieser Rollen. Je nachdem, was Sie verkaufen und wie Sie es beziehen, können Sie gleichzeitig Händler und Importeur sein – oder sogar selbst zum Hersteller werden.
Als Händler
Sie verkaufen Produkte mit digitalen Elementen weiter, ohne sie zu verändern. Dann müssen Sie prüfen, dass CE-Kennzeichnung, Konformitätserklärung und Kontaktangaben vorhanden sind, und dürfen nicht-konforme Ware nicht anbieten (Europäische Kommission).
Als Importeur
Bringen Sie Ware eines Nicht-EU-Herstellers erstmals auf den EU-Markt, treffen Sie erweiterte Pflichten: Konformitätsbewertung und technische Dokumentation prüfen, eigene Kontaktdaten ergänzen, bei Schwachstellen den Hersteller informieren (EUR-Lex).
Als Hersteller
Verkaufen Sie Eigenmarken-Geräte, eigene Apps oder eigenentwickelte Software, gelten Sie als Hersteller – mit den vollen Pflichten von Secure-by-Design bis SBOM. Das gilt auch, wenn Sie ein Produkt so verändern, dass seine Sicherheit betroffen ist.
Konkret geraten damit viele alltägliche Sortimente in den Blick: vernetzte Haushaltsgeräte und Smart-Home-Technik, Wearables und Fitness-Tracker, Router und Netzwerkzubehör, USB-Gadgets mit Firmware, aber auch herunterladbare Programme, mobile Apps und Software-Lizenzen. Wer solche Artikel führt, sollte je Produktgruppe klären, wer der Hersteller ist, wo er sitzt und ob die Konformitätsunterlagen vorliegen. Diese Bestandsaufnahme ist oft der aufwendigste, aber auch der wichtigste erste Schritt – sie entscheidet darüber, welche Pflichten Sie überhaupt treffen und wo Handlungsbedarf besteht.
Der Importeur ist im E-Commerce der heikelste Fall. Wer smarte Geräte, Zubehör mit Firmware oder Software direkt aus Drittländern bezieht und weiterverkauft, wird schnell zum Importeur im Sinne des CRA und muss sicherstellen, dass ein Wirtschaftsakteur in der EU für die Pflichten verantwortlich ist (Europäische Kommission). Sitzt der Hersteller außerhalb der EU, muss er zudem einen Bevollmächtigten mit Sitz in der EU benennen (EUR-Lex). Fehlt dieser, ist das Produkt nicht rechtskonform – ein Muster, das viele Shop-Betreiber bereits von der GPSR-Produktsicherheitsverordnung kennen.
Software as a Service fällt in der Regel nicht unter den CRA, solange sie nicht integraler Bestandteil eines Produkts mit digitalen Elementen ist. Erfasst sind dagegen herunterladbare Software, Apps, Firmware und vernetzte Hardware. Sobald Sie also eigene Anwendungen zum Download anbieten oder Eigenmarken-Hardware verkaufen, sollten Sie die Herstellerpflichten früh einplanen – idealerweise schon bei der Programmierung und Architektur.
Melde- und Schwachstellenpflicht ab 11. September 2026
Die erste greifbare CRA-Pflicht startet am 11. September 2026: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden (EUR-Lex). Diese Pflicht gilt unabhängig von Unternehmensgröße oder Umsatz, sobald ein Produkt mit digitalen Elementen auf dem EU-Markt ist (BSI). Gemeldet wird über die zentrale CRA Single Reporting Platform an das zuständige nationale CSIRT – in Deutschland das BSI beziehungsweise CERT-Bund – und parallel an die EU-Agentur ENISA (BSI).
Die Meldung erfolgt in drei Stufen mit engen Fristen (BSI):
- Innerhalb von 24 Stunden: Frühwarnung an das CSIRT und ENISA, sobald eine Schwachstelle aktiv ausgenutzt wird oder ein schwerwiegender Vorfall auftritt.
- Innerhalb von 72 Stunden: vollständige Meldung mit Art der Schwachstelle, Auswirkungen auf das Produkt sowie ergriffenen oder geplanten Gegenmaßnahmen.
- Innerhalb von 14 Tagen: Abschlussbericht, nachdem eine Korrektur- oder Gegenmaßnahme verfügbar ist. Bei schwerwiegenden Vorfällen ist der Abschlussbericht spätestens einen Monat nach der 72-Stunden-Meldung fällig (EUR-Lex).
24 Stunden sind kurz. Wer erst beim ersten Vorfall überlegt, wer meldet, welche Daten nötig sind und wer Zugriff auf die Single Reporting Platform hat, verliert wertvolle Zeit. Sinnvoll ist ein dokumentierter Melde- und Eskalationsprozess samt Verantwortlichkeiten und Vorlagen – eingebettet in ein laufendes Sicherheitsmonitoring. Kleinst- und Kleinunternehmen sind zwar von bestimmten Sanktionen bei der 24-Stunden-Meldung ausgenommen, von der Meldepflicht selbst aber nicht befreit (Europäische Kommission).
Ab 11. Dezember 2027: Herstellerpflichten, CE-Kennzeichnung und Konformität
Mit dem 11. Dezember 2027 wird der CRA vollständig anwendbar. Ab diesem Tag dürfen Produkte mit digitalen Elementen nur noch auf den EU-Markt, wenn sie die grundlegenden Cybersicherheitsanforderungen erfüllen, eine Konformitätsbewertung durchlaufen haben, eine EU-Konformitätserklärung tragen und mit der CE-Kennzeichnung versehen sind (Europäische Kommission). Die CE-Kennzeichnung signalisiert damit erstmals auch Cybersicherheit, nicht nur klassische Produktsicherheit.
Zu den grundlegenden Anforderungen gehören unter anderem ein sicheres Standardverhalten (Secure by Default), das Design ohne bekannte ausnutzbare Schwachstellen, ein geregelter Umgang mit Schwachstellen über den gesamten Supportzeitraum und die Bereitstellung von Sicherheitsupdates (EUR-Lex). Der Hersteller muss außerdem festlegen und angeben, wie lange er ein Produkt mit Updates versorgt – der Supportzeitraum soll der erwarteten Nutzungsdauer entsprechen.
Praktisch verlangt der volle Pflichtenkatalog vor allem eine belastbare Dokumentation. Der Hersteller muss nachweisen können, dass ein Produkt die Anforderungen erfüllt, den Umgang mit Schwachstellen dokumentieren und Nutzern verständliche Informationen zur sicheren Einrichtung mitgeben. Dazu gehört auch, den Supportzeitraum aktiv zu kommunizieren, damit Käufer wissen, wie lange sie mit Sicherheitsupdates rechnen können. Für Eigenmarken- und Private-Label-Angebote im Shop heißt das, diese Nachweise frühzeitig mit den Lieferanten zu klären und in eigene Prozesse zu überführen – nachträglich lässt sich eine fehlende Dokumentation nur mit hohem Aufwand rekonstruieren.
| Konformitätspfad | Für welche Produkte | Beteiligung Dritter |
|---|---|---|
| Selbstbewertung (interne Kontrolle) | Standardprodukte (rund 90 %) | Keine – Hersteller bewertet selbst |
| Drittprüfung durch benannte Stelle | Wichtige Produkte (Anhang III) | Benannte Stelle prüft mit |
| Europäische Zertifizierung | Kritische Produkte (Anhang IV) | Zertifizierungsschema |
SBOM: Die Software-Stückliste wird Pflicht
Eine der wichtigsten Neuerungen für Entwicklerteams ist die Software Bill of Materials (SBOM). Der CRA verlangt, dass Hersteller die Komponenten ihrer Produkte identifizieren und dokumentieren – unter anderem durch eine Software-Stückliste in einem gängigen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abbildet (EUR-Lex). Damit wird eine SBOM erstmals rechtsverbindlich, nicht nur eine Empfehlung. In der Praxis bedeutet das etablierte Formate wie CycloneDX oder SPDX.
Für Shop-Betreiber, die eigene Erweiterungen einsetzen, ist das direkt relevant: Ein typischer Shop besteht aus dutzenden Abhängigkeiten – vom Framework über Bibliotheken bis zu einzelnen Plugins. Wer den Überblick über diese Komponenten behält, kann bei einer neu bekannt gewordenen Schwachstelle schnell reagieren, statt mühsam zu suchen, wo eine verwundbare Bibliothek überhaupt steckt. Genau diese Abhängigkeitspflege wird beim Umstieg auf Shopware 6.7 mit Symfony und Vite ohnehin zum Thema – eine SBOM ist dann kein Zusatzaufwand, sondern ein Nebenprodukt sauberer IT-Sicherheitsprozesse.
Bußgelder und Marktüberwachung
Der CRA ist mit spürbaren Sanktionen bewehrt. Verstöße gegen die grundlegenden Anforderungen sowie gegen die SBOM- und Schwachstellenpflichten können mit Bußgeldern von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist (EUR-Lex).
| Art des Verstoßes | Höchstes Bußgeld |
|---|---|
| Grundlegende Anforderungen, SBOM, Schwachstellen | 15 Mio. Euro oder 2,5 % des Umsatzes |
| Sonstige Pflichten (auch Importeure/Händler) | 10 Mio. Euro oder 2 % des Umsatzes |
| Falsche oder irreführende Angaben an Behörden | 5 Mio. Euro oder 1 % des Umsatzes |
Durchgesetzt wird der CRA von den nationalen Marktüberwachungsbehörden; in Deutschland nimmt das BSI eine zentrale Rolle ein (BSI). Sie können nicht-konforme Produkte vom Markt nehmen lassen. Wer parallel weitere EU-Vorgaben umsetzt – etwa die NIS2-Anforderungen an die Cybersicherheit oder die EU-Verpackungsverordnung PPWR – kann Compliance-Prozesse bündeln, statt sie isoliert zu betrachten.
Eine Schwachstelle in einer zentral genutzten Komponente betrifft selten nur ein Produkt. Fehlen Melde- oder Update-Prozesse, wirkt sich das über das gesamte Sortiment aus. Deshalb ist ein einmal sauber aufgesetzter Prozess – Monitoring, Patch-Management, Meldung – wirtschaftlicher als punktuelles Nachbessern im Ernstfall.
Den Cyber Resilience Act im E-Commerce praktisch umsetzen
Technisch ist der CRA beherrschbar, wenn Sicherheit als laufender Betriebsprozess verstanden wird und nicht als einmaliges Projekt. Für Shop-Betreiber lässt sich die Umsetzung auf vier Bausteine herunterbrechen, die zusammen sowohl die Meldepflicht 2026 als auch die Herstellerpflichten 2027 abdecken.
Patch- und Update-Management
Regelmäßiges, dokumentiertes Einspielen von Sicherheitsupdates über den gesamten Supportzeitraum – inklusive geordneter Abläufe, wie sie eine sichere Shopware-Wartung beschreibt.
Security-Monitoring
Kontinuierliche Überwachung auf Schwachstellen und Auffälligkeiten, damit ein Vorfall früh erkannt und die 24-Stunden-Frist eingehalten werden kann – aufgesetzt auf ein belastbares Managed Hosting.
Technische Dokumentation
Konformitätserklärung, Supportzeitraum, Schwachstellen-Handling und SBOM strukturiert festhalten – als Grundlage für CE-Kennzeichnung und Konformitätsbewertung.
Sichere Prozesse und Automatisierung
Melde- und Eskalationswege definieren und wiederkehrende Prüfungen automatisieren, statt jeden Schritt manuell zu erledigen.
Der typische Weg in einem bestehenden Shop: Zunächst klären wir Ihre Rolle – Händler, Importeur oder Hersteller – und damit den Pflichtenumfang. Anschließend richten wir Monitoring und Update-Prozesse ein, bauen die technische Dokumentation auf und definieren die Meldekette für den Ernstfall. Steht ohnehin ein größeres Vorhaben an, etwa ein Relaunch oder eine Migration, lässt sich die CRA-Struktur direkt mitplanen. Ein professioneller Shop verbindet beides: ein schnelles, modernes Frontend – etwa mit View Transitions für flüssige Seitenwechsel – und belastbare Sicherheitsprozesse im Hintergrund. In der Beratung ordnen wir den CRA gemeinsam in Ihre übrige Compliance ein.
- Eigene Rolle nach CRA bestimmt: Händler, Importeur oder Hersteller
- CE-Kennzeichnung, Konformitätserklärung und Kontaktangaben der Ware geprüft
- Bevollmächtigter in der EU bei Nicht-EU-Herstellern vorhanden
- Melde- und Eskalationsprozess für die 24/72/14-Fristen dokumentiert
- Patch- und Update-Management über den Supportzeitraum etabliert
- SBOM der eigenen Software in maschinenlesbarem Format gepflegt
- Zugang zur CRA Single Reporting Platform und Verantwortlichkeiten geklärt
Jetzt die CRA-Prozesse aufsetzen
Der Cyber Resilience Act ist geltendes Recht, und die erste harte Frist läuft am 11. September 2026 ab (EUR-Lex). Bis dahin sollten Melde- und Schwachstellenprozesse stehen; bis zum 11. Dezember 2027 folgen CE-Kennzeichnung, Konformitätsbewertung und SBOM (Europäische Kommission). Für Online-Shops lohnt es sich, den CRA nicht als lästige Pflicht, sondern als Anlass für belastbare Sicherheitsprozesse zu begreifen – denn dieselben Prozesse, die die Verordnung verlangt, machen einen Shop auch im Alltag widerstandsfähiger. Wer früh Rollen klärt, Monitoring aufsetzt und die Dokumentation strukturiert, ist auf beide Stichtage vorbereitet. Sprechen Sie uns an, wenn Sie Ihre CRA-Betroffenheit einschätzen und die nötigen Prozesse aufsetzen möchten – unser Team unterstützt bei Hosting, Sicherheitsbetrieb und technischer Dokumentation.
Dieser Artikel stützt sich auf die Verordnung (EU) 2024/2847 (Cyber Resilience Act) im amtlichen Text bei EUR-Lex, die Zusammenfassung und Erläuterungen der Europäischen Kommission (digital-strategy.ec.europa.eu) sowie die Informationen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zum Cyber Resilience Act. Genannte Zahlen, Fristen und Schwellenwerte können sich im Zeitverlauf und je nach Auslegung ändern. Dieser Beitrag ersetzt keine Rechtsberatung. Stand: Juli 2026.
Der CRA (Verordnung (EU) 2024/2847) ist seit dem 10. Dezember 2024 in Kraft (EUR-Lex). Die Melde- und Schwachstellenpflicht greift ab dem 11. September 2026, die vollen Herstellerpflichten mit CE-Kennzeichnung und SBOM ab dem 11. Dezember 2027 (Europäische Kommission). Für Produkte in Ihrem Sortiment sollten die passenden Prozesse also frühzeitig vorbereitet sein.
In der Regel ja, wenn Sie Produkte mit digitalen Elementen verkaufen. Als Händler müssen Sie typischerweise prüfen, dass CE-Kennzeichnung, Konformitätserklärung und Kontaktangaben vorhanden sind, und dürfen nicht-konforme Ware nicht anbieten (Europäische Kommission). Beziehen Sie Ware direkt aus Nicht-EU-Ländern, können Sie zusätzlich zum Importeur mit erweiterten Pflichten werden.
Ab diesem Tag sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle meldepflichtig (EUR-Lex). Die Meldung erfolgt gestuft: Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden und ein Abschlussbericht binnen 14 Tagen – über die CRA Single Reporting Platform an das BSI beziehungsweise CERT-Bund und an ENISA (BSI).
Eine SBOM (Software Bill of Materials) ist eine maschinenlesbare Liste der Softwarekomponenten eines Produkts. Der CRA verlangt sie für Hersteller mindestens für die obersten Abhängigkeiten (EUR-Lex). Wenn Sie eigene Software, Apps oder Eigenmarken-Hardware anbieten, ist eine SBOM erfahrungsgemäß nicht nur Pflicht, sondern auch praktisch: Sie erleichtert das schnelle Reagieren auf neue Schwachstellen (Projekterfahrung).
Bei Verstößen gegen die grundlegenden Anforderungen sowie die SBOM- und Schwachstellenpflichten sind Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes möglich – je nachdem, welcher Betrag höher ist (EUR-Lex). Für sonstige Pflichten und für falsche Angaben gelten niedrigere Höchstgrenzen. Die genaue Höhe hängt vom Einzelfall und der Marktüberwachungsbehörde ab.
Wir helfen dabei, Ihre Rolle nach dem CRA einzuordnen, Patch-Management und Sicherheitsüberwachung im Hosting einzurichten und die technische Dokumentation aufzubauen. Damit lassen sich die Meldeprozesse für 2026 und die Herstellerpflichten für 2027 typischerweise strukturiert vorbereiten – eingebettet in einen laufenden, dokumentierten Sicherheitsbetrieb (Projekterfahrung).