BAREMOS IT GmbH – IT-Planer
Menü

Cyber Resilience Act in der IT-Vergabe

Veröffentlicht:

Ein neues EU-Regelwerk für digitale Produkte

Mit der Verordnung (EU) 2024/2847 vom 23. Oktober 2024 – dem Cyber Resilience Act (CRA) – hat die Europäische Union erstmals horizontale Cybersicherheitsanforderungen für „Produkte mit digitalen Elementen“ geschaffen. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten, ohne dass es einer nationalen Umsetzung bedarf. Erfasst sind Hardware und Software, die mit einem Netzwerk oder einem anderen Gerät verbunden werden können – von IoT-Geräten über Betriebssysteme bis zu Standardsoftware. Ausgenommen sind unter anderem Medizinprodukte, Kraftfahrzeuge und nicht-kommerzielle Open-Source-Software. Hersteller müssen ihre Produkte nach dem Grundsatz „Security by Design and Default“ entwickeln, über den gesamten Lebenszyklus Schwachstellen behandeln, ein Verzeichnis der verwendeten Softwarekomponenten (Software Bill of Materials, SBOM) führen und grundsätzlich für mindestens fünf Jahre kostenlose Sicherheitsupdates bereitstellen.

Gestufter Zeitplan bis Ende 2027

Der CRA wird in mehreren Stufen wirksam. Seit dem 11. Juni 2026 müssen die Mitgliedstaaten Verfahren zur Bewertung und Notifizierung von Konformitätsbewertungsstellen eingerichtet haben. Seit dem 11. September 2026 gelten die Meldepflichten nach Art. 14 CRA: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle binnen 24 Stunden vorwarnen, innerhalb von 72 Stunden ergänzende Informationen nachliefern und spätestens 14 Tage nach Verfügbarkeit einer Abhilfemaßnahme beziehungsweise einen Monat nach der Meldung einen Abschlussbericht vorlegen. Bis zum 11. Dezember 2026 soll eine ausreichende Zahl notifizierter Stellen zur Verfügung stehen. Die vollständige Geltung aller materiellen Anforderungen einschließlich der CE-Kennzeichnungspflicht für Produkte mit digitalen Elementen folgt zum 11. Dezember 2027.

Bedeutung für die IT-Beschaffung öffentlicher Auftraggeber

Für öffentliche Auftraggeber ist der CRA kein rein privatrechtliches Thema. Nach rechtlicher Einschätzung sind öffentliche Auftraggeber ab dem 11. Dezember 2027 gehalten, den CRA und die Fähigkeit der Hersteller, Schwachstellen wirksam zu bewältigen, im Vergabeverfahren zu berücksichtigen. Die Erwägungsgründe der Verordnung stellen zugleich klar, dass öffentliche wie private Beschaffer über die CRA-Mindestanforderungen hinausgehende Cybersicherheitsanforderungen an beschaffte Produkte stellen können. Bei Beschaffungsvorhaben mit langen Entwicklungs- oder Produktionszyklen – etwa Rahmenverträgen über mehrere Jahre oder komplexe Fachanwendungen – wird empfohlen, die CRA-Konformität der angebotenen Produkte schon vor dem Stichtag 2027 im Blick zu behalten, weil Leistungsbeschreibungen und Lieferzeiträume regelmäßig über diesen Zeitpunkt hinausreichen.

Der CRA ist von der NIS2-Richtlinie zu unterscheiden: Während NIS2 organisatorische Anforderungen an das Risikomanagement von Betreibern kritischer und wichtiger Einrichtungen stellt, richtet sich der CRA an Hersteller, Importeure und Händler von Produkten mit digitalen Elementen und regelt deren Produktsicherheit über den gesamten Lebenszyklus. Für die Vertragsgestaltung mit IT-Lieferanten – etwa im Rahmen der EVB-IT-Vertragsmuster – bedeuten die neuen Meldepflichten und Support-Zeiträume zusätzliche Anknüpfungspunkte, deren praktische Ausgestaltung in den kommenden Monaten durch Rechtsprechung und Verwaltungspraxis noch konkretisiert werden dürfte.

Quellen