Der Cyber Resilience Act ist eine EU-Verordnung für Produkte mit digitalen Elementen. Dazu zählen unter den Voraussetzungen der Verordnung sowohl Hardware als auch Software, die im Rahmen einer geschäftlichen Tätigkeit auf dem EU-Markt bereitgestellt werden. Die Hauptpflichten treffen insbesondere Hersteller, die ein solches Produkt unter eigenem Namen oder eigener Marke auf den Markt bringen. Auch ein kostenlos bereitgestelltes Produkt kann darunterfallen, wenn die Bereitstellung Teil einer geschäftlichen Tätigkeit ist. Für bestimmte Produktgruppen und Konstellationen gelten Ausnahmen oder zusätzliche Vorgaben. Die EU-Kommission erläutert Anwendungsbereich und Herstellerrolle.
Ein Hersteller muss die Sicherheit seines Produkts über dessen vorgesehenen Nutzungszeitraum berücksichtigen: bei Entwicklung und Bereitstellung ebenso wie beim Umgang mit später bekannt werdenden Schwachstellen. Dazu gehören unter anderem technische Dokumentation, ein festgelegter Unterstützungszeitraum und – vor dem Inverkehrbringen nach den anwendbaren Anforderungen – die passende Konformitätsbewertung und CE-Kennzeichnung. Die wesentlichen Produktanforderungen gelten ab dem 11. Dezember 2027. Einen Überblick bietet die EU-Kommission zu den Herstellerpflichten.
Ein Teil gilt bereits: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit ihrer betroffenen Produkte auswirken. Die frühe Meldung ist innerhalb von 24 Stunden nach Kenntniserlangung fällig, eine ausführlichere Meldung innerhalb von 72 Stunden. Die EU-Kommission beschreibt die meldepflichtigen Ereignisse und Fristen.
