CRA-konform. Vor der Frist. Mit jedem Build.

Das CRA ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt, die in der Europäischen Union verkauft werden. Es umfasst Hardware und Software und verlangt eine Entwicklung nach dem Prinzip Security-by-Design, einen strukturierten Umgang mit Schwachstellen sowie laufende Sicherheitsupdates über den gesamten Produktlebenszyklus hinweg.

Das CRA ist im Dezember 2024 in Kraft getreten. Die Meldepflichten für Schwachstellen beginnen im September 2026, die vollständige Anwendung aller Anforderungen im Dezember 2027.

Reine SaaS-Angebote liegen grundsätzlich außerhalb des direkten Anwendungsbereichs des CRA. Softwarekomponenten und Lösungen zur Datenfernverarbeitung, die ein Produkt mit digitalen Elementen unterstützen sollen, sind hingegen erfasst. Die Abgrenzung ist im Einzelfall nuanciert und hängt davon ab, ob die Software für die Funktion des Produkts wesentlich ist.

Das CRA verlangt SBOMs in einem gängigen maschinenlesbaren Format. CycloneDX und SPDX sind die beiden Industriestandards, die diese Anforderung erfüllen — und beide werden von Interlynk standardmäßig unterstützt.

Nicht-kommerzielle Open-Source-Software ist ausgenommen. Open-Source-Komponenten, die in kommerzielle Produkte integriert werden, jedoch nicht — Hersteller bleiben für die Sicherheit aller Komponenten verantwortlich, die sie ausliefern, einschließlich Open-Source-Abhängigkeiten.

Bei den schwerwiegendsten Verstößen können Geldbußen von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes verhängt werden — je nachdem, welcher Betrag höher ist. Geringere Verstöße werden mit niedrigeren, aber immer noch erheblichen Bußgeldern geahndet.

NIS2 richtet sich an Betreiber wesentlicher und wichtiger Dienste und fokussiert die organisatorische Cybersicherheit. Das CRA hingegen richtet sich an die Produkte selbst und reguliert Hersteller von Hardware und Software, die auf dem EU-Markt in Verkehr gebracht werden.

Ja. Jedes Unternehmen — unabhängig vom Hauptsitz — das Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringt, muss das CRA einhalten. Hersteller außerhalb der EU benennen üblicherweise einen Bevollmächtigten mit Sitz in der EU.