CYBER RESILIENCE ACT: WANN BETRIFFT DIE EU-VERORDNUNG SCHWEIZER UNTERNEHMEN UND WAS GILT AB SEPTEMBER BEI DEN MELDEPFLICHTEN?
Der Cyber Resilience Act (CRA) ist eine weitere EU-Digitalverordnung mit Wirkung weit über die Grenzen der Europäischen Union hinaus. Der CRA wird auch für viele Schweizer KMU relevant.
Bereits ab dem 11. September 2026 gelten die ersten Meldepflichten: Hersteller müssen bestimmte Schwachstellen und Sicherheitsvorfälle melden. Die übrigen Anforderungen des CRA werden ab dem 11. Dezember 2027 anwendbar.
Für Schweizer Unternehmen stellt sich deshalb vor allem eine Frage: Bin ich überhaupt betroffen?
Was ist der Cyber Resilience Act überhaupt?
Der Cyber Resilience Act ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Dazu gehören sowohl Anforderungen an die Entwicklung und Herstellung als auch Vorgaben für das Schwachstellenmanagement während der gesamten Lebensdauer eines Produkts.
Ziel ist, dass Produkte bereits bei ihrer Markteinführung ein angemessenes Sicherheitsniveau aufweisen und Sicherheitslücken während des gesamten Unterstützungszeitraums systematisch behandelt werden.
Betrifft der CRA Schweizer Unternehmen überhaupt?
Ja, sehr häufig.
Der CRA folgt dem sogenannten Marktortprinzip. Entscheidend ist nicht, wo ein Unternehmen sitzt, sondern ob ein betroffenes Produkt auf dem EU- oder EWR-Markt bereitgestellt wird. Schweizer Hersteller und Händler können daher unmittelbar betroffen sein.
Das gilt insbesondere für Unternehmen, die:
Produkte direkt in die EU sowie den EWR verkaufen,
Produkte an EU- und EWR-Kunden liefern,
Produkte unter eigener Marke vertreiben,
Software oder Hardware entwickeln, die als eigenständiges Produkt in der EU sowie dem EWR vermarktet wird.
Welche Produkte fallen unter den CRA?
Der Anwendungsbereich ist sehr breit.
Erfasst werden grundsätzlich Produkte mit digitalen Elementen, deren bestimmungsgemässe oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Typische Beispiele sind:
Softwareprodukte
Apps
Betriebssysteme
Router und Netzwerkkomponenten
Smart-Home-Geräte
IoT-Produkte
Industrie- und OT-Systeme
vernetzte Maschinenkomponenten
Wearables und vernetzte Consumer-Geräte
Welche Produkte sind vom CRA ausgenommen?
Nicht jedes digitale Produkt fällt unter den CRA.
Ausgenommen sind insbesondere:
Medizinprodukte und In-vitro-Diagnostika,
Kraftfahrzeuge und bestimmte Fahrzeugkomponenten,
zertifizierte Luftfahrtprodukte,
Schiffsausrüstung,
reine SaaS-Dienste, die lediglich über Webseiten genutzt werden und nicht als Datenfernverarbeitungslösung eines Produkts mit digitalen Elementen einzustufen sind.
Gerade bei Cloud- und SaaS-Angeboten lohnt sich jedoch eine genaue Prüfung. Die Abgrenzung ist nicht immer einfach.
Welche Pflichten müssen gemäss dem CRA erfüllt werden?
Der CRA verteilt Pflichten entlang der gesamten Lieferkette. Die Hauptverantwortung trägt jedoch der Hersteller. Er muss die Cybersicherheit seiner Produkte sicherstellen, Schwachstellen während des gesamten Supportzeitraums managen, Sicherheitsvorfälle melden sowie die Einhaltung der gesetzlichen Anforderungen dokumentieren und nachweisen. Importeuren und Händlern kommen vor allem Kontroll-, Mitwirkungs- und Informationspflichten zu.
Wer gilt als „Hersteller“?
Auch hier ist Vorsicht geboten.
Der Herstellerbegriff des CRA ist deutlich weiter als viele Unternehmen erwarten. Hersteller ist nicht nur, wer ein Produkt tatsächlich produziert.
Hersteller kann auch sein, wer:
ein Produkt unter eigener Marke vertreibt,
ein Produkt entwickeln lässt,
ein Produkt unter eigenem Namen auf dem Markt bereitstellt.
Für Schweizer KMU bedeutet dies insbesondere: Wer Produkte unter eigenem Branding in die EU bringt, kann schnell in die volle Herstellerverantwortung geraten.
Was gilt ab dem 11. September 2026 bei den Meldepflichten?
Ab diesem Datum gelten die Meldepflichten des Artikels 14 CRA.
Hersteller müssen bestimmte Ereignisse an die zuständigen Stellen melden:
Aktiv ausgenutzte Schwachstellen
Wird bekannt, dass eine Sicherheitslücke tatsächlich von Angreifern ausgenutzt wird, besteht eine Meldepflicht.
Schwerwiegende Sicherheitsvorfälle
Meldepflichtig sind zudem schwerwiegende Vorfälle, die die Sicherheit des Produkts beeinträchtigen oder beeinträchtigen können.
Welche Fristen gelten für die Meldepflichten?
Die Fristen sind aussergewöhnlich kurz.
Innerhalb von 24 Stunden
Es muss eine erste Frühwarnung erfolgen.
Innerhalb von 72 Stunden
Es ist eine ausführlichere Meldung einzureichen. Diese enthält Informationen zum Produkt, zur Schwachstelle bzw. zum Vorfall sowie zu bereits ergriffenen Massnahmen.
Abschlussbericht
Bei Schwachstellen muss dieser spätestens 14 Tage nach Vorliegen einer Korrekturmassnahme erfolgen. Bei schwerwiegenden Sicherheitsvorfällen beträgt die Frist grundsätzlich einen Monat.
Müssen auch ältere Produkte gemeldet werden?
Ja.
Dies ist ein Punkt, den viele Unternehmen übersehen.
Die CRA-FAQs stellen ausdrücklich klar, dass die Meldepflichten auch für Produkte gelten können, die bereits vor dem 11. Dezember 2027 auf den Markt gebracht wurden.
Wer also heute bereits digitale Produkte in der EU vertreibt, sollte sich nicht darauf verlassen, bis Ende 2027 Zeit zu haben.
Was sollten Schweizer KMU jetzt tun?
Auch wenn die umfangreichen Produktanforderungen erst ab Dezember 2027 gelten, ist jetzt der richtige Zeitpunkt für die Vorbereitung.
Sinnvoll sind insbesondere:
Prüfung, ob eigene Produkte überhaupt unter den CRA fallen
Klärung der eigenen Rolle (Hersteller, Importeur, Händler)
Aufbau eines strukturierten Schwachstellenmanagements
Definition eines internen Meldeprozesses
Überprüfung von Lieferanten- und Vertriebspartnerverträgen
Dokumentation von Sicherheitsverantwortlichkeiten entlang der Lieferkette
FAZIT:Der Cyber Resilience Act ist kein Thema nur für grosse Technologiekonzerne. Viele Schweizer KMU fallen aufgrund ihrer Produkte oder Vertriebswege in den Anwendungsbereich der Verordnung. Besonders relevant wird der CRA bereits ab 11. September 2026, wenn die neuen Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle in Kraft treten. Unternehmen sollten deshalb nicht erst 2027 aktiv werden, sondern ihre Prozesse, Verantwortlichkeiten und Verträge bereits jetzt überprüfen. |
WEITERE INFORMATIONEN:
WIE ONLAW SIE UNTERSTÜTZT:
Wir unterstützen Unternehmen bei der Umsetzung von digitalen Themen sowie bei der Meldung von Sicherheitsvorfällen. Kontaktieren Sie uns jederzeit gerne.
Ihre Ansprechpersonen:
Caroline Danner
Rechtsanwältin & Inhaberin ONLAW
Foto by Dan Dimmock on Unsplash.
Kommentare