CRA – Cyber Resilience Act und Lieferantenpflichten einfach erklärt

Autor Christian Ehrmann · Stand 28.08.2026 · https://www.catenis.de/lexikon/cra

Bei Zitat URL und Abrufdatum angeben. Keine Rechtsberatung.

Was es ist

Der Cyber Resilience Act stellt Anforderungen an Produkte mit digitalen Elementen, einschließlich Sicherheitsupdates und Software-Stückliste. Catenis fragt CRA/SBOM im Cyber-Premium-Fragebogen ab. Die Konformitätsbewertung bleibt extern; die Pflicht erreicht oft Zulieferer über Kundenanforderungen.

Der CRA zielt auf das Produkt: Hardware mit Firmware, Software, vernetzte Geräte. Hersteller und bestimmte Inverkehrbringer müssen Sicherheit über den Lebenszyklus halten, Schwachstellen annehmen, Updates liefern und Transparenz zur Zusammensetzung schaffen. Das ist eine andere Achse als NIS-2, das den Betrieb der Einrichtung schützt.

Im Mittelstand kommt die Pflicht oft zuerst als Kundenfrage: „Liefern Sie eine SBOM? Wie lange patchen Sie? Wer ist der Ansprechpartner für Schwachstellen?“ Catenis stellt genau diese Fragen im Cyber-Premium-Fragebogen. Es stellt keine EU-Konformitätserklärung aus und bewertet keine CE-Kennzeichnung.

Eine positive Bogenantwort heißt: der Lieferant hat etwas vorgelegt oder behauptet. Sie heißt nicht, das Produkt sei konform. Die Bewertung, Tests und die technische Dokumentation bleiben beim Verpflichteten und seinen Stellen.

Übergangsfristen und Produktklassen stehen in der Verordnung. Dieses Lexikon datiert sie nicht als Hausnummer, weil die verbindliche Fassung und delegierte Rechtsakte den Kalender tragen. Arbeitsregel: wer liefert, muss die Frage nach Updates und Stückliste beantworten können, sobald der Kunde sie stellt.

Open-Source-Stewardship und reiner Downstream-Einsatz sind im CRA getrennt gedacht. Wer nur einpackt und weiterverkauft, hat andere Pflichten als wer den Code schreibt. Catenis fragt die Lage im Bogen. Es entscheidet die Rolle nicht.

Geltungsbereich

Adressaten sind Hersteller, Importeure und Händler bestimmter Produkte mit digitalen Elementen, plus Open-Source-Sonderregeln im Gesetz. Die Produktliste und Übergangsfristen stehen in der Verordnung. Hier wird kein Produkt eingeordnet.

Wer nur Betreiber ist und fremde Software nutzt, ist oft nicht CRA-Hersteller, bekommt die Fragen aber als Kunde, der seine Lieferkette nach NIS-2 steuert. Dann ist der Bogen das Werkzeug, nicht ein CRA-Modul. Catenis hat keins.

SBOM ist der sichtbare Ausschnitt. Updates, Supportende und Meldewege für Schwachstellen gehören dazu. DORA bleibt Finanzbetrieb; NIS-2 bleibt Einrichtungsbetrieb. Drei Texte, eine Lieferantenakte, wenn der Partner Software an regulierte Kunden liefert.

Maschinen mit Steuerung, medizinische Geräte und IoT in der Halle sind typische Treffer in der Industrie, sobald sie digitale Elemente tragen. Ob das konkrete Gerät fällt, sagt die Verordnung und die Beratung. Der Einkauf kann trotzdem die SBOM und den Patchweg abfragen, bevor jemand die Einordnung fertig hat.

Importeure und Händler dürfen sich nicht hinter dem außereuropäischen Hersteller verstecken, wo das Gesetz sie in die Pflicht nimmt. Der Bogen an den Lieferanten ersetzt deren eigene Bewertung nicht. Er macht sichtbar, was fehlt.

Was zu tun ist

Klären, ob das eigene Haus Hersteller/Inverkehrbringer ist oder nur abfragt. Im ersten Fall gehört die Konformitätsarbeit außerhalb der Plattform: technische Doku, Bewertung, Kennzeichnung. Im zweiten Fall der Premium-Bogen an die Software- und Gerätepartner.

SBOM und Update-Aussagen mit Datum und Datei verlangen. Eine mündliche Zusage „wir haben eine Liste“ trägt nicht. In Catenis den Nachweis am Lieferanten halten.

Supportende und Patch-Verantwortung in der Akte führen. Ein Gerät ohne Updateweg ist ein Risiko für die eigene NIS-2-Maßnahme Erwerb/Wartung, unabhängig vom CRA-Label.

Keine Konformität aus der Ampel ableiten. Grün heißt: Frage beantwortet und Datei da. Die Bewertung bleibt extern.

Supportende und CVE-Kontakt in derselben Akte halten wie die SBOM. Ein Gerät mit Stückliste ohne Patchweg bleibt ein Risiko für die eigene Wartungsmaßnahme. Frist setzen, bevor die Linie das Gerät nicht mehr ersetzen kann.

Eigene Herstellerrolle, falls sie greift, außerhalb führen: technische Dokumentation, Bewertung, Kennzeichnung. In Catenis höchstens den Stand und die Lieferantennachweise ablegen. Die Plattform ist kein Konformitätsmodul.

Maschinen- und Gerätepartner mit digitalem Anteil auf dieselbe Liste wie die Softwarehäuser. Der Premium-Bogen erreicht beide. Wer nur SaaS fragt, lässt die Steuerung in der Halle ohne Stückliste.

Typischer Fehler

Der häufigste Fehler: CRA mit NIS-2 zu verwechseln und die Leitlinie der Einrichtung als Produktnachweis zu schicken. Der zweite: eine SBOM ohne Versionsbezug, die zu einem anderen Build gehört. Der dritte: den Premium-Bogen als Konformitätsbewertung zu verkaufen.

Wer nur den Endhersteller fragt und den Chip- oder Stack-Lieferanten ignoriert, bekommt eine glatte, leere Liste.

Der vierte: „CE ist schon drauf“ als Antwort auf SBOM und Updateweg. Kennzeichnung und Stückliste sind verschiedene Nachweise. Der fünfte: den Bogen nur an Softwarehäuser zu schicken und die SPS in der Halle zu vergessen. Wer die Konformität aus einer grünen Ampel ableitet, hat den CRA mit einem Fragebogen verwechselt.

Grenze

Das Lexikon sagt nicht, ob ein Produkt unter den CRA fällt oder welche Konformitätsstelle zuständig ist.

Catenis fragt CRA/SBOM im Premium-Bogen und dokumentiert die Antworten. Konformitätsbewertung, Kennzeichnung und Behördenwege bleiben extern. DORA-Aufsicht bleibt ebenfalls außen. Die Pflicht erreicht Zulieferer oft zuerst über die Kundenanforderung, nicht über ein eigenes CRA-Modul. Grün heißt Datei da, nicht Produkt frei. Updates und Supportende gehören neben die Stückliste in dieselbe Lieferantenakte des Partners.