Cyber Resilience Act macht Cybersicherheit für vernetzte Produkte zur Pflicht

Ab 2027 gelten in der EU verbindliche Anforderungen an die Cybersicherheit vernetzter Produkte. Der Cyber Resilience Act zwingt Hersteller zu neuen Prozessen. Zentrales Instrument ist dafür auch der digitale Produktpass.

Von unserem Gastautor Dr. Carsten Stöcker, Geschäftsführer von Spherity GmbH

[datensicherheit.de, 23.07.2026] Sicherheit von Anfang an, das gilt ab Ende 2027 für alle vernetzten Hard- und Softwareprodukte. Diese Anforderung folgt aus dem Cyber Resilience Act (CRA), der das Sicherheitsniveau von Produkten und die Verlässlichkeit im Betrieb regelt. Seine Kernaussage: Produkte müssen so entwickelt werden, dass sie ein Mindestmaß an Cybersicherheit erfüllen. Das betrifft zum Beispiel sichere Voreinstellungen und verkleinerte Angriffsflächen. Für Nutzer ist somit weniger eigene Absicherung nötig.

Dr. Carsten Stöcker, Geschäftsführer von Spherity GmbH, Bild: Spherity GmbH

Anforderungen durch den Cyber Resilience Act

Die EU-Verordnung reguliert in erster Linie Produkte mit digitalen Elementen. Das sind beispielsweise IoT-Geräte wie Industriesteuerungen, vernetzte Maschinen, Sensoren oder Komponenten aus der Industrieautomation. Auch klassische IT-Lösungen wie Betriebssysteme oder Business-Software fallen darunter. Stark betroffen ist der Bereich Consumer Electronics, etwa Smart-TVs oder vernetzte Haushaltsgeräte. Weitere vom CRA abgedeckte Marktsegmente sind Medizintechnik, Automotive oder Energieversorgung.

Zunächst gilt es zu klären, was der Cyber Resilience Act von Herstellern erwartet. Im Kern fordert er „Security by Design” und „Security by Default”: Produkte müssen so entwickelt werden, dass sie ein angemessenes Niveau an Cybersicherheit erreichen. Dazu gehört, Risiken frühzeitig zu bewerten und Schwachstellen während des Supportzeitraums rasch zu beheben. Hinzu kommen eine korrekte technische Dokumentation sowie Nutzerinformationen und ein Meldeprozess für Vorfälle.

Der digitale Produktpass als Grundlage

Für Unternehmen ist das keine klassische Compliance-Aufgabe, shttps://www.ipk.fraunhofer.de/de/kompetenzen-und-loesungen/industrietrends/kreislaufwirtschaft/digitaler-produktpass-dpp.htmlondern setzt eine Anpassung der operativen Steuerung voraus. Sie müssen wissen, welche Softwarekomponenten es im Produkt gibt, welche Zulieferer beteiligt sind, wie lange es Sicherheitsupdates gibt, wie genau die Vernetzung funktioniert, welche Protokolle eingesetzt werden und vieles mehr. Die Anforderungen sind hoch, der gesamte Produktlebenszyklus muss auf Cybersecurity ausgerichtet werden. Das betrifft die Fertigung ebenso wie das weitere Produktleben. Hier schließt sich eine zweite Frage an: Wie lassen sich diese Daten sammeln und für den gesamten Lebenszyklus leicht verfügbar speichern?

Das beste Werkzeug für diesen Zweck ist ebenfalls ein Element der EU-Regulierung: der digitale Produktpass (DPP), der ab 2027 laut Ökodesign-Verordnung ESPR (Ecodesign for Sustainable Products Regulation) Pflicht für alle Elektronikprodukte ist. Die EU-Verordnung sieht vor, dass jeder Akteur innerhalb einer Wertschöpfungskette seine eigenen Produktdaten bereitstellt. Deshalb müssen alle elektronischen Geräte einen Produktpass besitzen, auch Komponenten oder Baugruppen wie Netzteile oder Steuerungssysteme.

Nachhaltigkeit und Cybersecurity verknüpfen

Ein Produktpass ist ein maschinenlesbarer Datensatz, der mit Software gespeichert und ausgelesen wird. Jedes einzelne Produkt erhält eine eindeutige Kennzeichnung, die gut sichtbar und leicht erkennbar am Gehäuse oder dem Produkt selbst angebracht werden muss. Die einfachste Möglichkeit ist ein Aufkleber mit einem QR-Code. Er führt nach dem Scannen auf eine Cloud-Anwendung wie die von Spherity, die alle gewünschten Daten anzeigt. Auf diese Weise begleitet der Produktpass jedes Gerät über seinen gesamten Lebensweg und liefert Reparaturbetrieben, Verwertern und Weiterverarbeitern sämtliche notwendigen Informationen.

Der Nachhaltigkeitsaspekt steht in der öffentlichen Diskussion meist im Vordergrund. Doch für vernetzte Elektronikprodukte lässt er sich direkt mit Cybersecurity-Anforderungen verknüpfen. Der Pass ist dann ein Datenspeicher für alle Informationen rund um Sicherheit. Die CRA-Verordnung verlangt nämlich eine belastbare technische Dokumentation. Dazu gehört eine lange Liste an unterschiedlichen Informationen: Risikobewertungen, Architekturinformationen, Nachweise zu umgesetzten Schutzmaßnahmen, Testverfahren, Supportprozesse und Unterlagen für die Konformitätsbewertung wie beispielsweise Angaben zu den Security-Maßnahmen oder Update-Historien.

Ein ähnlicher Trend zeigt sich in der Energiewirtschaft: Auch dort werden für immer mehr Netzkomponenten und Assets digitale Zwillinge und DPP-artige Datenmodelle aufgebaut, damit transparent wird, was im Stromnetz verbaut ist, woher kritische Komponenten stammen und wie sich Abhängigkeiten sowie Cyberrisiken besser bewerten lassen. Das ist besonders bei Komponenten aus Drittstaaten relevant. Für industrielle Großbatterien ist ein digitaler Batteriepass ab dem 18. Februar 2027 ohnehin verbindlich, für immer mehr Netzkomponenten und Assets wird der DPP schrittweise folgen.

Datenbasis für Audits und Betriebssicherheit

Solche für die Produktsicherheit notwendigen Informationen sind in vielen Unternehmen auf unterschiedliche IT-Systeme verteilt. Der Produktpass bündelt diese Daten und macht sie dauerhaft verfügbar. Das hilft bei Audits durch Behörden und schafft eine hohe Lieferkettentransparenz. Denn sobald Drittsoftware oder externe Dienste Teil eines Produkts sind, müssen deren Risiken in die Gesamtbewertung einfließen. Ein Produktpass kann diese Zusammenhänge sichtbar machen.

Auch in der Betriebsphase bietet der Produktpass klare Vorteile, denn der Cyber Resilience Act endet nicht mit dem Verkauf. Hersteller müssen Schwachstellen über den gesamten Supportzeitraum behandeln und bei Sicherheitsvorfällen schnell reagieren. Am Ende des Produktlebens rücken dann Recycling-Aspekte in den Fokus. Das betrifft die Hersteller, aber auch den Handel. Er ist verpflichtet, nicht mehr benutzte oder reparierbare Geräte zurückzunehmen. Hier steigt die Effizienz, wenn alle Informationen an einem zentralen Ort gespeichert sind.

Steuerungsinstrument für CRA-Compliance

So zeigt sich, dass es sich beim CRA nicht um ein isoliertes Regulierungsthema handelt. Die Verordnung greift tief in Produktstrategie, Entwicklungsprozesse, Einkauf und After-Sales-Strukturen ein. Mit dem digitalen Produktpass können Unternehmen diese Transformation steuern und beschleunigen. Er macht Sicherheitsprozesse sichtbar und für Behörden überprüfbar. Unternehmen können damit eine frühzeitige CRA-Compliance schaffen und vereinfachen den Marktzugang. Der digitale Produktpass wird damit zu einem operativen Steuerungswerkzeug für sichere und marktfähige digitale Produkte.

Weitere Informationen zum Thema:

datensicherheit.de, 12.07.2026
Cyber Resilience Act (CRA): Bringschuld der Unternehmen per September 2026

datensicherheit.de, 30.04.2026
FTAPI gibt CRA-Tipps für KMU: Cyber Resilience Act oft ein Buch mit 7 Siegeln

datensicherheit.de, 18.10.2024
Cyber Resilience Act der EU (CRA): Verabschiedung und Konsequenzen für Unternehmen