# Cyber Resilience Act

**Was ist der Cyber Resilience Act?**

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, stellt Sicherheitsanforderungen an Produkte mit digitalen Elementen. Er richtet sich an jene, die solche Produkte auf den Markt bringen: Hersteller, Importeure und Händler.

Für die meisten Betriebe ist die wichtigste Aussage eine entlastende. Wer Software lediglich einsetzt, wird von der Verordnung nicht verpflichtet. Die Pflichten treffen die Wirtschaftsakteure, die ein Produkt bereitstellen.

Achtung ist dort geboten, wo diese Grenze verschwimmt. Wer ein zugekauftes Produkt unter eigenem Namen oder eigener Marke vertreibt, gilt nach Art. 21 der Verordnung als Hersteller. Dasselbe gilt nach Art. 22, wenn ein Produkt wesentlich verändert und dann bereitgestellt wird. Betriebe, die Geräte oder Software mit eigenem Logo weitergeben, sollten das prüfen lassen.

Zu den Fristen. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten. Die Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle nach Art. 14 gelten ab dem 11. September 2026. Die übrigen Pflichten gelten ab dem 11. Dezember 2027. Das ist unsere Interpretation der Verordnung und keine Rechtsberatung.

## Verwandte Begriffe
- [NIS2](https://vetosec.at/it-sicherheit/nis2/)
- [Schwachstelle und Schwachstellenanalyse](https://vetosec.at/it-sicherheit/schwachstelle/)
- [Patch-Management und Updates](https://vetosec.at/it-sicherheit/patch-management/)
- [Angriff über die Lieferkette](https://vetosec.at/it-sicherheit/supply-chain-angriff/)

## Quelle
https://vetosec.at/it-sicherheit/cyber-resilience-act/ (vetosec, recht)