Inhalt in Kürze
- Stichtag 11. September 2026: Vulnerability-Disclosure und Vorfallmeldung an ENISA/BSI sind dann Pflicht für alle IoT-Hersteller, die in die EU liefern.
- Bußgelder bis 15 Mio € oder 2,5 % des weltweiten Jahresumsatzes — kein Schreckgespenst, sondern ab 2027 reale Praxis der Marktüberwachung.
- Bremen ist besonders exponiert: Schiffbau (Lürssen), Luft- und Raumfahrt (Airbus, OHB, Rheinmetall), Stahl (ArcelorMittal), Lebensmittel (Beck’s, Hachez) — fast jeder Bremer Industrie-Mittelständler liefert digitale Komponenten.
- CRA ist keine NIS2-Light: Es geht um Produkt-Compliance, nicht Betreiber-Pflichten — Lieferketten-Audits durch Großkunden starten 2026.
- 90 Tage Vorbereitung reichen für die Pflichtprozesse — aber nur, wenn jetzt begonnen wird.
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) ist die erste EU-Verordnung, die Cybersecurity in jedes Produkt mit digitalen Elementen einbaut — vom Schiffssensor bis zur Lebensmittelmaschinen-Steuerung. Wer in der EU vermarktet, trägt die Verantwortung über den gesamten Produktlebenszyklus. Für Bremer Hersteller wird der CRA bis 2027 zum Markteintritts-Filter.
Was der Cyber Resilience Act regelt — kurz und klar
Der Cyber Resilience Act (CRA) ist seit dem 11. Januar 2025 in Kraft. Er verpflichtet Hersteller, Importeure und Händler von „Produkten mit digitalen Elementen” — also praktisch jeder Hardware mit Firmware und jeder eigenständig verkaufbaren Software — zu verbindlichen Cybersecurity-Standards über den gesamten Produktlebenszyklus. Für Bremer Industrie-Mittelständler, deren Sensoren, Gateways und Steuerungen in Werften, Flugzeugen, Stahlwerken oder Lebensmittelproduktion landen, ist das die größte Compliance-Veränderung seit der DSGVO.
Konkret verlangt der CRA vier Dinge: erstens eine Konformitätsbewertung vor Markteinführung (Annex I Teil I — wesentliche Cybersecurity-Anforderungen). Zweitens ein CE-Kennzeichen mit explizitem CRA-Bezug. Drittens Sicherheits-Updates über den voraussichtlichen Nutzungszeitraum, mindestens fünf Jahre (Art. 13(8)). Viertens einen Vulnerability-Disclosure-Prozess mit Meldepflicht an ENISA innerhalb von 24 Stunden bei aktiv ausgenutzten Schwachstellen (Art. 14).
Wer das ignoriert, riskiert nach Art. 64 Bußgelder bis 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes — der höhere Wert zählt. Die EU-Kommission hat in ihrer offiziellen CRA-Dokumentation deutlich gemacht: Das ist kein Verhandlungsspielraum, sondern verbindlich. Das BSI hat parallel eine CRA-Informationsseite aufgesetzt, die als deutsche Referenz dient.
Stichtage 2026/2027 — was wann scharf wird
Der CRA hat eine gestufte Übergangsfrist. Drei Daten sollten in jedem Bremer Geschäftsführer-Kalender stehen:
Ab dem 11. September 2026 sind die Meldepflichten verbindlich: Aktiv ausgenutzte Schwachstellen müssen binnen 24 Stunden an ENISA (Frühwarnung), nach 72 Stunden detailliert und nach 14 Tagen abschließend gemeldet werden. Wer dann keinen produktiven Vulnerability-Disclosure-Prozess hat, läuft direkt in die Marktüberwachung.
Ab dem 11. Dezember 2027 gilt der CRA vollständig: Konformitätsbewertung, CE-Kennzeichnung mit CRA-Bezug, technische Dokumentation, Update-Verpflichtungen — alles scharf. Produkte ohne CRA-Konformität dürfen ab diesem Datum nicht mehr in der EU in Verkehr gebracht werden.
„Wir haben Zeit bis Ende 2027" stimmt nur für die materiellen Pflichten. Der Vulnerability-Disclosure-Prozess und die Meldekette müssen schon 2026 stehen. Wer jetzt nicht beginnt, hat in 15 Monaten ein Compliance-Loch — und große Kunden (Airbus, OHB, Lürssen) werden CRA-Konformität bereits 2026 vertraglich abfragen, auch wenn die EU-Frist erst später greift.
Wer in Bremen besonders betroffen ist
Bremen ist nach Hamburg der zweite industrielle Schwerpunkt Norddeutschlands — und der CRA trifft hier härter als in den meisten anderen Bundesländern. Vier Cluster ragen heraus:
Schiffbau und Werften
Die Lürssen-Gruppe in Lemwerder und Bremen-Vegesack baut Marine-Schiffe, Yachten und Spezialschiffe mit hochkomplexer digitaler Steuerung — Bridge-Systems, Engine-Management, Sensorik, IFF-Komponenten. Jeder dieser Bausteine ist ein „Produkt mit digitalen Elementen”. Ähnlich die Rönner Group und dutzende mittelständische Komponenten-Hersteller, die an internationale Werften liefern. Schiffe haben eine Lebensdauer von 25–30 Jahren — die CRA-Update-Pflicht von „mindestens fünf Jahren, aber so lange wie das Produkt voraussichtlich genutzt wird” ist hier de facto eine Generationen-Verpflichtung.
Luft- und Raumfahrt
Das Airbus-Werk Bremen baut Flügelhochauftriebssysteme und Bauteile für A320, A330, A350. OHB System AG in Bremen ist Europas führender Mittelstands-Satelliten-Bauer. Rheinmetall Electronics (vormals Atlas Elektronik) liefert Marine-Elektronik und Sonar-Systeme. In all diesen Produkten steckt Firmware — und die Aerospace-Branche hat ohnehin schon DO-326A/ED-202A als Cybersecurity-Standard, der nahtlos in CRA-Konformität übergeht. Vorteil: Wer schon DO-326A-konform entwickelt, ist auf 70 % CRA-fertig.
Stahl- und Schwerindustrie
ArcelorMittal Bremen mit über 3.000 Mitarbeitern betreibt eines der modernsten Stahlwerke Europas — Hochöfen, Walzstraßen, Kraftwerke sind durchgängig mit Sensorik und SPS-Steuerungen ausgerüstet. Hier ist Bremen nicht nur Produzent, sondern auch Großkunde: Wer Sensoren und Steuerungen an ArcelorMittal liefert, wird ab 2026 CRA-Nachweise im Beschaffungsprozess vorlegen müssen.
Lebensmittel-Cluster
Beck’s Brauerei (AB InBev), Kellogg’s, Hachez Chocolade — die Bremer Lebensmittelindustrie ist hochautomatisiert. Abfüllanlagen, MES-Systeme, Kühlketten-Monitoring laufen IoT-basiert. Der CRA gilt auch hier, selbst wenn die Produkte vergleichsweise unspektakulär wirken. Ein verwundbarer Temperaturlogger im Tiefkühl-LKW kann ein Einfallstor in das gesamte Konzern-Netz sein.
Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Die sechs CRA-Pflichten im Detail
1. Sicherheit „by Design and by Default” (Annex I Teil I)
Produkte müssen so entwickelt werden, dass sie nach aktuellem Stand der Technik vor unbefugtem Zugriff geschützt sind. Konkrete Anforderungen aus Annex I: keine Standardpasswörter wie „admin/admin”, verschlüsselte Datenspeicherung sensibler Informationen, sichere Authentifizierung, Minimalprinzip bei Datenerfassung, Angriffsflächen-Reduktion. Für Bremer Werften-Zulieferer bedeutet das oft: Bestehende Embedded-Architekturen müssen überarbeitet werden — viele Steuerungen wurden vor 10–15 Jahren entworfen, als „security by obscurity” noch akzeptiert war.
2. Vulnerability-Management (Annex I Teil II)
Sie brauchen einen kontinuierlichen Prozess zur Identifikation, Behebung und Kommunikation von Schwachstellen. Dazu gehört ein Software Bill of Materials (SBOM) in maschinenlesbarem Format (SPDX oder CycloneDX), das alle eingesetzten Komponenten — auch Open-Source — auflistet. Wer heute nicht weiß, welche Log4j-Version in welchem Produkt steckt, hat in 2 Jahren ein Problem.
3. Updates über den Lebenszyklus
Mindestens fünf Jahre nach Markteintritt müssen Sicherheitsupdates kostenlos und „ohne ungerechtfertigte Verzögerung” bereitgestellt werden. Bei Produkten mit erwarteter längerer Nutzungsdauer (Schiffe, Flugzeugkomponenten, industrielle Steuerungen) entsprechend länger.
- SBOM-Tooling einführen: Tools wie Syft, Anchore oder kommerzielle Lösungen (Snyk, JFrog Xray) in CI/CD-Pipeline integrieren — automatisch bei jedem Build.
- Vulnerability-Feed-Anbindung: NVD, BSI-CERT-Bund-Feeds, Vendor-Advisories automatisch abgleichen.
- Update-Mechanismus implementieren: Sichere Auslieferungskette (signed firmware, OTA-Updates mit Rollback).
- Field-Update-Tests: Update-Roll-out-Plan, Pilotkunden, Eskalationsstufen — vorher üben, nicht erst im Ernstfall.
- End-of-Life-Kommunikation: Klar definieren, wann ein Produkt aus dem Update-Lifecycle fällt, und Kunden frühzeitig informieren.
4. Konformitätsbewertung
Die meisten Produkte durchlaufen ein internes Verfahren (Modul A — Selbstdeklaration). „Wichtige” Produkte (Anhang III Klasse I/II) brauchen aufwendigere Module (B+C oder H). „Kritische” Produkte (Anhang IV — Smartmeter-Gateways, Smartcards mit Security, dedizierte Hardware-Security-Boxes) brauchen externe Prüfung durch eine notifizierte Stelle.
5. CE-Kennzeichnung mit CRA-Bezug
Das CE-Kennzeichen muss ab Dezember 2027 explizit auf CRA-Konformität verweisen. Die EU-Konformitätserklärung muss erstellt, mitgeführt und Marktüberwachungsbehörden auf Anfrage vorgelegt werden.
6. Technische Dokumentation
Annex VII listet detailliert, welche Dokumente vorzuhalten sind: Threat-Modeling-Reports, Risikobewertung, SBOM, Testberichte, Update-Konzept, Vulnerability-Disclosure-Policy, Incident-Response-Plan. Aufbewahrungsfrist: 10 Jahre nach letztem Inverkehrbringen.
Threat-Modeling klingt akademisch, ist aber das Herzstück der CRA-Compliance. Wir empfehlen die STRIDE-Methodik (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) — pro Produktlinie ein 2-Tages-Workshop, danach pro neuer Major-Version ein Refresh. Das ist auch der einfachste Ausgangspunkt für die geforderte Risikobewertung.
Vulnerability-Disclosure ab September 2026
Der frühe Stichtag ist die Disclosure-Pflicht. Sie umfasst zwei Komponenten:
Inbound — Externe Sicherheitsforscher müssen Schwachstellen melden können. Sie brauchen eine security.txt (RFC 9116) auf Ihrer Website, eine dedizierte E-Mail-Adresse (z.B. security@firma.de), idealerweise eine veröffentlichte PGP-Public-Key-Adresse, und ein Coordinated-Vulnerability-Disclosure-Policy-Dokument. Antwortzeit: 72 Stunden Ersteingangsbestätigung.
Outbound — Bei aktiv ausgenutzten Schwachstellen oder schwerwiegenden Vorfällen müssen Sie nach Art. 14 melden:
- Frühwarnung an ENISA innerhalb 24 Stunden nach Kenntnisnahme.
- Detaillierte Meldung an ENISA und nationale CSIRT (in Deutschland: BSI-CERT-Bund) innerhalb 72 Stunden mit allen verfügbaren technischen Details.
- Endbericht spätestens 14 Tage nach Behebung oder, falls noch nicht möglich, monatlicher Status-Update.
- Information der betroffenen Nutzer: „Ohne ungerechtfertigte Verzögerung" und mit klaren Handlungsanweisungen.
- Coordinated Disclosure: Vor öffentlicher Bekanntgabe muss ein Patch verfügbar sein, abgestimmt mit ENISA.
In der Praxis heißt das: Sie brauchen einen Incident-Response-Prozess, der binnen Stunden eskalierbar ist — inklusive Geschäftsführung, Rechtsabteilung, Technik, Kommunikation. Das ist kein Thema, das man „neben dem Tagesgeschäft” mitlaufen lassen kann. Wir empfehlen für Bremer Mittelständler die Einbindung in einen externen Cybersecurity-Dienstleister mit 24/7-Bereitschaft.
Lieferketten-Audit durch Großkunden — die unterschätzte Frühwirkung
Die EU-Übergangsfrist endet 2027 — aber für Bremer Zulieferer wird der Druck deutlich früher real. Großkunden wie Airbus, Lürssen, ArcelorMittal nutzen den CRA als Hebel, um Lieferanten-Cybersecurity zu erhöhen. Drei Mechanismen:
- Vertragliche CRA-Konformität ab 2026 — Neue Rahmenverträge enthalten Klauseln, die CRA-Konformität bereits vor dem 2027er-Stichtag verlangen. Wer das nicht liefern kann, fliegt aus dem Bieterkreis.
- Lieferanten-Self-Assessments — Großkunden verlangen jährliche Cybersecurity-Fragebögen, ähnlich wie schon heute mit DSGVO-Auftragsverarbeitungsverträgen. Wer kein SBOM, keine Vulnerability-Policy, kein Incident-Response-Konzept vorzeigen kann, wird kritisch eingestuft.
- Audit-Rechte — In sicherheitskritischen Branchen (Werften, Aerospace) sind On-Site-Audits üblich. Auditoren werden ab 2026 CRA-Konformität direkt prüfen.
Praktische Konsequenz für Bremer Hersteller: Wer als Zulieferer von Lürssen, Airbus oder ArcelorMittal positioniert ist, sollte die CRA-Vorbereitung als Marktzugangs-Voraussetzung betrachten, nicht als regulatorisches Bonus-Thema.
Wir wären ein leichtes Opfer — das weiß ich. Da hätte ich gerne einen verlässlichen Partner, der davon mehr versteht als ich als Laie.
90-Tage-Fahrplan für Bremer Mittelständler
Wir empfehlen Bremer Industrie-Herstellern den folgenden 90-Tage-Plan, um in 2026/2027 souverän aufzustellen:
Phase 1: Inventur und Klassifizierung (Wochen 1–2)
- Vollständige Produktliste aller Hardware/Software mit digitalen Elementen
- Klassifizierung nach CRA-Anhängen (Default, wichtig Klasse I/II, kritisch Klasse III)
- EU-Vermarktungswege (direkt, über Distributor, OEM-Komponenten)
- Identifikation der Verantwortlichkeiten: Wer ist Hersteller, wer Importeur, wer Händler?
Phase 2: Gap-Analyse Entwicklungsprozess (Wochen 3–6)
- Vergleich Soll/Ist gegenüber Annex I Teil I (Security by Design)
- Threat-Modeling-Workshops pro Produktlinie (STRIDE-Methodik)
- Bewertung Software-Development-Lifecycle: Code-Reviews, Static Analysis (SAST), Dynamic Testing (DAST), Penetration Tests
- SBOM-Tooling auswählen und in CI/CD integrieren
Phase 3: Disclosure und Incident-Response (Wochen 7–10)
- Vulnerability-Disclosure-Policy schreiben und auf Website veröffentlichen
- security.txt anlegen, PGP-Key publizieren
- Incident-Response-Plan mit Eskalationsmatrix
- Tabletop-Übung: simulierter Vorfall, Stoppuhr, Lessons Learned
Phase 4: Roadmap und Budget (Wochen 11–12)
- Priorisierung nach Produkt-Kritikalität und Klassifizierung
- Budget-Planung (typischerweise 80.000–200.000 € einmalig + 30.000–80.000 € jährlich)
- Verantwortlichkeiten: Wer ist CRA-Beauftragter? (Pflicht nach Art. 13)
- Schulungsplan: Entwickler, QA, Support, Vertrieb
Schnittstellen zu NIS2 und Maschinenverordnung
Drei EU-Regelwerke greifen ineinander — und doppelte Arbeit lässt sich vermeiden:
| Regelwerk | Wen trifft es? | Stichtag | Bremer Relevanz |
|---|---|---|---|
| NIS2 | Betreiber kritischer/wichtiger Einrichtungen | in DE seit 6.12.2025 in Kraft | Krankenhäuser, Energieversorger, größere Industrie ab 50 MA |
| CRA | Hersteller von Produkten mit digitalen Elementen | 11.09.2026 / 11.12.2027 | Praktisch jede IoT-relevante Bremer Firma |
| Maschinenverordnung 2023/1230 | Hersteller von Maschinen mit Sicherheitsfunktion | 14.01.2027 | Maschinen-/Anlagenbau, Werft-Zulieferer |
Wer als Bremer Werften-Zulieferer Sensoren in eine KRITIS-relevante Werft liefert, ist gleichzeitig NIS2-Lieferkette und CRA-Hersteller und Maschinenverordnungs-pflichtig. Das gemeinsame Threat-Modeling und SBOM-Tooling kann alle drei Regelwerke bedienen — vorausgesetzt, es ist von Anfang an so geplant. Mehr dazu in unserem Praxisartikel zur NIS2-Lieferkette für Werften in Kiel — die Logik gilt 1:1 für Bremen.
Häufige Fehler bei der CRA-Vorbereitung
Aus über 15 CRA-Beratungsprojekten in der Norddeutschen Industrie haben wir folgende Stolperfallen gesammelt:
- „CRA betrifft nur Software-Firmen." Falsch. Jeder Hersteller von Hardware mit Firmware ist Hersteller im CRA-Sinne — auch wenn er sich primär als Maschinenbauer versteht.
- „Wir kaufen Komponenten zu, sind also nicht zuständig." Falsch. Wer ein Produkt unter eigenem Namen in Verkehr bringt, ist Hersteller. Komponenten-Lieferanten sind zusätzlich verantwortlich, ersetzen Sie aber nicht.
- „Wir warten ab, was die Kommission noch konkretisiert." Risiko. Die Kommission veröffentlicht durchführende Rechtsakte und Standards — die Kern-Pflichten ändern sich aber nicht mehr.
- „SBOM machen wir, wenn wir es brauchen." Zu spät. Wenn ein Vorfall kommt und Sie binnen 24 Stunden Auskunft über betroffene Komponenten geben müssen, ist es zu spät, das SBOM dann zu erstellen.
- „Wir machen die Disclosure-Policy intern und veröffentlichen sie nicht." Falsch. CRA Art. 14 verlangt explizit, dass der Prozess für externe Forscher zugänglich ist.
- „Open-Source-Komponenten sind frei nutzbar." Lizenztechnisch ja — aber CRA-Verantwortung bleibt beim Inverkehrbringer.
Wo Sie Unterstützung bekommen
Der CRA ist komplex, und kein Bremer Mittelständler muss das allein stemmen. Drei Anlaufstellen:
- BSI Bremen / BSI Bonn — Die kostenfreien Informationsangebote des BSI sind eine seriöse Ausgangsbasis. Der CRA-Leitfaden des BSI wird laufend aktualisiert.
- IHK Bremen und WFB Wirtschaftsförderung — Bieten regelmäßig kostenfreie Informationsveranstaltungen.
- Externe IT-Sicherheitspartner — Für die operative Umsetzung (Threat-Modeling, SBOM, Disclosure-Prozess, Incident-Response). Unsere IT-Beratung Bremen begleitet Bremer Hersteller von der Gap-Analyse bis zur Pilotzertifizierung. Wer noch grundlegend NIS2 sortieren muss, findet Anschluss in unserer NIS2-Beratung Hamburg.
Praxisorientierte Vertiefung in zwei verwandten Themen: NIS2 nach 12 Monaten — was wirklich funktioniert und unsere Cyber-Risiko-Analyse aus der Mittelstandspraxis.
CRA-Vorbereitung im Bremer Mittelstand — wir helfen pragmatisch.
15-Min-Erstgespräch kostenlos. Klärt: Wo stehen Sie, was sind die nächsten 3 Schritte, wer macht's. Ohne Vertriebsdruck, ohne Beraterspeech.
Erstgespräch buchen →
