Cyber Resilience Act für KI-Anbieter (VO (EU) 2024/2847)

Kurz beantwortet: Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verpflichtet Anbieter von Produkten mit digitalen Elementen, dazu zählt Software mit KI-Komponenten, zu durchgehender Cybersicherheit über den gesamten Lebenszyklus. Für Hochrisiko-KI-Systeme erfüllt CRA-Konformität zugleich die Cybersicherheitsanforderung des AI Act.

Neben dem AI Act und der DSGVO tritt eine dritte Verordnung, die für KI-Anbieter zunehmend relevant wird: der Cyber Resilience Act. Er verpflichtet Hersteller von Produkten mit digitalen Elementen, und dazu zählt Software mit KI-Komponenten, zu durchgehender Cybersicherheit über den gesamten Lebenszyklus. Wer KI-Systeme baut oder in Produkte integriert, sollte diese Pflichten früh mitdenken, denn sie greifen zeitlich gestaffelt ab 2026.

Was verlangt der CRA: Sicherheit über den Lebenszyklus?

Der Kern steht in Art. 13 CRA: Hersteller müssen ihre Produkte so konzipieren, entwickeln und herstellen, dass sie ein angemessenes Cybersicherheitsniveau gewährleisten, Cybersecurity-by-design nach den grundlegenden Anforderungen des Anhangs I. Dazu gehören eine Cybersicherheits-Risikobewertung (Art. 13 Abs. 2 CRA), die Bereitstellung von Sicherheitsupdates über einen Unterstützungszeitraum von grundsätzlich mindestens fünf Jahren (Art. 13 Abs. 8 CRA), eine technische Dokumentation samt CE-Kennzeichnung (Art. 13 Abs. 12 CRA) und die klare Angabe des Support-Enddatums gegenüber den Nutzern (Art. 13 Abs. 19 CRA). Cybersicherheit ist damit keine einmalige Prüfung, sondern eine Dauerpflicht.

Wie verzahnt sich der CRA mit dem AI Act?

Für KI-Anbieter besonders wichtig ist Art. 12 CRA: Erfüllt ein Hochrisiko-KI-System die Cybersicherheitsanforderungen des CRA nach Anhang I, gilt damit zugleich die Cybersicherheitsanforderung des Art. 15 KI-VO als erfüllt. Der CRA und der AI Act sind also verzahnt, eine einheitliche Konformitätsbewertung nach Art. 43 KI-VO ist möglich. Das erspart Doppelarbeit, setzt aber voraus, dass die CRA-Pflichten von Anfang an in die Entwicklung eingebaut werden. Wer beide Rahmen getrennt behandelt, verschenkt diesen Synergieeffekt. Die vollständige Übersicht der KI-VO-eigenen Fristen führt der Beitrag EU AI Act: alle Fristen im Überblick.

Wie sind die CRA-Fristen gestaffelt?

• 11. Juni 2026

  Bestimmungen zu den notifizierten Konformitätsbewertungsstellen (Kapitel IV).

  Art. 71 CRA

• 11. September 2026

  Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle.

  Art. 14, Art. 71 CRA

• 11. Dezember 2027

  Der CRA gilt im Grundsatz vollständig.

  Art. 71 CRA

Die Meldepflicht kommt damit deutlich vor dem allgemeinen Geltungsbeginn, ein Punkt, den viele übersehen.

Was sollten Sie jetzt tun?

• Betroffenheit klären: Enthält Ihr Produkt digitale Elemente, die selbstständig oder verbunden Daten verarbeiten? Dann greift der CRA.
• Security-by-design verankern: Cybersicherheit in den Entwicklungsprozess einbauen, nicht nachträglich aufsetzen.
• Support-Zeitraum planen: Mindestens fünf Jahre Sicherheitsupdates einkalkulieren und kommunizieren.
• Meldeprozess aufbauen: Bis September 2026 ein Verfahren für die Vorfall- und Schwachstellenmeldung etablieren.
• Mit dem AI Act koppeln: Bei Hochrisiko-KI die Konformitätsbewertung von CRA und KI-VO gemeinsam aufsetzen.

Wer die drei Rahmen, AI Act, DSGVO und CRA, zusammen denkt, baut Compliance einmal richtig ein, statt sie dreimal getrennt nachzurüsten. Für Software- und SaaS-Unternehmen tritt seit Dezember 2025 ein vierter Rahmen hinzu: NIS2 verpflichtet je nach Größe und Sektor unmittelbar oder über die Lieferkette, mit eigenen, meist kürzeren Meldefristen als der CRA.

Häufige Fragen

Fällt KI-Software unter den Cyber Resilience Act?

Ja. Der CRA erfasst Produkte mit digitalen Elementen, wozu Software mit KI-Komponenten zählt. Maßgeblich ist, ob das Produkt selbstständig oder verbunden Daten verarbeitet.

Wie lange müssen Sicherheitsupdates bereitgestellt werden?

Nach Art. 13 Abs. 8 CRA sind Sicherheitsupdates über einen Unterstützungszeitraum von grundsätzlich mindestens fünf Jahren bereitzustellen. Das Support-Enddatum ist den Nutzern klar anzugeben.

Muss ich CRA und AI Act getrennt umsetzen?

Nein. Nach Art. 12 CRA gilt mit der Erfüllung der CRA-Cybersicherheitsanforderungen zugleich die Anforderung des Art. 15 KI-VO als erfüllt. Eine einheitliche Konformitätsbewertung nach Art. 43 KI-VO ist möglich.

Ab wann gelten die CRA-Meldepflichten?

Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle greifen ab dem 11. September 2026, während der CRA im Grundsatz erst ab dem 11. Dezember 2027 vollständig gilt.

Sie entwickeln KI-gestützte Software und wollen CRA und AI Act zusammen aufsetzen? In einem 30-minütigen Erstgespräch klären wir Ihre Pflichten und den Zeitplan. Vertiefend zu allen Facetten des betrieblichen KI-Einsatzes: der Leitfaden KI im Unternehmen einsetzen. Fachliche Begleitung im IT-Recht: IT-Recht als Leistung.

→ Erstgespräch anfragen