Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) (Text von Bedeutung für den EWR)

Die Verordnung (EU) 2024/2847 ist eine unmittelbar geltende EU-Verordnung zur Vollharmonisierung horizontaler Cybersicherheitsanforderungen für Produkte mit digitalen Elementen im Binnenmarkt. Sie stützt sich auf Art. 114 AEUV, regelt das Inverkehrbringen solcher Produkte, die Pflichten der Wirtschaftsakteure, Konformitätsbewertung, CE-Kennzeichnung, Marktüberwachung und Sanktionen und ergänzt zugleich das bestehende unionsrechtliche Cybersicherheits- und Produktsicherheitsrecht. Inhaltlich verpflichtet sie Hersteller zu sicherer Konzeption, Entwicklung und Herstellung, zu Risikobewertung, Schwachstellenmanagement, Sicherheitsaktualisierungen, technischer Dokumentation und Meldungen aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle. Die Verordnung gilt grundsätzlich ab dem 11. Dezember 2027; die Meldepflichten nach Artikel 14 gelten bereits ab dem 11. September 2026, die Vorschriften zu notifizierten Stellen ab dem 11. Juni 2026. • Der Anwendungsbereich erfasst Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Adressiert werden insbesondere Hersteller, Bevollmächtigte, Einführer, Händler, notifizierte Stellen, Marktüberwachungsbehörden, als Koordinator benannte CSIRTs, ENISA sowie Verwalter quelloffener Software; für wichtige und kritische Produkte gelten teils strengere Konformitätsbewertungsverfahren. Ausgenommen sind unter anderem Medizinprodukte, In-vitro-Diagnostika, bestimmte Fahrzeugprodukte, nach Luftfahrtrecht zertifizierte Produkte, Schiffsausrüstung, Ersatzteile unter engen Voraussetzungen sowie Produkte für nationale Sicherheit, Verteidigung oder Verschlusssachen. Besondere Regeln bestehen zudem für freie und quelloffene Software, öffentliche Eigenentwicklungen ohne Marktbereitstellung sowie für wesentliche Änderungen bereits in Verkehr gebrachter Produkte. • In der Praxis bedeutet dies, dass Cybersicherheit als verbindliche Produkteigenschaft über den gesamten Lebenszyklus organisiert werden muss. Hersteller benötigen belastbare Prozesse für Risikobewertung, sichere Standardkonfiguration, Software-Stücklisten, Schwachstellenbehebung, Sicherheitsupdates und Nutzerinformation; Einführer und Händler müssen die formale und materielle Compliance mitprüfen. Für höher eingestufte Produktkategorien steigen Prüf- und Dokumentationsaufwand deutlich an, während Marktüberwachungsbehörden und CSIRTs in ein enges Melde- und Durchsetzungssystem eingebunden werden. Die Verordnung verlagert Cybersicherheitsanforderungen damit von einer freiwilligen Best Practice in eine sanktionierbare Marktzugangsvoraussetzung.

Stand: 01.07.2026

Hersteller: • Pflicht1: Produkte nur dann in den Verkehr bringen, wenn sie anhand einer dokumentierten Cybersicherheitsrisikobewertung sicher konzipiert, entwickelt und hergestellt wurden und die grundlegenden Cybersicherheitsanforderungen erfüllen. • Pflicht2: Während des Unterstützungszeitraums Schwachstellen wirksam behandeln, Sicherheitsaktualisierungen unverzüglich und grundsätzlich kostenlos bereitstellen sowie Informationen und Anleitungen einschließlich Enddatum des Unterstützungszeitraums zur Verfügung stellen. • Pflicht3: Technische Dokumentation, EU-Konformitätserklärung, Konformitätsbewertung, CE-Kennzeichnung sowie Meldungen aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle ordnungsgemäß umsetzen. • Empfehlung: Frühzeitig ein Product-Security-Governance-System mit SBOM, Disclosure-Prozess, Update-Management und Incident-Meldewegen aufbauen. Bevollmächtigte: • Pflicht1: EU-Konformitätserklärung und technische Dokumentation für die vorgeschriebenen Zeiträume bereithalten. • Pflicht2: Auf Verlangen Informationen und Unterlagen an Marktüberwachungsbehörden übermitteln. • Pflicht3: Bei Maßnahmen zur Risikobeseitigung mit den Marktüberwachungsbehörden zusammenarbeiten. • Empfehlung: Mandat und Aufgabenbereich vertraglich präzise abgrenzen, da originäre Herstellerpflichten nicht automatisch übergehen. Einführer: • Pflicht1: Vor dem Inverkehrbringen prüfen, ob Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, EU-Konformitätserklärung und Nutzerinformationen vorliegen. • Pflicht2: Bei Verdacht auf Nichtkonformität das Produkt nicht in den Verkehr bringen und bei erheblichem Cybersicherheitsrisiko Hersteller und Behörden unterrichten. • Pflicht3: Bei bekannt gewordenen Schwachstellen oder Nichtkonformitäten Korrekturmaßnahmen veranlassen, Behörden informieren und Unterlagen bereithalten. • Empfehlung: Ein formales Import-Compliance-Gate mit Dokumentenprüfung und Eskalationsprozess einrichten. Händler: • Pflicht1: Vor Bereitstellung auf dem Markt prüfen, ob CE-Kennzeichnung sowie die erforderlichen Hersteller- und Einführerangaben und Unterlagen vorhanden sind. • Pflicht2: Produkte bei Verdacht auf Nichtkonformität nicht bereitstellen und bei erheblichem Cybersicherheitsrisiko Hersteller und Behörden informieren. • Pflicht3: Bei bekannt gewordenen Schwachstellen, Nichtkonformitäten oder Betriebseinstellung des Herstellers unverzüglich reagieren und Behörden bzw. soweit möglich Nutzer informieren. • Empfehlung: Vertriebs- und Retourenprozesse mit Compliance-Checks und Behördenkommunikation verknüpfen. Verwalter quelloffener Software: • Pflicht1: Eine überprüfbar dokumentierte Cybersicherheitsstrategie zur Förderung sicherer Entwicklung und wirksamen Schwachstellenmanagements entwickeln. • Pflicht2: Auf Verlangen mit Marktüberwachungsbehörden kooperieren und Unterlagen zur Strategie vorlegen. • Pflicht3: Soweit einschlägig aktiv ausgenutzte Schwachstellen und bestimmte schwerwiegende Sicherheitsvorfälle melden. • Empfehlung: Governance für Offenlegung, Community-Kommunikation und Pflege kritischer Abhängigkeiten institutionalisieren. Marktüberwachungsbehörden: • Pflicht1: Konformität überwachen, Risikobewertungen durchführen und bei Nichtkonformität oder erheblichen Cybersicherheitsrisiken Korrektur-, Rücknahme- oder Rückrufmaßnahmen anordnen. • Pflicht2: Mit anderen Marktüberwachungsbehörden, CSIRTs, ENISA, Datenschutz- und Zertifizierungsbehörden zusammenarbeiten. • Pflicht3: Überwachungsergebnisse berichten und die Anwendung der Regeln zum Unterstützungszeitraum beobachten. • Empfehlung: Technische Prüfkompetenz, Meldeauswertung und koordinierte Marktaktionen frühzeitig ausbauen. Notifizierte Stellen/Konformitätsbewertungsstellen: • Pflicht1: Konformitätsbewertungen unabhängig, fachkundig und nach den vorgeschriebenen Modulen durchführen. • Pflicht2: Festgestellte Abweichungen adressieren und Bescheinigungen nötigenfalls verweigern, aussetzen oder widerrufen. • Pflicht3: Behörden und andere notifizierte Stellen über wesentliche Entscheidungen und Ergebnisse informieren. • Empfehlung: Branchenspezifische Prüfkriterien und Kapazitäten für wichtige und kritische Produkte rechtzeitig aufbauen. CSIRTs und ENISA: • Pflicht1: Meldungen über die einheitliche Meldeplattform entgegennehmen, weiterleiten und für die Koordination nutzbar machen. • Pflicht2: Marktüberwachungsbehörden mit relevanten Informationen und gegebenenfalls technischer Unterstützung versorgen. • Pflicht3: Die Vertraulichkeit der Meldungen wahren und technische Berichte zu Trends bei Cybersicherheitsrisiken erstellen. • Empfehlung: Prozesse für vertrauliche Weiterleitung, Priorisierung und Schnittstellen zur Marktüberwachung eng abstimmen.