Cyber Resilience Act: Was Agenturen 2026 wissen

Ein Kunde, der vernetzte Heizungssteuerungen herstellt, schickt dir eine kurze Nachricht: „Sag mal, dieser Cyber Resilience Act – betrifft der uns? Und wenn ja, könnt ihr das mitmachen?" Solche Fragen häufen sich in diesen Wochen, denn am 11. September 2026 wird die erste Stufe eines der größten EU-Cybersicherheitsgesetze bindend. Für kleine Agenturen stellt sich damit eine doppelte Frage: Bin ich mit dem, was ich baue und verkaufe, selbst betroffen – und was erwarten meine Kunden von mir?

Die gute Nachricht vorweg: Für den Großteil des klassischen Agenturgeschäfts entwarnt das Gesetz. Die weniger gute: An entscheidenden Stellen kann es doch greifen, und die Kunden, die betroffen sind, werden bei dir anklopfen. Dieser Beitrag ordnet ein, was der Cyber Resilience Act ist, wer wirklich unter ihn fällt, was am 11. September in Kraft tritt und wie du das Thema für dich nutzen kannst. Das ist eine journalistische Einordnung, keine Rechtsberatung.

Cyber Resilience Act: Was jetzt konkret passiert

Der Cyber Resilience Act, kurz CRA, ist eine EU-Verordnung, die erstmals verbindliche Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen" stellt. Er ist am 10. Dezember 2024 in Kraft getreten, seitdem läuft eine gestaffelte Übergangsphase. Der 11. September 2026 markiert die erste Stufe mit echten Pflichten: Ab diesem Tag müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden. Die vollständige Geltung mit allen Produktanforderungen folgt dann am 11. Dezember 2027.

Damit ist der CRA nicht dasselbe wie NIS2, auch wenn beide aus der EU-Cybersicherheitsagenda stammen. NIS2 regelt, wie Organisationen ihre eigene IT und ihre Lieferkette absichern müssen – ein Thema, das wir im Beitrag zu NIS2 und der Lieferkette beleuchtet haben. Der CRA setzt eine Ebene tiefer an: Er regelt die Sicherheit der Produkte selbst, die auf den Markt kommen. Ein Unternehmen kann unter beide Regelwerke fallen – oder unter keines. Diese Unterscheidung sauber zu treffen, ist der erste Mehrwert, den du deinen Kunden bieten kannst.

Wer wirklich betroffen ist – und wer aufatmen darf

Der Anwendungsbereich hängt an einem Begriff: „Produkte mit digitalen Elementen". Gemeint sind Hardware und Software, deren Nutzung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netzwerk voraussetzt. Das reicht von vernetzten Geräten bis zu reiner Software wie Buchhaltungsprogrammen, Apps oder Computerspielen. Wer ein solches Produkt herstellt, importiert oder vertreibt, trägt Pflichten – und zwar unabhängig von der Unternehmensgröße.

Für Agenturen ist die entscheidende Abgrenzung diese: Eine individuell für einen einzelnen Kunden erstellte Website ist eine Dienstleistung, kein Produkt, das auf dem Markt bereitgestellt wird. Dienstleistungen und maßgeschneiderte Einzelanfertigungen fallen nach derzeitigem Stand nicht unter den CRA. Auch kostenfreie Open-Source-Software ohne Gewinnerzielungsabsicht ist ausgenommen. Der typische Alltag einer kleinen Webagentur – Websites bauen, betreuen, hosten – ist also weitgehend außen vor.

Anders sieht es aus, sobald du in Richtung Produkt gehst. Entwickelst und verkaufst du eine eigene Software, eine App, ein kommerziell vertriebenes Plugin oder Theme, oder bietest du eine standardisierte Lösung als Produkt an, dann kann die Herstellerrolle greifen. Auch wer nur importiert oder als Händler vertreibt, hat abgestufte Pflichten. Und selbst wenn du ein Werkzeug wie einen Chatbot als fertiges Produkt an mehrere Kunden ausrollst, lohnt die ehrliche Prüfung, ob das als Produkt mit digitalen Elementen zählt – eine klar umrissene, in der EU betriebene Lösung lässt sich hier deutlich leichter einordnen als eine undurchsichtige Eigenkonstruktion. Im Zweifel gilt: Prüfen, nicht raten.

Ein paar Faustregeln helfen bei der Einordnung. Baust du für einen Kunden eine Website oder einen Onlineshop auf Basis vorhandener Systeme, ist das eine Dienstleistung – der CRA zielt nicht auf dich. Verkaufst du dasselbe Ergebnis hingegen als fertiges Paket immer wieder an viele Kunden, verschiebt sich die Bewertung in Richtung Produkt. Und betreust du einen Kunden, der selbst etwas Vernetztes herstellt – von der smarten Türklingel bis zur Branchensoftware –, bist du zwar nicht der Hersteller, aber sein technischer Zulieferer und erster Ansprechpartner. Genau in dieser Zulieferrolle entsteht der meiste Beratungsbedarf.

Das gilt ab dem 11. September 2026

Die erste bindende Stufe betrifft die Meldepflichten nach Artikel 14 CRA. Wichtig ist die Eingrenzung: Gemeldet werden müssen nicht alle Schwachstellen, sondern nur aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle. Eine reine Lücke, die noch nicht angegriffen wird, muss behoben, aber nicht gemeldet werden.

Liegt ein meldepflichtiger Fall vor, sind die Fristen straff. Innerhalb von 24 Stunden ab Kenntnis ist eine Frühwarnung fällig, innerhalb von 72 Stunden eine ausführlichere Meldung mit Einschätzung und ergriffenen Maßnahmen. Bei einer ausgenutzten Schwachstelle folgt nach 14 Tagen ein Abschlussbericht, bei einem Sicherheitsvorfall nach 30 Tagen. Diese Fristen laufen ab Kenntnis und zählen Wochenenden und Feiertage mit. Gemeldet wird über die zentrale Meldeplattform der EU-Cybersicherheitsagentur ENISA, von dort geht es an das zuständige nationale Team – in Deutschland das BSI. Eine Erleichterung gibt es für die Kleinsten: Kleinst- und Kleinunternehmen sind von Bußgeldern für die 24-Stunden-Frühwarnung ausgenommen.

Parallel dazu verlangt der CRA eine veröffentlichte Anlaufstelle für die koordinierte Offenlegung von Schwachstellen. Externe Sicherheitsforscher sollen Lücken dort melden können, statt sie öffentlich zu machen. Diese Kontaktstelle muss überwacht werden, denn eine eingehende Meldung kann die genannten Fristen in Gang setzen.

Was 2027 folgt – und warum es jetzt schon zählt

Die schwergewichtigen Produktpflichten greifen erst zum 11. Dezember 2027, sollten aber jetzt schon auf dem Schirm sein, weil ihre Umsetzung Vorlauf braucht. Dazu gehören Sicherheit von der Konzeption an, ein geregelter Prozess für Sicherheitsupdates über den gesamten Lebenszyklus, eine technische Dokumentation, die Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung. Ein zentrales neues Element ist die Software-Stückliste, die Software Bill of Materials oder kurz SBOM: eine Auflistung zumindest der direkten Softwareabhängigkeiten eines Produkts. Sie muss nicht veröffentlicht, aber den Behörden auf Anfrage vorgelegt werden können – und sie ist genau das, was viele kleine Softwareanbieter heute noch nicht sauber führen.

Dass diese Vorgaben ernst gemeint sind, zeigt der Bußgeldrahmen aus Artikel 64. Für Verstöße gegen die grundlegenden Cybersicherheitsanforderungen, zentrale Herstellerpflichten und die Meldepflichten drohen bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für andere Pflichten liegt die Grenze bei 10 Millionen Euro oder 2 Prozent, für falsche Angaben bei 5 Millionen Euro oder 1 Prozent. Zusätzlich können Behörden die Bereitstellung eines Produkts beschränken, es vom Markt nehmen oder zurückrufen lassen. Für kleine Anbieter ist letzteres oft die größere Bedrohung als das Bußgeld selbst.

So machst du das Thema zu deinem Vorteil

Der erste Schritt ist eine ehrliche Selbsteinordnung. Prüfe, ob deine Agentur mit irgendeinem Angebot in die Herstellerrolle rutscht – ein verkauftes Plugin, eine eigene App, ein Produkt-Chatbot. Ist das der Fall, gehören ein Update- und Schwachstellenprozess sowie eine gemeldete Kontaktstelle auf deine To-do-Liste. Ist es nicht der Fall, kannst du deinen Kunden diese Entwarnung mit gutem Gewissen geben – auch das ist eine Leistung.

Der zweite Schritt ist der interessantere. Deine Kunden, die selbst Produkte mit digitalen Elementen herstellen, brauchen Unterstützung bei genau den Dingen, die du ohnehin kannst: Update-Prozesse aufsetzen, Abhängigkeiten dokumentieren, Sicherheitslücken überwachen, eine Meldekette vorbereiten. Das ist eng verwandt mit dem laufenden Sicherheits- und Wartungsgeschäft, das wir im Beitrag zur WordPress-Wartung als verlässliches Standbein beschrieben haben, und mit der Backup- und Notfallvorsorge aus dem Beitrag zu Website-Backups. Der CRA macht aus einer freiwilligen Empfehlung eine gesetzliche Notwendigkeit – und damit aus einem „nice to have" ein Budget.

Die Frist am 11. September ist nur der Anfang eines mehrjährigen Prozesses, kein Stichtag zum Abhaken. Genau das ist die Chance: Wer das Thema früh versteht und für seine Kunden übersetzt, wird nicht als Kostenfaktor wahrgenommen, sondern als der Partner, der die nächste EU-Regulierung nicht mit Panik, sondern mit einem Plan beantwortet.