Privacy by Design und Privacy by Default nach Art. 25 DSGVO richten sich an die datenschutzrechtlich Verantwortlichen – gerade nicht an die Hersteller der eingesetzten Produkte. In der Praxis führt das zu Konfigurationsaufwand, dem Nachjustieren von Standardeinstellungen und teils zu unerwarteten Funktionen, die neue Risiken und Dokumentationen erforderlich machen. Mit dem Cyber Resilience Act (CRA) werden Hersteller vernetzter Produkte zukünftig umfangreiche IT-Sicherheitspflichten auferlegt, die diese Aufwände reduzieren können. Zwischen beiden Rechtsakten entstehen Schnittstellen, die sich praktisch nutzen lassen.
Diese Überlegungen können Sie in der aktuellen Ausgabe des Datenschutz-Berater (DSB 07-08/2026, S. 223) genauer nachlesen. Den vollständigen Fachbeitrag können Sie hier frei abrufen: Beitrag als PDF. Im Folgenden werden die wesentlichen Inhalte zusammengefasst.
Was der Cyber Resilience Act für Ihr Unternehmen bedeutet
Auch wenn die DSGVO und der CRA unterschiedliche Schutzgüter und Normadressaten adressieren, bestehen praktisch relevante Schnittstellen zwischen den Rechtsakten. Je nachdem, ob Sie Produkte mit digitalen Elementen lediglich herstellen oder auch einsetzen, ergeben sich unterschiedliche Szenarien. Auch wenn Sie die Produkte lediglich als Kunde einkaufen, wird der CRA für Sie zukünftig relevant sein.
Sie stellen Produkte her und setzen sie selbst ein: Wenn Sie Software oder Hardware herstellen, die zukünftig dem CRA unterfällt, und diese zugleich selbst nutzen, müssen Sie schon heute Art. 25 und Art. 32 DSGVO erfüllen. Hier ergeben sich Synergien: Richtig genutzt, reduzieren die Maßnahmen zur CRA-Compliance Ihren Umsetzungsaufwand nach Art. 25, 32 DSGVO. Denn insbesondere technische Schutzmaßnahmen wirken sich vielfach auch positiv auf den Schutz personenbezogener Daten aus.
Sie stellen Produkte für andere her: Als Hersteller können Sie die Maßnahmen zur CRA-Compliance außerdem nutzen, um Ihren Kunden die DSGVO-Compliance zu erleichtern. Nach dem CRA müssen Sie ohnehin umfangreiche Dokumentationen Ihrer implementierten IT-Sicherheitsmaßnahmen erstellen. Es bietet sich vielfach an, diese Aufwände auch für die Kunden nutzbar zu gestalten, die damit wiederum ihre eigenen Verpflichtungen leichter erfüllen können. Zwar sieht der CRA nicht explizit vor, dass der Einsatz CRA-konformer Produkte im Rahmen ihrer Zweckbestimmung automatisch zu einer DSGVO-konformen Datenverarbeitung führt. Praktisch ist es jedoch überzeugend, bei einem solchen Einsatz jedenfalls in Bezug auf die technischen Schutzmaßnahmen regelmäßig von der Einhaltung der Art. 25, 32 DSGVO durch die Verantwortlichen auszugehen.
Sie setzen Produkte nur ein, stellen aber selbst nichts her: Sofern Sie vernetzte Produkte nur einsetzen, nicht aber selbst herstellen, sollten Sie Ihren Einkauf zeitnah für den CRA sensibilisieren, um die oben genannten Synergien nutzen zu können. Der CRA wird das allgemeine IT-Sicherheitsniveau vernetzter Produkte tendenziell anheben und damit auch den Stand der Technik, an dem Ihre technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu bemessen sind. Der CRA schafft neue Dokumentationsaufwände für Hersteller, die Sie allerdings als Kunde auch für sich nutzen können.
Was der Cyber Resilience Act von Herstellern verlangt
Der Unionsgesetzgeber hat mit dem CRA horizontale, produktbezogene Cybersicherheitsanforderungen geschaffen. Erfasst sind Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine Daten- oder Netzverbindung umfasst – vernetzte Hard- und Software also weitgehend flächendeckend.
Zentral sind Art. 6 CRA und Art. 13 CRA i.V.m. Anhang I CRA: Hersteller müssen die Cybersicherheitsrisiken ihrer Produkte bewerten und das Ergebnis über den gesamten Produktlebenszyklus hinweg berücksichtigen – von Konzeption und Entwicklung bis zu Auslieferung und Wartung. Der Maßnahmenkatalog des Anhang I Teil I ist dabei bemerkenswert konkret. Explizit genannt ist etwa die Bereitstellung ohne bekannte ausnutzbare Schwachstellen und mit sicherer Standardkonfiguration sowie die Minimierung von Angriffsflächen einschließlich externer Schnittstellen.
Hinzu kommen Pflichten wie der strukturierte Umgang mit Schwachstellen, die Bereitstellung von Sicherheitsupdates sowie technische Dokumentation und Konformitätsverfahren.
Ab wann gelten die Pflichten des Cyber Resilience Act?
Die umfassenden Herstellerpflichten gelten für Produkte, die ab dem 11. Dezember 2027 in den Verkehr gebracht werden. Deutlich früher, nämlich bereits ab dem 11. September 2026, greifen die Meldepflichten bei aktiv ausgenutzten Schwachstellen und schwerwiegenden Sicherheitsvorfällen – unter anderem mit einer Pflicht zur ersten Frühwarnung binnen 24 Stunden. Insbesondere der Meldeprozess sollte daher zeitnah implementiert werden.
Fazit
Der CRA hebt das Cybersicherheitsniveau vernetzter Produkte an. Das wird sich perspektivisch auf den Stand der Technik auswirken, der als Abwägungskriterium in Art. 32 Abs. 1 Hs. 1 DSGVO relevant ist. Die Dokumentationspflichten des CRA schaffen zugleich eine belastbarere Grundlage für die Prüfung getroffener Maßnahmen, sowohl durch Verantwortliche als auch durch die Aufsichtsbehörden. Die sich daraus ergebenden Synergieeffekte sollten auch datenschutzrechtlich Verantwortliche nutzen.
