Cyber Resilience Act: Was gilt für Software von KMU aus der Schweiz und Liechtenstein?

Der Cyber Resilience Act, kurz CRA, ist die Verordnung (EU) 2024/2847. Er gilt für Produkte mit digitalen Elementen, die auf dem EU-Markt angeboten werden und sich mit einem Gerät oder Netzwerk verbinden. Gemeint sind Software und Hardware, samt der Datenverarbeitung aus der Ferne, die der Hersteller für ihre Funktion entwickelt hat.

Der CRA unterscheidet drei Rollen. Der Hersteller entwickelt das Produkt oder lässt es entwickeln und vertreibt es unter seinem Namen. Er trägt die meisten Pflichten. Der Importeur bringt das Produkt eines Herstellers von ausserhalb der EU auf den EU-Markt, der Händler verkauft es weiter. Beide müssen prüfen, ob der Hersteller seine Pflichten erfüllt hat, etwa ob die CE-Kennzeichnung vorhanden ist.

Typische Beispiele aus dem KMU-Alltag:

Ja, sobald Sie in die EU verkaufen. Der CRA knüpft an den EU-Markt an, nicht an den Sitz des Herstellers. Ein Schweizer oder Liechtensteiner KMU, das Software oder Geräte an Kunden in der EU liefert, muss die Pflichten als Hersteller erfüllen. Wer nur in der Schweiz und in Liechtenstein verkauft, ist heute nicht direkt betroffen. Nach demselben Marktortprinzip gilt auch der EU AI Act für KI, deren Ergebnisse in der EU verwendet werden. Mehr dazu im Ratgeber «EU AI Act: Was gilt für KMU in der Schweiz und in Liechtenstein?».

Es kommt darauf an, wie die Software zu den Nutzern kommt. Die EU-Kommission hat das in ihrer Leitlinie vom 27. Juli 2026 präzisiert.

Software, die beim Nutzer installiert wird und dort läuft, ist ein Produkt im Sinne des CRA. Das gilt für Apps und Desktop-Programme und dürfte auch für Software gelten, die auf dem eigenen Server des Kunden installiert wird. Auch wer einem einzelnen Kunden Quellcode liefert, bringt laut Leitlinie ein Produkt in Verkehr.

Eine Webanwendung, die Nutzer ausschliesslich im Browser aufrufen, ist dagegen kein Produkt im Sinne des CRA. Sie fällt nur darunter, wenn ein Produkt sie für seine Funktion braucht, etwa ein Portal, über das sich ein vernetztes Gerät anmeldet oder steuern lässt. Für reine Cloud-Dienste kann statt des CRA die NIS-2-Richtlinie der EU relevant sein.

Seit dem 11. September 2026 müssen Hersteller zwei Arten von Ereignissen melden: aktiv ausgenutzte Schwachstellen in ihrem Produkt und schwere Sicherheitsvorfälle, die das Produkt betreffen. Aktiv ausgenutzt heisst, es gibt verlässliche Hinweise, dass ein Angreifer die Lücke bereits nutzt.

Die Pflicht gilt auch für Produkte, die schon vor Dezember 2027 verkauft wurden. Gemeldet wird über die Single Reporting Platform der ENISA, die seit dem 11. September 2026 in Betrieb ist. Die Meldung geht gleichzeitig an die zuständige nationale Meldestelle, ein sogenanntes CSIRT, und an die ENISA. Zusätzlich informieren Sie die betroffenen Nutzer über das Problem und mögliche Gegenmassnahmen.

Die Fristen laufen ab dem Moment, in dem Sie davon erfahren:

Ab dem 11. Dezember 2027 dürfen Hersteller nur noch Produkte in der EU in Verkehr bringen, die die grundlegenden Anforderungen des CRA erfüllen. Produkte, die vorher in Verkehr gebracht wurden, müssen erst nach einer wesentlichen Änderung angepasst werden.

Für Produkte, die nicht als wichtig oder kritisch eingestuft sind, genügt eine Konformitätsbewertung in eigener Verantwortung. Für wichtige und kritische Produkte, etwa Passwortmanager, VPN-Software, Betriebssysteme, Router oder Firewalls, gelten strengere Verfahren, teils mit einer externen Prüfstelle. Das sind die Pflichten in der Praxis:

Lassen Sie ein Produkt entwickeln und verkaufen es unter Ihrem Namen in die EU, sind in der Regel Sie der Hersteller. Die Pflichten bleiben bei Ihnen, auch wenn ein Dienstleister programmiert. Ihr Lieferant muss Ihnen aber liefern, was Sie dafür brauchen.

Rechnen Sie die Updates über die ganze Laufzeit ein. Als Richtwert: Bei Projektkosten von CHF 50'000 und Wartungskosten von 15 bis 20 Prozent pro Jahr ergeben fünf Jahre Unterstützung CHF 37'500 bis 50'000. Mehr dazu im Ratgeber «Software-Wartungskosten: Was kosten Wartung und Betrieb pro Jahr?».

Klären Sie im Vertrag:

Die Bussen legen die EU-Staaten fest, der CRA gibt die Obergrenzen vor. Wer die grundlegenden Anforderungen oder die Hersteller- und Meldepflichten verletzt, riskiert bis EUR 15 Mio. oder 2,5 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für weitere Pflichten liegt die Grenze bei EUR 10 Mio. oder 2 Prozent, für falsche oder unvollständige Angaben gegenüber Behörden bei EUR 5 Mio. oder 1 Prozent.

Unabhängig von Bussen können Behörden verlangen, dass ein Produkt nachgebessert, vom Markt genommen oder zurückgerufen wird.

Gehen Sie diese Fragen der Reihe nach durch. Für die rechtliche Einordnung Ihres konkreten Produkts ziehen Sie eine Fachstelle oder einen Anwalt bei.