Der Cyber Resilience Act (CRA) ist die erste EU-Verordnung, die verbindliche Cybersicherheits-Anforderungen für alle „Produkte mit digitalen Elementen" festlegt — von der Software bis zum vernetzten Etikettendrucker. Seit dem 10. Dezember 2024 ist die Verordnung (EU) 2024/2847 in Kraft, ab dem 11. Dezember 2027 gelten die vollständigen Pflichten für Hersteller. Wer vernetzte Kennzeichnungssysteme baut, einführt oder betreibt, ist betroffen. Wir erklären, was das konkret bedeutet — und worauf Sie jetzt achten sollten.
Der Cyber Resilience Act — auf Deutsch Cyberresilienz-Verordnung — schließt eine Lücke im EU-Recht. Bisher gab es keine durchgängig verbindlichen Sicherheitsanforderungen für digitale Produkte. Genau das ändert die Verordnung (EU) 2024/2847 vom 23. Oktober 2024.
Der CRA ist horizontal angelegt. Das heißt: Er gilt branchenübergreifend und unabhängig von der Produktkategorie. Sein Ziel ist es, dass Hard- und Software über den gesamten Lebenszyklus sicher bleiben — von der Entwicklung bis zum letzten Update.
Wichtig für die Einordnung: Der CRA ist eine Verordnung, keine Richtlinie. Eine EU-Verordnung gilt unmittelbar in allen Mitgliedstaaten und muss nicht erst in nationales Recht übersetzt werden. Wer nach einer „CRA-Richtlinie" sucht, liegt rechtlich daneben. Anders als die NIS-2-Richtlinie wirkt der CRA also direkt.
Betroffen sind „Produkte mit digitalen Elementen" (englisch: products with digital elements, kurz PDE). Darunter fällt alles, was Software oder Firmware enthält und sich direkt oder indirekt mit einem Gerät oder Netzwerk verbindet.
Ein moderner Etikettendrucker ist keine isolierte Maschine mehr. Er hat Firmware, ein Touch-Display und Netzwerk-Schnittstellen. Er bindet sich an ERP-, MES- oder Track-&-Trace-Systeme an. Genau das macht ihn zu einem Produkt mit digitalen Elementen — und damit zu einem Fall für den CRA.
Der Geltungsbereich ist bewusst breit gefasst. Er trifft nicht nur klassische IT- und Software-Hersteller. Auch Maschinenbauer mit vernetzten Steuerungen, Sensorik mit Ethernet-Schnittstelle und eben vernetzte Drucksysteme fallen darunter.
Die Pflichten gelten für die gesamte Lieferkette: Hersteller, Importeure und Händler. Maßgeblich ist, ob ein Produkt auf dem EU-Markt bereitgestellt wird — der Firmensitz spielt keine Rolle. Auch Hersteller außerhalb der EU sind gebunden, sobald sie in Europa verkaufen.
Trotz der Tragweite ist das Thema in der Industrie noch nicht angekommen.
Den späten Stichtag im Dezember 2027 haben die meisten auf dem Schirm. Die erste harte Frist kommt aber deutlich früher — und wird oft unterschätzt.Diese Fristen gelten für alle Produkte mit digitalen Elementen — Bestandsprodukte eingeschlossen. Ein funktionierender Meldeprozess entsteht nicht über Nacht. Der Aufbau braucht Vorlauf.
Der CRA verlangt, Cybersicherheit von Anfang an mitzudenken — und nicht erst, wenn ein Vorfall eintritt. Das Prinzip heißt Security by Design. Für alle Produktklassen gelten dieselben grundlegenden Anforderungen aus Anhang I. Unterschiedlich ist nur, wie streng die Konformität nachgewiesen werden muss.
Der CRA staffelt Produkte nach ihrem Cybersicherheits-Risiko. Die Klasse entscheidet nicht über die Anforderungen — die sind für alle gleich. Sie entscheidet über den Weg zur CE-Kennzeichnung.
Für die Praxis heißt das: Vernetzte Etikettendrucker und Print-&-Apply-Systeme sind in aller Regel Standardprodukte. Der Konformitätsnachweis erfolgt dann über eine Selbstbewertung des Herstellers — verbunden mit der erweiterten CE-Kennzeichnung. Die grundlegenden Sicherheitsanforderungen aus Anhang I müssen sie trotzdem vollständig erfüllen.
Auch wer selbst keine Geräte herstellt, ist betroffen — als Käufer und Betreiber.
Bei der Beschaffung. Geräte, die nach dem 11. Dezember 2027 neu in Verkehr gebracht werden, müssen CRA-konform sein. Achten Sie künftig darauf, dass vernetzte Kennzeichnungssysteme die erweiterte CE-Kennzeichnung tragen und eine Konformitätserklärung mitbringen.
Beim Betrieb. Wer als wesentliche Einrichtung unter die NIS-2-Richtlinie fällt, hat ein zusätzliches Interesse: Verstößt ein Hersteller gegen seine CRA-Pflichten, kann der Einsatz seiner Komponenten untersagt werden. Die Wahl des Herstellers wird damit zur Sicherheitsentscheidung.
Bestandsschutz. Geräte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, müssen keine nachträgliche Konformitätsbewertung durchlaufen. Vorsicht gilt nur bei einer wesentlichen Änderung — etwa einem Major-Update, das die Cybersicherheits-Eigenschaften betrifft. Dann gilt das Produkt als neu in Verkehr gebracht.
Der Cyber Resilience Act wirkt nicht erst 2027 — er wirkt schon heute. Wer vernetzte Geräte baut, einführt oder betreibt, sollte die Anforderungen kennen und die Vorbereitung jetzt beginnen. Frühes Handeln verteilt den Aufwand und schützt vor Bußgeldern und Marktzugangs-Beschränkungen.
Diese fünf Punkte fassen den CRA für die industrielle Kennzeichnung zusammen:
Der Cyber Resilience Act stellt die Cybersicherheit vernetzter Produkte auf eine verbindliche Grundlage. Für die industrielle Kennzeichnung heißt das: Wer vernetzte Drucksysteme baut oder betreibt, sollte sich jetzt mit den Anforderungen befassen — die ersten Fristen laufen.
Bei Carl Valentin verstehen wir Sicherheit nicht als Zusatz, sondern als Teil dessen, wofür wir seit 1918 stehen. Verbindliche technische Normen werden derzeit noch erarbeitet. Sobald sie vorliegen, informieren wir Sie transparent über die konkreten Schritte.