Ein kleines Schweizer Unternehmen, das vernetzte Thermostate, Router, Industriesensoren oder auch eingebettete Software herstellt, verkauft oft einen Teil seiner Produktion in der Europäischen Union. Die EU hat nun eine Verordnung verabschiedet, die für diese Produkte die Spielregeln ändert: den Cyber Resilience Act, kurz CRA. Und er macht keinerlei Unterschied nach Nationalität.

Worum es geht

Der Cyber Resilience Act ist eine europäische Verordnung, die Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt. Diese Kategorie ist sehr weit gefasst: Sie umfasst Hardware und Software, die dazu bestimmt ist, sich mit anderen Geräten oder einem Netzwerk zu verbinden. Konkret reicht das von Laptops über Smartphones bis hin zu Drohnen, Routern, intelligenten Haushaltsgeräten und vernetzten Maschinen.

Die Verordnung ist am 11. Dezember 2024 in Kraft getreten. Sie gilt jedoch nicht auf einen Schlag: Die Pflichten werden schrittweise eingeführt, bis sie am 11. Dezember 2027 vollständig anwendbar ist.

Warum ein Schweizer Hersteller betroffen ist

Der entscheidende Punkt ist folgender: Der CRA folgt dem Produkt, nicht der Flagge des Herstellers. Ein Schweizer Hersteller, der ein vernetztes Produkt auf dem EU-Markt in Verkehr bringt, wird genau gleich behandelt wie ein europäischer Hersteller. Wer sich weigert, die Vorgaben einzuhalten, verliert den Zugang zu diesem Markt.

Die Pflichten sind erheblich. Der Hersteller muss die Sicherheit bereits beim Design berücksichtigen, während des gesamten Support-Zeitraums (mindestens fünf Jahre) eine kontinuierliche, dokumentierte Risikobewertung durchführen, die technische Dokumentation zehn Jahre lang aufbewahren und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle melden. Diese Meldung muss innerhalb von 24 Stunden für die Frühwarnung und danach innerhalb von 72 Stunden für den ausführlichen Bericht erfolgen.

Eine Schwachstelle bezeichnet hier eine Sicherheitslücke in einem Produkt, die ein Angreifer ausnutzen kann. Die meisten Produkte können einer Selbstbewertung der Konformität unterzogen werden, doch als kritisch eingestufte Produkte erfordern die Einschaltung einer unabhängigen Stelle.

Die Fristen, die Sie im Auge behalten sollten

Für einen Schweizer Exporteur zählen drei Daten. Ab dem 11. Juni 2026 gelten die Regeln für die Stellen, die mit der Konformitätsbewertung betraut sind. Ab dem 11. September 2026 werden die Pflichten zur Meldung von Schwachstellen und Vorfällen verbindlich. Und schliesslich gilt die Verordnung ab dem 11. Dezember 2027 vollständig für alle betroffenen Produkte.

Mit anderen Worten: Die unmittelbarste Pflicht, die Meldung ausgenutzter Sicherheitslücken, kommt bereits im Herbst 2026. Das ist keine ferne Aussicht.

Abschreckende Sanktionen

Ein Verstoss gegen den CRA ist keine Bagatelle. Die Verwaltungsbussen können bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des Unternehmens erreichen, je nachdem, welcher Betrag höher ist. Hinzu kommt die Möglichkeit der Behörden, ein nicht konformes Produkt zu verbieten oder zurückzurufen. Für ein KMU ist dieses letzte Szenario, die Marktrücknahme, oft die konkreteste Bedrohung.

Und die Schweiz in all dem

Die Schweiz bleibt nicht untätig. Am 20. August 2025 hat der Bundesrat die Verwaltung beauftragt, einen Gesetzesentwurf zur Cyberresilienz digitaler Produkte auszuarbeiten. Das Nationale Zentrum für Cybersicherheit (NCSC) muss gemeinsam mit dem Bundesamt für Kommunikation (BAKOM) und dem Staatssekretariat für Wirtschaft (SECO) bis zum Herbst 2026 einen Entwurf für die Vernehmlassung erarbeiten.

Das erklärte Ziel ist zweifach: Sicherheitsregeln für die Gestaltung und das Inverkehrbringen digitaler Produkte festzulegen und dabei den europäischen CRA zu berücksichtigen, um Normenkonflikte zu vermeiden, die international tätige Schweizer Unternehmen benachteiligen würden. Klar gesagt: Die Schweiz will sich anpassen, ohne eine doppelte regulatorische Belastung zu schaffen.

Was das für Ihr KMU bedeutet

Wenn Sie vernetzte Produkte herstellen oder integrieren, ist Vorausschau Ihre beste Verbündete. Sie können bereits jetzt eine Bestandsaufnahme Ihrer betroffenen Produkte erstellen, prüfen, ob Sie in die EU exportieren, und beginnen, Ihre Prozesse zur Verwaltung von Schwachstellen zu dokumentieren. Diese Vorarbeit liegt in Ihrer Reichweite und wird Ihnen wertvolle Zeit sparen.

Sie ersetzt jedoch keine detaillierte Analyse. Zu bestimmen, ob ein Produkt als kritisch gilt, Ihre genauen Pflichten entlang der Fristen abzubilden und eine technische Dokumentation aufzubauen, die einer Kontrolle standhält, sind Aufgaben, die vollständig von Ihrer Produktpalette abhängen. Jeder Fall ist anders, und ein Auslegungsfehler kann den Zugang zu einem Markt kosten.

Ausblick

Der CRA markiert einen Wendepunkt: Cybersicherheit wird zu einer Bedingung für den Marktzugang, genau wie die CE-Kennzeichnung (der Nachweis der Konformität mit den europäischen Normen, der bereits auf unzähligen Produkten zu finden ist). Für einen Schweizer Hersteller ist eine frühzeitige Vorbereitung keine zusätzliche Belastung, sondern ein Wettbewerbsvorteil. Eine gezielte Begleitung ermöglicht es, diese Pflicht in ein Verkaufsargument zu verwandeln, statt sie im Herbst 2026 unter Zeitdruck zu erleiden.