Ein KMU aus der Romandie, das Maschinen, Sensoren oder elektronische Gehäuse herstellt, hat die letzten zwanzig Jahre damit verbracht, die Sicherheit seiner Produkte im klassischen Sinn zu gewährleisten: den Nutzer nicht verletzen, kein Feuer verursachen, elektromagnetischen Störungen widerstehen. Die Europäische Union fügt nun eine weitere Dimension hinzu, die Cybersicherheit, und sie fügt sie am gleichen Ort ein wie die anderen: bei den Zugangsbedingungen zu ihrem Markt.
Es handelt sich um die Verordnung (EU) 2024/2847, den sogenannten Cyber Resilience Act oder CRA. Er ist am 10. Dezember 2024 in Kraft getreten. Seine erste operative Frist fällt auf den 11. September 2026, in weniger als zwei Monaten.
Warum betrifft Sie eine europäische Verordnung von der Schweiz aus?
Die Schweiz ist kein Mitglied der Europäischen Union. Der CRA ist daher kein Schweizer Recht, keine Schweizer Behörde wird bei Ihnen dessen Anwendung kontrollieren, und es besteht keine Pflicht, ihn einzuhalten, um in der Schweiz zu verkaufen.
In der Praxis ändert das nicht viel, aus einem einfachen Grund. Die Verordnung richtet sich nicht an europäische Unternehmen, sondern an Produkte, die auf dem Markt der Union bereitgestellt werden. Massgebend ist die Zweckbestimmung des Produkts, nicht der Sitz des Herstellers. Ein Unternehmen aus Bulle, das Maschinen an einen deutschen Kunden liefert, ist im Sinne der Verordnung Hersteller, genau wie ein deutsches Unternehmen.
Das ist dieselbe Logik wie bei der CE-Kennzeichnung, die Sie bereits von der Maschinensicherheit oder der elektromagnetischen Verträglichkeit kennen. Der CRA reiht sich in diese Familie ein. Die CE-Kennzeichnung, die Sie anbringen, wird künftig auch die Konformität mit den Cybersicherheitsanforderungen bestätigen.
Manche Schweizer KMU denken, ihr europäischer Vertriebshändler oder Importeur werde die Konformität übernehmen. Die Verordnung legt Importeuren und Vertreibern zwar Pflichten auf, diese bestehen aber vor allem darin, zu prüfen, dass der Hersteller seine Arbeit gemacht hat: CE-Kennzeichnung vorhanden, Dokumentation verfügbar, Kontaktangaben vorhanden. Die Gestaltungsanforderungen, die technische Dokumentation und die Meldung von Schwachstellen bleiben bei Ihnen. Ein Importeur, der feststellt, dass Ihr Produkt nicht konform ist, ist verpflichtet, es nicht auf den Markt zu bringen.
Was ist ein «Produkt mit digitalen Elementen»?
Der Ausdruck klingt behördlich, die Realität ist sehr konkret. Die Verordnung erfasst jedes Produkt, Hardware oder Software, das eine direkte oder indirekte Datenverbindung zu einem Gerät oder einem Netzwerk hat.
Übersetzt in Gegenstände, die Sie vielleicht herstellen:
- eine Produktionsmaschine, deren Steuerung Produktionsdaten übermittelt;
- ein Temperatur-, Füllstand- oder Vibrationssensor, der drahtlos übermittelt;
- eine Waage, Pumpe oder Dosiervorrichtung, die über ein Touchscreen gesteuert wird;
- ein elektronisches Schloss oder ein Zugangskontrollsystem;
- ein Telemetriegerät, das in einem Fahrzeug oder einer Anlage eingebaut ist;
- eine mobile App oder Geschäftssoftware, die an Kunden verkauft wird;
- ein vernetztes Konsumgut, vom Thermostat bis zum Fitnessarmband.
Die Verbindung kann indirekt sein. Ein Gerät, das keine Netzwerkkarte besitzt, aber über einen USB-Stick aktualisiert oder per Bluetooth von einem Telefon aus konfiguriert wird, fällt in den Geltungsbereich. Dass das Produkt nie mit dem Internet verbunden ist, reicht nicht aus, um es davon auszuschliessen.
Einige Produktfamilien sind ausgeschlossen, weil sie bereits durch andere europäische Rechtstexte geregelt sind: Medizinprodukte, Fahrzeuge und insbesondere die Luftfahrt. Wenn Sie in einem dieser Bereiche tätig sind, wird Cybersicherheit von Ihnen durch Ihre sektorspezifische Regulierung verlangt, nicht durch den CRA.
Bin ich betroffen? Vier Fälle Schweizer KMU
| Situation | Vom CRA betroffen? |
|---|---|
| Sie stellen vernetzte Industriemaschinen her und exportieren 40 % nach Deutschland und Frankreich | Ja, als Hersteller, für Produkte, die für den EU-Markt bestimmt sind |
| Sie entwickeln eine im Abonnement verkaufte Verwaltungssoftware für Schweizer und französische Kunden | Ja für die Bereitstellung in der EU, einschliesslich für mit dem Produkt verbundene Fernverarbeitungslösungen für Daten |
| Sie stellen mechanische Teile ohne jegliche Elektronik oder Software her | Nein, es gibt kein digitales Element |
| Sie verkaufen einen vernetzten Sensor nur in der Schweiz, ohne jegliche Kunden in der EU | Nicht direkt, aber Ihre exportierenden Industriekunden werden diese Nachweise von Ihnen verlangen |
Der letzte Fall verdient besondere Beachtung, da er viele romande Zulieferer-KMU betrifft. Auch wenn Sie selbst nicht exportieren, muss Ihr Kunde, der exportiert, die Sicherheit seines fertigen Produkts dokumentieren, und damit auch die Ihrer Komponenten. Der Druck wandert die Wertschöpfungskette hinunter. Das ist genau der Mechanismus, der in unserem Artikel über Angriffe über die Lieferkette beschrieben wird, hier jedoch auf die Konformität statt auf die Bedrohung angewendet.
Der Zeitplan: was wann fällig wird
Drei Daten strukturieren die Verordnung. Das erste liegt bereits hinter uns, das zweite steht unmittelbar an, das dritte erfordert, jetzt damit anzufangen.
| Datum | Was gilt | Was das für Sie bedeutet |
|---|---|---|
| 10. Dezember 2024 | Inkrafttreten der Verordnung | Der Countdown beginnt, noch keine Pflicht für Hersteller aktiv |
| 11. Juni 2026 | Kapitel zur Notifizierung der Konformitätsbewertungsstellen | Notifizierte Stellen können benannt werden, das Bewertungsökosystem entsteht |
| 11. September 2026 | Meldepflichten (Art. 14) | Sie müssen aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden, innerhalb sehr kurzer Fristen |
| 11. Dezember 2027 | Allgemeine Anwendung der Verordnung | Grundlegende Cybersicherheitsanforderungen, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung |
Viele Unternehmen haben sich «Ende 2027» gemerkt und denken, sie hätten noch Zeit. Doch die Meldepflicht gilt mehr als ein Jahr vor dem Rest. Sie verlangt keine Neugestaltung Ihrer Produkte, sondern eine interne Organisation: wissen, wer die Information erhält, wer entscheidet, wer verfasst und wer versendet, innerhalb von 24 Stunden. Ein Unternehmen, das diesen Prozess am 11. September 2026 nicht hat, wird am Tag, an dem eine Schwachstelle seines Produkts ausgenutzt wird, im Verzug sein.
Die konkreten Pflichten des Herstellers
Die Verordnung verlangt zwei Dinge sehr unterschiedlicher Art: das Produkt absichern und nach dem Verkauf präsent bleiben.
Das Produkt sicher gestalten. Eine Cybersicherheits-Risikoanalyse muss die Gestaltung, Entwicklung und Produktion begleiten. Das Produkt muss ohne bekannte ausnutzbare Schwachstelle geliefert werden, mit einer sicheren Standardkonfiguration, einer angepassten Zugangskontrolle, einer Verschlüsselung sensibler Daten und einer Verringerung unnötiger Angriffsflächen. Diese Anforderungen sind in Anhang I der Verordnung festgelegt.
Dokumentieren. Eine technische Dokumentation muss bestehen und vorgelegt werden können. Sie umfasst insbesondere ein Verzeichnis der verwendeten Softwarekomponenten, das, was die Branche als Software-Stückliste bezeichnet. Konkret müssen Sie wissen, welche Bibliotheken und Drittkomponenten in Ihrem Produkt laufen. Viele KMU stellen an diesem Punkt fest, dass sie es nicht wissen, weil die Firmware von einem Subunternehmer entwickelt wurde.
Einen dauerhaften Support gewährleisten. Die Verordnung sieht eine Supportdauer vor, während der Schwachstellen wirksam behandelt werden müssen, und legt grundsätzlich eine Dauer von mindestens fünf Jahren fest, sofern das Produkt nicht offensichtlich für eine kürzere Nutzungsdauer bestimmt ist. Diese Dauer muss beim Kauf klar mitgeteilt werden. Für ein Industrie-KMU ist das oft der schwerste Punkt: Sie müssen die Fähigkeit einplanen, über Jahre hinweg Korrekturen zu produzieren und zu verteilen.
Melden. Ab dem 11. September 2026 muss eine aktiv ausgenutzte Schwachstelle in einem Ihrer Produkte oder ein schwerer Vorfall, der deren Sicherheit betrifft, innerhalb von 24 Stunden Gegenstand einer Frühwarnung sein, innerhalb von 72 Stunden Gegenstand einer vollständigeren Meldung, und anschliessend eines Abschlussberichts. Die Meldung erfolgt über eine einzige europäische Plattform, an das zuständige CSIRT, mit Übermittlung an die ENISA.
Die kostengünstigste und nützlichste Massnahme: Erstellen Sie eine Adresse wie [email protected], veröffentlichen Sie sie auf Ihrer Website und in Ihren Handbüchern, und stellen Sie sicher, dass jemand sie liest. So werden Sie von einer forschenden Person, einem Kunden oder einem Integrator auf eine Schwachstelle hingewiesen. Ohne diesen Kanal erfahren Sie von dem Problem über die Presse oder einen verärgerten Kunden, und Ihre 24-Stunden-Frist wird bereits zu laufen begonnen haben, ohne dass Sie es wissen.
Wo realistisch anfangen
Sie brauchen diesen Sommer kein vollständiges Konformitätsprojekt. Sie brauchen drei Dinge vor September und einen Fahrplan für 2027.
- Erstellen Sie die Liste Ihrer Produkte, die Software enthalten, und vermerken Sie für jedes, ob es direkt oder über einen Kunden in der EU verkauft wird. Eine einseitige Tabelle reicht aus, um das tatsächliche Ausmass des Themas aufzuzeigen.
- Eröffnen Sie den Meldekanal und benennen Sie eine verantwortliche Person. Das ist die Voraussetzung für die Frist im September 2026.
- Schreiben Sie das einseitige Reaktionsverfahren: wer die Information qualifiziert, wer entscheidet, dass es sich um eine aktive Ausnutzung handelt, wer die Warnung verfasst, wer sie versendet, innerhalb welcher Frist.
- Verlangen Sie von Ihren Software-Subunternehmern das Verzeichnis der Komponenten, die sie in Ihrer Firmware verwenden. Nehmen Sie das für künftige Entwicklungen in den Vertrag auf.
- Bestimmen Sie die Kategorie Ihrer Produkte (gewöhnlich, wichtig Klasse I oder II, kritisch), da sie festlegt, ob eine Bewertung durch Dritte erforderlich ist. Das ist der Punkt, den eine Fachperson bestätigen sollte.
- Kalkulieren Sie die Supportdauer, die Sie einhalten können, und bauen Sie sie in Ihre Preise und Verträge ein, statt sie hinnehmen zu müssen.
Die gute Nachricht ist, dass sich diese Arbeiten weitgehend mit der Sicherheitshygiene überschneiden, die von jedem Unternehmen erwartet wird, und dass die interne Reife genauso zählt wie die Technik. In der Schweiz verzeichnete das Nationale Zentrum für Cybersicherheit 64’733 freiwillige Meldungen im Jahr 2025, gegenüber 62’954 im Jahr 2024 (NCSC, Halbjahresbericht 2025/II, 30. März 2026): Der Druck auf Unternehmen lässt nicht nach, und ein Hersteller, der bereits weiss, wie er einen Vorfall bei sich selbst bewältigt, wird auch einen bei seinen Kunden leichter bewältigen können.
Kein Element dieses Artikels stellt eine Rechtsberatung dar. Die genaue Einordnung Ihres Produkts, seine Kategorie und die für Ihre bestehende Produktpalette geltende Regelung müssen in der Regel mit einer Fachperson für Produktkonformität bestätigt werden.
Um die Reife Ihres Unternehmens in wenigen Minuten einzuschätzen, gibt Ihnen der Cyber-Check-up einen Score und Ihre drei Prioritäten. Der Test «Bin ich vom CRA betroffen?» behandelt speziell die Frage des Geltungsbereichs. Hersteller vernetzter Funkgeräte sollten sich parallel dazu die EN-18031-Normen ansehen, und Industrieunternehmen die IEC 62443. Ihre Schweizer Pflichten bleiben davon unabhängig vollständig bestehen, angefangen bei Ihren nDSG-Pflichten. Alle anwendbaren Rechtstexte sind im Themenbereich Vorschriften zusammengefasst.