Der Cyber Resilience Act und Ihre Fachanwendungen

Er ist verbreitet und klingt plausibel: Wir lassen individuell für uns entwickeln. Diese Software wird nicht auf dem Markt bereitgestellt, also greift der CRA nicht. Der Verordnungstext trägt diese Lesart nicht.

• Der Wortlaut. Die Bereitstellung auf dem Markt ist definiert als entgeltliche oder unentgeltliche Abgabe zum Vertrieb oder zur Verwendung. Eine Mengenschwelle gibt es nicht, eine Adressatenschwelle auch nicht.
• Die Systematik. Nach dem europäischen Rechtsrahmen für Produkte ist unerheblich, ob etwas als Einzelstück oder in Serie hergestellt wurde. Ausgenommen ist nur die Herstellung für den echten Eigenbedarf — also die Software, die ein Unternehmen mit eigenen Kräften für sich selbst baut und nicht abgibt.
• Das entscheidende Argument. Die Verordnung erlaubt für maßgeschneiderte Produkte punktuelle vertragliche Abweichungen von einzelnen Anforderungen. Diese Ausnahme wäre sinnlos, wenn maßgeschneiderte Produkte außerhalb des Anwendungsbereichs lägen.

Wird eine Anwendung ausschließlich vom Anbieter betrieben und vom Auftraggeber ausschließlich im Browser genutzt, ohne dass bei ihm etwas installiert wird, liegt kein Produkt mit digitalen Elementen vor. Sobald aber ein Client, ein Agent, ein Connector oder ein Konfigurator mitgeliefert wird, ist das Produkt zurück — und das zugehörige Backend gilt als dessen Bestandteil.

Praktische Folge für die Beschaffung: Die Lieferform entscheidet, nicht die Technik. Dieselbe Anwendung kann in der einen Betriebsart ein reiner Dienst und in der anderen ein regulierungspflichtiges Produkt sein. Wer zwischen Betrieb beim Anbieter und Betrieb im eigenen Rechenzentrum wählt, wählt damit auch das Regime.

Unabhängig davon, für wen Sie sich entscheiden — diese fünf Punkte gehören geregelt, bevor unterschrieben wird.

1. SBOM als Leistungspflicht. Die EVB-IT-Muster 2026 machen die Software-Stückliste zum Vertragsbestandteil. Eine fehlende SBOM ist dann kein Formfehler, sondern ein Sachmangel.
2. Support-Enddatum im Angebot. Der Unterstützungszeitraum muss beim Erwerb bekannt sein. Fünf Jahre sind die gesetzliche Untergrenze, nicht der angemessene Wert: Maßstab ist die erwartete Nutzungsdauer, und Fachanwendungen laufen typischerweise zehn bis fünfzehn Jahre. Ein Fünf-Jahres-Zeitraum ist begründungsbedürftig.
3. Sicherheitsupdates. Sie sind im Unterstützungszeitraum unverzüglich und unentgeltlich bereitzustellen. Das ist die gesetzliche Vorgabe; prüfen Sie, ob das Angebot sie abbildet.
4. Rollenverteilung beim Betrieb im eigenen Rechenzentrum. Der Hersteller schuldet die Bereitstellung des Updates über einen sicheren Verbreitungsweg, die Installation schuldet der Betreiber. Diese Grenze gehört in den Vertrag, nicht in die Auslegung nach dem Vorfall.
5. Meldeweg zum Kunden. Regulierte Auftraggeber haben eigene Fristen. Sie können sie nur halten, wenn der Lieferant sie rechtzeitig informiert — üblich sind 24 Stunden, vertraglich vereinbart, nicht in Aussicht gestellt.

Die Nachweispflichten skalieren nicht mit der Projektgröße, sondern mit der Anzahl der Produkte. Wer jede Anwendung freihändig baut, erbringt Risikobewertung, Dokumentation, Stückliste und Testnachweise für jedes Projekt neu. Wer auf einem gemeinsamen Unterbau baut, erbringt sie einmal für den Unterbau — und projektspezifisch nur noch für das, was tatsächlich projektspezifisch ist.

Ab 2027 ist das kein Effizienzvorteil mehr, sondern eine Eintrittsbedingung. Es ist absehbar, dass kleinere Anbieter ohne diese Struktur aus Ausschreibungen verschwinden — und dass Auftraggeber bei laufenden Verträgen nachfragen werden, was zum Stichtag vorliegt. Wie ein gemeinsamer Unterbau aufgebaut ist und was er sonst noch ändert, steht im eigenen Beitrag.

• Standard, Individual, Framework: drei Wege zu derselben Anwendung
• Vendor-Lock-in bei Low-Code: die Prüffragen an jeden Anbieter
• Kubernetes-Betrieb: dasselbe Paket, drei Betriebsorte
• Low-Code im eigenen Rechenzentrum: DSGVO und Betrieb

Häufige Fragen

Gilt der Cyber Resilience Act auch für Individualsoftware?

Nach dem Verordnungstext ja. Die Bereitstellung auf dem Markt ist als entgeltliche oder unentgeltliche Abgabe zum Vertrieb oder zur Verwendung definiert, ohne Mengen- oder Adressatenschwelle. Hinzu kommt, dass die Verordnung für maßgeschneiderte Produkte punktuelle vertragliche Abweichungen erlaubt — diese Ausnahme wäre sinnlos, wenn maßgeschneiderte Produkte außerhalb des Anwendungsbereichs lägen. Ausgenommen bleibt nur die Herstellung für den echten Eigenbedarf.

Was ist eine SBOM und warum gehört sie in den Vertrag?

Eine SBOM ist die maschinenlesbare Stückliste aller Komponenten einer Software und ihrer Abhängigkeiten. Sie ist die Voraussetzung dafür, bei einer neu bekannt gewordenen Schwachstelle in Minuten statt in Tagen zu wissen, ob man betroffen ist. Die EVB-IT-Vertragsmuster 2026 machen sie zur Leistungspflicht: Eine fehlende SBOM ist dann kein Formfehler, sondern ein Sachmangel.

Was passiert am 11. September 2026?

Ab diesem Tag greifen die Meldepflichten des Cyber Resilience Act. Aktiv ausgenutzte Schwachstellen sind binnen 24 Stunden als Frühwarnung, binnen 72 Stunden als Meldung und binnen 14 Tagen als Abschlussbericht an das BSI und die ENISA zu melden. Diese Pflicht gilt nicht nur für neu ausgelieferte Software, sondern für die gesamte installierte Basis.