Emtract Ingest

Name

Short name (English)

Short name (German)

Full name (English)

Full name (German)

Reference number

Source URL

Jurisdiction

Topic

Instrument type

Status

Entered into force on

Repealed on

Repealed by

Modified date

Listed at

Description (English)

The Cyber Resilience Act sets uniform Union-wide cybersecurity requirements for products with digital elements — hardware and software whose intended purpose or foreseeable use includes a data connection to a device or network. Manufacturers must design such products in line with the essential requirements of Annex I, assess cybersecurity risks, handle vulnerabilities throughout a defined support period of at least five years, carry out a conformity assessment, affix the CE marking and supply user information. Authorised representatives, importers and distributors carry graduated verification, documentation and cooperation duties. As a regulation it applies directly, without national transposition. It entered into force on 10 December 2024 and becomes applicable in stages: Chapter IV on the notification of conformity assessment bodies from 11 June 2026, the reporting obligations for actively exploited vulnerabilities and severe incidents from 11 September 2026, and all remaining provisions from 11 December 2027. There is no size threshold. Products already covered by sector-specific Union law — including vehicle components under Regulation (EU) 2019/2144, medical devices, in vitro diagnostics, civil aviation certified products and marine equipment — are excluded. Infringements can attract fines of up to EUR 15 million or 2.5 % of worldwide annual turnover.

Description (German)

Die Cyberresilienz-Verordnung legt unionsweit einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest — für Hardware und Software, deren bestimmungsgemäßer Zweck oder vorhersehbare Verwendung eine Datenverbindung mit einem Gerät oder Netz einschließt. Sie verpflichtet Hersteller, solche Produkte nach den grundlegenden Anforderungen des Anhangs I zu konzipieren, Cybersicherheitsrisiken zu bewerten, Schwachstellen über einen festgelegten Unterstützungszeitraum von mindestens fünf Jahren zu behandeln, die Konformität zu bewerten, die CE-Kennzeichnung anzubringen und Nutzerinformationen beizufügen. Bevollmächtigte, Einführer und Händler treffen abgestufte Prüf-, Dokumentations- und Mitwirkungspflichten. Als Verordnung gilt sie unmittelbar, ohne nationales Umsetzungsgesetz. In Kraft getreten ist sie am 10. Dezember 2024, anwendbar wird sie gestaffelt: Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen ab dem 11. Juni 2026, die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle ab dem 11. September 2026 und alle übrigen Vorschriften ab dem 11. Dezember 2027. Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den Anforderungen nur bei einer wesentlichen Änderung nach diesem Tag; die Meldepflichten gelten für sie dagegen uneingeschränkt. Eine Größenschwelle kennt die Verordnung nicht. Ausgenommen sind Produkte, die bereits sektorspezifisch geregelt sind — darunter Kraftfahrzeugteile im Anwendungsbereich der Verordnung (EU) 2019/2144, Medizinprodukte, In-vitro-Diagnostika, zivilluftfahrtzertifizierte Produkte und Schiffsausrüstung. Verstöße können mit Geldbußen bis zu 15 Mio. EUR oder 2,5 Prozent des weltweiten Jahresumsatzes geahndet werden.

Cancel

Edit regulation