Cyber Resilience Act: Was die neue EU-Cybersicherheitspflicht für Agenturen bedeutet
ab 11.12.2027gilt der Cyber Resilience Act vollständig, Meldepflichten für aktiv ausgenutzte Schwachstellen schon ab 11.9.2026 [1]
Der Cyber Resilience Act verlangt Sicherheit für Software und vernetzte Produkte. Websites als Dienstleistung sind meist nicht direkt betroffen, verkaufte Plugins, Themes und Apps schon. Wer was tun muss und bis wann.
Das Wichtigste in Kürze
Der Cyber Resilience Act (CRA) ist die EU-Verordnung für sichere Software und vernetzte Geräte. Er gilt seit 10. Dezember 2024, vollständig anzuwenden ab 11. Dezember 2027; die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Vorfälle gelten schon ab 11. September 2026 [1][2]. Für Agenturen ist die gute Nachricht: Websites, die nicht zur Funktion eines Produkts gehören, fallen ausdrücklich nicht darunter [1]. Wer aber Plugins, Themes oder Apps verkauft, ist Hersteller im Sinne des CRA. Dieser Artikel ist eine Orientierung, keine Rechtsberatung.
Die Fristen und Grenzen
Wen der CRA trifft und wen nicht
Der CRA gilt für Produkte mit digitalen Elementen, also vernetzte Hardware und Software, die auf dem EU-Markt bereitgestellt wird, von Apps über Spiele bis zu smarten Geräten [2]. Mit erfasst sind Cloud-Dienste, die ein Hersteller für sein Produkt baut und ohne die es nicht funktioniert [1].
Nicht erfasst sind Websites, die keine Funktion eines solchen Produkts unterstützen [1]. Die Unternehmenswebsite, der Hotelauftritt oder die Gemeindeseite, die Sie mit uns für Ihre Kunden bauen, ist damit in der Regel kein Fall für den CRA.
Freie Open-Source-Software, die ihr Hersteller nicht zu Geld macht, gilt nicht als kommerzielle Tätigkeit [1]. Wer nur Code zu einem fremden Open-Source-Projekt beiträgt, ist ebenfalls nicht Hersteller [1]. Das betrifft etwa die vielen freien WordPress-Plugins, sofern sie nicht über Verkauf oder Bezahlversionen monetarisiert werden.
Typische Fälle aus dem Agenturalltag
| Kriterium | Einordnung |
|---|---|
| Kundenwebsite mit WordPress oder Statamic | in der Regel nicht erfasst, Website ohne Produktfunktion [1] |
| Freies Plugin, ohne Geld, ohne Bezahlversion | in der Regel nicht kommerziell, nicht erfasst [1] |
| Plugin oder Theme mit Verkauf oder Pro-Version | Produkt mit digitalen Elementen, Pflichten als Hersteller [1] |
| App für einen Kunden, im Store veröffentlicht | wahrscheinlich erfasst, Rolle des Herstellers klären [1] |
| Online-Steuerung für ein Gerät des Kunden | erfasst als Datenverarbeitung aus der Ferne, wenn das Gerät ohne sie nicht funktioniert [1] |
Eine Orientierung, keine Rechtsberatung. Grenzfälle wie individuell entwickelte Software für einen einzelnen Kunden sollten rechtlich geprüft werden.
Was Hersteller tun müssen
Wer ein Produkt im Sinne des CRA anbietet, übernimmt Pflichten über die ganze Lebensdauer [1]:
- Sicher entwickeln und ausliefern, nach den grundlegenden Anforderungen der Verordnung.
- Schwachstellen behandeln, mit einem festen Verfahren für Meldungen von außen und einer Richtlinie zur koordinierten Offenlegung [1].
- Sicherheitsupdates bereitstellen, in der Regel für mindestens fünf Jahre, oder für die erwartete Nutzungsdauer, wenn sie kürzer ist [1].
- Melden, ab 11. September 2026: aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb kurzer Fristen an die zuständigen Stellen [1].
- Konformität erklären und das CE-Zeichen anbringen, wenn das Verfahren abgeschlossen ist [1].
Für Kleinstunternehmen und kleine Firmen sieht der CRA Unterstützung vor, die Pflichten selbst gelten aber auch für sie [2].
Was das für uns und Ihre Agentur heißt
Für Ihre Kundenwebsites ändert sich wenig. Was der CRA verlangt, ist bei uns ohnehin Teil der Wartung: aktuelle Software, geprüfte Updates, Plugins von Herstellern, die ihre Produkte pflegen. Mit dem CRA werden genau diese Hersteller verpflichtet, Sicherheitsupdates zu liefern. Das macht die Auswahl leichter, nicht schwerer. Mehr dazu in WordPress-Wartung.
Wenn Ihre Agentur eigene Plugins, Themes oder Apps verkauft, sollten Sie jetzt beginnen: ein Postfach für Sicherheitsmeldungen, ein Verfahren für Updates, eine Liste der verwendeten Komponenten. Die Meldepflicht läuft schon seit September 2026.
Häufige Fragen zum Thema
Betrifft der Cyber Resilience Act die Websites unserer Kunden?
In der Regel nicht. Websites, die keine Funktion eines vernetzten Produkts unterstützen, nimmt die Verordnung ausdrücklich aus. Anders ist es, wenn eine Website oder App ein Gerät des Kunden steuert. Orientierung, keine Rechtsberatung.
Wir verkaufen ein eigenes WordPress-Plugin. Was müssen wir tun?
Dann sind Sie Hersteller im Sinne des CRA. Seit 11. September 2026 müssen Sie aktiv ausgenutzte Schwachstellen melden, ab 11. Dezember 2027 gelten alle Pflichten: sichere Entwicklung, Schwachstellenbehandlung, Updates in der Regel für mindestens fünf Jahre, Konformitätserklärung und CE-Zeichen. Lassen Sie die Einordnung rechtlich prüfen.
Was bedeutet der CRA für die Plugins, die wir einsetzen?
Die Pflichten liegen beim Hersteller des Plugins, nicht bei Ihnen. Für den Betrieb ist das eher eine gute Nachricht, weil kommerzielle Hersteller künftig Sicherheitsupdates liefern müssen. In der Wartung achten wir darauf, nur gepflegte Plugins einzusetzen.
Für Agenturen
Wir halten die Websites Ihrer Kunden aktuell und sicher: geprüfte Updates, gepflegte Plugins, Backups und Monitoring, unter Ihrem Namen.
Sie sind ein Unternehmen? Rückruf vereinbaren
Weiterlesen
- Eigene Inhaltstypen statt Seitenbau-ChaosTeam, Referenzen, Zimmer oder Jobs gehören in eigene Inhaltstypen mit Feldern, nicht in einzeln gebaute Seiten. Die Redaktion füllt ein Formular aus, das Layout bleibt stabil, und neue Einträge kosten Minuten.
- Mehrsprachige Websites mit WordPress: Adressen, hreflang, ÜbersetzungWordPress kann von Haus aus keine mehrsprachigen Inhalte, das übernimmt eine Erweiterung. Entscheidend ist, dass Adressen, Sprachangaben, Felder und Menüs von Anfang an sauber geplant sind und die Seite schnell bleibt.
- WordPress-Wartung: Was drin ist und wie wir bestehende Seiten übernehmenUpdates mit Vorher-nachher-Vergleich und Rollback, Backups, Monitoring und kleine Änderungen an Werktagen meist binnen 24 Stunden. Auch Seiten, die nicht von uns stammen: nach einer Prüfung, zum Tarif plus 20 %.
Quellen
- EUR-Lex, Verordnung (EU) 2024/2847 (Cyber Resilience Act) · abgerufen am 29.10.2026
- Europäische Kommission, Cyber Resilience Act · abgerufen am 29.10.2026
Recherchiert mit KI-Unterstützung, mit Quellen belegt und inhaltlich geprüft von Mike Joerihsen am .
Diese Inhalte sind eine Orientierung und keine Rechtsberatung. Bei konkreten Fragen zu Ihrer Situation wenden Sie sich an eine Rechtsberatung oder die zuständige Behörde.