Wer verantwortet Cybersecurity in Ihrer Produktentwicklung?

Wer verantwortet die Cybersicherheit eines Produkts nach dem Cyber Resilience Act?

Verantwortlich ist der Hersteller als Unternehmen, nicht eine Abteilung: Artikel 13 der Verordnung (EU) 2024/2847 verpflichtet ihn, das Produkt nach Anhang I zu entwickeln, die Cybersicherheitsrisiken zu bewerten und Schwachstellen während des Unterstützungszeitraums zu behandeln.

Eine Stellenbezeichnung schreibt die Verordnung nicht vor, wohl eine zentrale Anlaufstelle für Nutzer, auch für Schwachstellenmeldungen (Artikel 13 Absatz 17). Ein Bevollmächtigter in der EU übernimmt die Pflichten aus Artikel 13 Absätze 1 bis 11 nicht (Artikel 18 Absatz 2).

Bei Produkten ausserhalb der Anhänge III und IV genügt das interne Kontrollverfahren, der Hersteller bewertet selbst (Artikel 32 Absatz 1 Buchstabe a). Nach unserer Einschätzung lassen sich die Pflichten auf drei Rollen verteilen. Der Suchhorizont ist eine Annahme, keine Messung: Direktansprache in der Ostschweiz und in Liechtenstein, gerechnet vom Suchstart bis zur Vertragsunterschrift und ohne Kündigungsfrist (Beispielwerte, nicht gemessen).

Verlangen Sie als Muss die Praxis der Rolle, nicht den Titel; Zertifizierungen sind ein Kann. Wer Maschinen mit eigener Steuerungssoftware baut, trifft mit dem Korrumpierungsschutz der Maschinenverordnung auf eine verwandte Aufgabe; welche Rollen sie verlangt, steht in unserem Beitrag «Welche Fachleute braucht die neue Maschinenverordnung?». Mehr zu Muss und lernbar in Halbleiter-Recruiting im Rheintal, zur Ansprache enger Profile in Active Sourcing für Ingenieure.

Ab wann gelten die Pflichten, und sind Schweizer Hersteller erfasst?

Die Meldepflichten gelten seit dem 11. September 2026, die übrigen Herstellerpflichten ab dem 11. Dezember 2027 (Artikel 71 Absatz 2), und ein Schweizer Hersteller mit EU-Absatz ist nach dem Wortlaut erfasst, soweit seine Produkte unter die Verordnung fallen. Massgeblich ist die Bereitstellung auf dem EU-Markt; Hersteller ist, wer ein Produkt unter eigenem Namen vermarktet; eine Bedingung an den Sitz enthält die Verordnung nicht (Artikel 2 Absatz 1, Artikel 3 Nummern 13 und 22). Der Bundesrat spricht von international tätigen Unternehmen, die den Cyber Resilience Act bereits einhalten müssen.

• Artikel 14 gilt seit 11. September 2026 auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Artikel 69 Absatz 3).
• Die übrigen Herstellerpflichten gelten für Produkte, die ab dem 11. Dezember 2027 erstmals auf dem Unionsmarkt bereitgestellt werden; früher in Verkehr gebrachte erfassen sie nur nach einer wesentlichen Änderung (Artikel 69 Absatz 2, Artikel 3 Nummer 21).

Diese Daten sind seit dem Erlass unverändert; die acht Berichtigungen im Amtsblatt bis zum 9. Oktober 2026 betreffen sie nicht. Eine Schweizer Entsprechung fehlt noch: Der Bundesrat hat am 25. September 2026 das VBS beauftragt, bis Juni 2027 eine Vernehmlassungsvorlage für ein Cybersicherheitsgesetz nach dem Vorbild der EU-Verordnung auszuarbeiten.

Wer muss innerhalb von 24 Stunden handeln, wenn eine Schwachstelle ausgenutzt wird?

Der Hersteller meldet eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden nach Kenntnis als Frühwarnung; innerhalb von 72 Stunden nach Kenntnis folgt die Meldung und spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Risikominderungsmassnahme der Abschlussbericht (Artikel 14 Absatz 2). Im Rechenbeispiel (fiktiv, Beispielwerte, nicht gemessen) erfährt die Entwicklung an einem Freitag um 17:00 Uhr von einer aktiv ausgenutzten Schwachstelle:

• Frühwarnung bis Samstag, 17:00 Uhr;
• Meldung bis Montag, 17:00 Uhr;
• steht die Korrektur am übernächsten Freitag bereit: Abschlussbericht spätestens 14 Tage danach.

Die Fristen laufen in Stunden, nicht in Arbeitstagen: Planen Sie die Entscheidung auch fürs Wochenende, mit Vertretung. Gemeldet wird über die Meldeplattform der ENISA, seit dem 11. September 2026 in Betrieb. Hat ein Hersteller keine Hauptniederlassung in der Union, geht die Meldung an das CSIRT des Mitgliedstaats seines Bevollmächtigten, sonst seines Einführers mit den meisten Produkten, sonst seines Händlers, sonst des Landes mit den meisten Nutzern (Artikel 14 Absatz 7); Ihr Vertrieb muss also den Einführer kennen. Nach unserer Einschätzung gehört das Schwachstellenmanagement zuerst besetzt oder benannt, denn diese Pflicht gilt schon. Die Embedded-Security-Rolle sollte vor der Auslegung Ihres ersten betroffenen Produkts stehen, nicht erst vor dem Marktstart.

Wie lange bleibt die Verantwortung für ein ausgeliefertes Produkt bestehen?

Mindestens fünf Jahre lang läuft der Unterstützungszeitraum, bei einer erwarteten Nutzungsdauer unter fünf Jahren der Nutzungsdauer entsprechend (Artikel 13 Absatz 8). Mindestens zehn Jahre bleiben verfügbar: jede Sicherheitsaktualisierung ab ihrer Bereitstellung, technische Dokumentation und Konformitätserklärung ab dem Inverkehrbringen, bei längerem Unterstützungszeitraum entsprechend länger (Artikel 13 Absätze 9 und 13). Wird ein Produkt im Beispiel am 15. Dezember 2027 erstmals in der EU bereitgestellt, läuft die Unterstützung mindestens bis Dezember 2032, und technische Dokumentation und Konformitätserklärung sind mindestens bis Dezember 2037 aufzubewahren; bei langlebigen Maschinen muss der Unterstützungszeitraum die erwartete Nutzungsdauer widerspiegeln und kann deshalb länger sein (Beispielwerte, nicht gemessen).

Damit ist die Rolle eine Dauerstelle, kein Projekt: Wer 2027 liefert, braucht 2032 noch jemanden für dessen Schwachstellen, und eine Vertretung. Die Gegenposition: Drei Köpfe braucht nicht jedes Haus. Bei wenigen Produktlinien mit eigener Software kann eine Person Product Security und Schwachstellenmanagement tragen, Prüfungen lassen sich extern einkaufen. Zu klein ist das nach unserer Einschätzung, sobald die eine Person im Urlaub die 24-Stunden-Frist nicht halten kann oder mehrere Baureihen mit Fernzugriff anstehen.

Welche Personalberatung sucht Fachleute für Elektronik und Engineering in der Ostschweiz?

CONCAPE ist eine Personalberatung für High-Tech & Engineering in Vaduz und im Raum Zürich und besetzt Fach- und Führungspositionen in Halbleiter & Elektronik und High-Performance Engineering in der Ostschweiz, in Liechtenstein und im DACH-Raum per Direct Search. Bei CONCAPE liegt die Time to Hire im Durchschnitt bei 30 Tagen, gemessen vom Suchstart bis zur Vertragsunterschrift (Stand 10/2026); für ein einzelnes Profil sagt das nichts aus. Bei engen Profilen wie Embedded Security dauert es nach unserer Einschätzung länger, und die Kündigungsfrist der neuen Person kommt dazu. Der Talent-Check zeigt vorab passende Profile, die Modelle stehen offen unter Preise.

Dieser Artikel ist keine Rechtsberatung. Verbindlich Auskunft geben die Marktüberwachungsbehörden, Ihre Konformitätsbewertungsstelle und eine Rechtsberatung.

Quellen: Verordnung (EU) 2024/2847 mit Berichtigungen bis 9. Oktober 2026; Verordnung (EU) 2023/1230, konsolidiert 27. Juli 2026; Bundesrat, 25. September 2026; Europäische Kommission, 27. Juli 2026; ENISA, 11. September 2026; Wochenwerte und Rechenbeispiele eigene Planungsannahmen. Stand: Oktober 2026.

Muss ich Geräte und Maschinen, die vor Dezember 2027 geliefert wurden, nachrüsten?

Nein, früher in Verkehr gebrachte Produkte unterliegen den Anforderungen nur nach einer wesentlichen Änderung (Artikel 69 Absatz 2); die Meldepflicht nach Artikel 14 gilt auch für sie (Artikel 69 Absatz 3). Was wesentlich ist, definiert Artikel 3 Nummer 30; die unverbindlichen Leitlinien der Kommission vom 27. Juli 2026 erläutern es.

Gilt für eine Maschine der Cyber Resilience Act oder die Maschinenverordnung?

Beide, wenn die Maschine unter beide fällt. Die Maschinenverordnung (EU) 2023/1230 gilt ab dem 20. Januar 2027, die übrigen Herstellerpflichten des Cyber Resilience Act für neue Produkte erst ab dem 11. Dezember 2027. Erwägungsgrund 53 nennt Überschneidungen beim Schutz gegen Korrumpierung und bei der Sicherheit von Steuerungen; die Einhaltung des Cyber Resilience Act kann die der Maschinenverordnung erleichtern, der Hersteller muss die Synergie aber nachweisen und sollte die Konformitätsbewertungsverfahren beider Verordnungen befolgen.

Wie hoch sind die Bussen, und wer entscheidet darüber?

Bei Verstössen gegen Anhang I und die Artikel 13 und 14 sind Geldbussen bis 15 Mio. EUR oder bis 2,5 % des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist (Artikel 64 Absatz 2). Unter 600 Mio. EUR Jahresumsatz ist der feste Betrag die Obergrenze (15 Mio. geteilt durch 2,5 %). Die Mitgliedstaaten erlassen die Sanktionsvorschriften (Artikel 64 Absatz 1); Geldbussen verhängen die Marktüberwachungsbehörden (Artikel 64 Absatz 6), je nach Rechtssystem des Mitgliedstaats auch Gerichte oder andere Stellen (Artikel 64 Absatz 8); zu berücksichtigen sind Art, Schwere und Dauer des Verstosses sowie die Grösse des Betriebs (Artikel 64 Absatz 5).