Die kurze Antwort
Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) ist ein Produktgesetz. Er verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, also von Hardware und Software, die Nutzer bekommen und selbst betreiben.
Die Leitlinien der EU-Kommission vom Juli 2026 bestätigen: Eine Website, die Besuchern Informationen zeigt, ist kein solches Produkt, und Web-Anwendungen, die nur im Browser genutzt werden, ebenfalls nicht. Anders ist es nur, wenn Sie selbst Software oder vernetzte Geräte verkaufen. Dann betrifft der CRA diese Produkte, nicht Ihre Website.
- Hersteller von Hardware und Software, die Nutzer bekommen und selbst betreiben
- Anbieter kommerzieller WordPress-Plugins, Themes und Shopware-Erweiterungen
- Importeure und Händler solcher Produkte, für die Produkte, die sie verkaufen
- Unternehmen, die eine Website oder einen Online-Shop nur betreiben
- Websites selbst: Sie sind keine Produkte im Sinne des CRA (Erwägungsgrund 12)
- Web-Anwendungen, die nur im Browser genutzt werden, und Cloud-Dienste, für die die NIS2-Richtlinie gilt
Wer eine Website oder einen Shop nur betreibt, ist durch den CRA nicht verpflichtet. Er trifft die Anbieter Ihrer Plugins und Erweiterungen, und Sie spüren ihn über deren Updates.
Der Zeitplan
Alle Fristen richten sich an Hersteller. In Deutschland ist das BSI (CERT-Bund) als koordinierendes CSIRT zuständig.
- 10. Dezember 2024
In Kraft
Die Verordnung (EU) 2024/2847 tritt in Kraft. Hersteller haben eine Übergangszeit.
- gilt seit September 2026 11. September 2026
Meldepflichten
Hersteller melden aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die Meldeplattform der ENISA, auch für Produkte, die schon vorher auf dem Markt waren (Art. 14, Art. 69).
- 11. Dezember 2027
Volle Anwendung
CE-Kennzeichnung für neue Produkte, Behandlung von Schwachstellen und Sicherheitsupdates über einen Unterstützungszeitraum, in der Regel mindestens fünf Jahre (Art. 13).
Meldefristen für Hersteller bei aktiv ausgenutzten Schwachstellen (Art. 14)
- 24 h
Frühwarnung nach Kenntnis einer aktiv ausgenutzten Lücke
- 72 h
Meldung mit Angaben zu Lücke, Ausnutzung und Abhilfe
- 14 Tage
Abschlussbericht, nachdem eine Abhilfe bereitsteht
Was Plugin- und Erweiterungsanbieter jetzt tun müssen
Entscheidend ist, ob Software im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Ein Preis für die Software reicht dafür, aber auch andere Formen der Monetarisierung zählen (Erwägungsgrund 15). Die Leitlinien der EU-Kommission vom 27. Juli 2026 (C(2026) 5252, nicht verbindlich) erklären das an allgemeinen Beispielen. Übertragen auf Plugins heißt das:
| Fall | Unter dem CRA? | Warum |
|---|---|---|
| Bezahl-Plugin oder Lizenz mit Update-Zugang | Ja | Für die Software wird ein Preis verlangt. Der Anbieter ist Hersteller. |
| Freie Version plus kostenpflichtige Pro-Version | Ja | Die Pro-Version ist ein eigenes, monetarisiertes Produkt. Steht die freie Version unter einer Open-Source-Lizenz und betreut sie ein Unternehmen, können für sie die leichten Pflichten eines Open-Source-Verwalters gelten. |
| Freies Plugin, Updates nur gegen Spende oder Lizenz | Ja | Ist der Zugang zu Updates oder Sicherheitskorrekturen an Zahlungen geknüpft, gilt das als Preis. |
| Freies Plugin, dauerhaft betreut von einer Stiftung oder Firma | Leichte Regeln | Leichte Pflichten als Open-Source-Verwalter: Sicherheitsstrategie, Zusammenarbeit mit Behörden, Meldungen (Art. 24). |
| Freies Plugin mit optionalem, separat bezahltem Support | Nein | Die Software ist frei nutzbar, der Support nur ein zusätzliches Angebot. |
| Rein nicht kommerzielle Open-Source-Software | Nein | Nicht monetarisierte Open-Source-Software gilt nicht als in Verkehr gebracht (Erwägungsgrund 18). |
Was Hersteller ab dem 11. Dezember 2027 unter anderem leisten müssen
- 01
Lücken ohne Verzögerung schließen
Sicherheitsupdates nach Möglichkeit getrennt von Funktionsupdates und grundsätzlich kostenlos.
- 02
Kontaktstelle benennen
Eine Adresse, über die Nutzer und Forscher Schwachstellen melden können.
- 03
Unterstützungszeitraum angeben
Beim Kauf klar sichtbar, bis wann das Produkt Sicherheitsupdates bekommt, mindestens mit Monat und Jahr.
Quellen: Verordnung (EU) 2024/2847, Art. 13, Art. 24 und Anhang I; Leitlinien der EU-Kommission C(2026) 5252.
Was sich indirekt für Sie ändert
Rechtlich ändert sich für Sie nichts. Praktisch spüren Sie den CRA über Ihre Plugins und Erweiterungen:
Mehr und schnellere Sicherheitsupdates
Hersteller müssen Lücken ohne Verzögerung schließen und ausgenutzte Lücken melden. Es ist zu erwarten, dass Patches schneller und häufiger erscheinen.
Manche Anbieter ziehen sich zurück
Es ist zu erwarten, dass einzelne kleine Anbieter den Aufwand scheuen und ihre Produkte in der EU nicht mehr anbieten oder einstellen.
Unterstützungszeiträume werden sichtbar
Ab Dezember 2027 erfahren Sie bei neuen Produkten schon beim Kauf, bis wann sie Sicherheitsupdates bekommen.
Ein Patch schützt erst, wenn er auf Ihrer Website angekommen ist. Mehr Updates heißen aber auch mehr Gelegenheiten, dass eines etwas zerlegt. Deshalb: erst testen, dann zügig einspielen.
Was Sie tun können
- 01
Übersicht Ihrer Plugins und Erweiterungen
Welcher Anbieter, wird es noch gepflegt, gibt es eine Kontaktstelle für Sicherheitsmeldungen? Was nicht gebraucht wird, sollte gelöscht werden.
- 02
Updates testen und zügig einspielen
Am besten auf einer Kopie der Website, danach ohne lange Wartezeit live.
- 03
Backups
Eine aktuelle, unabhängige Sicherung, die sich tatsächlich zurückspielen lässt.
Wo NIS2 und DSGVO Sie tatsächlich betreffen
NIS2
Gilt für Unternehmen in bestimmten Sektoren, in der Regel ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Jahresbilanzsumme (BSI).
DSGVO, Art. 32
Verlangt Sicherheit nach dem Stand der Technik, unabhängig von der Größe, auch für eine Website mit Kontaktformular oder einen Shop.
Mehr dazu in den Ratgebern Updates sind Pflicht: Was die DSGVO verlangt und NIS2 für kleine Unternehmen.
Wo der Doppelgänger hilft
Der CRA verlangt von Ihnen nichts, und der Doppelgänger ist kein Compliance-Produkt. Er hilft beim praktischen Effekt: Sicherheitsupdates, die häufiger kommen, getestet und schnell auf Ihre Website zu bringen.
Erst auf der Kopie
Jedes Update spiele ich zuerst auf einer exakten Kopie Ihrer Website ein und teste es.
Dann zügig live
Nach dem Test gehen Sicherheitsupdates in der Regel innerhalb von 24 bis 48 Stunden live.
Plugin-Inventur jede Nacht
Automatische Checks erfassen alle Plugins und Erweiterungen und gleichen sie mit bekannten Schwachstellen ab.
Verschlüsseltes Backup
Jede Nacht eine unabhängige, verschlüsselte Sicherung auf Servern in Deutschland.
Mehr dazu auf den Seiten für WordPress und Shopware.
Hinweis: Dieser Ratgeber ist keine Rechtsberatung. Ob Sie für ein bestimmtes Produkt Pflichten nach dem CRA haben, klären Sie im Zweifel mit einer Anwältin oder einem Anwalt.
Kurz beantwortet.
Muss ich als Shop-Betreiber etwas wegen des CRA tun?
Als Betreiber einer Website oder eines Online-Shops nicht. Der CRA verpflichtet Hersteller, Importeure und Händler von Produkten mit digitalen Elementen, nicht die Nutzer von Software. Websites sind nach der Verordnung und den Leitlinien der EU-Kommission keine solchen Produkte. Anders ist es, wenn Sie selbst Software oder vernetzte Geräte verkaufen: Dann können Sie für diese Produkte Pflichten als Hersteller oder Händler haben.
Gilt der CRA für WordPress selbst?
WordPress ist freie Open-Source-Software. Nicht monetarisierte Open-Source-Software gilt nach dem CRA nicht als in Verkehr gebracht, für Organisationen, die solche Software dauerhaft betreuen, gibt es eine leichte Sonderregel als Open-Source-Verwalter. Kostenpflichtige Plugins, Themes und Editionen sind dagegen Produkte im Sinne des CRA. Für Sie als Nutzer entstehen in keinem dieser Fälle Pflichten aus dem CRA.
Was ist mit Shops, die vernetzte Geräte verkaufen?
Wer vernetzte Geräte oder Software verkauft, ist für diese Produkte Händler im Sinne des CRA, wer sie selbst aus einem Land außerhalb der EU einführt, Importeur. Ab dem 11. Dezember 2027 prüft ein Händler unter anderem, ob das Produkt die CE-Kennzeichnung trägt und der Hersteller die nötigen Angaben mitliefert. Das betrifft die verkauften Produkte, nicht Ihre Website oder Ihre Shop-Software.
Macht mich der Doppelgänger CRA-konform?
Nein, und das muss er auch nicht: Als Betreiber einer Website oder eines Shops sind Sie vom CRA nicht verpflichtet. Der Doppelgänger hilft Ihnen beim indirekten Effekt, also dabei, die zu erwartenden häufigeren Sicherheitsupdates Ihrer Plugins und Erweiterungen getestet und schnell einzuspielen.
Was ändert sich für mich ganz konkret?
Rechtlich nichts. Praktisch ist zu erwarten, dass Hersteller Lücken schneller schließen und Sicherheitsupdates häufiger erscheinen. Ab Dezember 2027 müssen Hersteller bei neuen Produkten außerdem beim Kauf angeben, bis wann ein Produkt Sicherheitsupdates bekommt. Sinnvoll ist, zu wissen, welche Plugins und Erweiterungen Sie einsetzen, und Updates zügig, aber getestet einzuspielen.