Der EU Cyber Resilience Act (Verordnung (EU) 2024/2847) ist seit 10. Dezember 2024 in Kraft. Die Kernpflichten gelten ab 11. Dezember 2027. Wer heute vernetzte Produkte in der EU verkauft und nicht spätestens Anfang 2026 mit der Umsetzung beginnt, wird die Frist realistisch nicht mehr halten.
Nirgendwo ist das Risiko höher — und die Aufmerksamkeit geringer — als bei Herstellern von unbemannten Luftfahrzeugen (UAVs). Drohnen sind praktisch immer Produkte mit digitalen Elementen im Sinne des CRA: sie enthalten Firmware, Kommunikationsmodule, Remote-Identification, häufig mobile Apps und Cloud-Backends. Trotzdem fokussieren die meisten UAV-Hersteller weiter fast ausschließlich auf die Luftfahrt-spezifische Regulierung — Verordnung (EU) 2019/945 (Produkt) und Verordnung (EU) 2019/947 (Betrieb) — und behandeln den CRA als Thema, das erst später relevant werde.
Warum UAVs vollständig in den CRA-Scope fallen
Artikel 2 CRA erfasst Produkte mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden. Eine Drohne mit Flugsteuerung, Datenlink und Firmware-Update-Fähigkeit fällt zweifelsfrei darunter. Die im CRA vorgesehenen Ausnahmen — u.a. für Produkte, die bereits einer sektorspezifischen Cybersecurity-Regelung mit gleichwertigem Schutzniveau unterliegen — greifen für kommerzielle UAVs nicht in der Breite. Die EASA-Rahmen adressieren Luftsicherheit, aber nicht die im CRA verlangte Produkt-Cybersecurity über den gesamten Lebenszyklus.
Konkret bedeutet das: Ein UAV-Hersteller, der 2028 in der EU verkaufen will, muss zusätzlich zur bestehenden CE-Konformität nach 2019/945 auch die CRA-Anforderungen erfüllen — inklusive Konformitätsbewertung, technischer Dokumentation und CE-Kennzeichnung nach CRA.
Die Klassifizierung entscheidet über den Aufwand
Der CRA kennt drei Kategorien: Standardprodukte, wichtige Produkte (Class I und Class II, Anhang III) und kritische Produkte (Anhang IV). UAVs sind nicht namentlich als wichtige Produkte gelistet — aber viele UAV-Bestandteile durchaus: sichere Elemente (Anhang IV), Netzwerkmanagementsysteme, VPN-Clients, Public-Key-Infrastruktur-Komponenten. Sobald ein UAV solche Bausteine integriert oder ein UAV-Ökosystem eine Fernsteuerungs-/Flottenmanagement-Plattform mit Netzwerk-Management-Charakter umfasst, verschiebt sich die Klassifizierung nach oben — mit weitreichenden Folgen für das Konformitätsverfahren.
Für Standardprodukte reicht die Selbstbewertung (Modul A). Für wichtige Class-II- und kritische Produkte ist eine Beteiligung einer benannten Stelle (Notified Body) verpflichtend. Der Unterschied im Aufwand: Wochen versus 6–12 Monate.
Die Grundanforderungen aus Anhang I — vollständig, nicht auszugsweise
Anhang I CRA definiert die grundlegenden Cybersecurity-Anforderungen. Jede Anforderung ist unabhängig zu erfüllen und zu dokumentieren. Für UAV-Hersteller besonders relevant:
- Secure-by-default-Konfiguration ab Werk — offene Debug-Ports, Werkspasswörter und ungehärtete Netzwerkschnittstellen sind der häufigste Praxisbefund.
- Absicherung von Datenübertragung zwischen UAV und Fernsteuerung — Ende-zu-Ende-Verschlüsselung, Authentifizierung, Integritätsschutz.
- Sichere Update-Mechanismen — signierte Firmware, Rollback-Schutz, Belegbarkeit einer nachweisbaren Aktualisierungskette über die erwartete Produktlebensdauer.
- Schwachstellenmanagement — koordinierter Meldeprozess, Behandlung, Patch-Bereitstellung und Kommunikation an Nutzer.
- Datenminimierung und Zugriffskontrolle — insbesondere für Video-, Sensor- und Telemetriedaten.
Ergänzend dazu: eine Software Bill of Materials (SBOM) muss beim Hersteller vorliegen, um alle enthaltenen Softwarekomponenten inklusive Version und Herkunft nachweisen zu können. In der Praxis fehlt sie bei den meisten UAV-Herstellern vollständig.
Frühe Deadline: Vulnerability-Reporting ab 11. September 2026
Bevor die Hauptpflichten am 11. Dezember 2027 greifen, gilt bereits ab 11. September 2026 eine harte Frühfrist: aktiv ausgenutzte Schwachstellen müssen innerhalb von 24 Stunden an ENISA und die zuständige nationale Behörde gemeldet werden, gefolgt von einer Detailmeldung binnen 72 Stunden und einem Abschlussbericht innerhalb von 14 Tagen. Wer heute keinen belastbaren Incident-Response-Prozess hat, wird diese Frist reißen — mit direkter Sanktionsfolge.
Was Non-Compliance konkret kostet
Der Verstoß gegen die grundlegenden Anforderungen kann mit Geldbußen bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden — je nachdem, welcher Betrag höher ist. Für einen mittelständischen UAV-Hersteller mit 50 Millionen Euro Umsatz sind das 1,25 Millionen Euro. Zusätzlich droht das schärfere Werkzeug: Markt-Rückzugsanordnung. Ein UAV, das nicht CRA-konform CE-gekennzeichnet ist, darf ab 11. Dezember 2027 nicht mehr in der EU in Verkehr gebracht werden.
Der 8-Schritte-Fahrplan für UAV-Hersteller
- Scoping: Welche eigenen UAV-Modelle und Zubehörprodukte fallen unter den CRA, in welcher Klassifikation?
- Gap-Analyse: Ist-Zustand gegenüber Anhang I CRA und den Anforderungen an technische Dokumentation.
- Cybersecurity Risk Assessment auf Produktebene mit dokumentierten Bedrohungsmodellen (STRIDE/LINDDUN).
- Aufbau einer vollständigen SBOM und eines Supplier-Cybersecurity-Programms.
- Design-Änderungen: Secure-Defaults, kryptografische Härtung, Update-Signatur-Infrastruktur.
- Vulnerability-Handling-Policy inklusive PSIRT-Prozess, koordinierter Offenlegung und 24-h-Meldekette.
- Erstellung der technischen Dokumentation nach Anhang VII und Konformitätsbewertung (ggf. mit benannter Stelle).
- Governance: Rollen und Verantwortlichkeiten festlegen, laufender Compliance-Betrieb mit periodischen Reviews.
Was Sie jetzt tun sollten
Wer Ende 2027 in der EU verkaufen will, muss spätestens Anfang 2026 mit der strukturierten Umsetzung starten. Der CRA ist nicht mit einem Compliance-Sprint zu erledigen — es ist ein Umbau von Produktentwicklung, Supply Chain und Support.
Machen Sie den Selbst-Check über den kostenfreien CRA-Readiness-Assessment auf dieser Seite. In sechs Fragen sehen Sie, wo Sie stehen. Wenn Sie darüber hinaus einen strukturierten Fahrplan brauchen, ist ein Erstgespräch mit NexTech.Law der schnellste Weg zu Klarheit.