Thought Leadership
Vor dem Stichtag im September will die EU-Kommission Herstellern und Entwicklern unter die Arme greifen. Ein neuer Leitfaden mit 67 Praxisbeispielen soll offene Fragen zum Cyber Resilience Act klären.
Die EU-Kommission hat eine neue Leitlinie zum Cyber Resilience Act (CRA) veröffentlicht. Sie soll Herstellern, Entwicklern und Unternehmen jeder Größe helfen, ihre Pflichten aus der seit Dezember 2024 geltenden Verordnung zu verstehen und rechtzeitig umzusetzen.
Der CRA verpflichtet Anbieter vernetzter Produkte, von Babyphones über Smartwatches bis hin zu Apps und klassischer Software, dazu, verbindliche Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg einzuhalten. Das Regelwerk gilt als eines der schärfsten Instrumente der EU im Bereich Produktsicherheit für digitale Güter.
Die Kommission selbst betont, dass es ihr mit der Veröffentlichung nicht um zusätzliche Bürokratie gehe. Man wolle Unternehmen, gerade kleineren, nicht allein lassen, sondern früh mit klarer und praxisnaher Unterstützung einsteigen. In der Mitteilung heißt es dazu wörtlich, dies sei „gelebte Vereinfachung“.
Offene Fragen sollen geklärt werden
Mit dem neuen Leitfaden reagiert die Kommission auf Unsicherheiten, die seit Inkrafttreten der Verordnung von Unternehmen und Verbänden immer wieder angemerkt wurden. Konkret geht es unter anderem um:
- wann Produkte überhaupt in den Anwendungsbereich des CRA fallen, etwa bei Remote-Datenverarbeitung oder quelloffener Software
- was als „wesentliche Änderung“ eines Produkts gilt
- wie lange Support Zeiträume laufen müssen
- wie Melde und Risikobewertungspflichten konkret zu erfüllen sind
Gerade für Kleinstunternehmen und KMU soll der Leitfaden die Umsetzung erleichtern. Die Kommission spricht von 67 praktischen Beispielen sowie zusätzlichen Anwendungsfällen, Flussdiagrammen und Grafiken, die den Weg zur Konformität klar und verhältnismäßig gestalten sollen, ohne unnötigen bürokratischen Aufwand.
Rechtlich nicht bindend, aber relevant
Wichtig für Unternehmen: Der Leitfaden selbst ist nicht rechtsverbindlich. Er soll aber Klarheit schaffen, bevor zentrale Fristen des CRA greifen. Bereits ab dem 11. September 2026 müssen Hersteller Meldepflichten erfüllen, etwa bei aktiv ausgenutzten Schwachstellen oder schweren Sicherheitsvorfällen. Die eigentlichen Hauptpflichten der Verordnung, etwa zu Konformitätsbewertung und CE Kennzeichnung, gelten ab dem 11. Dezember 2027.
Die Kommission kündigt zudem an, bei Bedarf weitere Leitlinien nach Artikel 26 des CRA nachzulegen.
Teil der Vereinfachungsagenda
Die Veröffentlichung reiht sich in die breitere Vereinfachungsstrategie der Kommission ein, zu der auch das im November 2025 vorgestellte Digital Omnibus Paket gehört. Ziel dieses Pakets ist es unter anderem, digitale Regulierung in der EU zu entschlacken und Doppelregulierungen abzubauen, ein Thema, das angesichts der Fülle an EU Digitalgesetzen wie DSA, DSGVO, AI Act und CRA zuletzt immer wieder für Kritik aus der Industrie gesorgt hat.
Erarbeitet wurde der Leitfaden laut Kommission in Zusammenarbeit mit der Expertengruppe für die Cybersicherheit von Produkten mit digitalen Elementen sowie auf Basis einer öffentlichen Konsultation Anfang 2026.
(red)
