Worum geht es bei der Cyber Resilience Verordnung?
Die Cyberresilienz-Verordnung (EU) 2024/2847 („Cyber Resilience Act“, CRA) legt einheitliche Cybersicherheitsanforderungen für Hardware- und Softwareprodukte mit digitalen Elementen fest, die auf dem Unionsmarkt bereitgestellt werden. Erfasst werden insbesondere Anforderungen an die sichere Konzeption, Entwicklung und Herstellung, die Bewertung und Behandlung von Schwachstellen, Sicherheitsaktualisierungen, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Hersteller müssen außerdem während des Unterstützungszeitraums für die wirksame Bearbeitung von Schwachstellen sorgen und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle melden. Die Verordnung gilt grundsätzlich ab dem 11. Dezember 2027; die Meldepflichten nach Artikel 14 greifen bereits ab dem 11. September 2026.
Die neuen Leitlinie der EU-Kommission, auf die diese bereits am 27.7.2026 hingewiesen hat (https://digital-strategy.ec.europa.eu/en/library/commission-publishes-new-guidance-support-timely-cyber-resilience-act-implementation) sollen die praktische Umsetzung des CRA erleichtern. Sie wurden unter anderem mithilfe der Expertengruppe für Cybersicherheit von Produkten mit digitalen Elementen sowie einer öffentlichen Konsultation Anfang 2026 erarbeitet.
Ziele der Guidance
Die Europäische Kommission verfolgt mit der Guidance das Ziel, die einheitliche und praxisgerechte Anwendung der CRA zu erleichtern. Die Leitlinie soll Wirtschaftsakteuren – mit besonderem Augenmerk auf Kleinstunternehmen sowie kleine und mittlere Unternehmen – mehr Klarheit über die Reichweite der Verordnung und die Umsetzung zentraler Pflichten geben. Dafür gibt es auch einen klaren Hintergrund, der Artikel 26 CRA verpflichtet die Kommission zur Veröffentlichung von Leitlinien, die Wirtschaftsakteure bei der Anwendung des CRA unterstützen sollen, wobei ein besonderer Schwerpunkt auf der Erleichterung der Einhaltung der Vorschriften für Kleinstunternehmen sowie kleine und mittlere Unternehmen liegen soll. Zugleich soll mit der Leitllinie die Arbeit von Marktüberwachungsbehörden, notifizierenden Behörden und Konformitätsbewertungsstellen unterstützen und dadurch eine möglichst harmonisierte Durchsetzung in der Union fördern. Die Guidance ist nicht rechtsverbindlich und ersetzt weder die Verordnung noch die erforderliche Einzelfallprüfung; sie gibt vielmehr die Auslegung der Kommission wieder und veranschaulicht sie anhand praktischer Beispiele.
Inhaltliche Schwerpunkte
Inhaltlich behandelt die Guidance zunächst den Anwendungsbereich der CRA, insbesondere das Inverkehrbringen von Software, die Einordnung komplexer Systeme, Datenverbindungen und die Abgrenzung von Produkten mit digitalen Elementen zu bloßen digitalen Diensten. Einen wesentlichen Schwerpunkt bildet die freie und quelloffene Software: Die Guidance erläutert, wann eine Monetarisierung, entgeltlicher Support, die Verarbeitung personenbezogener Daten oder die Integration durch Dritte dazu führen kann, dass Software als im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt gilt. Außerdem konkretisiert sie die neue Rolle des Verwalters quelloffener Software.
Weitere Kapitel befassen sich mit wesentlichen Änderungen, Ersatzteilen und Softwareupdates, der Bestimmung des Unterstützungszeitraums, der Einstufung wichtiger und kritischer Produkte sowie der Auswahl des passenden Konformitätsbewertungsverfahrens. Ausführlich erläutert werden ferner die risikobasierte Cybersicherheitsbewertung, die gebotene Sorgfalt bei integrierten Drittkomponenten, die Wiederverwendung von Bewertungen für Produktfamilien und die Behandlung von Datenfernverarbeitungslösungen – einschließlich typischer Szenarien wie Banking-Apps, Smart-Thermostaten, E-Readern und Industrierobotern. Den Abschluss bilden Ausführungen zu Meldepflichten, Schwachstellenmanagement, Sicherheitsprüfungen und dem Verhältnis der CRA zu anderen unionsrechtlichen Regelungen.
Einordnung
Die Guidance soll damit vor allem die Übersetzung abstrakter Regulierung in praktische Compliance-Prozesse erleichtern („Vereinfachung in Aktion.“). Unternehmen sollten insbesondere frühzeitig prüfen, ob ihre Produkte in den Anwendungsbereich der CRA fallen, welche Rolle sie in der Lieferkette einnehmen und wie Risikobewertungen, Sicherheitsupdates, Dokumentation und Meldungen organisatorisch umgesetzt werden können. Bei der Leitlinine handelt es sich zunächst um einen Guidance-Entwurf, dessen formelle Annahme nach Abschluss der Übersetzungen vorgesehen ist.
