Der Cyber Resilience Act (CRA) rückt näher. Die ersten Pflichten greifen bereits am 11. September 2026. Ab diesem Zeitpunkt gelten insbesondere Meldepflichten für bestimmte Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen.
In der Beratungspraxis zeigt sich schon jetzt: Viele Unternehmen wissen zwar, dass der CRA kommt. Unklar ist aber häufig, welche Produkte konkret betroffen sind, welche internen Prozesse aufgebaut werden müssen und wie sich die neuen Anforderungen praktisch in bestehende Entwicklungs-, Einkaufs- und Compliance-Strukturen einfügen lassen.
Genau hier sollen neue Leitlinien der EU-Kommission helfen.
Die Kommission hatte zunächst einen Entwurf veröffentlicht und Betroffenen Gelegenheit zur Stellungnahme gegeben. Nun liegt die finale Fassung der Leitlinien zur Anwendung des Cyber Resilience Acts vor. Das Dokument ist in englischer Sprache veröffentlicht und soll Unternehmen dabei unterstützen, die neuen Pflichten besser einzuordnen und rechtzeitig umzusetzen.
Was die neuen EU-Leitlinien leisten sollen
Die Leitlinien sind rechtlich nicht verbindlich. Sie ersetzen also weder den Gesetzestext noch eine konkrete rechtliche Prüfung im Einzelfall.
Trotzdem sind sie für Unternehmen wichtig.
Denn sie zeigen, wie die EU-Kommission zentrale Begriffe und Pflichten des CRA versteht. Das betrifft unter anderem die Frage, welche Produkte überhaupt in den Anwendungsbereich fallen, wann eine wesentliche Änderung eines Produkts vorliegt, welche Bedeutung Support-Zeiträume haben und wie Meldepflichten und Risikobewertungen praktisch einzuordnen sind.
Besonders berücksichtigt werden Kleinstunternehmen sowie kleine und mittlere Unternehmen. Das ist konsequent, denn gerade dort fehlen häufig eigene Rechts-, IT-Sicherheits- oder Compliance-Abteilungen, die sich über Monate ausschließlich mit dem CRA beschäftigen können.
Die Leitlinien enthalten zahlreiche Beispiele, Anwendungsfälle, Grafiken und Entscheidungshilfen. Für die Praxis ist das hilfreich, weil der CRA nicht nur klassische Hardware-Hersteller betrifft. Auch Softwareanbieter, Entwickler, Anbieter digitaler Produkte, IoT-Hersteller, Maschinenbauer mit Softwarekomponenten und Unternehmen mit eingebundener Open-Source-Software müssen prüfen, ob und in welchem Umfang sie betroffen sind.
Warum Unternehmen jetzt handeln sollten
Der CRA ist kein Thema, das man kurz vor Fristablauf mit einer Checkliste erledigt.
Unternehmen müssen unter anderem klären:
- Welche Produkte mit digitalen Elementen werden hergestellt, vertrieben oder in Verkehr gebracht?
- Welche Softwarekomponenten sind enthalten?
- Welche Open-Source-Komponenten werden genutzt?
- Wer ist intern für Schwachstellenmanagement, Sicherheitsupdates und Dokumentation verantwortlich?
- Wie werden Sicherheitsvorfälle erkannt, bewertet und gemeldet?
- Welche Nachweise müssen für die CE-Kennzeichnung und die Konformität bereitgehalten werden?
Ab dem 11. Dezember 2027 gelten die zentralen Anforderungen des CRA vollständig. Dann müssen viele Produkte mit digitalen Elementen die CRA-Anforderungen erfüllen, bevor sie auf dem EU-Markt bereitgestellt werden. Die CE-Kennzeichnung wird dabei nicht zu einer bloßen Formsache. Sie steht für die erklärte Konformität mit den einschlägigen Anforderungen, einschließlich der Cybersicherheitsanforderungen.
Wer erst 2027 beginnt, wird in vielen Fällen zu spät sein.
Gerade bei Softwareprodukten, IoT-Geräten, Maschinen mit integrierter Software oder kombinierten Hardware-/Softwareprodukten müssen Entwicklungsprozesse, Lieferketten, technische Dokumentation, Schwachstellenprozesse und Updatekonzepte rechtzeitig angepasst werden.
Open Source wird zum Compliance-Thema
Ein Punkt wird in vielen Unternehmen noch unterschätzt: Open-Source-Software.
Viele digitale Produkte enthalten heute Open-Source-Komponenten. Das ist technisch sinnvoll und wirtschaftlich oft unvermeidbar. Unter dem CRA muss aber genauer geprüft werden, welche Verantwortung ein Unternehmen für solche Komponenten übernimmt, wenn sie in eigene Produkte integriert werden.
Das betrifft nicht nur IT-Sicherheit, sondern auch Dokumentation, Produktverantwortung, Lizenzmanagement und interne Freigabeprozesse.
Der CRA ist daher ein guter Anlass, die eigene Open-Source-Compliance grundsätzlich auf den Prüfstand zu stellen. Wer nicht weiß, welche Komponenten in seinen Produkten stecken, kann weder Sicherheitsrisiken noch rechtliche Risiken sauber beherrschen.
Fazit
Der Cyber Resilience Act wird für viele Unternehmen deutlich praktischer und näher sein, als es auf den ersten Blick wirkt.
Die neuen Leitlinien der EU-Kommission lösen nicht jedes Problem. Sie bieten aber eine wichtige Orientierung für die Umsetzung und zeigen, welche Fragen Unternehmen jetzt beantworten müssen.
Die wichtigsten Punkte sind laut Fachanwalt IT-Recht Timo Schutt klar:
Unternehmen sollten ihre betroffenen Produkte identifizieren, ihre Software- und Open-Source-Komponenten erfassen, Meldeprozesse vorbereiten, technische Dokumentation aufbauen und Verantwortlichkeiten intern festlegen.
Das braucht Zeit.
Wer den CRA erst dann ernst nimmt, wenn die Pflichten vollständig gelten, handelt nicht vorausschauend, sondern riskant.
Weitere Informationen und die Leitlinien der EU-Kommission finden Sie hier:
