Die Europäische Kommission hat einen umfassenden Leitfaden zur Anwendung des Cyber Resilience Act (CRA) vorgelegt. Das Dokument enthält insgesamt 67 Praxisbeispiele, die Unternehmen dabei unterstützen sollen, die regulatorischen Anforderungen für Produkte mit digitalen Elementen besser zu verstehen und in die betriebliche Praxis zu übersetzen.
Konkretisierung des Anwendungsbereichs
Der neu veröffentlichte Leitfaden adressiert eine breite Palette an Produkten, die unter die Gesetzgebung fallen. Dazu gehören unter anderem Router, intelligente Türklingeln, mobile Applikationen, Smartphones sowie Wearables und Cloud-basierte Softwarelösungen. Die Kommission zielt mit den bereitgestellten Beispielen darauf ab, den oft komplexen Anwendungsbereich der Verordnung für die Hersteller greifbarer zu machen.
Besonderes Augenmerk liegt dabei auf technischen und organisatorischen Detailfragen, die für die Branche von hoher Relevanz sind. So werden in dem Dokument Aspekte wie der Umgang mit Open-Source-Software, die Fernverarbeitung von Daten (Remote Data Processing) sowie die Definition von sogenannten wesentlichen Änderungen an bereits bestehenden Produkten erläutert. Zudem liefert der Leitfaden Orientierungspunkte für die Festlegung angemessener Support-Zeiträume, innerhalb derer Hersteller zur Bereitstellung von Sicherheitsupdates verpflichtet sind.
Neben dem Cyber Resilience Act stellt auch die neue EU-KI-Verordnung Unternehmen vor komplexe Herausforderungen bei der Produktentwicklung. Dieser kostenlose Praxisleitfaden hilft Ihnen, Risikoklassen und Dokumentationspflichten für KI-Systeme rechtzeitig zu verstehen. EU AI Act in 5 Schritten verstehen
Unterstützung für kleine und mittlere Unternehmen
Ergänzend zu den detaillierten Praxisbeispielen wurden in den letzten Tagen spezifische Leitlinien veröffentlicht, die sich auf die Bedürfnisse kleiner und mittlerer Unternehmen (KMU) konzentrieren. Henna Virkkunen betonte in diesem Zusammenhang, dass diese Hilfestellungen eine zentrale Rolle dabei spielen, die betroffenen Firmen in die Lage zu versetzen, die Vorgaben des CRA fristgerecht zu erfüllen.
Trotz der Detailtiefe weist die EU-Kommission auf den rechtlichen Status des Dokuments hin: Der Leitfaden ist nicht bindend. Er dient als Orientierungshilfe für die Auslegung der Verordnung, ersetzt jedoch nicht die rechtliche Prüfung der zugrunde liegenden Gesetzestexte.
Die neuen EU-Vorgaben verlangen von Unternehmen ein proaktives Risikomanagement, um empfindliche Sanktionen zu vermeiden. Erfahren Sie im kostenlosen E-Book, welche rechtlichen Pflichten und Cyberrisiken Sie jetzt kennen müssen, um Ihren Betrieb langfristig zu schützen. Kostenlosen Cyber-Security-Report jetzt anfordern
Zeitplan und globale Reichweite
Der Cyber Resilience Act trat bereits im Dezember 2024 in Kraft und stellt einen wesentlichen Pfeiler der europäischen Cybersicherheitsstrategie dar. Die Verordnung ist für sämtliche Produkte verpflichtend, die auf dem EU-Markt in den Verkehr gebracht werden – unabhängig davon, ob der Hersteller seinen Sitz innerhalb oder außerhalb der Europäischen Union hat.
Für die betroffenen Unternehmen gelten nun zwei entscheidende Fristen zur Umsetzung:
- Ab dem 11.09.2026 treten die umfassenden Meldepflichten in Kraft. Ab diesem Zeitpunkt müssen Hersteller Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen an die zuständigen Behörden kommunizieren.
- Ab dem 11.12.2027 werden die Kernpflichten der Verordnung verbindlich. Hierzu zählt insbesondere die verpflichtende CE-Kennzeichnung, mit der Hersteller die Konformität ihrer Produkte mit den Sicherheitsanforderungen des CRA nachweisen müssen.
Mit der Veröffentlichung der Praxisbeispiele reagiert die Kommission auf den Informationsbedarf der Industrie, um die weitreichenden Anforderungen an die Cybersicherheit von vernetzten Produkten rechtzeitig bis zum Ende der Übergangsfristen umzusetzen.
