Die EU-Kommission hat umfassende Leitlinien zur Umsetzung des Cyber Resilience Act (CRA) veröffentlicht – pünktlich vor wichtigen Fristen für Hersteller digitaler Produkte. Der Leitfaden umfasst über 80 Seiten und liefert 67 Praxisbeispiele zur Klärung von Anwendungsbereich und Pflichten des neuen Cybersicherheitsrahmens.
Meldepflicht ab September: Was Unternehmen erwartet
Schon in wenigen Wochen wird es ernst: Ab dem 11. September 2026 sind Hersteller gesetzlich verpflichtet, aktiv ausgenutzte Sicherheitslücken in ihren Produkten zu melden. Die Pflicht gilt für alle Produkte mit digitalen Elementen – auch für Bestandsgeräte, die bereits auf dem Markt sind.
Die neuen Regeln verlangen ein straffes Meldeverfahren: Eine Frühwarnung muss innerhalb von 24 Stunden nach Bekanntwerden einer ausgenutzten Schwachstelle erfolgen, gefolgt von einer formellen Meldung nach 72 Stunden und einem Abschlussbericht nach 14 Tagen. Branchenbeobachter weisen allerdings darauf hin, dass die offizielle Meldeplattform der europäischen Behörden noch in der Entwicklung steckt.
Supportpflichten und Cloud-Fragen geklärt
Die Kommissionsleitlinien präzisieren auch die Erwartungen an den Support. Hersteller müssen demnach grundsätzlich mindestens fünf Jahre Sicherheitsunterstützung bieten – es sei denn, die erwartete Nutzungsdauer des Produkts ist kürzer.
Eine wichtige Klarstellung betrifft Cloud-Backends: Fernverarbeitungsumgebungen gelten dann als Teil des Produkts, wenn die Hardware oder Software ohne diese Verbindung ihre Hauptfunktion verliert und das Backend vom Hersteller selbst entwickelt wurde.
Angesichts der neuen Meldepflichten und Sicherheitsvorgaben müssen Betriebe ihre IT-Infrastruktur proaktiv schützen. Dieses kostenlose E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen ohne hohe Investitionen erfüllen. IT-Sicherheit stärken und Unternehmen schützen
Hardware unter Druck: Lkw und Straßenlaternen betroffen
Parallel zum CRA verschärfen sich die Anforderungen an bestimmte Hardware-Kategorien. Seit dem 1. August 2026 gelten erweiterte Cybersicherheits-Zertifizierungspflichten für schwere Lkw der Klassen M2, M3, N2 und N3. Im Rahmen der Gesamtfahrzeug-Genehmigung (WVTA) müssen Neuanträge nun den Nachweis eines Cybersicherheits-Managementsystems (CSMS) nach UN-Regelung 155 erbringen. Ohne diese Zertifizierung gibt es keine EU-Typgenehmigung.
Auch im Infrastrukturbereich greift seit dem 1. August eine neue Pflicht: IoT-Gateways für intelligente Straßenbeleuchtung müssen den Standard IEC/EN 62443-4-1:2025 erfüllen. Vor der Zollabfertigung ist eine Drittprüfung des sicheren Entwicklungslebenszyklus erforderlich – etwa durch TÜV Rheinland oder DEKRA. Produkte, die die Anforderungen nicht erfüllen, können vom EU-Markt ausgeschlossen werden.
NIS2 und KI-Verordnung: Weitere Fristen laufen
Die CRA-Umsetzung fällt in eine Phase verschärfter Digitalgesetze. In Deutschland endete am 31. Juli 2026 die Übergangsfrist für die Registrierung von Unternehmen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) nach NIS2 – bei Verspätung drohen Bußgelder von mehreren hunderttausend Euro. In den Niederlanden tritt das nationale Cyberbeveiligingswet am 15. August 2026 ohne Übergangsfrist in Kraft.
Zudem erreichte die EU-KI-Verordnung am 2. August 2026 eine neue Anwendungsphase. Diese „dritte Welle“ führt Transparenzpflichten ein, etwa die Kennzeichnungspflicht für KI-generierte Inhalte und Deepfakes. Das EU-KI-Büro kann nun bei allgemeinen KI-Modellen Sicherheitsbewertungen verlangen oder nicht konforme Systeme vom Markt nehmen.
Wer sich mit den neuen digitalen Regularien befasst, muss auch die komplexen Vorgaben zum EU AI Act im Blick behalten. Ein kostenloser Download verschafft Ihnen jetzt den notwendigen Überblick über Fristen, Pflichten und Risikoklassen für Ihr Unternehmen. EU AI Act in 5 Schritten verstehen
Der Blick nach vorn: Nächste Meilensteine
Während die Meldepflichten bereits Ende 2026 starten, greifen die vollständigen CRA-Produktpflichten – einschließlich Security by Design und Secure by Default – erst am 11. Dezember 2027. Hersteller von Industrieanlagen sollten zudem beachten: Ab Januar 2027 werden Cybersicherheitsanforderungen nach der Maschinenverordnung fester Bestandteil der CE-Kennzeichnung.
Die Kommissionsleitlinien stellen außerdem klar: Für unabhängige Open-Source-Komponenten haften Hersteller nicht, müssen aber bei der Integration die gebotene Sorgfalt walten lassen. Entdecken sie Schwachstellen in solchen Komponenten, sind sie verpflichtet, diese an die jeweiligen Projekte zu melden.
