CRA-Leitfaden veröffentlicht: Meldepflichten greifen ab September
Veröffentlicht am: 29.07.2026 um 00:18 Uhr | Redaktion boerse-global.de
Die Europäische Kommission hat am 28. Juli 2026 einen umfangreichen Leitfaden zum Cyber Resilience Act (CRA) vorgelegt. Das 80-seitige Dokument dient der Konkretisierung rechtlicher Anforderungen an die Cybersicherheit vernetzter Produkte und soll Unternehmen bei der fristgerechten Umsetzung der Verordnung unterstützen. Der Leitfaden umfasst unter anderem Klarstellungen zu Open-Source-Software, Berichtspflichten sowie zur Abgrenzung verschiedener Produktkategorien.
Praxisnahe Hilfestellungen und Anwendungsbereich
Das veröffentlichte Dokument enthält insgesamt 67 Praxisbeispiele und Flussdiagramme, um die komplexen Anforderungen der Verordnung zu veranschaulichen. Der Anwendungsbereich des CRA ist weit gefasst und betrifft eine Vielzahl digitaler Güter. Hierzu zählen unter anderem Hardwareprodukte wie Router, Smartphones, Wearables und vernetzte Türklingeln, aber auch Softwarelösungen wie Apps und Cloud-Dienste.
Henna Virkkunen erklärte dazu, dass die bereitgestellten Leitlinien eine wesentliche Stütze für Unternehmen darstellten, um die Anforderungen des CRA innerhalb der vorgesehenen Zeitpläne zu erfüllen. Trotz des detaillierten Umfangs betont die Kommission jedoch, dass der Leitfaden rechtlich nicht bindend ist. Zudem sind bisher noch keine harmonisierten Standards im Amtsblatt der EU zitiert worden, an denen sich Hersteller abschließend orientieren könnten.
Differenzierung bei Open-Source-Software
Ein zentraler Aspekt des Leitfadens ist die Behandlung von Open-Source-Software. Die EU-Kommission stellte klar, dass quelloffene Software grundsätzlich nicht unter den CRA fällt, sofern sie nicht kommerziell vermarkteter Bestandteil einer Geschäftstätigkeit ist. Eine kommerzielle Tätigkeit liege dann vor, wenn Software verkauft wird, kostenpflichtige Enterprise-Versionen angeboten werden oder eine anderweitige Monetarisierung stattfindet.
Neben neuen Richtlinien wie dem CRA entstehen durch moderne Technologien wie KI ständig neue rechtliche Pflichten und Bedrohungen für Unternehmen. Dieser kostenlose Report klärt auf, welche regulatorischen Anforderungen und Cyberrisiken Unternehmer jetzt kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen
Hingegen begründen freiwillige Spenden oder finanzielle Förderungen allein noch keine kommerzielle Tätigkeit im Sinne der Verordnung. Die Verantwortung für die Einhaltung der Regeln liegt laut Kommission bei den sogenannten Stewards, welche die Kontrolle über die Software-Releases ausüben. Die konkreten Pflichten richten sich dabei nach der Art der Einbindung der Software.
Fristen für Meldepflichten und Compliance
Der Cyber Resilience Act ist bereits seit Dezember 2024 in Kraft, doch die vollständige Umsetzung erfolgt stufenweise. Ein wichtiges Datum für die Industrie ist der 11. September 2026. Ab diesem Zeitpunkt greifen die Meldepflichten für aktiv ausgenutzte Sicherheitslücken. Hersteller sind dann verpflichtet, innerhalb von 24 Stunden eine Frühwarnung und innerhalb von 72 Stunden eine vollständige Meldung abzugeben. Ein Abschlussbericht muss spätestens 14 Tage nach der Behebung der Schwachstelle vorliegen. Bis zum selben Datum im September 2026 soll auch die zentrale Berichterstattungsplattform der Cybersicherheitsagentur ENISA betriebsbereit sein.
Die vollständige Compliance-Pflicht, die unter anderem die CE-Kennzeichnung für betroffene Produkte umfasst, wird am 11. Dezember 2027 wirksam. Für Produkte, die sich zu diesem Zeitpunkt bereits auf dem Markt befinden (Legacy-Produkte), gilt eine Sonderregelung: Wesentliche Änderungen nach diesem Stichtag erfordern keine vollständige CRA-Compliance für das gesamte Produkt, sofern die Änderung keine negativen Auswirkungen auf das ursprüngliche Risikoprofil hat.
Wer KI-Systeme in seine Produkte integriert oder diese entwickelt, muss neben dem CRA auch die spezifischen Anforderungen des EU AI Acts im Blick behalten. Ein kostenloser Umsetzungsleitfaden bietet Compliance-Verantwortlichen jetzt den nötigen Überblick über alle relevanten Fristen und Risikoklassen. EU AI Act Leitfaden kostenlos sichern
Support-Zeiträume und Sanktionsrisiken
Hinsichtlich des Produktlebenszyklus legt die Kommission fest, dass Hersteller eine Support-Periode von mindestens 5 Jahren gewährleisten müssen. Im Bereich der Wartung bringt der Leitfaden Erleichterungen: Updates, die ausschließlich der Schließung von Sicherheitslücken dienen, lösen kein neues, aufwendiges Konformitätsbewertungsverfahren aus. Bei Ersatzteilen gilt das Prinzip der Identität basierend auf den Cybersicherheitsmerkmalen.
Unternehmen, die gegen die Bestimmungen des Cyber Resilience Act verstoßen, riskieren erhebliche finanzielle Sanktionen. Die Verordnung sieht Bußgelder von bis zu 15 Millionen Euro oder bis zu 2,5 % des gesamten weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ausfällt. Die Verantwortung für Änderungen an Produkten folgt dabei dem Grundsatz der Proportionalität.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
