Auf den Punkt: Der CRA-Leitfaden klärt offene Fragen zu Anwendungsbereich, wesentlichen Produktänderungen, Support-Zeiträumen und Meldepflichten vor dem Stichtag September 2026.
Die EU-Kommission hat einen Leitfaden mit 67 praktischen Beispielen zum Cyber Resilience Act veröffentlicht, um Herstellern und Entwicklern die Umsetzung der Verordnung vor den ersten Compliance-Fristen zu erleichtern.
Der Cyber Resilience Act (CRA) gilt seit Dezember 2024 und verpflichtet Anbieter vernetzter Produkte – von Babyphones und Smartwatches über Apps bis zu klassischer Software – zur Einhaltung verbindlicher Cybersicherheitsanforderungen über den gesamten Produktlebenszyklus. Die EU-Kommission hat jetzt einen Leitfaden veröffentlicht, der konkrete Unsicherheiten in der Praxis adressiert, die seit Inkrafttreten von Unternehmen und Verbänden angemerkt wurden.
Der Leitfaden behandelt zentrale Fragen zur Auslegung des CRA: wann Produkte in seinen Anwendungsbereich fallen (etwa bei Remote-Datenverarbeitung oder Open-Source-Software), was als „wesentliche Änderung“ eines Produkts gilt, welche Support-Zeiträume erforderlich sind und wie Melde- und Risikobewertungspflichten konkret zu erfüllen sind. Mit 67 praktischen Beispielen, Anwendungsfällen, Flussdiagrammen und Grafiken richtet sich das Dokument besonders an Kleinstunternehmen und KMU, um die Umsetzung verhältnismäßig zu gestalten und unnötigen bürokratischen Aufwand zu vermeiden.
Die erste zentrale Frist des CRA ist der 11. September 2026: Ab diesem Datum müssen Hersteller Meldepflichten erfüllen, etwa bei aktiv ausgenutzten Schwachstellen oder schweren Sicherheitsvorfällen. Die Hauptpflichten der Verordnung – Konformitätsbewertung und CE-Kennzeichnung – werden ab dem 11. Dezember 2027 wirksam. Der Leitfaden selbst ist nicht rechtsverbindlich, soll aber vor diesen Fristen Orientierung schaffen.
Die Kommission betont, dass der Leitfaden Teil ihrer breiteren Vereinfachungsstrategie ist, zu der auch das Digital Omnibus Packet (November 2025) gehört, das darauf abzielt, Doppelregulierungen in der EU-Digitallandschaft (DSA, DSGVO, AI Act, CRA) abzubauen. Der Leitfaden wurde in Zusammenarbeit mit der Expertengruppe für die Cybersicherheit von Produkten mit digitalen Elementen sowie auf Basis einer öffentlichen Konsultation Anfang 2026 erarbeitet. Die Kommission signalisiert Bereitschaft, bei Bedarf weitere Leitlinien nach Artikel 26 des CRA nachzulegen.
Quelle: www.it-daily.net · Erschienen 29. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.