EU Kommission konkretisiert den Cyber Resilience Act

Der Cyber Resilience Act (Verordnung (EU) 2024/2847 – CRA) ist ein Rechtsakt mit erheblichen Auswirkungen auf Produkte mit digitalen Elementen. Hierunter fallen sowohl Hardware als auch Software, die mit anderen Produkten oder einem Netz kommunizieren können. Viele der im CRA verwendeten Rechtsbegriffe sind auslegungsbedürftig und werfen in der praktischen Anwendung noch zahlreiche Fragen auf. Die EU-Kommission hat hierzu nun umfassende Leitlinien veröffentlicht, die zentrale Konzepte und Anforderungen des CRA konkretisieren sollen.

Inhalte der Leitlinien

Mit der Veröffentlichung der Leitlinien am 27. Juli 2026 hat die Kommission Art. 26 des CRA umgesetzt und den betroffenen Wirtschaftsakteuren eine zentrale Auslegungshilfe an die Hand gegeben.

Die Leitlinien sind nicht bindend, geben aber die offizielle Interpretation der Kommission wieder und konkretisieren unter anderem Begriffe, Verantwortlichkeiten und Meldepflichten unter dem CRA.

Zudem greifen sie eine Reihe von Themen auf, die für die praktische Anwendung des CRA besonders relevant sind. Dazu gehören insbesondere:

• das Inverkehrbringen von Produkten mit digitalen Elementen,
• die Kombination von Hardware und Software, die gemeinsam ein Produkt mit digitalen Elementen darstellen,
• die Abgrenzung, welche Software (as a Service) unter den CRA fällt,
• die Auswirkungen des CRA auf Free und Open Source Software,
• Erläuterungen zu Modifikationen und Ersatzteilen,
• Voraussetzungen und Anwendungsfälle von Datenfernverarbeitungslösungen sowie
• branchenspezifische Hinweise für den Bankensektor, insbesondere zur Einstufung von Banking-Apps als Produkte mit digitalen Elementen.

Einbettung in die weitere Guidance zum CRA

Die nun veröffentlichten Leitlinien der Kommission stehen nicht isoliert, sondern reihen sich in ein wachsendes System an Konkretisierungen und Hilfestellungen zum Cyber Resilience Act ein.

Zu den weiteren Quellen zählt zunächst die FAQ-Sammlung der Kommission, die praxisnahe Einzelfragen zum Anwendungsbereich, zu Fristen und zu Pflichten der verschiedenen Wirtschaftsakteure beantwortet und regelmäßig um neue Fallkonstellationen ergänzt wird.

Ergänzend bietet die CRA-Website des BSI deutschsprachige Informationen und Empfehlungen, die die europäischen Vorgaben für den deutschen Markt einordnen und präzisieren. Zusätzlich hat das BSI am 31. Juli 2026 eigene technische Richtlinien zu Cyber-Resilienz-Anforderungen (TR-03183) erlassen.

Für Fragen der Produktabgrenzung, des Inverkehrbringens und der Verantwortlichkeiten entlang der Lieferkette bleibt zudem der Blue Guide der Kommission eine zentrale Referenz, da der CRA sowie andere Rechtsakte des New Legislative Framework auf dessen horizontalen Grundsätzen aufbauen.

Darüber hinaus lohnt sich der Blick zur European Union Agency for Cybersecurity (ENISA). Die Agentur stellt Informationen zu den technischen Meldeplattformen sowie zum konkreten Ablauf des Meldeverfahrens bereit; ein Punkt, der angesichts der ab dem 11. September 2026 greifenden Meldepflichten für Schwachstellen und Sicherheitsvorfälle besondere Relevanz gewinnt. Weiterhin hat die ENISA am 30. Juli 2026 ein Playbook zum Thema Secure by Design and Default herausgegeben.