Mit dem Entwurf eines CRA-Durchführungsgesetzes nimmt die praktische Anwendung des Cyber Resilience Act (CRA) auch in Deutschland weiter Gestalt an. Nun hat auch die EU-Kommission am 27. Juli 2026 neue Leitlinien veröffentlicht, um Unternehmen bei der Umsetzung zu unterstützen. Damit rücken die konkreten Anforderungen an Hersteller, Importeure und Händler von Produkten mit digitalen Komponenten stärker in den Fokus.
Der CRA soll Verbraucher und Unternehmen besser schützen, die Software- oder Hardwareprodukte mit digitalen Komponenten erwerben oder nutzen. Hintergrund sind unter anderem ein häufig unzureichendes Cybersicherheitsniveau vieler Produkte sowie fehlende oder verspätete Sicherheitsupdates. Zugleich soll der CRA es erleichtern, cybersichere Produkte zu erkennen, sicher einzurichten und über den gesamten Lebenszyklus hinweg angemessen zu schützen.
Hintergrund der Leitlinien
Die neuen Leitlinien der EU-Kommission sollen die praktische Umsetzung des CRA erleichtern. Sie wurden unter anderem mithilfe der Expertengruppe für Cybersicherheit von Produkten mit digitalen Elementen sowie einer öffentlichen Konsultation Anfang 2026 erarbeitet.
Die Leitlinien knüpfen auch an das Digital-Omnibus-Paket der EU-Kommission vom November 2025 an. Ziel ist es, Unternehmen mehr Klarheit darüber zu geben, wie die neuen Anforderungen in der Praxis angewendet werden sollen.
Die Intention ist dabei nicht den gesamten Geltungsbereich der CRA abzudecken. Stattdessen soll sie vielmehr Erläuterungen zu den Hintergründen bestimmter Schlüsselbestimmungen und zu deren praktischer Umsetzung liefern. Dabei werden insbesondere Fragen aufgegriffen, die Unternehmen und anderen Beteiligten bereits hinsichtlich der Anwendung des CRA gestellt haben. Dazu gehört etwa, wann Produkte überhaupt in den Anwendungsbereich des CRA fallen. Betroffen sind dabei beispielsweise unter anderem Lösungen zur Datenverarbeitung aus der Ferne sowie freie und Open-Source-Software.
Zentrale Inhalte der Leitlinien im Überblick
Die Guidance beginnt mit der Definition des Geltungsbereichs der CRA. Dabei wird aufgegriffen, wann Produkte mit digitalen Elementen erfasst sind, wie Software, Hardware und vernetzte Systeme einzuordnen sind und wann ein Produkt als in Verkehr gebracht gilt.
Ein Schwerpunkt der Leitlinien ist der Umgang mit freier und Open-Source-Software. Hier wird erläutert, unter welchen Bedingungen solche Software in den Anwendungsbereich fällt, etwa bei Monetarisierung, Support oder Integration durch Dritte, sowie welche Verantwortlichkeiten sich daraus ergeben.
Wichtig sind außerdem die Regelungen zu wesentlichen Änderungen und zum Supportzeitraum. Der Begriff der wesentlichen Änderung ist für die Einordnung der CRA-Pflichten besonders relevant. Nach Art. 21 CRA kann etwa ein Importeur oder Händler als Hersteller gelten, wenn er ein bereits in Verkehr gebrachtes Produkt mit digitalen Elementen wesentlich verändert.
Darüber hinaus wird die Bewertung von Cybersicherheitsrisiken aufgegriffen, insbesondere bei kritischen Produkten und externen Abhängigkeiten. Auch die Fernverarbeitung von Daten wird konkretisiert, inklusive typischer Anwendungsfälle wie Smart Devices oder industrielle Systeme. Schließlich enthält die Guidance auch Vorgaben zu Meldepflichten, dem Umgang mit Sicherheitslücken und der Abstimmung mit anderen Rechtsvorschriften.
An wen richten sich die Leitlinien?
Die Leitlinien richten sich an Unternehmen und andere Akteure, die vom Anwendungsbereich des CRA betroffen sind. Verbindlich sind sie nicht. Sie stellen eher eine Hilfestellung bei der praktischen Umsetzung der Vorgaben aus der CRA dar. Besonders für Kleinstunternehmen sowie kleine und mittlere Unternehmen bieten die Leitlinien eine Orientierung bei der Frage, ob ein Produkt in den Anwendungsbereich fällt, welche Pflichten bestehen und wie Cybersicherheit organisatorisch vorbereitet werden kann.
Die Leitlinien enthalten außerdem zahlreiche Beispiele. Diese sollen die Anwendung einzelner Vorschriften verständlicher machen. Sie ersetzen jedoch keine Einzelfallprüfung, da jedes Produkt, jede technische Lösung und jedes Geschäftsmodell gesondert bewertet werden muss.
Fazit
Auch wenn die veröffentlichten Leitlinien keine Verpflichtung in ihrer Umsetzung darstellen, können sie Unternehmen die nötige Klarheit und Unterstützung geben.
Während die wichtigsten Pflichten des CRA ab dem 11. Dezember 2027 in Kraft treten, greifen die Meldepflichten bereits ab dem 11. September 2026. Unternehmen sollten deshalb rechtzeitig prüfen, welche Produkte betroffen sind, welche Sicherheitsanforderungen gelten und wie interne Prozesse für Risikobewertung, Sicherheitsupdates und Schwachstellenmeldungen ausgestaltet werden müssen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
