Die EU-Kommission hat einen Praxisleitfaden und einen Leitlinien-Entwurf zum Cyber Resilience Act (CRA) veröffentlicht: 67 Praxisbeispiele und 75 Fragen zu Anwendungsbereichen, Herstellerpflichten, Meldepflichten und Konformitätsbewertung. Wir geben einen Überblick für Hersteller digitaler Produkte.

Vor Ablauf wichtiger Fristen des Cyber Resilience Act (CRA) hat die Europäische Kommission Herstellern, Entwicklern und Importeuren digitaler Produkte umfassende Unterstützung an die Hand gegeben: Einen neuen Praxisleitfaden mit 67 konkreten Beispielen sowie einen ersten Entwurf offizieller Leitlinien zur Anwendung der Verordnung. Beide Dokumente sollen Klarheit über offene Auslegungsfragen schaffen, bevor zentrale Pflichten des CRA greifen. Bereits ab dem 11. September 2026 müssen Hersteller erste Meldepflichten erfüllen, etwa bei aktiv ausgenutzten Schwachstellen oder schweren Sicherheitsvorfällen. Die eigentlichen Hauptpflichten der Verordnung, darunter Konformitätsbewertung und CE-Kennzeichnung, gelten ab dem 11. Dezember 2027. Dieser Beitrag gibt einen Überblick über Inhalte, Aufbau und Bedeutung der neuen Hilfestellungen.

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act ist am 10. Dezember 2024 in Kraft getreten und definiert erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen – von Babyphones und Smartwatches bis hin zu Apps und klassischer Software. Anbieter vernetzter Produkte müssen diese Anforderungen über den gesamten Produktlebenszyklus hinweg einhalten. Der CRA gilt damit als eines der schärfsten Instrumente der EU im Bereich der Produktsicherheit für digitale Güter.

Seit Inkrafttreten der Verordnung besteht bei Herstellern, Importeuren und weiteren Akteuren der Wertschöpfungskette erheblicher Klärungsbedarf, welche konkreten Anforderungen an sie gestellt werden. Genau hier setzen die neuen Dokumente der Kommission an.

Der CRA Praxisleitfaden: 67 Beispiele für die Umsetzung

Mit dem neuen CRA-Leitfaden reagiert die Kommission auf Unsicherheiten, die Unternehmen und Verbände seit Inkrafttreten der Verordnung immer wieder angemerkt haben. Im Mittelpunkt stehen unter anderem folgende Fragen:

Wann Produkte überhaupt in den Anwendungsbereich des CRA fallen, etwa bei Remote-Datenverarbeitung oder quelloffener Software
Was als „wesentliche Änderung“ eines Produkts gilt
Wie lange Support-Zeiträume laufen müssen
Wie Melde- und Risikobewertungspflichten konkret zu erfüllen sind

Gerade für Kleinstunternehmen und KMU soll der Leitfaden die Umsetzung erleichtern. Die Kommission spricht von 67 praktischen Beispielen sowie zusätzlichen Anwendungsfällen, Flussdiagrammen und Grafiken, die den Weg zur Konformität klar und verhältnismäßig gestalten sollen, ohne unnötigen bürokratischen Aufwand. In der offiziellen Mitteilung bezeichnet die Kommission dies wörtlich als „gelebte Vereinfachung“ – man wolle Unternehmen, gerade kleinere, nicht allein lassen, sondern früh mit klarer und praxisnaher Unterstützung einsteigen.

Der CRA Leitlinien-Entwurf: 75 Fragen in sieben Kapiteln

Parallel dazu hat die Kommission einen ersten Entwurf offizieller Leitlinien zur Anwendung des CRA vorgelegt. Auf 66 Seiten beantwortet das Dokument 75 Einzelfragen zur praktischen Umsetzung – es handelt sich um die ersten Leitlinien der EU-Kommission dieser Art zum CRA. Gegliedert ist der Entwurf in sieben Kapitel:

Anwendungsbereich (9 Fragen): Welche Produkte fallen unter den CRA, welche sind ausgenommen?
Zusammenspiel mit anderen Rechtsakten (23 Fragen): Verhältnis zur Maschinenverordnung, zur DSGVO, zum Produktsicherheitsrecht, zur Radio Equipment Directive und weiteren EU-Rechtsakten
Wichtige und kritische Produkte (4 Fragen): Produktklassifizierung unter dem CRA und ihre Auswirkungen
Herstellerpflichten (29 Fragen): Risikobewertung, Vulnerability-Handling, Due Diligence, Support-Perioden
Meldepflichten (4 Fragen): Anforderungen an die Meldung von Schwachstellen und Sicherheitsvorfällen
Konformitätsbewertung (10 Fragen): Module A, B+, C und H, Technische Dokumentation, CE-Kennzeichnung
Übergangsregelungen (5 Fragen): Anwendungszeitpunkte und Behandlung von Altprodukten

Ausgewählte Klarstellungen der Kommission

Der Entwurf enthält zahlreiche praxisrelevante Konkretisierungen für Akteure entlang der Wertschöpfungskette konnektiver Produkte:

Zum Anwendungsbereich: Die Kommission nennt konkrete Beispiele für Produkte, die nicht unter den CRA fallen – etwa ein Geschirrspüler mit eingebetteter Firmware ohne Verbindungsmöglichkeit zu anderen Geräten; oder eine elektronische Zahnbürste mit kabelloser Ladestation, aber ohne Datenkonnektivität.
Zu den Herstellerpflichten: Hersteller müssen nicht zwingend jede entdeckte Schwachstelle patchen, sondern können eine risikobasierte Entscheidung treffen. Die Leitlinien erläutern, wann welche Abhilfemaßnahmen – von Patches über Workarounds bis zu Dokumentationsaktualisierungen – angemessen sind.
Zu Komponenten und Open Source: Hersteller dürfen auch Komponenten ohne CE-Kennzeichnung integrieren, etwa Open-Source-Komponenten. Entscheidend ist die Ausübung angemessener Sorgfaltspflichten (Due Diligence).
Zur Support-Periode: Die im CRA vorgesehene Mindestsupport-Periode von fünf Jahren gilt nicht absolut. Bei Produkten mit kürzerer erwarteter Nutzungsdauer kann die Support-Periode entsprechend kürzer ausfallen – umgekehrt aber auch länger.
Zu den Übergangsregelungen: Der CRA gilt für einzelne Produkte, nicht für ganze Produkttypen.

Rechtlich nicht bindend, aber praktisch relevant

Sowohl der Praxisleitfaden als auch der Leitlinien-Entwurf sind rechtlich nicht bindend und ersetzen keine individuelle rechtliche Bewertung – insbesondere nicht bei komplexen Produkten oder Konstellationen. Dennoch sollen sie Unternehmen frühzeitig Orientierung geben, bevor zentrale Fristen des CRA greifen.

Die wichtigsten CRA-Fristen im Überblick

11. September 2026: Erste Meldepflichten treten in Kraft, etwa bei aktiv ausgenutzten Schwachstellen oder schweren Sicherheitsvorfällen.

11. Dezember 2027: Die eigentlichen Hauptpflichten der Verordnung gelten verbindlich, darunter Konformitätsbewertung und CE-Kennzeichnung.

Die Kommission kündigt zudem an, bei Bedarf weitere Leitlinien nach Artikel 26 des CRA nachzulegen.

Teil der Vereinfachungsagenda der EU

Die Veröffentlichungen reihen sich in die breitere digitale Vereinfachungsstrategie der EU-Kommission ein, zu der auch das im November 2025 vorgestellte Digital-Omnibus-Paket gehört. Ziel dieses Pakets ist es unter anderem, digitale Regulierung in der EU zu entschlacken und Doppelregulierungen abzubauen – ein Thema, das angesichts der Fülle an EU-Digitalgesetzen wie DSA, DSGVO, AI Act und CRA zuletzt immer wieder für Kritik aus der Industrie gesorgt hat.

Erarbeitet wurde der Praxisleitfaden laut Kommission in Zusammenarbeit mit der Expertengruppe für die Cybersicherheit von Produkten mit digitalen Elementen sowie auf Basis einer öffentlichen Konsultation Anfang 2026.

Fazit

Mit dem Praxisleitfaden und dem Leitlinien-Entwurf liefert die EU-Kommission Herstellern, Entwicklern und Importeuren digitaler Produkte erstmals konkrete, praxisnahe Antworten auf zentrale Fragen des Cyber Resilience Act – von Anwendungsbereich und Herstellerpflichten über Meldepflichten bis hin zur Konformitätsbewertung. Auch wenn beide Dokumente rechtlich unverbindlich bleiben, bieten sie eine wertvolle Orientierungshilfe. Unternehmen sind gut beraten, die Leitlinien frühzeitig zu prüfen und bei komplexen Sachverhalten weiterhin individuellen rechtlichen Rat einzuholen.

Lesen Sie hier mehr zu den EU-Vorgaben des Cyber Resilience Act.

In unserem CRA-Seminar informieren wir Sie zudem darüber, welche konkreten Auflagen sich aus den CRA-Vorgaben für Sie in der Praxis ergeben und wie Sie diese in Ihrem Unternehmen und für Ihre Produkte umsetzen können. Mehr Informationen zum Seminar finden Sie hier.

Quellen:
[1] https://www.it-daily.net/shortnews/praxisleitfaden-cyber-resilience-act (01/09/2026)
[2] https://www.dr-datenschutz.de/cyber-resilience-act-eu-veroeffentlicht-leitlinien-entwurf/ (01/09/2026)