Am 27. Juli 2026 hat die Europäische Kommission ihre ersten formalen Leitlinien zum Cyber Resilience Act (CRA) veröffentlicht und damit den Herstellern von Produkten mit digitalen Elementen die praktische Auslegung an die Hand gegeben, die sie benötigen, bevor die Pflichten zur Meldung von Schwachstellen und Vorfällen am 11. September 2026 greifen. Die Mitteilung C(2026) 5252, erlassen nach Artikel 26 der Verordnung (EU) 2024/2847, ersetzt den Entwurf vom März 2026 und klärt die Fragen, die von den Akteuren am häufigsten zu Anwendungsbereich, wesentlicher Änderung, Support-Zeiträumen und Meldepflichten gestellt wurden. Die Kommission hat die Mitteilung zusammen mit ihrem detaillierten Anhang veröffentlicht und auf ihrer Seite zur digitalen Strategie angekündigt.
Die Leitlinien sind zwar nicht bindend, bilden aber den Referenztext, an dem CE-Konformitäts- und Produktsicherheitsteams gemessen werden, wenn die Durchsetzung näher rückt. Sie enthalten 67 praktische Beispiele, Anwendungsfälle, Flussdiagramme und Grafiken und stellen ausdrücklich klar, dass weitere Leitlinien folgen können, wenn die Umsetzung neue Fragen aufwirft.
Wer handeln muss, und bis wann?
Der CRA bindet jeden Hersteller, der Produkte mit digitalen Elementen auf dem EU-Markt in Verkehr bringt, von Babyphone und Smartwatch bis hin zur Software für industrielle Steuerungssysteme. Zwei Fristen bestimmen die Dringlichkeit. Die Meldepflichten für Schwachstellen und Vorfälle nach Artikel 14 gelten ab dem 11. September 2026, rund sechs Wochen nach Veröffentlichung. Die zentralen Pflichten zu Security by Design, CE-Kennzeichnung und Lebenszyklus gelten ab dem 11. Dezember 2027. Dass die Kommission jetzt veröffentlicht und nicht erst näher an der Frist 2027, ist ein klares Signal, die Konformitätsvorbereitungen abzuschließen, bevor sich das Meldefenster im September öffnet.
| Datum | Was gilt |
|---|---|
| 10. Dezember 2024 | CRA (Verordnung (EU) 2024/2847) tritt in Kraft |
| 27. Juli 2026 | Kommission veröffentlicht erste Leitlinien nach Artikel 26, C(2026) 5252 |
| 11. September 2026 | Meldepflichten für Schwachstellen und Vorfälle nach Artikel 14 greifen |
| 11. Dezember 2027 | Hauptpflichten zu Security by Design, CE-Kennzeichnung und Lebenszyklus greifen |
Was die Leitlinien zu Anwendungsbereich, FOSS und ferner Datenverarbeitung klären
Der Anhang bearbeitet die vier Fragen, die der Entwurf vom März 2026 am meisten offen gelassen hatte. Zum Anwendungsbereich zieht er die Linie für ferne Datenverarbeitungslösungen und freie und quelloffene Software, also die beiden Kategorien, in denen Hersteller am häufigsten falsch einschätzten, ob der CRA für sie überhaupt gilt. Zur wesentlichen Änderung erläutert er, wann eine nachträgliche Änderung am Produkt dieses wieder in die Konformitätsbewertung zurückholt. Zu den Support-Zeiträumen setzt er die Erwartungen, wie lange nach dem Inverkehrbringen noch Sicherheitsupdates fließen müssen. Zu Meldepflichten und Risikobewertung setzt er Artikel 14 so um, dass ein Sicherheitsteam einen praktikablen Prozess zum Umgang mit Schwachstellen aufbauen kann, statt bei Schwellenwerten raten zu müssen.
Für Verantwortliche in der Produktsicherheit lautet die praktische Konsequenz: Scope-Entscheidungen, die auf Basis des März-Entwurfs getroffen wurden, sollten nun am finalen Text geprüft werden, insbesondere für Produkte, die auf einer Komponente für ferne Datenverarbeitung beruhen oder Drittanbieter-Open-Source-Code mitliefern.
Wie die Leitlinien Kleinstunternehmen und KMU behandeln
Die Kommission hat das Dokument um kleinere Unternehmen herum aufgebaut, mit 67 praktischen Beispielen, Anwendungsfällen, Flussdiagrammen und Grafiken, die auf Kleinstunternehmen und KMU konzentriert sind. Ziel ist Verhältnismäßigkeit: Ein Kleinstunternehmen, das ein vernetztes Gerät vertreibt, soll nicht die gleiche administrative Last tragen wie ein großer industrieller OEM, schuldet aber die gleichen wesentlichen Cybersicherheitsziele. Produktsicherheitsverantwortliche in KMU sollten die Beispiele als Selbstbewertungsweg nutzen und die Flussdiagramme vor dem 11. September 2026 am eigenen Produktportfolio durchgehen.
Wie das zum Digital Omnibus passt und was als Nächstes kommt
Die Leitlinien sind ein Baustein einer breiteren Vereinfachungsoffensive, zu der auch der im November 2025 veröffentlichte Vorschlag zum Digital Omnibus gehört, der mehrere digitale Vorschriften einschließlich des CRA anpasst. Die Kommission stellt unmissverständlich klar, dass sie nach Artikel 26 weitere Leitlinien prüfen wird, wenn die Umsetzung neue Fragen aufwirft. Hersteller sollten diesen Text daher als Version eins eines lebenden Referenzdokuments behandeln, nicht als abgeschlossenen Text, und eine interne Nachverfolgung für etwaige Folge-Mitteilungen einrichten.
Kontinuierliches, jurisdictionsbezogenes Echtzeit-Monitoring macht solche Leitlinien in dem Moment sichtbar, in dem sie veröffentlicht werden, und nicht erst, wenn eine vierteljährliche Überprüfung sie erfasst.
Nutzen Sie diese Echtzeit-Überwachung
Was als Nächstes zu tun ist
Prüfen Sie die Anwendbarkeit über Ihr Produktportfolio, mappen Sie jedes Produkt gegen die Flussdiagramme zu Anwendungsbereich und wesentlicher Änderung, bestätigen Sie, dass Ihre Zusagen zu Support-Zeiträumen den Leitlinien entsprechen, und informieren Sie Ihr Team für den Umgang mit Schwachstellen vor der Meldefrist am 11. September 2026. Die Pflichten aus dem CRA stehen im Gesetz fest; die Kommission hat nun mitgeteilt, wie sie erwartet, dass Sie sie erfüllen.
