Die Europäische Kommission hat einen ersten Entwurf für Leitlinien zur Anwendung des Cyber Resilience Act (CRA) veröffentlicht. Auf 66 Seiten werden darin Fragen zur Umsetzung des CRA beantwortet. Es handelt sich um die ersten Leitlinien der EU-Kommission zur praktischen Anwendung des CRA. Der Beitrag gibt einen Überblick über den Entwurf.
Der Inhalt im Überblick
Recap – Was bringt der Cyber Resilience Act?
Der am 10. Dezember 2024 in Kraft getretene Cyber Resilience Act definiert Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Seitdem herrscht bei Herstellern, Importeuren und anderen Akteuren in der Wertschöpfungskette solcher Produkte Klärungsbedarf darüber, welche Anforderungen an sie gestellt werden. Diesen will die Kommission mit dem Entwurf adressieren, ohne aber dass dieser bisher eine verbindliche Rechtsauslegung für die Akteure liefert.
Gliederung des Entwurfs der Leitlinien zum Cyber Resilience Act
Das Dokument gliedert sich in sieben Kapitel mit insgesamt 75 Einzelfragen und Antworten hierauf:
- Anwendungsbereich (9 Fragen): Welche Produkte fallen unter den CRA und welche sind ausgenommen?
- Zusammenspiel mit anderen Rechtsakten (23 Fragen): Verhältnis zur Maschinenverordnung, zur DSGVO, zum Produktsicherheitsrecht, zur Radio Equipment Directive und zu weiteren EU-Rechtsakten.
- Wichtige und kritische Produkte (4 Fragen): Produktklassifizierung unter dem CRA und ihre Auswirkungen.
- Herstellerpflichten (29 Fragen): Risikobewertung, Vulnerability-Handling, Due Diligence, Support-Perioden
- Meldepflichten (4 Fragen): Anforderungen an die Meldung von Schwachstellen und Vorfällen
- Konformitätsbewertung (10 Fragen): Module A, B+, C und H, technische Dokumentation, CE-Kennzeichnung
- Übergangsregelungen (5 Fragen): Anwendungszeitpunkte und Behandlung von Altprodukten.
Ausgewählte Inhalte der Kommissionsleitlinien zum Cyber Resilience Act
Der Entwurf enthält wichtige Klarstellungen für an der Herstellung konnektiver Produkte beteiligte Akteure: Zum Beispiel:
- Zum Anwendungsbereich:
Die Kommission nennt konkrete Beispiele für Produkte, die nicht unter den CRA fallen. Dazu zählen etwa ein Geschirrspüler mit eingebetteter Firmware ohne Verbindungsmöglichkeit zu anderen Geräten oder eine elektronische Zahnbürste mit kabelloser Ladestation, aber ohne Datenkonnektivität. - Zu Herstellerpflichten:
Hersteller müssen nicht zwingend alle entdeckten Schwachstellen patchen, sondern können eine risikobasierte Entscheidung treffen. Die Kommission erläutert, wann verschiedene Abhilfemaßnahmen – von Patches über Workarounds bis zu Dokumentationsaktualisierungen – angemessen sein können. - Zu Komponenten:
Hersteller dürfen auch Komponenten ohne CE-Kennzeichnung, etwa Open-Source-Komponenten, integrieren. Entscheidend ist die Ausübung angemessener Sorgfaltspflichten. - Zur Support-Periode:
Die Mindestsupport-Periode von fünf Jahren gilt nicht absolut. Bei Produkten mit kürzerer erwarteter Nutzungsdauer kann die Support-Periode entsprechend kürzer sein, umgekehrt indes auch länger. - Zu den Übergangsregelungen:
Der CRA gilt für einzelne Produkte, nicht für Produkttypen.
Die Leitlinien – erste Hilfe bei verbleibenden Unsicherheiten
Der Entwurf beantwortet einige brennende Fragen, die in den vergangenen Monaten vonseiten der Wirtschaft an die Kommission herangetragen wurden. Er bietet insbesondere Herstellern digitaler Produkte eine erste Orientierung bei den Vorbereitungen für die ab dem 11. Dezember 2027 geltenden Regelungen. Allerdings ersetzt das Dokument nicht die Notwendigkeit einer individuellen rechtlichen Bewertung, insbesondere bei komplexen Produkten oder Konstellationen.
