Cyber Resilience Act: Erste Meldepflichten ab September – was Sie jetzt wissen sollen

Die europäische Cyberresilienz-Verordnung gilt zwar schon seit Dezember 2024. Bevor ab Mitte September dieses Jahres erste Meldepflichten greifen und ab Ende 2027 alle Anforderungen verbindlich werden, erhalten jetzt Hersteller, Entwickler und Anwender eine Orientierungshilfe in Form einer 80-seitigen Handreichung.

Keine Unsicherheiten für die Industrie

Die jetzt veröffentlichte Schrift soll viele Fragen beantworten, die seit dem Inkrafttreten seitens der Industrie, aber auch seitens vieler Businessanwender gestellt werden. Da europäische Unternehmen parallel auch damit beschäftigt sind, aufgrund geopolitischer Veränderungen ihre digitale Souveränität zu verbessern, sind einige Aussagen in den Handreichungen auch dahingehend wichtig. Etwa dann, wenn Betriebe verstärkt auf den Einsatz freier und quelloffener Software setzen.

Hier macht die EU-Kommission deutlich, dass der Einsatz von Open Source nicht ausgebremst werden soll. Das vorliegende Papier ist zwar rechtlich nicht bindend, da verbindliche Auslegungen allein dem Europäischen Gerichtshof obliegen. Das Papier spiegelt aber die offizielle Interpretation der EU-Kommission wider.

Die 80 Seiten beleuchten ausführlich den Geltungsbereich der Verordnung. Hersteller und Entwickler erhalten Informationen, ab wann und wie ihre Produkte reguliert werden. Der CRA gilt demnach für Produkte, die im Rahmen einer gewerblichen Tätigkeit auf dem EU-Markt bereitgestellt werden.

Markteinführung neuer Produkte

Verdeutlicht wird auch, was unter der Markteinführung eines Produkts zu verstehen ist. Für greifbare Hardware ist das relativ leicht bestimmbar. Bei immaterieller, eigenständiger Software bedurfte es einer Klarstellung: Sie gilt als auf dem Markt bereitgestellt, sobald die Entwicklungsphase abgeschlossen ist und Nutzer im EU-Raum die Software etwa auf einer Website laden können. Kleinere Updates oder Bugfixes verändern das Datum der Markteinführung nicht und erfordern keine neue Konformitätsbewertung.

Eine der wichtigsten Kernaussagen ist die klare Abgrenzung zwischen Software-Produkten und Dienstleistungen: So gilt die Verordnung für Software, die an den Nutzer geliefert, von ihm bezogen und auf seinem eigenen System ausgeführt wird (z. B. Smartphone-Apps, lokal installierte Desktop-Programme, Browser-Erweiterungen). Software, die rein aus der Ferne ausgeführt und vom Nutzer lediglich aufgerufen wird (Software-as-a-Service, reine Web-Anwendungen, die im Browser laufen, oder klassische Websites) fallen nicht darunter. Es sei denn, sie sind als „Fern-Datenverarbeitung“ zwingend erforderlich, damit ein lokales Produkt mit digitalen Elementen seine Funktion erfüllen kann.

Open Source wird beschützt

Das Papier beschäftigt sich umfangreich mit freier und quelloffener Software. Die EU greift damit die Bedenken vieler Entwickler und von Open-Source-Stiftungen auf, die befürchteten, dass solche Projekte aufgrund umfassender Haftungs- und Dokumentationspflichten ausgegrenzt werden. Dies soll nicht der Fall sein.

Frei verfügbare Open-Source-Software fällt demnach grundsätzlich nicht unter den CRA, solange sie nicht kommerziell auf den Markt gebracht wird. Ein kommerzielles Angebot ist es dann, wenn Open-Source-Software verkauft wird, wenn kostenpflichtige Versionen angeboten werden oder wenn über ein Programm andere Dienste finanziert werden.

Klarheit bei komplexen Systemen

Die Handreichungen adressieren auch die Sorgen von Industrieunternehmen bezüglich komplexer Anlagen und bestehender Produktdesigns. Produkte, die aus vielen vernetzten Hardware- und Softwareelementen bestehen, haben oft lange Entwicklungszyklen und müssen mit bestehender Infrastruktur oder alten Protokollen interoperabel bleiben.

Wenn die Einhaltung wichtiger Sicherheitsstandards (z. B. moderne Verschlüsselung) die Kompatibilität mit bestehenden Systemen zerstören würde, dürfen Hersteller Ausnahmen machen. Bedingung: Einschränkungen müssen in der technischen Dokumentation transparent begründet werden. Der Hersteller muss die Risiken bewerten und alternative Schutzmaßnahmen implementieren.

Entwicklungsphasen werden berücksichtigt

Ab dem 11. Dezember 2027 müssen neu auf den Markt gebrachte Produkte dem CRA entsprechen. Was aber gilt für komplexe Produkte mit Entwicklungsphasen, deren Design lange vor diesem Stichtag abgeschlossen wurde? Hier besteht laut dem Papier kein automatischer Zwang zum Re-Design: Wenn eine neue Risikobewertung ergibt, dass das bestehende Design bereits angemessene und wirksame Sicherheitsmaßnahmen enthält, darf das Produkt auf den Markt gebracht werden. Dennoch müssen die formellen CRA-Vorgaben erfüllt werden. Der Hersteller muss die Konformitätsbewertung durchführen, eine EU-Konformitätserklärung ausstellen, das CE-Kennzeichen anbringen und nachweisen können, wie die Risikobewertung – auch nachträglich – berücksichtigt wurde.

Schafft die EU hier trotz der umfangreichen Erläuterungen ein neues Bürokratie-Monster, das in Unternehmen viele Kräfte bindet? Nach Einschätzung der EU-Kommission gewinnt der CRA durch immer leistungsfähigere KI-Modelle mit Cyberfähigkeiten weiter an Bedeutung. Ein cybersicheres und ein unternehmensfreundliches Europa ginge Hand in Hand.