Häufig gestellte Fragen zur EU-Cyberresilienz-Verordnung
Sytance · Aktualisiert
Diese Antworten erläutern wiederkehrende Fragen zum CRA zu Software, Unterstützungszeiträumen und Meldungen. Sie stützen sich auf die Verordnung, die FAQ der Kommission und die am 27. Juli 2026 veröffentlichte Leitlinie der Kommission sowie auf Links zu den ausführlichen Themenseiten.
Quellenstatus
Die Verordnung legt die rechtlichen Anforderungen fest. Die FAQ und die Leitlinie der Kommission erläutern ihre Anwendung; diese erläuternden Dokumente sind rechtlich nicht bindend.
Die Antworten auf die häufig gestellten Fragen erweitern in keiner Weise die Rechte und Pflichten aus den geltenden Rechtsvorschriften und führen auch keine zusätzlichen Anforderungen ein.
FAQ der Europäischen Kommission zur Umsetzung des CRA, einleitender Hinweis
Die Kommission veröffentlichte nach der vorangegangenen Konsultation am 27. Juli 2026 die Leitlinie C(2026) 5252. Sie behandelt den Anwendungsbereich, Open-Source-Software, wesentliche Änderungen und Unterstützungszeiträume sowie Risikobewertung, Fernverarbeitung und Meldungen.
Anwendungsbereich und Bereitstellung auf dem Markt
Ja, wenn die Voraussetzungen des CRA-Anwendungsbereichs erfüllt sind. Ein Produkt mit digitalen Elementen kann Software, Hardware, eine zum Produkt gehörende Fernverarbeitungslösung oder eine Software- beziehungsweise Hardwarekomponente sein, die separat auf dem Markt bereitgestellt wird.
Als Produkt bereitgestellte Software kann in den Anwendungsbereich fallen, wenn sie der CRA-Definition entspricht und die Marktbedingungen erfüllt. Dazu gehören eigenständige Anwendungen und Firmware. Wenden Sie dieselben Voraussetzungen für den Anwendungsbereich auf Entwicklungswerkzeuge und Softwarekomponenten an, statt allein anhand ihrer Bezeichnung zu entscheiden.
Weitere Informationen unter Produkte im Anwendungsbereich.
Eigenständiges SaaS oder ein außerhalb der Verantwortung des Herstellers entwickelter Cloud-Dienst ist nicht automatisch ein Produkt mit digitalen Elementen. Eine Cloud-Funktion ist im Rahmen des CRA relevant, wenn sie die Definition der Fernverarbeitung erfüllt.
Fernverarbeitung gehört zum Produkt, wenn sie aus der Ferne erfolgt, das Produkt sie zur Erfüllung einer seiner Funktionen benötigt und die Verarbeitungssoftware vom Hersteller oder in dessen Verantwortung konzipiert oder entwickelt wurde.
Weitere Informationen unter Produkte im Anwendungsbereich.
Nein. Der CRA knüpft an Konzepte der Datenverbindung an und nicht an eine einfache Regel zum Internetzugang. Eine Verbindung kann logisch, physisch, direkt oder indirekt sein.
Relevante Beispiele sind:
- logische Verbindungen über APIs, Netzwerk-Sockets, Pipes, Dateien, HTTPS-Sitzungen im Browser oder E-Mail-Protokolle;
- physische Verbindungen über USB, Ethernet, Glasfaser, Feldbus, WLAN, Bluetooth, NFC oder andere Funkverbindungen;
- indirekte Verbindungen über ein Hostsystem, das seinerseits mit einem Gerät oder Netzwerk verbunden werden kann.
Weitere Informationen unter Produkte im Anwendungsbereich.
In der Regel nicht. Der Blue Guide erläutert, dass kein Inverkehrbringen stattfindet, wenn ein Produkt für den Eigengebrauch hergestellt wird. Die FAQ der Kommission wendet diesen Grundsatz auf CRA-Beispiele an, etwa auf Entwicklungs- und Konfigurationswerkzeuge, die ein Hersteller für den eigenen Gebrauch erstellt.
Anders ist es, wenn das Werkzeug später als eigenständiges Produkt auf dem Markt bereitgestellt wird. Dann ist es wie jedes andere Software- oder Hardwareprodukt mit digitalen Elementen zu bewerten.
Weitere Informationen unter Inverkehrbringen.
Für Produkte, die vor dem 11. Dezember 2027 auf den Markt gebracht wurden, gelten nicht allein deshalb die vollständigen CRA-Anforderungen, weil dieses Datum erreicht wird. Sie unterliegen diesen Anforderungen, wenn sie ab diesem Datum wesentlich geändert werden.
Artikel 14 zu Meldungen ist anders geregelt. Die Meldepflichten gelten ab dem 11. September 2026 für Produkte mit digitalen Elementen, die in den CRA-Anwendungsbereich fallen, einschließlich Produkten, die vor dem 11. Dezember 2027 auf den Markt gebracht wurden.
Weitere Informationen unter Inverkehrbringen und Meldung von Schwachstellen.
Die FAQ der Kommission unterscheidet zwischen Einheiten, die bereits auf dem Markt bereitgestellt wurden, und neu auf den Markt gebrachten Einheiten. Einheiten, die bereits auf dem Markt bereitgestellt wurden, können nach Ablauf des angegebenen Unterstützungszeitraums weiterhin bereitgestellt werden.
Bei neu auf den Markt gebrachten Einheiten ist es anders. Bringt der Hersteller weitere Einheiten auf den Markt, muss er für diese gemäß Artikel 13 Absatz 8 einen Unterstützungszeitraum festlegen.
Weitere Informationen unter Unterstützungszeitraum.
Software und Open Source
Nein. Die kostenlose Bereitstellung entscheidet die Frage nicht allein. Der CRA unterscheidet zwischen der nichtkommerziellen Entwicklung kostenloser Open-Source-Software und Software, die im Rahmen einer kommerziellen Tätigkeit auf dem Markt bereitgestellt wird.
Die Leitlinie vom Juli 2026 unterscheidet zwischen kostenpflichtigem Zugang zu Software oder ihrer Wartung und optionalen Dienstleistungen rund um frei verfügbare Software. Kostenpflichtige Editionen können eine kommerzielle Bereitstellung darstellen; optionale Beratung allein macht die kostenlose Version nicht kommerziell. Auch die Monetarisierung von Dienstleistungen über die Software oder die Bedingung, dass personenbezogene Daten über das zur Verbesserung von Sicherheit, Kompatibilität oder Interoperabilität der Software hinaus verarbeitet werden, kann die Bereitstellung kommerziell machen.
Weitere Informationen unter Rollen und Pflichten und Produkte im Anwendungsbereich.
Ja, aber nur nach der Testregel in Artikel 4 Absatz 3. Die Software darf nur für den begrenzten, für Tests erforderlichen Zeitraum bereitgestellt werden und muss sichtbar darauf hinweisen, dass sie dem CRA nicht entspricht und nicht für andere Zwecke als Tests verfügbar ist.
Die FAQ der Kommission verweist außerdem auf Erwägungsgrund 37: Der Hersteller sollte solche Software erst nach einer Risikobewertung freigeben und die Anforderungen an Sicherheit und den Umgang mit Schwachstellen soweit wie möglich erfüllen.
Ja. Artikel 13 Absatz 11 erlaubt öffentliche Softwarearchive, die den Zugang der Nutzer zu historischen Versionen verbessern. Nutzer müssen auf leicht zugängliche Weise klar über die Risiken nicht mehr unterstützter Software informiert werden.
Ein Archiv ist nicht dasselbe wie aktive Unterstützung. Entscheidend ist, ob der Nutzer erkennen kann, dass die archivierte Version nicht mehr unterstützt wird und ein Sicherheitsrisiko birgt.
Sicherheit, Unterstützung und Meldungen
Nein. Laut FAQ der Kommission verlangt der CRA von Herstellern nicht, sicherzustellen, dass ein Produkt frei von sämtlichen Schwachstellen ist.
Zum Zeitpunkt des Inverkehrbringens betrifft die einschlägige Anforderung in Anhang I bekannte ausnutzbare Schwachstellen, gestützt auf die Cybersicherheitsrisikobewertung des Herstellers und die zu diesem Zeitpunkt verfügbaren Fakten.
Weitere Informationen unter Wesentliche Cybersicherheitsanforderungen und Cybersicherheitsrisikobewertung.
Nein. Ein Hersteller muss bewerten, ob die Schwachstelle für das Produkt relevant ist und welches Risiko sie verursacht. Die Abhilfemaßnahme muss diesem Risiko angemessen sein.
Eine Abhilfemaßnahme kann ein Patch sein, aber auch eine andere Maßnahme, etwa ein Hinweis, Konfigurationsanleitungen, eine Umgehungslösung, aktualisierte Nutzerinformationen oder ein späteres Softwareupdate. Der CRA verlangt, dass Schwachstellen im Verhältnis zu den Risiken für Produkte mit digitalen Elementen unverzüglich behandelt und behoben werden.
Weitere Informationen unter Aufzeichnungen zur Behandlung von Schwachstellen.
Nein. Fünf Jahre sind eine Mindestabsicherung und kein Standardwert für jedes Produkt. Ein längerer Unterstützungszeitraum kann erforderlich sein, wenn vernünftigerweise davon auszugehen ist, dass das Produkt länger genutzt wird.
Ein kürzerer Unterstützungszeitraum ist nur zulässig, wenn davon auszugehen ist, dass das Produkt weniger als fünf Jahre genutzt wird. In diesem Fall entspricht der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer.
Weitere Informationen unter Unterstützungszeitraum.
Ein Hersteller meldet eine aktiv ausgenutzte Schwachstelle, die in seinem Produkt enthalten ist. Stammt die Schwachstelle aus einer integrierten Komponente und kann sie im Produkt ausgenutzt werden, meldet der Produkthersteller sie. Der Komponentenhersteller meldet sie ebenfalls, wenn die Komponente als eigenes Produkt auf den Markt gebracht wurde.
Kann die Schwachstelle der Komponente im Produkt des Herstellers nicht ausgenutzt werden, wird die verpflichtende Meldung nach Artikel 14 dadurch nicht ausgelöst. Dem Hersteller können dennoch Pflichten zur Koordination mit vorgelagerten Stellen oder zum Umgang mit Schwachstellen obliegen.
Weitere Informationen unter Meldung von Schwachstellen.
Konformität und Nachweise
Nein. Laut FAQ der Kommission kann ein Hersteller Komponenten ohne CE-Kennzeichnung integrieren, darunter Komponenten, die nicht auf dem Markt bereitgestellt wurden, und Komponenten, die vor der Anwendung des CRA auf den Markt gebracht wurden.
Der Hersteller muss weiterhin die gebotene Sorgfalt walten lassen, damit die Komponente die Cybersicherheit des Endprodukts nicht beeinträchtigt.
Weitere Informationen unter SBOM- und Komponentenaufzeichnungen.
Im Allgemeinen nein. Laut FAQ der Kommission besteht keine allgemeine Pflicht, technische Dokumentation Kunden oder der Öffentlichkeit zur Verfügung zu stellen.
Die wichtige Ausnahme betrifft kostenlose Open-Source-Software der Klasse I oder II in Anhang III, wenn der Hersteller die Selbstbewertung nach Artikel 32 Absatz 5 in Anspruch nehmen möchte. In diesem Fall muss die technische Dokumentation öffentlich zugänglich gemacht werden.
Weitere Informationen unter Technische Dokumentation und Konformitätsbewertung.
Nein. Normentwürfe können als Vorbereitungsmaterial nützlich sein, begründen aber keine Konformitätsvermutung nach Artikel 27. Eine Konformitätsvermutung setzt eine harmonisierte Norm voraus, deren Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde.
Dieselbe Unterscheidung gilt für die prEN-40000-Entwürfe und produktbezogene Normentwürfe. Hersteller können sie zur Vorbereitung von Nachweisen verwenden und gleichzeitig ihren Veröffentlichungs- und Zitierstatus gesondert prüfen.
Weitere Informationen unter Harmonisierte Normen und Konformitätsvermutung.