Nachrichten der Woche

CRA: Immer mehr Praxishilfen, aber fehlende Standards

Von Laurenz HübscherVeröffentlicht am
Lesezeit:-Wörter

Mit dem Näherrücken der ersten verbindlichen CRA-Fristen verdichtetsich das Angebot an Umsetzungshilfen. Nach der EU-Kommission haben nun auch ENISA und das BSI innerhalb weniger Tage praxisorientierte Leitfäden veröffentlicht.

Der Cyber Resilience Act (EU Verordnung 2024/2847, CRA) verpflichtet Hersteller digitaler Produkte zu Sicherheit „by design and by default“ sowie zu risikobasiertem Schwachstellenmanagement über den gesamten Produktlebenszyklus . Während die vollständigen materiellen Anforderungen erst ab dem 11. Dezember 2027 gelten, tritt bereits am 11. September 2026 die Meldepflicht nach Art. 14 CRA in Kraft: Aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle müssen dann binnen 24 Stunden, 72 Stunden und abschließend 14 Tagen bzw. einem Monat gemeldet werden. Dies erklärt dizunächst die EU-Kommission am 27. Juli, dann ENISA am 30. Juli und zuletzt das BSI am 5. August.

Nach den Leitlininen der EU-Kommision vom 27. Juli 2026 übersetzt ENISA in ihrem „Secure by Design and Default Playbook“ 22 Sicherheitsprinzipien – etwa Trust Boundaries, Least Privilege,Angriffsflächenminimierung und restriktive Werkseinstellungen – inkonkrete Checklisten, Nachweise und „Release Gates“. Diese sind jeweils explizit den wesentlichen Anforderungen des CRA-Anhangs I zugeordnet und auf kleine und mittelgroße Unternehmenzugeschnitten. Das BSI wiederum erläutert in seiner Technischen Richtlinie TR-03183-1 vom 31.07.2026 CRA-Grundbegriffe wie Inverkehrbringen, Herstellerpflichten und Produktkategorien und liefert ein detailliertes, durchgerechnetesRisikobewertungsverfahren samt Bedrohungsmodellierung . BeideDokumente operationalisieren abstrakte Rechtsbegriffe in umsetzbare Schritte, besitzen jedoch nur begrenzte rechtlicheTragfähigkeit: Beide Institutionen stellen ausdrücklich klar, dass ihre Leitfäden keinen verbindlichen Charakter besitzen und keine Konformitätsvermutung nach Art. 27 CRA begründen. Eine solcheVermutung entsteht nach dem New-Legislative-Framework-Konzept des CRA nur durch harmonisierte europäische Normen, Kommissions-Spezifikationen oder Zertifizierungsschemata nach derCybersecurity Act – die entsprechenden harmonisierten Normen sind bei CEN/CENELEC noch in Arbeit und verzögern sich aktuellen Berichten zufolge. Die Leitfäden bieten damit wertvolle Orientierung, liefern aber keine rechtssichere Nachweisführung.

Für die Mehrheit der Produkte in der CRA-Standardkategorie liefern die neuen Leitfäden erstmals hinreichend konkrete Checklisten, sodass mangelnde Umsetzung zunehmend eine Frage von Priorisierung erscheint. Zugleich bestehen echte technisch-normative Lücken: Harmonisierte Standards fehlen weitgehend, der Begriff der„wesentlichen Änderung“ ist ungeklärt, und das vorgestellte Formatmaschinenlesbarer Attestierungen ist ausdrücklich nur illustrativ, nicht normiert. Für komplexere Produktkategorien bleibt dieKonformitätsbewertung daher auch technisch anspruchsvoll.

Quellen: