Cyber Resilience Act: EU erklärt erstmals, welche Geräte unter die Regeln fallen
Router, Smartwatches, Apps: Die EU-Kommission hat einen unverbindlichen Leitfaden mit 67 Beispielen veröffentlicht und zeigt so, welche Alltagsgeräte der CRA ("Cyber Resilience Act") erfasst.
Router, smarte Türklingeln, die Fitness-App - all das zählt zu den "Produkten mit digitalen Elementen", die der Cyber Resilience Act (CRA) reguliert. Die EU-Verordnung ist bereits seit Dezember 2024 in Kraft, ihre Kernpflichten greifen aber erst ab Ende 2027. Nun hat die EU-Kommission dazu eine neue Anwendungshilfe veröffentlicht.
Der Leitfaden selbst ist rechtlich nicht bindend - er erklärt nur, wie die Kommission die bestehenden CRA-Vorgaben auslegt. Mit 67 Praxisbeispielen soll er zeigen, wie Hersteller und Entwickler diese Vorgaben umsetzen. Besonderes Augenmerk liegt dabei auf Kleinstunternehmen und mittelständischen Betrieben. Geklärt werden unter anderem offene Fragen zum Anwendungsbereich, zu Open-Source-Software, zu "wesentlichen Änderungen" an bestehenden Produkten sowie zu Support-Zeiträumen und Meldepflichten.
Leitfaden klärt Open Source, Support-Dauer und Meldepflichten
Der Leitfaden geht laut Kommission auf die Fragen ein, die Hersteller am häufigsten gestellt haben. Dazu zählt etwa, wann Software aus der Ferne Daten verarbeitet ("Remote Data Processing") und deshalb ebenfalls unter den CRA fällt, und wie freie und quelloffene Software einzuordnen ist.
Auch der Begriff der "wesentlichen Änderung" wird eingeordnet: Verändert ein Update ein Produkt grundlegend, gilt es laut CRA-Systematik als neu auf den Markt gebracht und muss die Konformitätsbewertung erneut durchlaufen. Bei den Support-Zeiträumen macht der Leitfaden ebenfalls Vorgaben - laut Kommission müssen Hersteller ihre Produkte so lange mit Sicherheitsupdates versorgen, wie diese voraussichtlich im Einsatz sind.
Vom Router bis zur Smartwatch: Diese Geräte trifft es
Der CRA fasst seinen Anwendungsbereich äußerst breit: Als "Produkt mit digitalen Elementen" gilt jede Software oder Hardware, die sich direkt oder indirekt mit einem Gerät oder Netzwerk verbinden kann. Im PC-Alltag betrifft das unter anderem Router, Switches und Firewalls, dazu Webcams oder Smart-Home-Technik wie vernetzte Thermostate, Kamera-Türklingeln oder Sprachassistenten.
Auch Smartphones, Smartwatches und andere Wearables fallen ebenso darunter wie Betriebssysteme, Cloud-Software und mobile Apps. Netzwerkspeicher (NAS) taucht in der Beispielliste zwar nicht explizit auf, dürfte als vernetztes Speichersystem aber ebenfalls unter die Definition fallen. Freeware und Open-Source-Projekte sind nicht grundsätzlich ausgenommen - wer sie kommerziell vertreibt, muss Schwachstellen an die zuständige Stelle melden.
Reporting ab September, Hauptpflichten ab Ende 2027
Der CRA gilt seit Dezember 2024, die Pflichten greifen gestaffelt: Ab dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle innerhalb enger Fristen melden. Die Kernpflichten - etwa CE-Kennzeichnung und Konformitätsbewertung - folgen ab dem 11. Dezember 2027.
Mitmachen und kommentieren
Wie stehen Sie zu diesem Thema? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.
Quelle: Europäische Kommission
