Leitfaden der Europäischen Kommission zur CRA

01Worum es sich handelt

Art. 26 verpflichtet die Kommission, einen Leitfaden zu veröffentlichen, der Wirtschaftsakteuren bei der Anwendung des CRA hilft, mit besonderem Augenmerk darauf, die Einhaltung für kleine und mittlere Unternehmen zu erleichtern. Am 27. Juli 2026 hat die Kommission den Inhalt dieses Leitfadens gebilligt (Dokumentenreferenz C(2026) 5252). Er umfasst rund 80 Seiten und behandelt die Fragen, die Hersteller am häufigsten stellen.

Der Leitfaden ist nicht verbindlich und ändert das Recht nicht: Eine verbindliche Auslegung des CRA kann nur vom Gerichtshof der Europäischen Union kommen. Marktüberwachungsbehörden und benannte Stellen orientieren sich jedoch daran, um eine einheitliche, harmonisierte Auslegung sicherzustellen, weshalb er die natürliche Ergänzung zur Verordnung darstellt.

02Was als Produkt zählt

Der größte Teil des Leitfadens befasst sich mit Anwendungsbereich, der am häufigsten nachgefragte Bereich. Ein Produkt mit digitalen Elementen ist ein Software- oder Hardwareprodukt (einschließlich seiner Datenfernverarbeitung), dessen Nutzung eine direkte oder indirekte Datenverbindung einschließt. Art. 3(1)

• Wo die Software läuft, entscheidet darüber; Software, die auf dem Gerät des Nutzers ausgeführt wird (eine heruntergeladene App, eine Browsererweiterung, ein lokal installierter Client), ist ein Produkt mit digitalen Elementen. Software, auf die nur über einen Browser aus der Ferne zugegriffen wird, ist allein deshalb keines.
• Web-Apps und Websites; eine Webanwendung, die nur über einen Browser genutzt wird, und eine Website, die lediglich Informationen bereitstellt, sind in der Regel keine Produkte mit digitalen Elementen. Sie fallen nur dann in den Anwendungsbereich, wenn sie als Datenfernverarbeitung gelten, die eine Produktfunktion unterstützt.
• Quellcode; die Definition von Software im CRA umfasst sowohl Maschinen- als auch Quellcode, doch das bloße Teilen von Open-Source-Code in einem öffentlichen Repository stellt in der Regel kein „Inverkehrbringen“ dar. Art. 3(4)

Wenn Sie unsicher sind, wo Ihr Produkt einzuordnen ist, die Fast Check und der allgemein verständliche Erklärung führen praxisnah durch den Anwendungsbereich.

03Open-Source-Software

Der Leitfaden legt die maßgeschneiderte, leichtere Regelung für Open Source im Detail dar. Nicht-kommerzielle Open-Source-Software, die außerhalb einer kommerziellen Tätigkeit entwickelt wird, fällt weitgehend nicht in den Anwendungsbereich; ausschlaggebend ist kommerzielle Tätigkeit und ob die Software in Verkehr gebracht wird.

• Wann FOSS „in Verkehr gebracht“ wird; der Leitfaden behandelt die Erhebung eines Preises, die Monetarisierung verbundener Dienste oder das Verlangen personenbezogener Daten, kostenpflichtigen Support, Spenden, Finanzierungsvereinbarungen und gemeinnützige Strukturen sowie die Integration von FOSS durch andere Hersteller.
• Verantwortliche für Open-Source-Software; eine klar definierte, verhältnismäßige Reihe von Pflichten, die auf die Sicherheit und den fortgesetzten Bestand der Software ausgerichtet sind.
• Wichtige FOSS; wichtige Produkte (Klasse I oder II), die als freie und quelloffene Software in Verkehr gebracht werden, können den leichteren Konformitätsverfahren der Standardkategorie folgen. Art. 32(5)

04Wesentliche Änderungen

Ob eine Änderung eine wesentliche Änderung entscheidet, ob eine neue Konformitätsbewertung erforderlich ist. Erwägungsgrund 39 fasst dies so: Ein Produkt gilt als wesentlich geändert, wenn eine Änderung sein Cybersicherheitsrisikoniveau in einer Weise verändert, die der Hersteller in seiner Risikobewertung noch nicht berücksichtigt hatte. Art. 3(30)

• Sicherheitsupdates sind in der Regel keine wesentlichen Änderungen; ihr Zweck besteht darin, Risiken zu verringern, sodass ein Sicherheitsfix, der den vorgesehenen Zweck des Produkts nicht ändert oder keine neuen Risiken einführt, allein dadurch nicht zählt.
• Es geht um Risiko, nicht um Größe; maßgeblich ist die Auswirkung der Änderung auf das Cybersicherheitsrisikoprofil (neue Bedrohungsvektoren, neue Angriffsszenarien oder eine veränderte Eintrittswahrscheinlichkeit oder Auswirkung), nicht der Umfang der Änderung.
• Die Folge; ein wesentlich geändertes Produkt gilt als neu in Verkehr gebracht. Nimmt jemand anderes als der ursprüngliche Hersteller die Änderung vor, übernimmt diese Person die Herstellerpflichten für den geänderten Teil. Art. 21 · 22

Der Leitfaden zur CE-Kennzeichnung behandelt die Konformitätsbewertung, die durch ein neues Inverkehrbringen ausgelöst wird.

05Unterstützungszeitraum

Der Unterstützungszeitraum ist der Zeitraum, in dem Schwachstellen behandelt werden müssen. Er sollte widerspiegeln, wie lange das Produkt voraussichtlich in Gebrauch. Art. 13(8)

• Fünf Jahre sind der Standardwert, keine Untergrenze; der Zeitraum kann kürzer sein, wenn das Produkt voraussichtlich weniger als fünf Jahre genutzt wird, und Produkte, deren Nutzung vernünftigerweise länger zu erwarten ist, sollten längere Unterstützungszeiträume haben.
• Nutzer informieren; das Enddatum (mindestens Monat und Jahr) ist zum Zeitpunkt des Kaufs anzugeben, und Nutzer sind bei Ablauf zu benachrichtigen, soweit technisch machbar. Art. 13(19)
• Flexibilität für Software; Hersteller dürfen unter bestimmten Voraussetzungen Schwachstellen nur in der jeweils neuesten Version beheben, sofern Nutzer kostenlos und ohne zusätzliche Kosten aktualisieren können. Art. 13(10)
• Nach einer wesentlichen Änderung; der Zeitraum ist anhand derselben Kriterien neu zu bewerten; er verlängert oder erneuert sich nicht automatisch.

Planen Sie Ihren mit dem Planer für Unterstützungszeitraum & EOL.

06Wichtige & kritische Produkte

Die Klassifizierung entscheidet über den Konformitätsweg. Ein Produkt ist wichtig if its Kernfunktion einer Kategorie des Anhangs III entspricht (Klasse I oder II), und kritisch wenn es Anhang IV entspricht; alles andere ist ein Standardprodukt, das eine Selbstbewertung durchführen darf. Art. 7 · 8 · 32

• Die Kernfunktion ist das entscheidende Kriterium; die Hauptmerkmale des Produkts, ohne die es seinen vorgesehenen Zweck nicht erfüllen würde. Nebenfunktionen ändern die Klasse nicht, und die bloße Integration einer wichtigen oder kritischen Komponente macht das gesamte Produkt nicht wichtig oder kritisch: Ein Smartphone, das ein Betriebssystem einbettet, ist nicht selbst ein „Betriebssystem“.
• Eine Kernfunktion; für die Wahl des Konformitätsweges wird davon ausgegangen, dass ein Produkt über eine einzige Kernfunktion verfügt, die in seiner technischen Dokumentation festgelegt ist.
• Die Kategoriedefinitionen; die technischen Beschreibungen der Kategorien wichtig und kritisch sind in der Durchführungsverordnung (EU) 2025/2392 der Kommission festgelegt.

Gleichen Sie Ihr Produkt anhand der Kategorien mit der Produktklassen-Finder.

07Datenfernverarbeitung

Lösungen zur Datenfernverarbeitung sind nur dann Teil eines Produkts mit digitalen Elementen, wenn sie für die Ausübung der Produktfunktionen erforderlich. Art. 3(2) Der Leitfaden bietet einen praktischen Test: Erfolgt die Verarbeitung „aus der Ferne“; würde ihr Fehlen das Produkt daran hindern, eine seiner Funktionen zu erfüllen; und wurde die Software vom Hersteller oder unter seiner Verantwortung konzipiert und entwickelt.

Er veranschaulicht den Test anhand ausgearbeiteter Anwendungsfälle (eine mobile Banking-App, ein intelligenter Thermostat, ein E-Reader, ein Industrieroboter und ein Mobilfunknetz), die zeigen, wo die Grenze zwischen einem Produkt und einer bloßen Dienstleistung verläuft.

08Meldung & Schwachstellen

Der Leitfaden stellt außerdem die laufenden Pflichten klar: die Article 14 reporting von aktiv ausgenutzten Schwachstellen und schwerwiegenden Vorfällen sowie die Anhang-I- vulnerability-handling Anforderungen: vorgelagerte Meldung und Weitergabe von Sicherheitsfixes, die Behebung bekannter ausnutzbarer Schwachstellen sowie die Durchführung wirksamer, regelmäßiger Sicherheitstests und -überprüfungen. Art. 14 · Anhang I

09Weitere offizielle Quellen

Der Leitfaden ergänzt zwei weitere offizielle Referenzdokumente, die es sich lohnt, gemeinsam zu lesen.

Harmonisierte Normen. Die grundlegenden Anforderungen in Anhang I sind ergebnisorientiert formuliert; sobald eine einschlägige harmonisierte Norm im Amtsblatt zitiert wird, begründet ihre Einhaltung eine Konformitätsvermutung. Das Normungsersuchen der Kommission M/606 wurde 2025 von CEN, CENELEC und ETSI angenommen und umfasst rund 41 Normen. Die beiden zentralen horizontalen Normen (sichere Entwicklung und Schwachstellenmanagement) werden bis zum 30. August 2026 erwartet, die vertikalen Produktnormen bis zum 30. Oktober 2026 und die übrigen horizontalen Normen bis zum 30. Oktober 2027, etwa ein Jahr vor der vollständigen Anwendung.