Regulierung · 21. September 2026

CRA Practical Guidance: Umsetzungshilfe der Kommission vom 27.07.2026

Am 27. Juli 2026 hat die Europäische Kommission unter dem Aktenzeichen C(2026) 5252 ihre Practical Guidance zur Anwendung der Verordnung (EU) 2024/2847 (Cyber Resilience Act, CRA) veröffentlicht. Adressat sind Wirtschaftsteilnehmer – insbesondere Hersteller, Entwickler und kleine wie mittlere Unternehmen –, daneben Marktüberwachungsbehörden, notifizierende Behörden und benannte Stellen. Die Guidance stützt sich auf Artikel 26 CRA und ist ausdrücklich nicht verbindlich; sie legt die Auslegung der Kommission dar und soll die harmonisierte Durchsetzung im Binnenmarkt erleichtern. Für öffentliche Auftraggeber, Betreiber von Fachverfahren und Vergabestellen ist der Text relevant, weil er Scope, Rollen und Prozessbegriffe operationalisiert, die in Leistungsbeschreibung, Abnahme und Lieferantensteuerung greifbar werden.

Was sich ändert

Die Guidance beantwortet vor allem die Fragen, die Stakeholder in der Vorbereitung auf die CRA-Vollanwendung gestellt haben. Sie klärt unter anderem:

• Anwendungsbereich: wann Produkte mit digitalen Elementen – inklusive Standalone-Software, Hardware mit eingebetteter Software und Remote-Data-Processing-Lösungen – in den CRA fallen; Abgrenzung zu rein remote ausgeführten Webanwendungen und Websites, die für sich genommen keine Produkte mit digitalen Elementen sind.
• Freie und Open-Source-Software (FOSS): wann eine kommerzielle Tätigkeit und damit ein Inverkehrbringen vorliegt, wann nur die Rolle des Open-Source-Software-Stewards greift und wann reine Beitragsleistende außerhalb der CRA-Pflichten bleiben.
• Wesentliche Änderung (substantial modification): ab wann Hardware-Reparaturen, Ersatzteile oder Software-Updates eine neue Konformitätsbewertung auslösen und Rollen (etwa Importeur oder Distributor) in die Herstellerrolle wechseln können.
• Support-Zeitraum: wie der vom Hersteller festzulegende Zeitraum der Schwachstellenbehandlung zu verstehen und am Kaufzeitpunkt kenntlich zu machen ist.
• Cybersicherheits-Risikobewertung und Sorgfaltspflichten bei integrierten Komponenten sowie Hinweise zu Melde- und Schwachstellenprozessen (Abschnitt 9 der Guidance).

Die Kommission betont den Bezug zur Vereinfachungsagenda und hat die Guidance mit Stakeholdern erarbeitet – unter anderem über die Expertengruppe zu Cybersicherheit von Produkten mit digitalen Elementen und eine öffentliche Konsultation vom 3. März bis 13. April 2026. Laut Library-Eintrag enthält die Anlage 67 praktische Beispiele, Use Cases, Ablaufdiagramme und Grafiken; besonderes Augenmerk liegt auf Kleinstunternehmen und KMU.

Zeitlich bleibt die Systematik der Verordnung unberührt: Die wesentlichen Produktpflichten (wesentliche Cybersicherheitsanforderungen, Konformitätsbewertung, CE-Kennzeichnung) gelten grundsätzlich ab dem 11. Dezember 2027. Kapitel IV zu Konformitätsbewertungsstellen gilt seit dem 11. Juni 2026. Die Meldepflichten nach Artikel 14 greifen seit dem 11. September 2026 – die Guidance ordnet sie ein, ersetzt aber weder den Verordnungstext noch die ENISA-Single-Reporting-Platform als Verfahrensweg. Parallel stellt das BSI mit der Technischen Richtlinie TR-03183 eine nationale Einstiegshilfe ohne Konformitätsvermutung bereit.

Folgen für Nachweis, Test, Abnahme oder Vergabe

Für Beschaffung und Betrieb in der öffentlichen Verwaltung verschiebt sich der Fokus von pauschalen Sicherheitszusagen hin zu prüfbaren Auslegungen:

• Vergabe / Eignung: Ausschreibungen sollten abfragen, ob der Anbieter (oder sein Hersteller) den Scope der Guidance für das konkrete Produkt nachvollzogen hat – einschließlich Remote-Data-Processing und FOSS-Rollen (Hersteller vs. Steward). Der Support-Zeitraum mit Monats-/Jahresende gehört in Angebot und Vertrag.
• Abnahme: Wesentliche Änderungen und „nur“ iterative Updates sind zu unterscheiden. Abnahmeunterlagen brauchen Kriterien, wann ein Update die Risikobewertung und damit die Konformitätslage verändert – und wann nicht.
• Test und Risikobewertung: Nachweise müssen zeigen, dass die Cybersicherheits-Risikobewertung nach Artikel 13 Abs. 2 CRA geführt und fortgeschrieben wird und dass Sorgfalt bei Drittkomponenten (Art. 13 Abs. 5) dokumentiert ist. Die Guidance erlaubt unter engen Voraussetzungen die Wiederverwendung von Bewertungen für Produktfamilien.
• Nachweisführung: Technische Dokumentation, Nutzerinformationen (Anhang II CRA) und die Zuordnung von Anforderungen zu Testfällen müssen revisionssicher abrufbar sein – auch gegenüber Marktüberwachung.
• Open Source in Fachverfahren: Wer FOSS integriert, bleibt für das eigene Produkt verantwortlich und muss Due Diligence belegen; Steward-Pflichten treffen andere Akteure. Das ist für Beschaffer relevant, die Community-Editionen, Enterprise-Builds und Steward-Strukturen in einem Lieferantenportfolio trennen müssen.

Was jetzt zu tun ist

1. Portfolio gegen die Guidance-Scope-Kapitel spiegeln: alle bezogenen oder selbst bereitgestellten Produkte mit digitalen Elementen erfassen; Remote-Data-Processing und Standalone-Software gesondert kennzeichnen; Web-only-Dienste von lokal installierten Clients trennen.
2. Rollenmatrix Hersteller / Importeur / Distributor / Steward festlegen: für jedes kritische Produkt dokumentieren, wer CRA-Verantwortung trägt und wer nur beiträgt oder steuert; bei FOSS Monetarisierungs- und Steward-Fragen anhand der Guidance-Beispiele prüfen.
3. Support-Zeitraum und Nutzerinformationen vertraglich verankern: Enddatum (Monat/Jahr) am Kaufzeitpunkt verlangen; Patch- und Schwachstellenprozesse über den Support-Zeitraum in EVB-IT-nahe Anlagen schreiben.
4. Kriterien für wesentliche Änderung operationalisieren: Runbook, wann Software-Updates oder Hardware-Eingriffe eine neue Konformitätsbewertung auslösen; Abnahme-Checkliste und Lieferantenmeldepflicht bei substantial modification.
5. Risikobewertung und Komponenten-Sorgfalt nachweisbar machen: Art. 13 Abs. 2 und Abs. 5 als prüfbare Nachweise in Anforderungs- und Testkatalog aufnehmen; Vertreter-Tests für Produktfamilien nur dort nutzen, wo die Guidance das zulässt.
6. Vergabeunterlagen um Guidance-Bezüge ergänzen: Scope-Erklärung, Support-Angabe, FOSS-/Steward-Status und Nachweis der Risikobewertung als Eignungs- oder Ausführungsnachweis verlangen – ohne die unverbindliche Guidance als alleinigen Rechtsmaßstab zu setzen.
7. Fahrplan bis 11.12.2027 mit nationalen Hilfen abstimmen: Konformitätsbewertung und CE-Vorbereitung planen; BSI-TR-03183 als Einstiegshilfe nutzen, aber klar von künftigen harmonisierten Normen und von der Kommissions-Guidance unterscheiden.

Für die revisionssichere Nachweisführung in Anforderungs-, Test- und Abnahmeprojekten hilft eine durchgängige Verknüpfung von Risikobewertung, Anforderungen, Testfällen und Freigaben – etwa in On-Prem-Suites wie aqua –, damit Scope-Entscheidungen, Support-Zusagen und Update-Bewertungen gegenüber Revision und Marktüberwachung belegbar bleiben. Das ersetzt weder die Herstellerverantwortung noch die verbindliche Verordnung.