Für viele Unternehmen wird es jetzt konkret: Die Europäische Kommission hat neue Leitlinien veröffentlicht, die bei der Umsetzung des europäischen Cyberresilienzgesetzes (Cyber Resilience Act, CRA) unterstützen sollen.

Die Leitlinien sollen offene Fragen klären und Unternehmen dabei helfen, die neuen Anforderungen in der Praxis umzusetzen. Das kommt zum richtigen Zeitpunkt: Ab dem 11. September 2026 gelten bereits die Meldepflichten des Cyberresilienzgesetzes.

Was ist das Cyberresilienzgesetz?

Das Cyberresilienzgesetz ist eine EU-Verordnung, die verbindliche Anforderungen an die Cybersicherheit von Produkten mit digitalen Elementen stellt.

Vereinfacht gesagt: Hard- und Software soll nicht nur zum Zeitpunkt der Markteinführung sicher sein. Die Cybersicherheit muss über den gesamten Lebenszyklus eines Produkts berücksichtigt werden.

Dazu gehören unter anderem der Umgang mit Sicherheitsrisiken und Schwachstellen sowie entsprechende Meldepflichten.

Das Cyberresilienzgesetz ist bereits seit Dezember 2024 in Kraft. Die Meldepflichten gelten ab September 2026, die wichtigsten weiteren Verpflichtungen ab Dezember 2027.

Was klären die neuen Leitlinien?

Zwischen einer gesetzlichen Vorgabe und ihrer praktischen Umsetzung liegen häufig viele Detailfragen. Genau hier setzt die Europäische Kommission mit den neuen Leitlinien an.

Unter anderem geht es darum:

✅ Welche Produkte fallen unter das Cyberresilienzgesetz?

✅ Wann gilt eine Änderung an einem Produkt als wesentlich?

✅ Wie sind die vorgesehenen Unterstützungszeiträume zu verstehen?

✅ Wie können die Anforderungen an die Risikobewertung umgesetzt werden?

✅ Was ist bei den neuen Meldepflichten zu beachten?

Besondere Aufmerksamkeit gilt dabei kleinen und mittleren Unternehmen sowie Kleinstunternehmen. Praktische Beispiele und Anwendungsfälle sollen die Anforderungen verständlicher machen und die Umsetzung erleichtern.

Warum Unternehmen jetzt genauer hinschauen sollten

Bis die meisten Anforderungen des Cyberresilienzgesetzes ab Dezember 2027 gelten, bleibt noch etwas Zeit. Ein wichtiger Teil wird jedoch schon deutlich früher relevant:

Ab dem 11. September 2026 greifen die Meldepflichten.

Unternehmen sollten deshalb jetzt prüfen, ob sie betroffen sind und ob die notwendigen internen Abläufe bereits vorbereitet sind.

Dabei helfen einige zentrale Fragen:

Welche unserer Produkte fallen unter das Cyberresilienzgesetz?

Wer ist intern für entsprechende Sicherheitsvorfälle zuständig?

Wie werden Cyberrisiken bewertet und dokumentiert?

Sind die notwendigen Meldewege bekannt und vorbereitet?

Die neuen Leitlinien der Europäischen Kommission bieten Unternehmen hierfür eine aktuelle Orientierung.

Fazit: Von der Vorgabe in die Praxis

Mit den neuen Leitlinien möchte die Europäische Kommission vor allem eines schaffen: mehr Klarheit bei der praktischen Umsetzung des Cyberresilienzgesetzes.

Für betroffene Unternehmen ist jetzt ein guter Zeitpunkt, sich mit den Anforderungen auseinanderzusetzen. Denn mit den Meldepflichten ab September 2026 wird ein erster wichtiger Teil bereits Realität.

Wer betroffene Produkte, Zuständigkeiten und interne Prozesse frühzeitig klärt, muss diese Fragen nicht erst beantworten, wenn tatsächlich ein Sicherheitsvorfall eintritt.