Neue CRA Guidance der EU-Kommission

Am 27. Juli 2026 hat die Europäische Kommission ihre Leitlinien zur Anwendung des Cyber Resilience Act veröffentlicht (C(2026) 5252).

Was ist die CRA Guidance der EU-Kommission?

Die CRA Guidance der EU-Kommission ist eine Auslegungshilfe zur Verordnung (EU) 2024/2847, veröffentlicht am 27. Juli 2026. Sie erläutert Anwendungsbereich, wesentliche Veränderung und Unterstützungszeitraum und enthält 67 Beispiele. Rechtlich bindend ist sie nicht. Eine verbindliche Auslegung des CRA kann nur der Gerichtshof der Europäischen Union vornehmen.

Was steht drin?

Artikel 26 des CRA gibt die Mindestinhalte vor. Die Guidance behandelt entsprechend:

• Anwendungsbereich, insbesondere Remote Data Processing und freie und quelloffene Software
• den Begriff der wesentlichen Veränderung, einschließlich Software-Updates und Ersatzteilen
• die Bestimmung des Unterstützungszeitraums
• Risikobewertung, Meldepflichten und das Zusammenspiel mit anderem Unionsrecht

Dazu kommen Klarstellungen zur Kernfunktionalität, die zusammen mit der Durchführungsverordnung (EU) 2025/2392 über das Konformitätsbewertungsverfahren entscheidet.

Für Hersteller im Maschinen- und Anlagenbau sind vor allem die Passagen zum Bestandsgeschäft relevant: Produkte, die vor dem 11. Dezember 2027 entwickelt und danach in Verkehr gebracht werden, müssen nicht neu ausgelegt werden, wenn die Risikobewertung geeignete Maßnahmen belegt.

Was ist beim Status zu beachten?

Formal hat die Kommission bisher nur den Inhalt des Entwurfs gebilligt. Die förmliche Annahme folgt, sobald alle Sprachfassungen vorliegen. Erst ab diesem Zeitpunkt gilt die Guidance. Wer sie in Prüf- oder Zulassungsunterlagen zitiert, sollte den Unterschied kennen.

Wo gibt es die Dokumente?

Die Communication C(2026) 5252 und der Annex mit dem Entwurf der Guidance stehen auf der Veröffentlichungsseite der Europäischen Kommission zum Download bereit. Dort finden Sie auch die Details zu den einzelnen Themen samt Beispielen und Entscheidungsbäumen.