Europäische Kommission schafft lang erwartete Klarheit für den Cyber Resilience Act
Die Europäische Kommission hat offizielle Leitlinien für die Anwendung des Cyber Resilience Act (CRA) veröffentlicht, damit Hersteller, Lieferanten und Open-Source-Projekte besser verstehen, wie das Gesetz in der Praxis anzuwenden ist. Der Leitfaden verdeutlicht, wann Software, Hardware und deren Kombinationen unter den CRA fallen und wann Software als „auf dem Markt bereitgestellt“ gilt.
Zudem wird ausführlich auf die Position von Open-Source-Software, Maintainern und Open-Source-Stewards eingegangen, einschließlich der Frage, wann kommerzielle Aktivitäten CRA-Verpflichtungen auslösen. Darüber hinaus verdeutlicht die Kommission den Begriff der „wesentlichen Änderung“ und deren Auswirkungen auf Konformitätsbewertungen und die CE-Kennzeichnung. Besonderes Augenmerk liegt auf komplexen Systemen, Software-Updates und Produkten, die bereits vor dem CRA entwickelt wurden, aber erst später auf den Markt gebracht werden.
Der Leitfaden beschreibt, wie Cybersicherheits-Risikobewertungen durchzuführen sind und wie Abhängigkeiten von externen Komponenten berücksichtigt werden müssen. Auch Fern-Datenverarbeitung, Cloud-Funktionalitäten und die Beziehung zwischen Software und Online-Diensten werden weiter abgegrenzt. Des Weiteren behandelt das Dokument den Support-Zeitraum, das Schwachstellenmanagement und die Meldepflichten während des gesamten Lebenszyklus digitaler Produkte.
Die Leitlinien sind rechtlich nicht bindend, geben jedoch die offizielle Interpretation der Europäischen Kommission wieder und werden eine wichtige Rolle bei der Aufsicht und Durchsetzung spielen. Für Organisationen, die Software oder vernetzte Produkte entwickeln, wird dieser Leitfaden zu einem unverzichtbaren Hilfsmittel, um rechtzeitig CRA-konform zu werden.