CRA-Leitlinien der EU-Kommission veröffentlicht: Mehr Klarheit für die metalltechnische Industrie
© Satoristudio|stock.adobe.com
Die Europäische Kommission hat am 27. Juli 2026 ihre erste offizielle Leitlinie zur Anwendung des Cyber Resilience Act (CRA) veröffentlicht. Sie beantwortet zentrale Praxisfragen – von der Produktabgrenzung über „wesentliche Änderungen" bis zu Support-Zeiträumen – und ist damit ein wichtiger Orientierungspunkt für alle Hersteller vernetzter Produkte.
Worum es geht
Der Cyber Resilience Act (Verordnung (EU) 2024/2847) legt einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über den gesamten Produktlebenszyklus fest. Er betrifft praktisch alle Unternehmen, die vernetzte Hard- oder Software in der EU herstellen, importieren oder vertreiben – also insbesondere Hersteller von Maschinen, Anlagen, Steuerungen, IIoT-Komponenten und zugehöriger Software.
Da die Auslegung einzelner Bestimmungen in der Praxis Fragen aufwarf, hat die Kommission nun gemäß Artikel 26 CRA eine rund 80-seitige Leitlinie vorgelegt – mit 67 praktischen Beispielen, Anwendungsfällen und Flussdiagrammen, mit besonderem Fokus auf die Unterstützung von KMU.
Das ist für die metalltechnische Industrie besonders relevant
- Wesentliche Änderung (Substantial Modification): Wann Software-Updates oder Reparaturen eine neue Konformitätsbewertung auslösen.
- Support-Zeitraum: Ausgestaltung und Mindestdauer (i. d. R. ≥ 5 Jahre) - gerade bei langlebigen Maschinen und Anlagen.
- Wichtige & kritische Produkte: Bestimmung der „Kernfunktionalität" und das daraus folgende Bewertungsverfahren.
- Remote Data Processing (RDPS): Abgrenzung, wann Cloud-/Fernverarbeitung Teil des Produkts ist.
- Zusammenspiel mit anderer Gesetzgebung: insbesondere Maschinenverordnung und Radio Equipment Directive (RED).
Wichtig einzuordnen
Die Kommission hat den Text vorab als Communication to the Commission samt Annex (dem eigentlichen Leitlinien-Text) bereitgestellt. Die Leitlinie wird formal erst anwendbar, sobald alle EU-Sprachfassungen vorliegen – inhaltliche Änderungen sind jedoch nicht mehr zu erwarten. Der Text kann also bereits jetzt zur Vorbereitung genutzt werden. Die Leitlinie ist rechtlich nicht bindend, wird aber von den Marktüberwachungsbehörden als Referenz herangezogen.
Es entsteht keine neue Frist. Maßgeblich bleiben:
- 11. September 2026 – Beginn der Melde¬pflichten (Art. 14)
- 11. Dezember 2027 – Vollanwendung des CRA
Was der FMTI dazu tut
Als Fachverband Metalltechnische Industrie begleiten wir die weitere Ausgestaltung des CRA – u. a. über unsere Mitarbeit in Orgalim und anderen europäischen Gremien. Auf europäischer Ebene erfolgt derzeit ein Abgleich zwischen den Orgalim-Empfehlungen und dem finalen Text; eine kompakte fachliche Einordnung für die Branche ist in Vorbereitung.
Weiterführende Informationen
- Offizielle CRA-Implementierungs-Website der Europäischen Kommission: Cyber Resilience Act – Implementation
- Meldung der Kommission zur Veröffentlichung der Leitlinie: Commission publishes new guidance to support timely Cyber Resilience Act implementation | Shaping Europe’s digital future
Ansprechpartner im Fachverband:
Georg Eberwein, M.Sc., B.A.
+43 5 90 900-3467
eberwein@fmti.at
Mag. Barbara Schicker
+43 5 90 900-3468
schicker@fmti.at
