Cyber Resilience Act (CRA)

Die Cyberresilienz-Verordnung, auch als Cyber Resilience Act (CRA) bekannt, ist eine Verordnung der Europäischen Union, die verbesserte Cybersicherheitsstandards bei Produkten mit digitalen Elementen schaffen soll. Durch die Verpflichtung von Herstellern und Einzelhändlern, die Cybersicherheit ihrer Produkte zu gewährleisten, sollen sowohl Verbraucherinnen und Verbraucher als auch Unternehmen geschützt werden, die Software oder Hardware mit digitalen Elementen kaufen.

Der CRA setzt sich aus 71 Artikeln und acht Anhängen zusammen, in denen etwa Regelungen zu den Pflichten der Wirtschaftsakteure, zu der Konformität von Produkten mit digitalen Elementen, der Notifizierung von Konformitätsbewertungsstellen, der Marktüberwachung und Durchsetzung sowie zu Vertraulichkeit und Sanktionen getroffen werden.

Die Verordnung ist am 11. Dezember 2024 in Kraft getreten. Sie gilt in Gänze ab dem 11. Dezember 2027, ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.

1. Was ist der Cyber Resilience Act (CRA) und ab wann ist er anwendbar?

Der CRA ist eine Verordnung der Europäischen Union, die darauf abzielt, ein hohes Maß an Cybersicherheit für Produkte mit digitalen Elementen sicherzustellen. Er wurde am 10. Dezember 2024 im EU-Amtsblatt veröffentlicht. Seine wesentlichen Regelungen gelten ab dem 11. Dezember 2027.

2. Was regelt der CRA und vom wem ist er zu beachten?

Der CRA legt verbindliche Cybersicherheitsanforderungen für Hersteller, Importeure und Händler von Produkten mit digitalen Elementen fest. Ausnahmen gelten unter anderem für Medizinprodukte, Fahrzeuge oder Produkte der Luft- und Raumfahrt, die bereits durch andere EU-Vorschriften reguliert sind. Die Verpflichtung, während des Lebenszyklus eines Produkts für dessen Cybersicherheit zu sorgen, beinhaltet die Durchführung von Risikobewertungen, die Implementierung von Sicherheitsmaßnahmen nach dem Prinzip "Security by Design" und die Bereitstellung von Sicherheitsupdates. Zudem müssen sie Schwachstellen melden und die Nutzer über Cybersicherheitsrisiken informieren.

3. Welche Sanktionsmöglichkeiten bestehen bei Verstößen gegen den CRA?

Bei Verstößen gegen den CRA können Bußgelder in einer Höhe von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des Unternehmens verhängt werden. Zusätzlich können Marktverbote für nicht konforme Produkte ausgesprochen und bereits verkaufte Produkte zurückgerufen werden.

4. In welchem Verhältnis steht der CRA zu anderen EU-Verordnungen, wie der DS-GVO oder der KI-VO?

Der CRA lässt die DS-GVO, aber auch die KI-Verordnung sowie weitere Vorschriften des Produktsicherheitsrecht wie künftig die EU-Maschinenverordnung, unberührt. Diese gelten also neben den Anforderungen des CRA, was zuweilen zu Abgrenzungsschwierigkeiten führt.

5. An welche Zielgruppen richtet sich Ihr Kommentar "Cyber Resilience Act: CRA"?

Der Kommentar "Cyber Resilience Act: CRA" richtet sich an Beschäftigte in Behörden und Ministerien ebenso an die im Bereich des IT-, Technik- und Datenrechts tätige Anwaltschaft, Unternehmensjuristinnen und Unternehmensjuristen sowie alle Interessierten, die mit dem CRA in Wissenschaft und Praxis zu tun haben.

Der als Verordnung ausgestaltete Rechtsakt Cyber Resilience Act (Cyberresilienzgesetz) soll die Cybersicherheit von digitalen Produkten sowohl für Verbraucherinnen und Verbraucher als auch für Unternehmen verbessern. Der Gelbe Kommentar thematisiert Norm für Norm die Verordnung so ausführlich, wie nötig und so knapp, wie möglich, und bietet den Leserinnen und Lesern so eine wertvolle Einstiegshilfe in den Cyber Resilience Act. Die wissenschaftlich fundierten und gleichzeitig prägnanten Erläuterungen Artikel für Artikel sowie die anschauliche Erklärung dank der Einbeziehung von Praxisbeispielen machen den Kommentar besonders nützlich. Zusätzlich sorgen Übersichtsebenen für ein schnelles Auffinden von Schlagworten.

Professor Dr. Dirk Heckmann und Professorin Dr. Anne Paschke sind Herausgeber und Mitautoren in Heckmann/Paschke, Cyber Resilience Act.

Herr Professor Dr. Dirk Heckmann

ist Mitglied des Bayerischen Verfassungsgerichtshofs und Inhaber des Lehrstuhls für Recht und Sicherheit der Digitalisierung an der Technischen Universität München.

Frau Professorin Dr. Anne Paschke

ist Direktorin des Instituts für Rechtswissenschaften an der Technischen Universität Braunschweig.