Können wir auf den Inhalt einer Leitlinie Einfluss nehmen?

Ja, über die vorgesehenen Konsultationen. Artikel 26 Absatz 3 verpflichtet die Kommission, bei der Ausarbeitung die einschlägigen Interessenträger zu konsultieren. Artikel 9 Absatz 1 Buchstabe a nennt die Erstellung der Leitlinien ausdrücklich als einen der Fälle, in denen die Konsultation gegebenenfalls in strukturierter Weise zu erfolgen hat, und zu den dort aufgezählten Kreisen gehören Kleinstunternehmen und KMU ebenso wie die Open-Source-Software-Gemeinschaft. Der praktische Weg führt über öffentliche Konsultationen und über Verbände.

Ersetzt eine Leitlinie eine fehlende harmonisierte Norm?

Nein. Solange keine harmonisierte Norm eine Anforderung abdeckt, greift die Konformitätsvermutung nicht, und daran ändert eine Leitlinie nichts. Für genau diesen Fall sieht Artikel 27 Absatz 2 gemeinsame Spezifikationen durch Durchführungsrechtsakt vor, allerdings nur unter engen Bedingungen. Fehlen Norm und gemeinsame Spezifikation, müssen Sie die Erfüllung der Anforderungen aus Anhang I selbst belegen.

Müssen wir eine abgeschlossene Bewertung überarbeiten, wenn später eine Leitlinie erscheint?

Eine Leitlinie ändert das Recht nicht, sie legt die Lesart der Kommission offen. Zeigt sich daran, dass Ihre Bewertung von einer falschen Annahme ausging, ist sie zu korrigieren und die technische Dokumentation nachzuziehen. Für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, greifen die Anforderungen nach Artikel 69 Absatz 2 ohnehin erst bei einer wesentlichen Änderung. Die Meldepflichten nach Artikel 14 sind davon ausgenommen und gelten für alle Produkte im Anwendungsbereich.

Cyber Resilience Act

Leitlinien der Kommission

Praxisbegriff

Leitlinien der Kommission sind die Auslegungshilfen zum Cyber Resilience Act (CRA), die Artikel 26 der Verordnung ausdrücklich vorsieht. Die Kommission veröffentlicht sie, um die Durchführung zu erleichtern und deren Kohärenz sicherzustellen, mit einem besonderen Schwerpunkt darauf, Kleinstunternehmen sowie kleinen und mittleren Unternehmen die Einhaltung zu erleichtern. Die englische Sprachfassung überschreibt Artikel 26 mit „Guidance“, die deutsche mit „Leitlinien“.

Adressiert sind die Wirtschaftsakteure, vor allem Hersteller, Bevollmächtigte, Einführer und Händler. Leitlinien sagen nicht, was gilt, sondern wie die Kommission das Geltende versteht. Genau darin liegt ihr praktischer Wert, und zugleich ihre Grenze.

Die vier Themen, die Artikel 26 vorgibt

Absatz 2 legt fest, worauf die Kommission mindestens eingehen muss, wenn sie Leitlinien bereitstellt:

den Anwendungsbereich der Verordnung, mit besonderem Schwerpunkt auf Datenfernverarbeitung und freier und quelloffener Software
die Anwendung von Unterstützungszeiträumen auf bestimmte Kategorien von Produkten mit digitalen Elementen
Hinweise für Hersteller, die neben dem CRA weiteren Harmonisierungsrechtsvorschriften der Union oder anderen damit zusammenhängenden Rechtsakten der Union unterliegen
den Begriff der wesentlichen Änderung

Das ist ein Mindestkatalog, keine abschließende Liste. Dieselbe Bestimmung verpflichtet die Kommission außerdem, eine leicht zugängliche Liste aller nach der Verordnung erlassenen delegierten Rechtsakte und Durchführungsrechtsakte zu führen.

Leitlinien binden niemanden

Eine Leitlinie ist kein Rechtsakt. Sie begründet keine Konformitätsvermutung. Diese Wirkung knüpft Artikel 27 an harmonisierte Normen oder Teile davon, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht worden sind (Absatz 1), an gemeinsame Spezifikationen (Absatz 5) sowie an EU-Konformitätserklärungen und europäische Cybersicherheitszertifikate aus einem europäischen Schema für die Cybersicherheitszertifizierung (Absatz 8). Leitlinien stehen in dieser Aufzählung nicht. Wer einer Leitlinie folgt, hat damit für sich genommen noch nichts nachgewiesen.

Praktisch ist der Abstand trotzdem kleiner, als er klingt. Marktüberwachungsbehörden und notifizierte Stellen orientieren sich in aller Regel an derselben Lesart, und wer davon abweicht, sollte das begründen können. Der Nutzen liegt weniger in der Rechtssicherheit als in der Vorhersehbarkeit.

Wo Verbindlichkeit gewollt ist, nennt die Verordnung ein Instrument

Soll die Kommission verbindlich handeln, sagt der CRA das ausdrücklich. Drei Beispiele zeigen den Unterschied:

Artikel 7 Absatz 4 verpflichtet die Kommission, bis zum 11. Dezember 2025 einen Durchführungsrechtsakt mit der technischen Beschreibung der Produktkategorien aus Anhang III (Klassen I und II) und aus Anhang IV zu erlassen.
Artikel 27 Absatz 2 erlaubt gemeinsame Spezifikationen durch Durchführungsrechtsakt, aber nur, wenn der Weg über harmonisierte Normen gescheitert ist.
Artikel 8 Absatz 1 lässt delegierte Rechtsakte zu, um für kritische Produkte eine Zertifizierung vorzuschreiben, sofern ein einschlägiges europäisches Schema für die Cybersicherheitszertifizierung erlassen wurde und den Herstellern zur Verfügung steht.

Artikel 26 nennt weder ein Instrument noch eine Frist. Wann eine Leitlinie kommt und in welcher Form, steht nicht in der Verordnung.

Leitlinien anderer Stellen

Die Kommission ist nicht die einzige Quelle. Nach Artikel 52 Absatz 16 veröffentlicht die Gruppe für administrative Zusammenarbeit (ADCO) Statistiken über die durchschnittlichen Unterstützungszeiträume je Produktkategorie und stellt dazu Leitlinien mit indikativen Zeiträumen bereit. Artikel 13 Absatz 8 nennt diese Leitlinien ausdrücklich als einen Aspekt, den Hersteller bei der Festlegung des eigenen Unterstützungszeitraums berücksichtigen können.

Hinzu kommt eine Befugnis der Behörden selbst. Nach Artikel 52 Absatz 10 können Marktüberwachungsbehörden den Wirtschaftsakteuren Leitlinien und Ratschläge zur Durchführung geben, unterstützt von der Kommission und gegebenenfalls von den CSIRTs und der ENISA. Für Kleinstunternehmen und KMU verweist Artikel 33 Absatz 3 noch einmal auf Artikel 26.

Was das für die Zeitplanung bedeutet

Die Verordnung gilt ab dem 11. Dezember 2027, die Meldepflichten nach Artikel 14 bereits ab dem 11. September 2026. Diese Termine verschieben sich nicht, wenn zu einer Frage noch keine Leitlinie vorliegt.

Wer heute entscheiden muss, ob eine Funktionserweiterung eine wesentliche Änderung ist oder wie lang der Unterstützungszeitraum anzusetzen ist, entscheidet also auf eigener Grundlage. Sinnvoll ist, die eigene Auslegung mit ihrer Begründung schriftlich festzuhalten und sie zu überprüfen, sobald die Kommission sich äußert.

Fragen aus der Praxis

: Ja, über die vorgesehenen Konsultationen. Artikel 26 Absatz 3 verpflichtet die Kommission, bei der Ausarbeitung die einschlägigen Interessenträger zu konsultieren. Artikel 9 Absatz 1 Buchstabe a nennt die Erstellung der Leitlinien ausdrücklich als einen der Fälle, in denen die Konsultation gegebenenfalls in strukturierter Weise zu erfolgen hat, und zu den dort aufgezählten Kreisen gehören Kleinstunternehmen und KMU ebenso wie die Open-Source-Software-Gemeinschaft. Der praktische Weg führt über öffentliche Konsultationen und über Verbände.
: Nein. Solange keine harmonisierte Norm eine Anforderung abdeckt, greift die Konformitätsvermutung nicht, und daran ändert eine Leitlinie nichts. Für genau diesen Fall sieht Artikel 27 Absatz 2 gemeinsame Spezifikationen durch Durchführungsrechtsakt vor, allerdings nur unter engen Bedingungen. Fehlen Norm und gemeinsame Spezifikation, müssen Sie die Erfüllung der Anforderungen aus Anhang I selbst belegen.
: Eine Leitlinie ändert das Recht nicht, sie legt die Lesart der Kommission offen. Zeigt sich daran, dass Ihre Bewertung von einer falschen Annahme ausging, ist sie zu korrigieren und die technische Dokumentation nachzuziehen. Für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, greifen die Anforderungen nach Artikel 69 Absatz 2 ohnehin erst bei einer wesentlichen Änderung. Die Meldepflichten nach Artikel 14 sind davon ausgenommen und gelten für alle Produkte im Anwendungsbereich.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.