Übergangsfristen und Geltungsbeginn

Übergangsfristen und Geltungsbeginn bestimmen, ab wann die einzelnen Teile des Cyber Resilience Acts (CRA) tatsächlich anzuwenden sind. Die Verordnung ist am 10. Dezember 2024 in Kraft getreten, am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt (Artikel 71 Absatz 1). Anzuwenden ist sie deshalb noch lange nicht. Artikel 71 Absatz 2 setzt den allgemeinen Geltungsbeginn auf den 11. Dezember 2027.

Inkrafttreten und Geltungsbeginn sind zwei verschiedene Dinge, und die Unterscheidung ist mehr als Wortklauberei. Mit dem Inkrafttreten existiert die Verordnung als geltendes Unionsrecht, und die Ermächtigungen der Kommission laufen an; die Befugnis zum Erlass delegierter Rechtsakte gilt nach Artikel 61 Absatz 2 für fünf Jahre ab dem 10. Dezember 2024. Pflichten für Hersteller entstehen dagegen erst mit dem Geltungsbeginn der jeweiligen Vorschrift.

Drei Daten, nach denen zu planen ist

• 11. Juni 2026: Kapitel IV, die Artikel 35 bis 51 über die Notifizierung von Konformitätsbewertungsstellen. Ab diesem Tag gelten die Vorschriften, nach denen die Mitgliedstaaten Konformitätsbewertungsstellen notifizieren.
• 11. September 2026: Artikel 14 mit den Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, einschließlich der 24-Stunden-Frist für die Frühwarnung.
• 11. Dezember 2027: alles Übrige. Dazu zählen die grundlegenden Cybersicherheitsanforderungen aus Anhang I, die Konformitätsbewertung, die CE-Kennzeichnung, die Pflichten von Einführern und Händlern sowie die gesamte Marktüberwachung.

Weitere Vorziehungen sieht die Verordnung nicht vor. Jede Vorschrift, die weder Artikel 14 noch Teil von Kapitel IV ist, gilt ab dem 11. Dezember 2027, auch wenn sie sachlich eng mit einer vorgezogenen Vorschrift zusammenhängt.

Produkte, die vor dem Geltungsbeginn auf dem Markt sind

Für den Bestand gilt Artikel 69 Absatz 2: Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den Anforderungen der Verordnung nur dann, wenn sie nach diesem Zeitpunkt einer wesentlichen Änderung unterliegen. Maßgeblich ist das Inverkehrbringen, nicht der weitere Vertrieb. Ein Produkt, das im November 2027 erstmals bereitgestellt wurde, bleibt also auch dann außen vor, wenn Händler es 2029 noch abgeben.

Der Bezugspunkt ist dabei das einzelne Exemplar. Artikel 3 Nummer 21 stellt auf die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt ab, und Erwägungsgrund 38 hält ausdrücklich fest, dass die grundlegenden Cybersicherheitsanforderungen für jedes einzelne Produkt gelten, wenn es in den Verkehr gebracht wird, gleich ob es als Einzelstück oder in Serie hergestellt wird. Geräte, die am Stichtag noch im Lager des Herstellers liegen, werden erst mit ihrer Auslieferung in den Verkehr gebracht. Für sie gilt die Verordnung vollständig, obwohl die Baureihe seit Jahren verkauft wird.

Davon macht Artikel 69 Absatz 3 eine einzige Ausnahme. Die Pflichten aus Artikel 14 gelten für alle Produkte mit digitalen Elementen im Anwendungsbereich, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Für ein Altprodukt kann damit ab dem 11. September 2026 eine 24-Stunden-Frist laufen, obwohl es nie eine CE-Kennzeichnung nach dieser Verordnung tragen wird und keine der Anforderungen aus Anhang I erfüllen muss.

Bescheinigungen aus anderen Rechtsvorschriften

Artikel 69 Absatz 1 betrifft nicht Produkte, sondern Papiere. EU-Baumusterprüfbescheinigungen und Zulassungen, die in Bezug auf Cybersicherheitsanforderungen für Produkte mit digitalen Elementen erteilt wurden, die anderen Harmonisierungsrechtsvorschriften der Union als dieser Verordnung unterliegen, bleiben bis zum 11. Juni 2028 gültig. Zwei Vorbehalte stehen daneben: Läuft eine Bescheinigung schon vorher ab, endet sie zu ihrem eigenen Termin. Und bestimmt die andere Rechtsvorschrift etwas anderes, richtet sich die Geltungsdauer nach jener Vorschrift und kann dann auch über den 11. Juni 2028 hinausreichen.

Zum Nachweis der Konformität mit dem CRA macht Artikel 69 Absatz 1 eine solche Bescheinigung nicht. Dieser Nachweis folgt eigenen Regeln, nämlich den Konformitätsbewertungsverfahren des Artikels 32. Die Vorschrift überbrückt nur den Zeitraum, in dem zwei Regelwerke nebeneinanderstehen.

Termine, die nicht den Hersteller binden

Mehrere Fristen richten sich an die Kommission oder die Mitgliedstaaten. Für die eigene Planung sind sie trotzdem erheblich, weil ohne sie Grundlagen fehlen:

• Artikel 7 Absatz 4: Bis zum 11. Dezember 2025 hat die Kommission einen Durchführungsrechtsakt mit der technischen Beschreibung der Kategorien aus Anhang III und Anhang IV zu erlassen. In Grenzfällen entscheidet erst diese Beschreibung darüber, ob ein Produkt zu den wichtigen oder den kritischen Produkten zählt.
• Artikel 14 Absatz 9: Ebenfalls bis zum 11. Dezember 2025 legt ein delegierter Rechtsakt fest, unter welchen Bedingungen die Verbreitung einer Meldung aus Cybersicherheitsgründen verzögert werden darf.
• Artikel 35 Absatz 2: Bis zum 11. Dezember 2026 soll in der Union eine ausreichende Zahl notifizierter Stellen vorhanden sein, um Engpässe beim Marktzugang zu verhindern.
• Artikel 70: Bis zum 11. September 2028 berichtet die Kommission über die Wirksamkeit der einheitlichen Meldeplattform, bis zum 11. Dezember 2030 und danach alle vier Jahre über die Verordnung insgesamt.

An das Verstreichen dieser Termine knüpft die Verordnung keine Rechtsfolge. Wer plant, liest sie deshalb besser als Erwartung, nicht als Zusage.

Künftige Änderungen bringen eigene Übergangszeiträume mit

Die Anhänge III und IV sind veränderlich, und mit ihnen die Einstufung eines Produkts. Nimmt die Kommission per delegiertem Rechtsakt eine Kategorie in Anhang III auf oder verschiebt sie eine Kategorie von Klasse I nach Klasse II, sieht der Rechtsakt gegebenenfalls einen Übergangszeitraum von mindestens zwölf Monaten vor, bevor die Konformitätsbewertungsverfahren nach Artikel 32 Absätze 2 und 3 greifen (Artikel 7 Absatz 3).

Strenger ist Artikel 8. Delegierte Rechtsakte, die eine Zertifizierungspflicht für kritische Produkte begründen oder Anhang IV ändern, müssen einen Übergangszeitraum von mindestens sechs Monaten vorsehen. Kürzer darf er in beiden Fällen nur aus Gründen äußerster Dringlichkeit ausfallen.

Eine Lücke, die der Text nicht schließt

Artikel 14 Absatz 7 verlangt, Meldungen über die nach Artikel 16 eingerichtete einheitliche Meldeplattform abzugeben. Artikel 16 gehört aber weder zu Artikel 14 noch zu Kapitel IV und gilt damit erst ab dem 11. Dezember 2027, während die Meldepflicht selbst am 11. September 2026 beginnt. Wie diese fünfzehn Monate praktisch überbrückt werden, ergibt sich aus dem Verordnungstext nicht.

Dasselbe Muster zeigt sich bei den Verwaltern quelloffener Software. Artikel 24 Absatz 3 erstreckt Pflichten aus Artikel 14 unter jeweils eigenen Voraussetzungen auf sie: Absatz 1, soweit sie an der Entwicklung des Produkts beteiligt sind, sowie die Absätze 3 und 8, soweit ein schwerwiegender Sicherheitsvorfall die Netz- und Informationssysteme beeinträchtigt, die sie für diese Entwicklung bereitstellen. Artikel 24 selbst gilt wie der übrige Text erst ab dem 11. Dezember 2027.