Die neuen CRA-Leitlinien der EU-Kommission: Was bei der „wesentlichen Veränderung“ jetzt gilt

Mit 81 Seiten ist der Cyber Resilience Act (CRA) ein echtes Brett an Regulatorik für die digitale Produktsicherheit. Vollständig anzuwenden ist der CRA zwar erst ab dem 11. Dezember 2027, trotzdem sollten sich betroffene Unternehmen bereits jetzt auf die neuen Anforderungen einstellen. Die EU-Kommission versucht, mit ihren frisch veröffentlichten Leitlinien zum CRA mehr Klarheit zu schaffen – und zeigt dabei zugleich: Im CRA lauern an vielen Stellen Stolperfallen, wie sich etwa beim Thema „wesentliche Veränderung“ zeigt.

Was ist eine „wesentliche Veränderung“ nach dem CRA?

Der CRA knüpft zahlreiche Pflichten – von der Konformitätsbewertung bis zur Dokumentation – an den Zeitpunkt, in dem ein Produkt mit digitalen Elementen „in Verkehr gebracht“ wird. Wird das Produkt später so verändert, dass diese Änderung als wesentliche Veränderung gilt, kann dies eine erneute Konformitätsbewertung auslösen. Genau hier wird es in der Praxis kritisch: Wann handelt es sich um eine wesentliche Veränderung im Sinne des CRA?

Physische Produkte: Modernisierung ohne Neustart?

Bei physischen Produkten gilt aus Sicht der EU-Kommission: Solange der ursprüngliche Verwendungszweck und das Risikoprofil eines Produkts unverändert bleiben, sind Modernisierungs-, Wartungs- oder Reparaturarbeiten für sich genommen keine wesentliche Veränderung. Das gilt sogar dann, wenn im Zuge der Arbeiten leistungsfähigere Komponenten verbaut werden.

Aber Achtung: Sobald sich durch die Modernisierung der Einsatzzweck verschiebt oder neue Risiken entstehen (etwa andere Einsatzumgebungen oder zusätzliche Schnittstellen), kann aus einer vermeintlichen „Instandsetzung“ rechtlich eine wesentliche Veränderung werden – mit der Folge, dass das Produkt erneut bewertet und zertifiziert werden muss.

Software-Updates: Wann wird aus einer neuen Funktion eine wesentliche Veränderung?

Schon scheinbar geringfügige neue Funktionen können aus Sicht der EU-Kommission erhebliche Cybersicherheitsrisiken mit sich bringen und damit eine wesentliche Veränderung der Software darstellen. Als Beispiel nennt die EU-Kommission die Einführung einer „Angemeldet bleiben“-Funktion.

Auf den ersten Blick wirkt diese Funktion wie ein Komfort-Feature. Tatsächlich führt sie aber – so die EU-Kommission – zu neuen Risiken rund um Token-Diebstahl, unbefugten Zugriff und Session-Hijacking, die bei der ursprünglichen Risikobewertung möglicherweise gar nicht berücksichtigt wurden. Dadurch verschiebt sich das Risikoprofil der Software – und eine Änderung, die aus Produktmanagement-Sicht „klein“ wirkt, kann eine wesentliche Veränderung nach dem CRA sein, mit der Folge einer erneuten Konformitätsbewertung.

Sicherheitsupdates: Nicht immer risikofrei

Reine Sicherheitsupdates, die bekannte Schwachstellen schließen, gelten in der Regel nicht als wesentliche Veränderung einer Software. Sie sind vielmehr integraler Bestandteil eines sicheren Produktlebenszyklus.

Diese Einschätzung kippt aus Sicht der EU-Kommission allerdings dann, wenn durch ein Sicherheitsupdate der Verwendungszweck des Produkts mit digitalen Elementen über das ursprünglich vorgesehene Maß hinaus verändert oder neue bzw. erhöhte Cybersicherheitsrisiken geschaffen werden. Das kann beispielsweise der Fall sein, wenn ein Hersteller einen bestehenden Verschlüsselungsmechanismus grundlegend umstellt – etwa von lokaler Verschlüsselung auf Fernverschlüsselung über einen Remote-Dienst. Damit ändern sich Datenflüsse und Angriffsflächen. Aus CRA-Sicht kann ein solcher Schritt eine wesentliche Veränderung darstellen, die eine erneute Bewertung und Zertifizierung erfordert.

Was Unternehmen jetzt tun sollten

Der CRA fordert von Unternehmen nicht nur ein sauberes Erst-Compliance-Setup beim Inverkehrbringen einzelner Produkte, sondern eine durchgängige und fortdauernde CRA-Governance. Dies erfordert klare Verantwortlichkeiten, belastbare Prozesse und eine Dokumentation, die den Anforderungen des CRA standhält.

Unternehmen sollten den CRA daher strategisch als Governance-Thema angehen und nicht nur auf Einzelbeispiele oder Leitlinienreaktionen setzen. Wer den Umgang mit Themen wie der wesentlichen Veränderung in ein solches Gesamtframework einbettet, reduziert nicht nur das Risiko von Verstößen, sondern schafft zugleich einen belastbaren, zukunftsfesten Rahmen für digitale Produktsicherheit und vertrauenswürdige Produkte.