Cyber Resilience Act CRA

Mit dem Cyber Resilience Act (CRA) schreibt die EU erstmals verbindliche IT-Sicherheitsanforderungen für den gesamten Lebenszyklus von Produkten mit digitalen Elementen vor. Alle Unternehmen, die vernetzte Hardware oder Software auf dem EU-Markt bereitstellen, sind betroffen. Meldepflichten greifen bereits ab September 2026, die vollständige Compliance ist bis Dezember 2027 herzustellen. Dieser Kommentar macht den CRA für alle nutzbar, die das Gesetz in der Praxis anwenden. Eine echte Besonderheit ist seine prägnante, strukturierte Einführung, die systematisch ua Anwendungsbereich, Risikoklassifizierung, Herstellerpflichten, Haftung und alle sonstigen tragenden Säulen der Verordnung in einem Zug erschließt. Dies ist die ideale Grundlage für die anschließende Detailarbeit am Normtext, der durch 1.572 Anmerkungen mit zahlreichen Verweisen auf weiterführende Quellen erschlossen wird. Die Erwägungsgründe sind den jeweiligen Artikeln direkt zugeordnet.