Aachen, 11. Nov 2026 - Mit dem Cyber Resilience Act (EU VO 2024/2847 – Kurzform CRA) sollte die Sicherheit von Produkten mit digitalen Elementen verbessert werden. Dies betrifft vor allem Hard- und Software mit einer Netzwerkverbindung. Gleichzeitig hat die EU-Kommission sich zum Ziel gesetzt, durch Abbau von Bürokratie und Regulatorik die Wettbewerbsfähigkeit der Unternehmen in der EU zu stärken.
Der Bundesverband IT-Mittelstand e.V. (BITMi) und der patentverein.de e.V. unterstützen die Zielsetzung des CRA, Cyber-Attacken effektiv abzuwehren. Statt Bürokratie abzubauen, hat die EU-Kommission mit dem CRA jedoch ein dichtes Regelwerk geschaffen, welches Herstellern von Soft- und Hardware ohne Ansehen und Gewichtung von Art und Risiko des Produkts umfangreiche Dokumentations-, Informations- und Gestaltungspflichten auferlegt. Das Ausmaß der neu geschaffenen Verpflichtungen ist nicht geeignet, dem Ziel einer verbesserten Cyber-Sicherheit zu dienen. Im Gegenteil binden überzogene Dokumentations- und Informationspflichten in unternehmerisch ohnehin herausfordernden Zeiten Arbeitskraft und finanzielle Ressourcen im Mittelstand, die dringend für die Entwicklung neuer Produkte benötigt werden. Dies trifft den entwickelnden Mittelstand, sowohl in Deutschland als auch in den anderen Mitgliedsstaaten der Europäischen Union, mit besonderer Härte, und schadet dem Ziel, mehr digitale Souveränität durch europäische Hersteller zu erreichen.
Der CRA wird, nach jetziger Planung, zum 11. Dezember 2027 vollständig wirksam werden. Der BITMi und der Patentverein fordern die EU-Institutionen und die Bundesregierung auf, die verbleibende Zeit nutzen, um den CRA zu entbürokratisieren und auf ein sinnvolles Maß zu verschlanken. Hierzu schlägt der BITMi die Schaffung einer Basiskategorie von Software mit geringem Risiko (Kategorie Zero) als pragmatischen Ansatz vor. Rasmus Keller, Sprecher der Fachgruppe IT-Recht des BITMi, unterstreicht: „Die Hersteller dieser Software-Kategorie sollen von Dokumentations-, Informations- und Gestaltungspflichten weitestgehend entlastet werden.“ Dr. Heiner Flocke, Vorsitzender des Patentvereins, ergänzt: „Auch die Hardware sollte bei der Entbürokratisierung des CRA berücksichtigt werden“.
Die Kategorie Zero soll Software umfassen, die – außer für Updates – keine Internetverbindung nutzt und nicht zu den wichtigen oder kritischen Produkten im Sinne des CRA gehört. Ein großer Teil von Anwendungsprogrammen wäre damit von den überschießenden Pflichten des CRA befreit. Profitieren würden beispielsweise typische Büroanwendungen und Tools wie Textverarbeitung, Tabellenkalkulation, Grafikprogramme und mehr.
Auch einzelne Hardware-Komponenten können nach Dr. Flockes Einordnung dem CRA unterliegen, obwohl sie als unspezifische Bausteine wie Sensoren und Mikroprozessoren erst in ihrer Verwendung in Systemen mit besonderen Risiko-Zusammenhängen Gefahreneigenschaften besitzen. Diesbezüglich gilt es klarzustellen, dass die Anforderungen des CRA erst dann greifen, wenn ein unspezifisches Bauteil in einer konkreten Anwendung oder einer funktionsspezifischen Baugruppe eingesetzt wird.
Nur mit einer maßvollen und zielgenauen Regulierung wird es gelingen, das langfristige Ziel einer europäischen digitalen Souveränität zu erreichen. Deshalb ist die von den beiden Verbänden gemeinsame geforderte Verschlankung des CRA dringend notwendig.