Question 1

Ist ComplyCheck eine Rechtsberatung?

Accepted Answer

Nein. ComplyCheck liefert eine vorläufige, allgemeine Orientierung auf Basis öffentlicher Quellen (EU-Kommission, EUR-Lex, ENISA). Eine rechtsverbindliche Einstufung erfolgt ausschließlich durch zugelassene Rechtsanwälte, benannte Stellen oder die zuständigen Behörden.

Question 2

Ab wann gilt der Cyber Resilience Act?

Accepted Answer

Die Verordnung (EU) 2024/2847 ist am 10.12.2024 in Kraft getreten. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten ab dem 11.09.2026. Die grundlegenden Cybersicherheits- und Konformitätsbewertungspflichten (inkl. CE-Kennzeichnung) gelten ab dem 11.12.2027.

Question 3

Betrifft der CRA auch Software, die schon vor 2027 verkauft wurde?

Accepted Answer

Die Meldepflichten ab 11.09.2026 gelten laut EU-Kommission auch für Produkte, die bereits vor dem 11.12.2027 in Verkehr gebracht wurden, sofern der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall Kenntnis erlangt.

Question 4

Sind Open-Source-Projekte ausgenommen?

Accepted Answer

Nicht-kommerzielle Open-Source-Software ist weitgehend vom CRA ausgenommen. Für Organisationen, die Open-Source-Software als "Open-Source-Software-Steward" bereitstellen, gelten reduzierte Pflichten gegenüber kommerziellen Herstellern. Die genaue Einordnung im Einzelfall sollte anhand der Verordnung (EU) 2024/2847 geprüft werden.

Question 5

Wie unterscheidet sich der CRA von NIS2 und DORA?

Accepted Answer

Der CRA reguliert die Sicherheit von Produkten mit digitalen Elementen beim Inverkehrbringen (Produkt-Compliance). NIS2 und DORA regulieren dagegen die Cybersicherheit von Organisationen und deren Betrieb (Betreiber-Compliance). Ein Unternehmen kann von beiden Regelwerken gleichzeitig betroffen sein, etwa als Softwarehersteller (CRA) und gleichzeitig als NIS2-Einrichtung im eigenen IT-Betrieb.

Bin ich vom Cyber Resilience Act betroffen?

Vier Angaben reichen für die erste Einordnung.