Mit dem Cyber Resilience Act (CRA) hat die EU erstmals verbindliche Cybersicherheitsanforderungen für nahezu alle Produkte mit digitalen Elementen geschaffen – von vernetzter Hardware bis zu eigenständig vertriebener Software. Für Hersteller, Importeure und Händler bedeutet das weitreichende neue Pflichten über den gesamten Produktlebenszyklus hinweg, während gleichzeitig zahlreiche Auslegungsfragen offen sind. Genau hier setzt der neue Nomos-Kommentar zum CRA an, der jetzt erschienen ist – unter Mitwirkung unseres Partners Stephan Schmidt.
Der neue NK-CRA: erster großer Praxiskommentar zur Cyberresilienz-Verordnung
Der von Prof. Dr. Meinhard Schröder (Universität Passau) und RA Dr. Korbinian Hartl herausgegebene Kommentar „Cyber Resilience Act: CRA – Cyberresilienz-Verordnung“ ist in der renommierten Reihe der Kommentare bei Nomos erschienen (1. Auflage 2026, 600 Seiten, ISBN 978-3-7560-0246-7). Er gehört zu den ersten umfassenden Großkommentaren zur neuen Verordnung und richtet sich an Unternehmensjuristinnen und -juristen, Rechtsanwältinnen und Rechtsanwälte, Compliance-Verantwortliche sowie Behörden, die den CRA in der Praxis anwenden müssen.
Das Werk erläutert die Systematik und die zentralen Pflichten der Verordnung – darunter die Sicherheitsanforderungen an Produkte mit digitalen Elementen, die Vorgaben zur koordinierten Offenlegung von Schwachstellen, Melde- und Dokumentationspflichten sowie die Marktüberwachung – verständlich und zugleich wissenschaftlich fundiert. Ziel ist es, tragfähige Lösungsvorschläge für die zahlreichen in der Praxis auftretenden Zweifelsfragen zu bieten, die sich aus der unmittelbaren Geltung dieser EU-Verordnung ergeben.
Autorenteam aus Anwaltschaft, Wissenschaft und Behörden
An dem Kommentar hat ein interdisziplinäres Autorenteam mitgewirkt, das Expertise aus Rechtsanwaltschaft, Universitäten und Behörden bündelt – unter anderem Vertreter des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Deutschen Zentrums für Schienenverkehrsforschung (DZSF) sowie zahlreiche auf IT-Recht spezialisierte Rechtsanwältinnen und Rechtsanwälte. Als einer der Co-Autoren hat unser Mainzer Partner Stephan Schmidt seine langjährige Praxiserfahrung im IT-Sicherheitsrecht in das Werk eingebracht.
Stephan Schmidt kommentiert die Vorschriften zu Open-Source-Software im CRA
Stephan Schmidt hat im NK-CRA neben mehreren Begriffsbestimmungen die folgenden Vorschriften übernommen, die sich mit freier und quelloffener Software (Free and Open-Source Software, FOSS) befassen:
- Art. 24 CRA – Pflichten der Verwalter quelloffener Software
- Art. 25 CRA – Sicherheitsbescheinigung für freie und quelloffene Software
- Art. 26 CRA – Leitlinien
- Art. 27 CRA – Konformitätsvermutung
Diese Vorschriften adressieren eine der praktisch bedeutsamsten Neuerungen des CRA: Erstmals unterwirft eine EU-Verordnung auch Verwalter quelloffener Software eigenständigen Pflichten und schafft mit der Sicherheitsbescheinigung sowie der Konformitätsvermutung Mechanismen, die Rechtssicherheit für das Open-Source-Ökosystem schaffen sollen – ein Bereich, der bislang außerhalb klassischer produktbezogener Regulierung stand. Die Kommentierung dieser Vorschriften reiht sich in Stephan Schmidts kontinuierliches Engagement rund um die neue europäische Cybersicherheitsgesetzgebung ein, zu der er bereits zu NIS-2 und dem KRITIS-Dachgesetz publiziert und vorgetragen hat.
Warum der CRA Unternehmen jetzt schon beschäftigen sollte
Der CRA gilt unmittelbar in allen Mitgliedstaaten und erfasst materielle digitale Produkte ebenso wie nicht eingebettete Software über deren gesamten Lebenszyklus. Für die Umstellung auf die neuen Anforderungen bleibt Herstellern, Importeuren und Händlern nur ein begrenzter Zeitraum – wer frühzeitig Sicherheits-, Dokumentations- und Meldeprozesse an die neuen Vorgaben anpasst, vermeidet spätere Haftungs- und Bußgeldrisiken. Der neue Kommentar bietet hierfür eine praxisnahe Auslegungshilfe.
TCI Rechtsanwälte berät zum Cyber Resilience Act
TCI Rechtsanwälte begleitet Mandantinnen und Mandanten bei der Umsetzung des CRA sowie angrenzender Regelwerke wie NIS-2, DORA und dem KRITIS-Dachgesetz – von der Erstbewertung betroffener Produkte über die Vertragsgestaltung bis zur Implementierung interner Compliance-Prozesse. Bei Fragen zum Cyber Resilience Act oder zu anderen Themen des Cybersicherheitsrechts steht Ihnen Stephan Schmidt und das Team von TCI Rechtsanwälte gerne zur Verfügung.
