Lehner & Szecsey
EN

CRA-Wissensdatenbank

Zusammenspiel mit anderem EU-Recht

Verhältnis zu Maschinen-, Medizin-, Funk-, Produktsicherheits-, DSGVO- und Datenrecht.

← Zurück zur FAQ-Übersicht

Alle Fragen in diesem Thema

Sind Produkte unter der EASA-Luftfahrt-Verordnung (EU) 2018/1139 auch vom CRA erfasst?

Nein, soweit die EASA-Grundverordnung gilt: Luftfahrtprodukte und -ausrüstung (inkl. Software) unterliegen ihrem eigenen Regime und sind insoweit vom CRA ausgenommen.

Quelle: EU-Kommission · FAQ 2.1 Offizielles EU-FAQ (Originaltext, Englisch)

Sind Produkte unter der Schiffsausrüstungs-Richtlinie (EU) 2014/90 auch vom CRA erfasst?

Beide regeln das Bereitstellen am Markt – die Richtlinie speziell für Schiffsausrüstung. Maßgeblich ist, welcher Rechtsakt das jeweilige Produkt erfasst; Doppelregulierung soll vermieden werden.

Quelle: EU-Kommission · FAQ 2.2 Offizielles EU-FAQ (Originaltext, Englisch)

Wie verhalten sich CRA und Produkthaftungsrichtlinie zueinander?

Sie ergänzen sich ohne Überschneidung: Der CRA stellt Sicherheitsanforderungen ans Produkt, die Produkthaftungsrichtlinie regelt Schadensersatz bei fehlerhaften Produkten.

Quelle: EU-Kommission · FAQ 2.3 Offizielles EU-FAQ (Originaltext, Englisch)

Wie verhalten sich CRA und Maschinenverordnung (EU) 2023/1230 zueinander?

Ein Produkt kann zugleich Maschine und Produkt mit digitalen Elementen sein. Dann sind die Cybersicherheitsanforderungen beider Rechtsakte einzuhalten.

Quelle: EU-Kommission · FAQ 2.4 Offizielles EU-FAQ (Originaltext, Englisch)

Muss ein Produkt die Cyber-Anforderungen von CRA und Maschinenverordnung gleichzeitig erfüllen?

Ja. Ist es zugleich Maschine und Produkt mit digitalen Elementen, gelten die Cyber-Anforderungen beider Verordnungen kumulativ.

Quelle: EU-Kommission · FAQ 2.4.2 Offizielles EU-FAQ (Originaltext, Englisch)

Muss die Konformität über die Verfahren von CRA und Maschinenverordnung sichergestellt werden?

Beide sehen Konformitätsbewertungsverfahren vor. Für ein Produkt, das unter beide fällt, sind die jeweils einschlägigen Verfahren zu durchlaufen; Doppelarbeit lässt sich teils bündeln.

Quelle: EU-Kommission · FAQ 2.4.3 Offizielles EU-FAQ (Originaltext, Englisch)

Wie verhalten sich CRA und Allgemeine Produktsicherheitsverordnung (GPSR) zueinander?

Beide regeln das Bereitstellen von Produkten, haben aber unterschiedliche Schwerpunkte. Der CRA deckt die Cybersicherheit ab; die GPSR greift für sonstige Sicherheitsrisiken.

Quelle: EU-Kommission · FAQ 2.5 Offizielles EU-FAQ (Originaltext, Englisch)

Muss ein Produkt sowohl CRA- als auch GPSR-Anforderungen erfüllen?

Möglich: Birgt ein Produkt neben Cyber-Risiken (CRA) weitere Sicherheitsrisiken, können dafür zusätzlich die GPSR oder andere EU-Vorschriften gelten.

Quelle: EU-Kommission · FAQ 2.5.2 Offizielles EU-FAQ (Originaltext, Englisch)

Wie verhalten sich CRA und Funkanlagenrichtlinie (RED) zueinander?

Der CRA übernimmt die Cybersicherheits-Anforderungen, die zuvor über die delegierte RED-Verordnung (EU) 2022/30 galten, und löst diese für erfasste Funkanlagen ab.

Quelle: EU-Kommission · FAQ 2.6 Offizielles EU-FAQ (Originaltext, Englisch)

Wie verhalten sich CRA und Verordnung zum Europäischen Gesundheitsdatenraum (EHDS) zueinander?

Beide stellen Anforderungen ans Inverkehrbringen. Der CRA liefert die Cyber-Basisanforderungen; die EHDS-Verordnung ergänzt spezifische Anforderungen für EHR-Systeme.

Quelle: EU-Kommission · FAQ 2.7 Offizielles EU-FAQ (Originaltext, Englisch)

Muss ein Produkt die Anforderungen von CRA und EHDS-Verordnung gleichzeitig erfüllen?

Ja. Ist ein Produkt zugleich Produkt mit digitalen Elementen (CRA) und EHR-System (EHDS), gelten die Anforderungen beider Rechtsakte.

Quelle: EU-Kommission · FAQ 2.7.2 Offizielles EU-FAQ (Originaltext, Englisch)

Muss die Konformität über die Verfahren von CRA und EHDS-Verordnung sichergestellt werden?

Beide sehen Konformitätsbewertungen vor – der CRA für Produkte mit digitalen Elementen, die EHDS-Verordnung für die harmonisierten Softwarekomponenten von EHR-Systemen.

Quelle: EU-Kommission · FAQ 2.7.3 Offizielles EU-FAQ (Originaltext, Englisch)

Muss der Hersteller getrennte EU-Konformitätserklärungen je Rechtsakt erstellen?

Nein. Nach Art. 39 Abs. 2 EHDS-Verordnung genügt eine einzige EU-Konformitätserklärung, die alle anwendbaren Rechtsakte (inkl. CRA) abdeckt.

Quelle: EU-Kommission · FAQ 2.7.4 Offizielles EU-FAQ (Originaltext, Englisch)

Wie verhalten sich CRA und Datenschutz-Grundverordnung (DSGVO) zueinander?

Unterschiedliche Natur, keine rechtliche Überschneidung: Der CRA verpflichtet Wirtschaftsakteure zu Produkt-Cybersicherheit, die DSGVO regelt die Verarbeitung personenbezogener Daten. Sichere Produkte unterstützen aber den Datenschutz.

Quelle: EU-Kommission · FAQ 2.8 Offizielles EU-FAQ (Originaltext, Englisch)

Wie verhalten sich CRA und Datengesetz (Data Act) zueinander?

Unterschiedliche Natur: Der CRA regelt das sichere Bereitstellen von Produkten, das Datengesetz u. a. den Zugang zu Produkt- und damit verbundenen Dienstdaten.

Quelle: EU-Kommission · FAQ 2.9 Offizielles EU-FAQ (Originaltext, Englisch)

Wie berücksichtigt der CRA die Pflicht des Data Act, Daten zugänglich zu machen?

Cybersicherheit (CRA) und Datenzugang (Data Act) sind gemeinsam umzusetzen: Daten zugänglich machen und dabei die Sicherheitsanforderungen des CRA wahren – beides ist vereinbar.

Quelle: EU-Kommission · FAQ 2.9.2 Offizielles EU-FAQ (Originaltext, Englisch)

Müssen Hersteller ihre Produkte umgestalten, um Data Act und CRA zu erfüllen?

Der Data Act schreibt kein Re-Design vor. Hersteller bleiben in der Produktgestaltung frei, solange die Datenbereitstellungs-Pflichten erfüllt werden.

Quelle: EU-Kommission · FAQ 2.9.3 Offizielles EU-FAQ (Originaltext, Englisch)

Themenblöcke

Sinngemäß zusammengefasst und übersetzt aus den „FAQs on the Cyber Resilience Act" der Europäischen Kommission (Stand v1.2, 16.01.2026), lizenziert unter CC BY 4.0. Vereinfacht durch Lehner & Szecsey – maßgeblich ist der Originaltext. Offizielles EU-FAQ (Originaltext, Englisch).