Von Redaktion codAIx | April 2026

Art. 12 des Cyber Resilience Act verspricht eine elegante Lösung: Wer die CRA-Cybersicherheitsanforderungen erfüllt, darf vermuten, dass auch die Cybersicherheitsanforderungen des AI Act erfüllt sind [1][2]. Klingt nach einem Freifahrtschein... Ist es aber nicht... Die rechtlichen Bedingungen und praktischen Hürden zur Nutzung dieser Vermutungswirkung sind anspruchsvoller, als sie auf den ersten Blick wirken — und ihre praktische Umsetzung verlangt ein Umdenken in der Risikobewertung, das auch Grundrechte-Risiken und das kombinierte Konformitätsbewertungs­verfahren nach Art. 43 KI-VO einschliesst.

Die Vermutungswirkung: Theorie und Realität

Im vorherigen Artikel dieser Serie haben wir das Zusammenspiel von CRA und AI Act im Überblick dargestellt. Die zentrale Erkenntnis: Für Hochrisiko-KI-Systeme, die gleichzeitig Produkte mit digitalen Elementen sind, bietet Art. 12 CRA in Verbindung mit Erwägungsgrund 77 AI Act [1][2] eine einseitige Vermutungswirkung, die Doppelarbeit bei der Cybersicherheit vermeiden soll.

Auf dem Papier ist der Mechanismus einfach: CRA-Compliance deckt AI-Act-Cybersicherheit ab. In der Praxis stossen Unternehmen jedoch auf eine kritische Einschränkung, drei praktische Hürden und ein verschachteltes Konformitätsbewertungs­verfahren, die den vermeintlichen Automatismus relativieren.

Die kritische Einschränkung: "Without prejudice"

Art. 12(1) CRA enthält eine Einschränkung mit erheblichen Compliance-Implikationen: Die Vermutungswirkung gilt ohne Beeinträchtigung der Anforderungen bezüglich Genauigkeit und Robustheit nach Art. 15 KI-VO. Art. 15 KI-VO regelt Genauigkeit, Robustheit und Cybersicherheit für Hochrisiko-KI-Systeme gemeinsam in einer Norm; die Vermutungswirkung des Art. 12 CRA deckt jedoch nur den Cybersicherheits-Teil ab. Die Anforderungen an Modellgenauigkeit und Robustheit (insbesondere Bias- und Adversarial-Robustheit) bleiben separat unter dem AI Act zu erfüllen.

Für Hochrisiko-KI-Systeme bleibt daher das Risikomanagement für Modellgenauigkeit, Bias-Robustheit und Adversarial-Robustheit eine separate Compliance-Pflicht unter dem AI Act — auch wenn die Cybersicherheit durch CRA abgedeckt ist. Diese „Without prejudice"-Klausel wird von vielen Unternehmen übersehen und führt zu unvollständiger Risikoabdeckung.

Die drei rechtlichen Bedingungen von Art. 12(1) CRA

Art. 12(1) CRA formuliert unter drei explizit genannten Bedingungen die Konformitätsvermutung. Die häufige Interpretation dieser Bedingungen als „Hochrisiko-Einstufung, KI-spezifische Risiken, harmonisierte Normen" ist eine editoriale Auslegung. Die tatsächlichen rechtlichen Bedingungen lauten:

(a) Erfüllung der grundlegenden Cybersicherheitsanforderungen nach Teil I des Anhangs I des CRA: Das Produkt mit digitalen Elementen — einschliesslich aller KI-Komponenten — muss die technischen Anforderungen erfüllen, die der CRA in Teil I des Anhangs I definiert. Das umfasst auch die KI-spezifischen Anfälligkeiten (siehe unten).

(b) Verfahrenskonformität nach Teil II des Anhangs I des CRA: Die vom Hersteller eingerichteten Verfahren (Design, Dokumentation, Risikobeurteilung, Vulnerability Management) müssen den Anforderungen von Teil II des Anhangs I entsprechen. Dies ist die Compliance-Management-Bedingung.

(c) Konformitätsnachweis in der EU-Konformitätserklärung: Das Erreichen der erforderlichen Schutzstufe nach Art. 15 KI-VO muss in der EU-Konformitätserklärung nach Art. 28 CRA nachgewiesen werden — Anhang V CRA regelt den verpflichtenden Inhalt dieser Erklärung. Dies ist der dokumentarische Beweis, nicht ein technisches Requirement an sich.

Diese drei Bedingungen sind Voraussetzungen, nicht „Hürden". Hinzu kommen aber praktische Implementierungs-Hürden, die Unternehmen bewältigen müssen.

Hürde 1: Ist Ihr KI-System wirklich Hochrisiko?

Die Vermutungswirkung greift ausschliesslich für KI-Systeme, die nach Art. 6 KI-VO als hochriskant eingestuft sind [2] — entweder nach Art. 6 Abs. 1 i. V. m. Anhang I KI-VO (Sicherheitskomponenten drittzertifizierungspflichtiger Produkte, z. B. Maschinen oder Medizinprodukte) oder nach Art. 6 Abs. 2 i. V. m. Anhang III KI-VO. Für alle anderen KI-Systeme — und das ist die grosse Mehrheit — existiert keine Brücke zwischen den beiden Verordnungen.

Anhang III KI-VO listet acht Bereiche (Nummern), die definieren, welche KI-Anwendungen als hochriskant gelten [2]. Die Liste ist abschliessend, aber innerhalb der Bereiche besteht Auslegungsspielraum.

Der erste Bereich (Anhang III Nr. 1) umfasst biometrische Identifizierung und Kategorisierung natürlicher Personen — also Gesichtserkennung, Stimmerkennung oder biometrische Zugangssysteme. Die Hochrisiko-Einstufung trifft hier nicht alle biometrischen Systeme gleichermassen: Anhang III Nr. 1 lit. a KI-VO erfasst biometrische Fernidentifizierung als Hochrisiko und enthält die Ausnahme für reine biometrische Verifizierung (Abgleich 1:1, deren einziger Zweck die Identitätsbestätigung ist) — diese 1:1-Ausnahme gilt ausschliesslich für lit. a, nicht für lit. b oder lit. c. Anhang III Nr. 1 lit. b (biometrische Kategorisierung anhand sensibler Merkmale) und lit. c (Emotionserkennung) fallen ohne diese Ausnahme unter Hochrisiko.

Der zweite Bereich (Anhang III Nr. 2) betrifft die Verwaltung und den Betrieb kritischer Infrastruktur: KI-Systeme, die als Sicherheitskomponente in der Steuerung kritischer digitaler Infrastruktur oder von Wasser-, Gas-, Heizungs-, Strom- oder Verkehrsnetzen eingesetzt werden.

Der dritte Bereich (Anhang III Nr. 3) erfasst Bildung und Berufsausbildung: KI-gestützte Prüfungsbewertung, Zulassungsentscheidungen oder adaptive Lernsysteme, die den Bildungsweg einer Person wesentlich beeinflussen.

Der vierte Bereich (Anhang III Nr. 4) umfasst Beschäftigung und Arbeitnehmersteuerung: automatisierte Bewerbervorauswahl, KI-gestützte Kündigungsentscheidungen, Leistungsüberwachung und Aufgabenzuweisung.

Der fünfte Bereich (Anhang III Nr. 5) betrifft den Zugang zu wesentlichen privaten und öffentlichen Dienstleistungen: Kreditscoring, Versicherungs-Risikoprüfung, Triage in Notaufnahmen, Priorisierung von Rettungsdiensten.

Der sechste Bereich (Anhang III Nr. 6) erfasst Strafverfolgung: Risikoeinschätzung für potenzielle Straftäter, Polygraphen, Beweismittelbewertung, Kriminalitätsvorhersage.

Der siebte Bereich (Anhang III Nr. 7) betrifft Migration, Asyl und Grenzkontrolle: automatisierte Visumprüfung, Risikoeinschätzung irregulärer Migration, Identitätserkennung an Grenzen.

Der achte Bereich (Anhang III Nr. 8) umfasst Rechtspflege und demokratische Prozesse: KI-Systeme, die Gerichte bei der Sachverhaltsermittlung oder Rechtsanwendung unterstützen, oder KI-Systeme, die Wahlprozesse beeinflussen.

Entscheidend für die Praxis: Viele KI-Produkte, die intuitiv als „wichtig" oder „sensibel" wahrgenommen werden, fallen nicht unter Anhang III — und sind auch keine Sicherheitskomponenten drittzertifizierungspflichtiger Produkte nach Art. 6 Abs. 1 i. V. m. Anhang I KI-VO. Ein KI-gestütztes Textverarbeitungstool, ein Chatbot für den Kundenservice, eine KI-basierte Übersetzungssoftware, ein Coding-Assistent — all das ist in der Regel kein Hochrisiko-KI-System. Für diese Produkte gibt es keine Vermutungswirkung, und die CRA-Compliance und die AI-Act-Compliance (soweit letztere überhaupt Pflichten auslöst) laufen parallel und unabhängig.

Hürde 2: KI-spezifische Risiken und — soweit einschlägig — Grundrechte-Risiken in der CRA-Bewertung

Auch wenn ein KI-System als Hochrisiko eingestuft ist — die Vermutungswirkung greift nur, wenn die CRA-Konformitätsbewertung die KI-spezifischen Cybersicherheitsrisiken ausdrücklich abdeckt. Eine rein klassische Sicherheitsbewertung, die Buffer Overflows, SQL Injection und Netzwerkpenetration prüft, reicht nicht.

Erwägungsgrund (51) CRA [1] formuliert den Grund dafür: Die CRA-Anforderungen sollen unter Berücksichtigung von KI-spezifischen Anfälligkeiten wie Datenvergiftung (Data Poisoning) und gegnerischen Angriffen (Adversarial Attacks) bestimmt werden. Diese beiden Angriffsvektoren sind im Erwägungsgrund explizit benannt.

Grundrechte-Risiken als integraler Bestandteil der CRA-Risikobewertung. Erwägungsgrund (51) CRA verlangt — über die reinen Cyber-Risiken hinaus — auch die Berücksichtigung von Grundrechte-Risiken, soweit einschlägig („gegebenenfalls"), nach den Vorgaben der KI-VO [1][7]. Konkret bedeutet das: Die CRA-Risikobewertung für Hochrisiko-KI-Kombinationsprodukte muss lebenszyklus-übergreifend (Planung, Entwurf, Entwicklung, Produktion, Lieferung und Wartung) prüfen, ob das Produkt Grundrechte (etwa Diskriminierungsfreiheit, Datenschutz, Menschenwürde) durch Cyber-Vorfälle oder durch sein bestimmungsgemässes Verhalten beeinträchtigen kann. Diese Verschränkung von Cyber- und Grundrechte-Risiken ist eine der substanziellsten Neuerungen, die der CRA für KI-Produkte einführt — und sie wird in der Praxis oft übersehen, weil klassische Cybersecurity-Frameworks Grundrechte nicht abbilden.

Darüber hinaus dokumentiert die praktische KI-Sicherheitsliteratur weitere relevante Vektoren, die in einer CRA-Risikobewertung Berücksichtigung finden sollten:

Data Poisoning (Erwägungsgrund (51) CRA) — die gezielte Manipulation von Trainingsdaten, um das Verhalten eines KI-Modells zu verändern. Anders als bei einem klassischen Datenbank-Angriff geht es nicht um Datendiebstahl, sondern um die subtile Verzerrung der Entscheidungslogik. Ein vergiftetes Modell kann über Monate hinweg falsche Ergebnisse produzieren, ohne dass herkömmliche Monitoring-Systeme dies erkennen. Die CRA-Risikobewertung muss deshalb die Integrität der Trainings-Pipeline adressieren: Woher kommen die Daten? Wie werden sie validiert? Welche Mechanismen verhindern nachträgliche Manipulation?

Adversarial Attacks (Erwägungsgrund (51) CRA) — gezielte Eingaben, die ein KI-Modell zu Fehlklassifikationen verleiten — etwa ein Bild, das für das menschliche Auge wie ein Stoppschild aussieht, vom KI-System aber als Vorfahrtsschild erkannt wird. Für die CRA-Risikobewertung bedeutet das: Die Robustheit des Modells gegen manipulierte Eingaben muss getestet und dokumentiert werden. MITRE ATLAS [3] — das Adversarial Threat Landscape for AI Systems — bietet hier einen strukturierten Angriffskatalog, der als Grundlage dienen kann.

Model Inversion (MITRE ATLAS [3], OWASP ML Top 10 [4]) — Angriffe, bei denen aus den Ausgaben eines KI-Modells auf die Trainingsdaten rückgeschlossen wird. Das ist besonders dann problematisch, wenn die Trainingsdaten personenbezogene Informationen enthalten — etwa Gesundheitsdaten, Finanzdaten oder biometrische Merkmale. Für die CRA-Risikobewertung muss dokumentiert werden, welche Massnahmen gegen Membership-Inference und Model-Extraction-Angriffe implementiert sind.

Prompt Injection (MITRE ATLAS [3], OWASP ML Top 10 [4]) — der jüngste und in der Praxis häufigste KI-Angriffsvektor. Dabei werden in die Eingabe eines KI-Systems Anweisungen eingeschleust, die das Systemverhalten manipulieren — etwa um Sicherheitsschranken zu umgehen oder vertrauliche Systemprompts offenzulegen. Für Produkte, die Large Language Models (LLMs) einsetzen, ist Prompt Injection ein zentrales Risiko, das die CRA-Risikobewertung adressieren muss.

All diese Angriffsvektoren müssen nicht nur identifiziert, sondern auch mit konkreten Gegenmassnahmen adressiert werden. Der OWASP Machine Learning Security Top 10 [4] und MITRE ATLAS [3] bieten strukturierte Frameworks, die als Ausgangspunkt für die KI-spezifische CRA-Risikobewertung dienen können.

Hürde 3: Harmonisierte Normen als Konformitätsmittel

Die dritte praktische Hürde ist die, auf die Unternehmen den geringsten Einfluss haben: Harmonisierte Normen oder Common Specifications helfen bei der Konformitätsbewertung, sind aber nicht explizit in Art. 12(1) CRA als Bedingung genannt [1].

Wichtig ist die Unterscheidung: Art. 27(1) CRA begründet eine widerlegbare Vermutung, dass Produkte, die harmonisierte Normen erfüllen, die Anforderungen der Verordnung einhalten. Aber Art. 12 selbst nennt harmonisierte Normen nicht als Bedingung. Hersteller können also die Vermutungswirkung auch mit anderen Konformitätsnachweisen begründen — etwa durch Sicherheitszertifikate Dritter, technische Dokumentation oder konservative Sicherheitsarchitektur-Reviews.

Stand Mai 2026 sind CRA-spezifische harmonisierte Normen noch nicht endgültig verabschiedet. Die Europäische Kommission hat CEN, CENELEC und ETSI mit dem Standardisierungsauftrag M/606 (Durchführungsbeschluss C(2025) 618 final vom 3. Februar 2025) [5] beauftragt, harmonisierte Normen zur Konkretisierung der CRA-Anforderungen zu entwickeln (15 horizontale, 26 vertikale Standards). Die Normenentwürfe befinden sich in den unterschiedlichen Phasen der CEN/CENELEC-Arbeitsabläufe; mit ersten Veröffentlichungen wird im weiteren Verlauf 2026 und 2027 gerechnet (Stand Mai 2026). Bis die endgültigen Normen vorliegen, können Unternehmen die Konformitätsvermutung nach Art. 27 CRA [1] formal noch nicht in Anspruch nehmen — sie können sich aber bereits darauf vorbereiten, indem sie ihre Risikobewertung an den absehbaren Norminhalten ausrichten und alternative Konformitätsmittel dokumentieren.

Die zweite Compliance-Klammer: Art. 12 Abs. 2 und 3 CRA — das Konformitätsbewertungs­verfahren

Während Art. 12(1) CRA die Vermutungswirkung regelt, setzen Art. 12 Abs. 2 und 3 CRA die zweite — in der Praxis mindestens ebenso wichtige — Klammer zur KI-VO: das Konformitätsbewertungs­verfahren bei Hochrisiko-KI-Kombinationsprodukten [1][7].

Grundsatz (Art. 12 Abs. 2 CRA): Ist ein Produkt mit digitalen Elementen zugleich ein Hochrisiko-KI-System nach der KI-VO, verschiebt sich das Konformitätsbewertungs­verfahren auf das Verfahren nach Art. 43 KI-VO. Es greift in diesem Fall nicht ein eigenständiges CRA-Modul (Modul A, B+C, H etc.), sondern das KI-VO-Verfahren wird das massgebliche Verfahren auch für die CRA-Cybersicherheitskonformität — vorausgesetzt, die Cybersicherheits­anforderungen des CRA werden im Rahmen dieses Verfahrens mitgeprüft. Eine nach KI-VO notifizierte Stelle ist auch für die CRA-relevanten Aspekte zuständig, sofern bei ihrer Notifizierung nach KI-VO auch die Anforderungen aus Art. 39 CRA an die notifizierte Stelle geprüft wurden.

Ausnahme (Art. 12 Abs. 3 CRA): Bei wichtigen Produkten mit digitalen Elementen (Anhang III CRA, Klasse I und Klasse II) und bei kritischen Produkten mit digitalen Elementen (Anhang IV CRA) greift zusätzlich die CRA-eigene Konformitätsbewertung — sofern für sie KI-VO-seitig an sich nur die interne Kontrolle nach Anhang VI KI-VO gälte. Es entsteht ein kombiniertes Verfahren: Die KI-VO-Konformitätsbewertung nach Art. 43 KI-VO wird mit der CRA-Konformitätsbewertung nach Anhang VIII CRA verschränkt. Hersteller solcher Kombinationsprodukte müssen daher beide Verfahrensstränge organisatorisch und dokumentarisch zusammenführen.

Für Hersteller bedeutet das: Die Frage „Welches Konformitäts­verfahren gilt für mich?" lässt sich bei einem Hochrisiko-KI-Kombinationsprodukt nicht allein über den CRA beantworten. Der erste Schritt ist die Klassifizierung nach Anhang III/IV CRA und parallel die Hochrisiko-Einstufung nach KI-VO. Erst aus dem Zusammenspiel beider Klassifizierungen ergibt sich der massgebliche Verfahrenspfad.

Die praktische Konsequenz: Drei Compliance-Szenarien

Aus der kritischen Einschränkung, den drei Hürden und dem Verfahrensregime der Art. 12 Abs. 2 und 3 CRA ergeben sich in der Praxis drei Szenarien, die KI-Unternehmen kennen sollten.

Szenario 1: Hochrisiko-KI mit CRA-Produkt. Ihr KI-System ist nach Art. 6 KI-VO als hochriskant eingestuft [2] — über Anhang III oder über den Anhang-I-Weg des Art. 6 Abs. 1 KI-VO — und ist gleichzeitig ein CRA-pflichtiges Produkt mit digitalen Elementen. In diesem Fall sollten Sie Ihre CRA-Compliance von Anfang an auf die Vermutungswirkung ausrichten: KI-spezifische Risiken und Grundrechte-Risiken in die Bewertung nach Anhang I CRA [1] integrieren, SBOM um KI-Komponenten (Modelle, Frameworks, Trainings-Pipelines) erweitern, Vulnerability Management um KI-Angriffsvektoren (MITRE ATLAS [3], OWASP ML Top 10 [4]) ergänzen. Verfahrensseitig läuft die Konformitätsbewertung über Art. 43 KI-VO; bei Anhang-III- oder Anhang-IV-Produkten nach CRA kommt zusätzlich die CRA-Konformitäts­bewertung als kombiniertes Verfahren hinzu. Gleichzeitig müssen Sie ein separates Risikomanagementsystem für Genauigkeit und Robustheit unter dem AI Act aufbauen — diese Anforderungen sind von der „Without prejudice"-Klausel ausgenommen. Harmonisierte Normen sind keine Voraussetzung der Vermutungswirkung nach Art. 12 CRA — sie erleichtern aber den Nachweis der Bedingungen; die normgestützte Konformitätsvermutung läuft separat über Art. 27 CRA. Liegen die Bedingungen des Art. 12 Abs. 1 CRA vor, sparen Sie sich den separaten Cybersicherheitsnachweis nach Art. 15 KI-VO.

Szenario 2: Nicht-Hochrisiko-KI mit CRA-Produkt. Ihr KI-Produkt ist nicht nach Art. 6 KI-VO als hochriskant eingestuft [2] — weder über Anhang III noch über den Anhang-I-Weg —, fällt aber unter den CRA [1]. Hier gibt es keine Vermutungswirkung — CRA und KI-VO laufen parallel. Allerdings sind die KI-VO-Pflichten für Nicht-Hochrisiko-KI deutlich geringer: möglicherweise nur Art. 50 KI-VO (Transparenzpflicht) oder gar keine spezifischen Pflichten. Trotzdem empfiehlt sich, Erwägungsgrund (51) CRA [1] ernst zu nehmen und KI-spezifische Risiken sowie Grundrechte-Risiken in die CRA-Risikobewertung aufzunehmen — auch ohne Vermutungswirkung. Das verschafft Ihnen einen Compliance-Vorsprung bei der Produktsicherheit.

Szenario 3: KI-System ohne CRA-Pflicht. Ihr KI-System ist eine reine SaaS-Lösung ohne lokale Komponente und fällt nicht unter den CRA [1]. In diesem Fall gelten nur die KI-VO-Pflichten — je nach Risikokategorie Art. 50 KI-VO (Transparenz), die Pflichten für Hochrisiko-KI aus Kapitel III KI-VO (Art. 8 ff., insbesondere Art. 15) [2] oder gar keine spezifischen Verpflichtungen. Die CRA-Meldepflichten für Schwachstellen gelten nicht, wohl aber die NIS-2-Pflichten [6], sofern der Anbieter die Schwellenwerte erreicht.

Die SBOM als Klammer

Ein Element verbindet CRA und KI-VO auf der operativen Ebene: die Software Bill of Materials. Der CRA [1] verlangt eine SBOM für jedes Produkt mit digitalen Elementen. Bei KI-Produkten bedeutet das: Neben den klassischen Software-Abhängigkeiten müssen auch KI-Komponenten erfasst werden — das verwendete Modell, die Version, die Trainings-Frameworks, die Datenquellen.

Diese erweiterte SBOM ist gleichzeitig die Grundlage für die technische Dokumentation, die die KI-VO für Hochrisiko-KI-Systeme verlangt [2]. Wer seine SBOM von Anfang an KI-bewusst aufbaut, schafft damit eine gemeinsame Datenbasis für beide Compliance-Pfade.

Der Blick nach vorn

Die duale Regulierung von KI-Produkten durch CRA und KI-VO ist komplex, aber nicht unbeherrschbar. Der Schlüssel liegt in der frühzeitigen Integration: ein Risikomanagementsystem, das beide Verordnungen — einschliesslich Grundrechte-Risiken — adressiert [1][2]; eine SBOM, die klassische und KI-Komponenten erfasst; ein Vulnerability-Management-Prozess, der neben CVEs auch KI-spezifische Schwachstellen trackt; und eine klare Verfahrensplanung, die Art. 43 KI-VO und gegebenenfalls die zusätzliche CRA-Konformitätsbewertung nach Anhang III/IV CRA frühzeitig berücksichtigt.

Entscheidend ist auch: Den Unterschied zwischen der Vermutungswirkung (Art. 12 CRA, nur Cybersicherheits-Teil von Art. 15 KI-VO) und den ausgenommenen Anforderungen (Art. 15 KI-VO „Without prejudice": Genauigkeit und Robustheit) ernst nehmen. Der CRA ersetzt nicht das KI-VO-Risikomanagementsystem — er ergänzt es auf der Cybersicherheitsseite und verschränkt sich verfahrensseitig über Art. 12 Abs. 2 und 3 CRA mit der KI-VO.

Unternehmen, die diese Integration jetzt anstossen, haben einen doppelten Vorteil: Sie sind vorbereitet, wenn die CRA-Produktanforderungen ab dem 11. Dezember 2027 gelten — und sie können die Vermutungswirkung des Art. 12 CRA [1] nutzen; harmonisierte Normen sind dafür keine Voraussetzung, sie erleichtern aber den Nachweis der Bedingungen (die normgestützte Konformitätsvermutung läuft separat über Art. 27 CRA). Wer dagegen CRA und KI-VO als getrennte Compliance-Silos aufbaut, riskiert Redundanz, Inkonsistenz und unnötige Kosten.

Hinweis zur Methodik

Alle Aussagen in diesem Artikel sind direkt gegen die Primärquellen verifiziert: die Verordnung (EU) 2024/2847 (CRA), insbesondere Art. 12 Abs. 1, 2 und 3, Art. 27, Art. 28, Anhang V (Inhalt der EU-Konformitätserklärung) und Erwägungsgrund (51), sowie die Verordnung (EU) 2024/1689 (KI-VO/AI Act), insbesondere Kapitel III (Art. 8 ff.), Art. 15, Art. 43 und Anhang III. Sekundärrechtlich wurde der Kommentar von Wiebe (Hrsg.), Cyber Resilience Act, Nomos 2025, herangezogen, insbesondere Sörup, § 4 Rn. 59 (Grundrechte-Risiken in der CRA-Risikobewertung) und Rn. 64–65 (Art. 12 Abs. 2 und 3 CRA, Verschränkung mit Art. 43 KI-VO).

Die Zuordnung KI-spezifischer Angriffsvektoren erfolgt wie folgt: - Data Poisoning und Adversarial Attacks: Explizit benannt in Erwägungsgrund (51) CRA - Model Inversion und Prompt Injection: Praxisrelevante Ergänzungen auf Basis von MITRE ATLAS und OWASP ML Top 10, nicht namentlich in Erwägungsgrund (51) erwähnt, aber im Scope moderner KI-Sicherheitsbewertungen

Die Interpretation der „Without prejudice"-Klausel folgt dem englischen Wortlaut von Art. 12(1) CRA — eine kritische Einschränkung der Vermutungswirkung, die in der deutschen Fachdiskussion oft übersehen wird, weil Art. 15 KI-VO Genauigkeit, Robustheit und Cybersicherheit gemeinsam regelt, die CRA-Vermutung aber nur den Cybersicherheits-Teil abdeckt.

Sie möchten wissen, ob Ihr KI-Produkt unter die Hochrisiko-Kategorie fällt und welche CRA-Pflichten für Sie gelten? Der CRA-Quick-Check liefert eine orientierende Einschätzung Ihrer CRA-Pflichten und Ihrer CRA-Produktklasse. Ob Ihr Produkt ein Hochrisiko-KI-System ist und ob die Vermutungswirkung greift, bedarf einer individuellen Prüfung.

Im nächsten Artikel dieser Serie: Software Bill of Materials (SBOM) unter dem CRA — Pflichtbestandteile, Formatfragen (CycloneDX, SPDX) und die Erweiterung um KI-Komponenten.

Quellen

[1] Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates, angenommen 23. Oktober 2024, in Kraft getreten 10. Dezember 2024, über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyber Resilience Act – CRA), insbesondere Art. 12 Abs. 1 (Vermutungswirkung), Art. 12 Abs. 2 und 3 (Konformitätsbewertungs­verfahren bei Hochrisiko-KI-Kombinationsprodukten), Art. 27 (Konformitätsvermutung bei harmonisierten Normen), Art. 28 (EU-Konformitätserklärung), Art. 39 (Anforderungen an notifizierte Stellen), Anhang I Teil I (Cybersicherheitsanforderungen), Anhang III (wichtige Produkte), Anhang IV (kritische Produkte), Anhang V (Inhalt der EU-Konformitätserklärung), Anhang VIII (CRA-Konformitätsbewertungs­verfahren) und Erwägungsgrund (51) (Zusammenspiel CRA und KI-VO bei Hochrisiko-KI, einschliesslich KI-spezifischer Anfälligkeiten und Grundrechte-Risiken). ABl. L, 20.11.2024. https://eur-lex.europa.eu/eli/reg/2024/2847/oj

[2] Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates, angenommen 13. Juni 2024, veröffentlicht 12. Juli 2024, in Kraft getreten 1. August 2024, zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-VO/AI Act), insbesondere Kapitel III (Hochrisiko-KI-Systeme, Art. 8 ff.), Art. 15 (Genauigkeit, Robustheit und Cybersicherheit für Hochrisiko-KI), Art. 43 (Konformitätsbewertungs­verfahren), Art. 50 (Transparenzpflichten) und Anhang III (acht Bereiche von Hochrisiko-KI-Systemen). ABl. L, 2024/1689, 12.7.2024. https://eur-lex.europa.eu/eli/reg/2024/1689/oj

[3] MITRE ATLAS (Adversarial Threat Landscape for AI Systems), abrufbar unter https://atlas.mitre.org – Eine öffentlich zugängliche Wissensdatenbank, die Angriffstechniken gegen KI-Systeme strukturiert katalogisiert, darunter Data Poisoning, Adversarial Attacks, Model Inversion und verwandte Angriffsmuster. Das Framework orientiert sich am bekannten MITRE ATT&CK-Modell und dient als Grundlage für Threat Modelling im KI-Kontext.

[4] OWASP Machine Learning Security Top Ten (ML Top 10), abrufbar unter https://owasp.org/www-project-machine-learning-security-top-10/ – Projekt der Open Worldwide Application Security Project (OWASP) Foundation zur Identifikation und Mitigation der zehn kritischsten Sicherheitsrisiken in Machine-Learning-Systemen. Stand: Version 0.3 (Incubator Project).

[5] Standardisierungsauftrag M/606 der EU-Kommission an CEN, CENELEC und ETSI zum CRA (Durchführungsbeschluss C(2025) 618 final vom 3. Februar 2025) – Auftrag der Europäischen Kommission zur Erarbeitung harmonisierter Normen zur Konkretisierung der CRA-Anforderungen für Produkte mit digitalen Elementen (15 horizontale, 26 vertikale Standards). Status: Normungsarbeiten laufen, mit ersten Veröffentlichungen wird im Verlauf 2026 und 2027 gerechnet (Stand Mai 2026). CEN-CENELEC.

[6] Richtlinie (EU) 2022/2555 des Europäischen Parlaments und des Rates vom 14. Dezember 2022 über Massnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie) – Richtlinie mit verbindlichen Cybersicherheits-Risikomanagementmassnahmen und Meldepflichten für wesentliche und wichtige Einrichtungen, einschliesslich koordinierter Schwachstellenoffenlegung. ABl. L 333, 27.12.2022. https://eur-lex.europa.eu/eli/dir/2022/2555/oj

[7] Wiebe (Hrsg.), Cyber Resilience Act, Kommentar, Nomos 2025, insbesondere Sörup, § 4 Rn. 59 (Grundrechte-Risiken in der CRA-Risikobewertung mit Bezug auf Erwägungsgrund (51) CRA und die KI-VO; lebenszyklus-übergreifende Bewertung in Planung, Entwurf, Entwicklung, Produktion, Lieferung und Wartung) und Rn. 64–65 (Konformitätsbewertungs­verfahren nach Art. 12 Abs. 2 und 3 CRA, Verschränkung mit Art. 43 KI-VO, Rolle notifizierter Stellen unter Berücksichtigung von Art. 39 CRA, kombiniertes Verfahren bei Anhang-III- und Anhang-IV-Produkten).

Haftungsausschluss: Dieser Beitrag ist eine allgemeine Information zum Cyber Resilience Act und ersetzt keine individuelle Rechtsberatung. Eine verbindliche Beurteilung Ihres konkreten Produkts und Ihrer konkreten Pflichten setzt eine Einzelfallprüfung voraus. Veröffentlicht am: 17.04.2026. Zuletzt geprüft am: 03.07.2026. Herausgeberin: codAIx GmbH, Thayngen (Schweiz).