Der Cyber Resilience Act (CRA) ist keine Zukunftsmusik mehr – er ist geltendes EU-Recht. Ab dem 11. September 2026 greifen die ersten harten Pflichten, ab dem 11. Dezember 2027 gilt die Verordnung vollständig. Für Digital-Health-Anbieter stellt sich damit eine Frage, die viele noch unterschätzen: Wo genau betrifft mich der CRA – und was ist mit meiner Software-Lieferkette?

Dieser Artikel erklärt, was der CRA verlangt, welche Fristen gelten, wie er sich zur Medizinprodukte-Regulierung (MDR) verhält und was das konkret für DiGAs, Health-Apps und ihre Zulieferer bedeutet.

Seit dem 1. Januar 2025 ist Schluss mit der Selbsterklärung: DiGA-Hersteller müssen die Einhaltung der Datensicherheits-Anforderungen über ein offizielles Zertifikat nach der BSI TR-03161 nachweisen, um ins DiGA-Verzeichnis aufgenommen zu werden. Damit ist aus einer Empfehlung eine harte Zulassungsvoraussetzung geworden – und für viele Teams der kritische Pfad auf dem Weg in die Erstattung.

Dieser Artikel erklärt, was die BSI TR-03161 ist, welche Anforderungen sie stellt, wie die Zertifizierung abläuft und worauf es speziell beim Thema Authentisierung und Identitätsmanagement ankommt.