Prof. Sven Kolja
Braune
Die Verordnung (EU) 2024/2847, die Cyberresilienz-Verordnung (CRA), ist am 10. Dezember 2024 in Kraft getreten. Sie gilt vollständig ab dem 11. Dezember 2027. Die Meldepflichten der Hersteller nach Art. 14 CRA gelten jedoch bereits ab dem 11. September 2026. Der CRA schafft einen einheitlichen Rechtsrahmen für die Cybersicherheit von Produkten mit digitalen Elementen (PdE) im Binnenmarkt der Europäischen Union. Er legt Anforderungen an die Produkte und an die Verfahren der Hersteller zur Behandlung von Schwachstellen fest.
1. Welche Produkte werden vom CRA erfasst?
1.1 Sachlicher Anwendungsbereich und Grundbegriffe
Der CRA gilt gemäß Art. 2 Abs. 1 CRA für alle Produkte mit digitalen Elementen (PdE), die auf dem EU-Markt bereitgestellt werden. PdE sind gemäß Art. 3 Nr. 1 CRA definiert als Software- oder Hardwareprodukte inklusive derer Datenfernverarbeitungslösungen, die direkt oder indirekt mit einem Gerät oder einem Netzwerk verbunden werden können. Entsprechend gilt der CRA sowohl für vernetzte Hardwareprodukte (z.B. Smartphones, Laptops, Smarthome-Produkte, Smartwatches, vernetztes Spielzeug, aber auch Mikroprozessoren, Firewalls und Smart-Meter-Gateways in intelligenten Messsystemen) als auch für reine Softwareprodukte (z.B. Buchhaltungssoftware, Computerspiele, mobile Apps). Entscheidend ist, dass der bestimmungsgemäße Zweck oder die vernünftigerweise vorhersehbare Verwendung des Produkts eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.
Der Anwendungsbereich ist weit gefasst. Er kann einfache Haushaltsgeräte, Standardsoftware und komplexe industrielle Systemkomponenten erfassen. Es ist unerheblich, ob das Produkt an Verbraucher (B2C) oder an Unternehmen (B2B) abgegeben wird. Auch die Unternehmensgröße des Herstellers ist grundsätzlich nicht relevant. Maßgeblich ist eine Bereitstellung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit (Art. 3 Nr. 22 CRA). Reine freie und quelloffene Software, die nicht im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt bereitgestellt wird, fällt daher grundsätzlich nicht unter den CRA. Entscheidend für die erstmalige Bereitstellung ist das Inverkehrbringen, d. h. die erstmalige Bereitstellung eines PdE auf dem Unionsmarkt (Art. 3 Nr. 21 CRA). Ab dem 11. Dezember 2027 muss jede einzelne in Verkehr gebrachte Instanz eines Produktmodells die Anforderungen des CRA erfüllen.
1.2 Ausnahmen vom Anwendungsbereich
Gemäß Art. 2 Abs. 2 bis 7 CRA sind bestimmte Produkte vom Anwendungsbereich ausgenommen:
– Medizinprodukte und In-vitro-Diagnostika: Produkte, die unter die Verordnung (EU) 2017/745 (Medizinprodukte) oder die Verordnung (EU) 2017/746 (In-vitro-Diagnostika) fallen, sind ausgenommen (Art. 2 Abs. 2 lit. a und b CRA).
– Kraftfahrzeuge: Produkte, die unter die Verordnung (EU) 2019/2144 (Typgenehmigung von Kraftfahrzeugen) fallen, sind ausgenommen (Art. 2 Abs. 2 lit. c CRA).
– Luftfahrtprodukte: Produkte, die nach der Verordnung (EU) 2018/1139 zertifiziert worden sind, sind ausgenommen (Art. 2 Abs. 3 CRA).
– Schiffsausrüstung: Geräte, die in den Anwendungsbereich der Richtlinie 2014/90/EU über Schiffsausrüstungen fallen, sind ausgenommen (Art. 2 Abs. 4 CRA).
– Ersatzteile: Ersatzteile, die auf dem Markt bereitgestellt werden, um identische Komponenten in PdE zu ersetzen und nach denselben Spezifikationen hergestellt werden, sind ausgenommen (Art. 2 Abs. 6 CRA).
– Nationale Sicherheit und Verteidigung: Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder für Verteidigungszwecke entwickelt oder geändert wurden, sowie Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind, sind ausgenommen (Art. 2 Abs. 7 CRA).
– Sonstige sektorspezifische Rechtsvorschriften: Die Anwendung des CRA kann gemäß Art. 2 Abs. 5 CRA durch delegierten Rechtsakt der Kommission eingeschränkt oder ausgeschlossen werden, wenn sektorspezifische Vorschriften dasselbe oder ein höheres Schutzniveau gewährleisten.
1.3 Produktkategorien nach dem Cybersicherheitsrisiko
Für die Konformitätsbewertung unterscheidet der CRA zwischen sonstigen, wichtigen und kritischen PdE. Die oft verwendete Bezeichnung „Basiskategorie“ steht nicht im Verordnungstext, wird hier aber als Auffangbegriff übernommen. Für die Einordnung als wichtige und kritische PdE ist die Kernfunktion des Produkts entscheidend:
a) Sonstige PdE (Basiskategorie)
Hierzu gehören alle erfassten PdE, die keine Kernfunktion einer Kategorie aus Anhang III oder IV CRA aufweisen. Für sie gelten die allgemeinen Anforderungen des CRA. Sie dürfen regelmäßig nach dem internen Kontrollverfahren (Modul A) bewertet werden.
b) Wichtige Produkte mit digitalen Elementen der Klasse I (Anhang III CRA)
PdE gelten gemäß Art. 7 Abs. 1 CRA als wichtig, wenn sie die Kernfunktion einer in Anhang III CRA aufgeführten Produktkategorie aufweisen. Die in Anhang III aufgeführten Kategorien sind bereits dort den Klassen I und II zugeordnet. Insgesamt erfüllen sie mindestens eines der in Art. 7 Abs. 2 CRA genannten Kriterien: Das Produkt erfüllt in erster Linie Funktionen, die für die Cybersicherheit anderer Produkte, Netze oder Dienste von entscheidender Bedeutung sind, oder es erfüllt eine Funktion, die ein erhebliches Risiko nachteiliger Auswirkungen birgt. Zur Klasse I gehören nach Anhang III beispielsweise Browser, Passwort-Manager, Betriebssysteme, Router sowie bestimmtes mit dem Internet verbundenes Spielzeug.
c) Wichtige Produkte mit digitalen Elementen der Klasse II (Anhang III CRA)
Die Klasse II ist ebenfalls in Anhang III festgelegt. Art. 7 Abs. 2 CRA ordnet die beiden Kriterien nicht jeweils einer bestimmten Klasse zu. Die konkrete Zuordnung folgt allein aus Anhang III. Zur Klasse II gehören Hypervisoren und Container-Runtime-Systeme, Firewalls, Intrusion-Detection-Systeme, Intrusion-Prevention-Systeme sowie manipulationssichere Mikroprozessoren und Mikrocontroller. Für diese Produkte ist stets eine notifizierte Stelle einzubeziehen (Art. 32 Abs. 3 CRA).
Wichtig: Die Integration eines wichtigen PdE in ein anderes Produkt führt gemäß Art. 7 Abs. 1 Satz 2 CRA nicht dazu, dass das aufnehmende Produkt selbst den strengeren Konformitätsbewertungsverfahren für wichtige PdE unterliegt.
d) Kritische Produkte mit digitalen Elementen (Anhang IV CRA)
Kritische PdE sind in Anhang IV CRA aufgeführt. Sie erfüllen gemäß Art. 8 Abs. 2 CRA mindestens eines der folgenden Kriterien: Es besteht eine kritische Abhängigkeit wesentlicher Einrichtungen im Sinne der NIS-2-Richtlinie (RL 2022/2555) von der jeweiligen Produktkategorie, oder Sicherheitsvorfälle und ausgenutzte Schwachstellen könnten zu schwerwiegenden Störungen kritischer Lieferketten im gesamten Binnenmarkt führen. Beispiele aus Anhang IV CRA sind Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways sowie Chipkarten oder vergleichbare Geräte. Die EU-Kommission ist gemäß Art. 8 Abs. 1 CRA ermächtigt, durch delegierten Rechtsakt festzulegen, welche kritischen PdE verpflichtend ein europäisches Cybersicherheitszertifikat (mindestens Vertrauenswürdigkeitsstufe „mittel“) erhalten müssen.
Die technischen Beschreibungen der Kategorien in Anhang III und IV hat die Kommission mit der Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 konkretisiert.
2. Welche Sicherheitsanforderungen stellt der CRA an PdE?
Art. 6 CRA verweist auf die grundlegenden Cybersicherheitsanforderungen in Anhang I CRA. Diese gelten für alle erfassten PdE. Der CRA verfolgt dabei einen risikobasierten Ansatz: Nicht jedes PdE muss pauschal alle Anforderungen erfüllen. Maßgeblich sind stets die Zweckbestimmung (Art. 3 Nr. 23 CRA), die vernünftigerweise vorhersehbare Verwendung (Art. 3 Nr. 24 CRA) sowie die praktische Betriebsumgebung des jeweiligen Produkts (Art. 13 Abs. 2 und 3 CRA). Anhang I CRA gliedert die Anforderungen in zwei Teile:
Anhang I Teil I – Eigenschaften der Produkte
Hersteller müssen sicherstellen, dass ihr PdE so konzipiert, entwickelt und hergestellt wird, dass es „angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleistet“ (Anhang I Teil I Abs. 1 CRA). Die Produkteigenschaften umfassen unter anderem:
– Bereitstellung ohne bekannte ausnutzbare Schwachstellen sowie mit einer sicheren Standardkonfiguration,
– Schutz vor unbefugtem Zugriff sowie Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Daten und wesentlichen Funktionen,
– Beschränkung der Verarbeitung auf notwendige Daten und Begrenzung der Angriffsfläche,
– Möglichkeit, Schwachstellen durch Sicherheitsaktualisierungen zu beheben, sowie sichere Löschung von Daten und Einstellungen.
Anhang I Teil II – Schwachstellenmanagement
Die Pflichten der Hersteller enden nicht mit dem Inverkehrbringen. Sie müssen auch nach dem Inverkehrbringen für einen produktspezifischen Unterstützungszeitraum (Art. 3 Nr. 20, Art. 13 Abs. 8 CRA) ein aktives Schwachstellenmanagement betreiben. Der Unterstützungszeitraum beträgt grundsätzlich mindestens fünf Jahre. Ist die voraussichtliche Nutzungsdauer kürzer, muss er dieser Nutzungsdauer entsprechen (Art. 13 Abs. 8 CRA). Dies umfasst insbesondere:
– Identifizierung und Behebung von Schwachstellen in PdE,
– regelmäßige Sicherheitstests, eine Strategie für die koordinierte Offenlegung von Schwachstellen sowie die sichere und grundsätzlich kostenlose Verbreitung von Sicherheitsaktualisierungen,
– Meldung aktiv ausgenutzter Schwachstellen (Art. 3 Nr. 42 CRA) und schwerwiegender Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des PdE nach Art. 14 CRA (Meldepflicht ab 11. September 2026).
3. Wie erfolgt die Konformitätsbewertung unter dem CRA?
Die Konformitätsbewertung ist in Art. 32 und Anhang VIII CRA geregelt und wird grundsätzlich vom Hersteller durchgeführt. Die Konformitätsbewertung ist Voraussetzung für die CE-Kennzeichnung und das Inverkehrbringen des PdE in der EU. Welches Verfahren der Hersteller wählen darf, hängt von der Produktkategorie ab.
Sonstige PdE (Basiskategorie)
Für sonstige PdE stehen die in Art. 32 Abs. 1 CRA genannten Konformitätsbewertungsverfahren offen. Hersteller können insbesondere das interne Kontrollverfahren auf Grundlage von Modul A (Anhang VIII CRA) wählen. Dabei erklären sie eigenverantwortlich, dass ihr PdE den grundlegenden Cybersicherheitsanforderungen in Anhang I CRA genügt. Eine Einbeziehung einer notifizierten Stelle ist nicht erforderlich, jedoch freiwillig möglich.
Wichtige PdE der Klasse I (Anhang III CRA)
Für wichtige PdE der Klasse I ist Modul A nur zulässig, wenn der Hersteller einschlägige harmonisierte Normen, gemeinsame Spezifikationen oder ein einschlägiges europäisches Schema für die Cybersicherheitszertifizierung vollständig anwendet (Art. 32 Abs. 2 CRA). Andernfalls muss er Modul B in Verbindung mit Modul C, Modul H oder ein anwendbares europäisches Cybersicherheitszertifizierungsschema nutzen. Dabei ist stets eine Drittstelle einzubeziehen.
Wichtige PdE der Klasse II und kritische PdE (Anhang III und IV CRA)
Für diese Kategorien ist zwingend eine Bewertung durch eine notifizierte Stelle erforderlich. Hersteller können zwischen drei Verfahren wählen:
– EU-Baumusterprüfverfahren (Modul B) in Verbindung mit interner Fertigungskontrolle (Modul C, Anhang VIII CRA): Eine notifizierte Stelle prüft den technischen Entwurf und stellt eine EU-Baumusterprüfbescheinigung aus. Der Hersteller stellt anschließend sicher, dass die produzierten PdE mit dem geprüften Baumuster übereinstimmen.
– Umfassende Qualitätssicherung (Modul H, Anhang VIII CRA): Der Hersteller implementiert und betreibt ein Qualitätsmanagementsystem. Eine notifizierte Stelle bewertet dieses vor Ort und führt regelmäßige Audits durch. Das Qualitätssystem und seine Anwendung werden von der notifizierten Stelle überwacht.
– Europäisches Cybersicherheitszertifizierungsschema (Art. 27 Abs. 9 CRA i. V. m. EU-VO 2019/881): Soweit ein nach Art. 27 Abs. 9 CRA anwendbares europäisches Schema für die Cybersicherheitszertifizierung zur Verfügung steht, kann ein entsprechendes Zertifikat als Nachweis dienen. Für kritische PdE kann die Kommission ein Zertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel“ vorschreiben. Die EU-Kommission ist gemäß Art. 8 Abs. 1 CRA ermächtigt, durch delegierten Rechtsakt eine Verpflichtung für bestimmte kritische PdE festzulegen.
4. Welche Bedeutung haben harmonisierte europäische Normen für den CRA
Ein zentrales Instrument zur Erfüllung der Anforderungen des CRA sind harmonisierte europäische Normen (hEN). Während es sich bei Normen grundsätzlich um freiwillige Leitlinien handelt, die festlegen, wie Produkte, Dienstleistungen und Geschäftsprozesse funktionieren sollten, handelt es bei hEN um eine besondere Kategorie europäischer Normen, die auf Antrag der Europäischen Kommission von europäischen Normungsorganisationen erarbeitet werden. Sind die im EU-Recht stehenden technischen Anforderungen stets vorgeschrieben, ist die Anwendung harmonisierter Normen dagegen in der Regel freiwillig. Die Einhaltung von einschlägigen hEN durch die Hersteller begründet jedoch regelmäßig die Vermutung, dass ihre Produkte dem EU-Recht entsprechen. Alternativ können auch andere technische Lösungen zum Einsatz kommen, sofern sie ebenso rechtskonform sind. PdE, die solchen hEN entsprechen, genießen daher eine Konformitätsvermutung gemäß Art. 27 CRA: Es wird davon ausgegangen, dass sie die grundlegenden Cybersicherheitsanforderungen des CRA erfüllen.
Formale Grundlage der Normungsarbeit im Bereich CRA ist der Standardisierungsauftrag M/606, mit dem die EU-Kommission im Frühling 2025 die europäischen Normungsorganisationen CEN, CENELEC und ETSI beauftragte. Die Normen werden in drei Typen gegliedert:
– Typ A: Grundlegender Rahmenstandard für die risikobasierte Konzeption, Entwicklung und Herstellung von PdE.
– Typ B: Horizontale, produktagnostische Normen zu den Produkteigenschaften (Anhang I Teil I CRA) und zum Schwachstellenmanagement (Anhang I Teil II CRA).
– Typ C: Vertikale, produktspezifische Normen für wichtige und kritische PdE (Anhang III und IV CRA).
Das von der BSI bereitgestellte CRA Dashboard illustriert den Standardisierungsfortschritt zum Zeitpunkt der Veröffentlichung.
Das rechtzeitige Vorliegen der hEN ist insbesondere für Hersteller wichtiger PdE der Klasse I von Bedeutung. Die interne Konformitätsbewertung nach Modul A ist nämlich nur zulässig, wenn einschlägige hEN, gemeinsame Spezifikationen oder anwendbare europäische Cybersicherheitszertifizierungsschemata vollständig angewandt werden (Art. 32 Abs. 2 CRA). Fehlen die hEN, drohen kosten- und ressourcenintensive Drittbewertungen und natürlich Verzögerungen beim Inverkehrbringen der PdE.