CRA EU-Konformitätserklärung und Nutzerinformationen: Was Hersteller bereitstellen müssen

Die EU-Konformitätserklärung ist unter dem Cyber Resilience Act die formale Erklärung des Herstellers, dass die anwendbaren grundlegenden Cybersicherheitsanforderungen erfüllt wurden. Sie entsteht erst nach der Konformitätsbewertung und muss zum konkreten Produkt passen. Zusätzlich müssen Hersteller klare Nutzerinformationen bereitstellen, unter anderem zu Produktidentität, sicherer Verwendung, Sicherheitskontakt, Updates und Supportzeitraum.

Einordnung im CRA-Wissen: Dieser Fachartikel gehört zum Themenbereich Produktklassen & Konformität. Dort finden Sie die angrenzenden Anforderungen und eine praktische Reihenfolge für die Umsetzung.

Welche Bewertung der Erklärung vorausgehen muss, hängt unter anderem von der CRA-Produktklasse und dem gewählten Konformitätsverfahren ab.

Was ist die EU-Konformitätserklärung nach dem CRA?

Artikel 28 verlangt, dass der Hersteller erklärt, dass die anwendbaren grundlegenden Cybersicherheitsanforderungen aus Anhang I nachgewiesen wurden. Mit der Ausstellung übernimmt der Hersteller die Verantwortung für die Konformität des Produkts.

Die Erklärung ist damit kein Marketingdokument und kein Zertifikat einer Behörde. Sie ist die formale Herstellererklärung, die auf einem zuvor durchgeführten Konformitätsbewertungsverfahren beruht. Wie dieses Verfahren je nach Produktklasse aussieht, erklärt CRA-Konformitätsbewertung und CE-Kennzeichnung.

Wann darf die EU-Konformitätserklärung ausgestellt werden?

Erst wenn der Hersteller die einschlägigen Anforderungen bewertet und die erforderlichen Nachweise erstellt hat. Bei Standardprodukten kann dies über eine zulässige interne Kontrolle erfolgen. Bei wichtigen oder kritischen Produkten können strengere Verfahren notwendig sein.

Die Erklärung sollte deshalb nicht am Anfang eines CRA-Projekts als Vorlage ausgefüllt werden. Sie steht am Ende der Nachweiskette aus Risikobewertung, technischer Umsetzung, Prüfungen und technischer Dokumentation.

Welche Angaben muss die vollständige EU-Konformitätserklärung enthalten?

Anhang V nennt acht Mindestbereiche. Die Erklärung muss das Produkt eindeutig identifizieren und den Konformitätsbezug nachvollziehbar machen.

Wie genau muss das Produkt identifiziert werden?

Die Erklärung muss so präzise sein, dass eindeutig feststeht, für welches Produkt sie gilt. Bei Hardware kann eine Modellnummer genügen, wenn sie eindeutig ist. Bei Software ist häufig zusätzlich ein Versions- oder Release-Bezug notwendig.

Ein häufiger Fehler wäre eine Erklärung für „Produktfamilie X“, obwohl einzelne Versionen unterschiedliche Sicherheitsarchitekturen oder Konformitätswege haben. Hersteller sollten Produkt-ID und Softwarestand mit der Produktakte verknüpfen.

Was ist die vereinfachte EU-Konformitätserklärung?

Der CRA erlaubt nach Artikel 13 Absatz 20 eine vereinfachte Erklärung nach dem Muster aus Anhang VI. Sie enthält im Kern die Herstellererklärung, dass der bezeichnete Produkttyp der Verordnung entspricht, und eine Internetadresse, unter der der vollständige Text abrufbar ist.

Die vereinfachte Form reduziert den Umfang der Unterlage, die dem Produkt unmittelbar beigefügt wird. Sie reduziert nicht die materielle Konformitätsverantwortung des Herstellers. Die vollständige Erklärung muss weiterhin existieren und zugänglich sein.

Was muss in der vereinfachten Erklärung stehen?

Sie muss Herstellername und Produkttyp nennen, die Konformität mit der Verordnung (EU) 2024/2847 erklären und auf eine Internetadresse verweisen, unter der der vollständige Text der EU-Konformitätserklärung verfügbar ist.

Der Link sollte stabil und langfristig erreichbar sein. Ein temporärer Downloadlink oder eine URL, die sich bei jedem Website-Relaunch ändert, ist für eine mehrjährige Produktlebensdauer ungeeignet.

Muss die Erklärung in deutscher Sprache vorliegen?

Die Erklärung muss in den Sprachen verfügbar sein, die der Mitgliedstaat verlangt, in dem das Produkt in Verkehr gebracht oder auf dem Markt bereitgestellt wird. Für den Vertrieb in mehreren EU-Ländern kann deshalb Mehrsprachigkeit erforderlich werden.

Unternehmen sollten Übersetzungen kontrolliert verwalten. Eine aktualisierte englische Erklärung und eine veraltete deutsche Fassung können zu Widersprüchen führen. Sinnvoll ist eine zentrale Masterversion mit synchronisierten Sprachfassungen.

Kann eine einzige EU-Konformitätserklärung mehrere EU-Vorschriften abdecken?

Ja. Unterliegt ein Produkt mehreren EU-Rechtsakten, die jeweils eine EU-Konformitätserklärung verlangen, wird grundsätzlich eine einzige Erklärung für alle einschlägigen Rechtsakte erstellt. Die betroffenen Rechtsakte und ihre Fundstellen müssen darin angegeben werden.

Das ist besonders für Hardware wichtig, die neben dem CRA beispielsweise weiteren CE-relevanten Produktvorschriften unterliegt. Eine gemeinsame Erklärung vermeidet mehrere parallele Dokumente mit möglicherweise widersprüchlichen Produktständen.

Wann muss die EU-Konformitätserklärung aktualisiert werden?

Artikel 28 verlangt eine Aktualisierung nach Bedarf. Eine neue Produktversion, geänderte Normen, ein neuer Konformitätspfad oder eine wesentliche Änderung können eine Aktualisierung auslösen.

Hersteller sollten deshalb einen Change-Trigger definieren. Die Erklärung darf nicht jahrelang unverändert bleiben, wenn sich das Produkt oder die regulatorische Grundlage wesentlich verändert hat.

Wie lange muss die Erklärung aufbewahrt werden?

Im Rahmen der Konformitätsverfahren ist die Erklärung zusammen mit der technischen Dokumentation grundsätzlich zehn Jahre nach dem Inverkehrbringen oder für den Supportzeitraum bereitzuhalten – maßgeblich ist der längere Zeitraum.

Bei Produkten mit langem Supportzeitraum kann die Aufbewahrung daher deutlich länger als zehn Jahre notwendig sein. Digitale Langzeitarchivierung, eindeutige Versionszuordnung und unveränderbare Freigabestände sind deshalb sinnvoll.

Welche Nutzerinformationen verlangt der CRA?

Anhang II verlangt Informationen und Anleitungen, die das Produkt sicher identifizierbar und nutzbar machen. Nutzer sollen verstehen können, welches Produkt sie verwenden, wer verantwortlich ist, wie Sicherheitsprobleme gemeldet werden, welche Umgebung vorgesehen ist und wie Updates und Support funktionieren.

Diese Informationen sind nicht bloß zusätzliche Bedienhinweise. Sie gehören zur CRA-Konformität und sind zugleich Bestandteil der technischen Dokumentation.

Welche Kontaktangaben müssen Nutzer erhalten?

Hersteller müssen ihren Namen, eingetragenen Handelsnamen oder ihre Marke sowie Postanschrift, E-Mail-Adresse oder andere digitale Kontaktmöglichkeiten angeben. Zusätzlich ist eine Kontaktmöglichkeit vorgesehen, über die Nutzer mit dem Hersteller in geeigneter Form kommunizieren können.

Für Schwachstellenmeldungen sollte außerdem eine eindeutige Kontaktadresse zur Verfügung stehen. Diese sollte nicht in einem allgemeinen Kundendienstpostfach verschwinden, sondern einen Weg zu Product Security oder einer vergleichbaren zuständigen Rolle eröffnen.

Welche Informationen braucht der Nutzer zur Produktidentifikation?

Anhang II verlangt Name und Typ des Produkts sowie zusätzliche Angaben, die eine eindeutige Identifikation ermöglichen. Bei Software sollte deshalb der verwendete Versionsstand leicht feststellbar sein.

Diese Information wird im Sicherheitsfall entscheidend. Wenn ein Advisory nur „Versionen vor 4.2.3 betroffen“ nennt, muss der Nutzer feststellen können, ob sein Produkt dazugehört. Produktidentifikation ist damit unmittelbar Teil des Schwachstellenmanagements.

Wie muss die Zweckbestimmung erklärt werden?

Nutzerinformationen sollen die vorgesehene Nutzung und die wesentlichen Sicherheitsmerkmale verständlich machen. Dazu gehört gegebenenfalls auch die vorgesehene Sicherheitsumgebung.

Ein Produkt für ein isoliertes lokales Netz kann andere Schutzannahmen haben als ein Produkt, das direkt aus dem Internet erreichbar sein soll. Diese Annahmen dürfen nicht nur intern in der Risikobewertung stehen, wenn sie für einen sicheren Betrieb durch den Nutzer entscheidend sind.

Müssen vorhersehbare Fehlanwendungen beschrieben werden?

Ja, wenn vernünftigerweise vorhersehbare Umstände oder Fehlanwendungen zu erheblichen Cybersicherheitsrisiken führen können, sollten Nutzer davor gewarnt und zu geeigneten Schutzmaßnahmen angeleitet werden.

Beispiele können unsichere Standardnetzwerke, deaktivierte Authentifizierung, öffentlich erreichbare Administrationsschnittstellen oder der Betrieb außerhalb der vorgesehenen Sicherheitsumgebung sein. Die Hinweise müssen produktbezogen sein und dürfen sich nicht in allgemeinen Sätzen wie „Achten Sie auf IT-Sicherheit“ erschöpfen.

Welche Informationen zu Updates müssen bereitgestellt werden?

Nutzer müssen wissen, wie Sicherheitsupdates bezogen und installiert werden und ob Aktualisierungen automatisch erfolgen. Die Anleitung sollte außerdem erklären, welche Voraussetzungen für eine sichere Aktualisierung gelten.

Ein Updateprozess gehört zu den zentralen Herstellerpflichten. Nutzerinformationen und technischer Prozess müssen zusammenpassen: Ein Handbuch darf keine automatische Aktualisierung versprechen, wenn das Produkt tatsächlich nur manuell aktualisiert werden kann.

Wie muss das Ende des Supportzeitraums angegeben werden?

Das Supportende muss zum Kaufzeitpunkt klar und verständlich angegeben werden. Nutzer sollen erkennen können, bis wann der Hersteller Sicherheitsupdates und Schwachstellenbehandlung für das Produkt vorsieht.

Die Angabe sollte möglichst konkret sein. Eine Formulierung wie „Support abhängig vom Produktlebenszyklus“ hilft dem Käufer kaum. Sinnvoll ist ein Datum oder eine eindeutig nachvollziehbare Regel.

Muss die SBOM an Nutzer herausgegeben werden?

Der CRA verlangt nicht pauschal, dass jeder Endnutzer die vollständige SBOM erhält. Wenn der Hersteller eine SBOM öffentlich bereitstellt, können die Nutzerinformationen aber darauf verweisen. Für Marktüberwachungsbehörden gelten eigene Zugriffsanforderungen.

Unternehmen sollten deshalb zwischen interner vollständiger Stückliste, gegebenenfalls kundenspezifischer Ausgabe und öffentlich bereitgestellten Informationen unterscheiden.

Wie müssen die Informationen gestaltet sein?

Sie müssen klar, verständlich, nachvollziehbar und lesbar sein. Der CRA zielt nicht auf eine rein juristische Pflichtinformation, die Nutzer praktisch nicht verstehen können.

Besonders bei digitalen Produkten sind kurze Schrittfolgen, konkrete URLs, Screenshots oder direkt aus dem Produkt erreichbare Sicherheitsinformationen oft nützlicher als lange allgemeine Texte. Gleichzeitig muss die Information langfristig verfügbar bleiben.

Dürfen Nutzerinformationen nur online angeboten werden?

Digitale Bereitstellung ist bei digitalen Produkten praktisch naheliegend, muss aber so gestaltet sein, dass die vorgeschriebenen Informationen tatsächlich zugänglich sind. Wenn das Produkt ohne Internetverbindung eingesetzt wird oder der Link später verschwindet, kann eine ausschließlich flüchtige Online-Dokumentation problematisch sein.

Hersteller sollten daher definieren, welche Informationen dem Produkt unmittelbar beigefügt werden und welche dauerhaft online verfügbar bleiben. Versionierte PDFs oder produktbezogene Dokumentationsseiten sind häufig sinnvoll.

Welche Fehler treten in der Praxis häufig auf?

Erklärung und Produktversion passen nicht zusammen

Eine gültige Erklärung für Version 2.0 hilft wenig, wenn Version 4.0 mit anderer Sicherheitsarchitektur verkauft wird.

Die vereinfachte Erklärung verweist auf einen toten Link

Die Internetadresse ist Teil des Nachweiswegs und muss langfristig funktionieren.

Supportende ist nur intern bekannt

Der CRA verlangt transparente Nutzerinformation. Interne Roadmaps reichen nicht.

Sicherheitskontakt ist ein allgemeines Formular

Schwachstellenmeldungen benötigen einen zuverlässigen Eskalationsweg.

Nutzerhinweise widersprechen der Risikobewertung

Wenn die Risikobewertung sichere Netzsegmentierung voraussetzt, die Anleitung aber nichts dazu sagt, fehlt eine wichtige Verbindung.

Wie baut man ein sauberes CRA-Dokumentenpaket für Nutzer auf?

Hersteller können die Anforderungen in wenige konsistente Artefakte bündeln: Produkt- und Sicherheitsinformationen, Installations- und Updateanleitung, Supportinformation sowie vollständige oder vereinfachte EU-Konformitätserklärung.

1. Produkt-ID und Version eindeutig angeben.
2. Hersteller- und Sicherheitskontakt bereitstellen.
3. Zweckbestimmung und sichere Betriebsumgebung erklären.
4. Wesentliche Sicherheitsmerkmale und vorhersehbare Risiken nennen.
5. Installation, Konfiguration und sichere Nutzung beschreiben.
6. Updateverfahren erklären.
7. Supportende klar angeben.
8. EU-Konformitätserklärung oder vereinfachte Form beifügen.
9. Alle URLs und Sprachfassungen versioniert pflegen.

Wo stehen die Vorgaben im Original?

Die Anforderungen an EU-Konformitätserklärung und Nutzerinformationen stehen insbesondere in Artikel 28 sowie den Anhängen II, V und VI der Verordnung (EU) 2024/2847 bei EUR-Lex.