CRA-Normen und harmonisierte Standards: Wie Hersteller Konformität nachweisen

Harmonisierte Normen sollen die grundlegenden Cybersicherheitsanforderungen des Cyber Resilience Act in konkrete technische Spezifikationen übersetzen. Wer eine einschlägige harmonisierte Norm korrekt anwendet, kann für die von ihr abgedeckten Anforderungen von einer Konformitätsvermutung profitieren. Die Europäische Kommission hat dafür den Normungsauftrag M/606 mit 41 Standardisierungsleistungen angestoßen – horizontale Standards für allgemeine CRA-Prozesse und produktspezifische Standards für wichtige und kritische Produktkategorien.

Einordnung im CRA-Wissen: Dieser Fachartikel gehört zum Themenbereich Produktklassen & Konformität. Dort finden Sie die angrenzenden Anforderungen und eine praktische Reihenfolge für die Umsetzung.

Bevor Sie Normen für einen Konformitätsweg einplanen, klären Sie die CRA-Produktklasse und ihre Verfahrensanforderungen.

Welche Rolle spielen Normen im CRA?

Der CRA formuliert in Anhang I grundlegende Cybersicherheitsanforderungen. Diese Anforderungen sind bewusst technologieoffen: Das Gesetz schreibt beispielsweise Sicherheitsziele vor, aber nicht für jedes Produkt eine konkrete technische Implementierung.

Harmonisierte Normen sollen diese Lücke schließen. Sie beschreiben technische oder prozessuale Wege, mit denen Hersteller Anforderungen nachweisbar umsetzen können. Für die Konformitätsbewertung können sie deshalb erhebliche Bedeutung haben.

Was ist eine harmonisierte Norm?

Eine harmonisierte Norm ist eine europäische Norm, die auf Grundlage eines Normungsauftrags der Europäischen Kommission entwickelt und für eine EU-Harmonisierungsrechtsvorschrift verwendet wird. Entscheidend für die rechtliche Konformitätsvermutung ist die Veröffentlichung der Fundstelle im Amtsblatt der Europäischen Union.

Damit unterscheidet sich eine harmonisierte Norm von einem beliebigen technischen Standard. ISO-, IEC-, ETSI-, CEN- oder CENELEC-Dokumente können fachlich sehr wertvoll sein, ohne bereits eine CRA-Konformitätsvermutung auszulösen.

Was bedeutet Konformitätsvermutung?

Erfüllt ein Produkt die einschlägigen Teile einer harmonisierten Norm, wird für die davon abgedeckten CRA-Anforderungen grundsätzlich vermutet, dass diese Anforderungen erfüllt sind. Das kann die Nachweisführung deutlich vereinfachen.

Die Vermutung ist aber nicht grenzenlos. Eine Norm kann nur für die Anforderungen helfen, die sie tatsächlich abdeckt. Produktmerkmale oder Risiken außerhalb ihres Anwendungsbereichs bleiben durch die produktbezogene Risikobewertung zu behandeln.

Was ist der CRA-Normungsauftrag M/606?

Die Europäische Kommission hat mit M/606 einen formalen Normungsauftrag zur Unterstützung des CRA angenommen. Der Auftrag umfasst nach Angaben der Kommission 41 Standards beziehungsweise Standardisierungsleistungen.

Die Arbeiten werden von europäischen Normungsorganisationen in Zusammenarbeit mit Industrie und weiteren Stakeholdern durchgeführt. Der Auftrag umfasst sowohl horizontale als auch vertikale, also produktspezifische, Standards.

Was sind horizontale CRA-Standards?

Horizontale Standards behandeln Anforderungen, die für viele verschiedene Produktarten ähnlich sind. Dazu gehören beispielsweise übergreifende Prozesse und Methoden zur Produktsicherheit oder Schwachstellenbehandlung.

Der Vorteil liegt in der Wiederverwendbarkeit. Ein Hersteller von Routerhardware und ein Hersteller einer Desktopanwendung haben unterschiedliche Produkte, benötigen aber beide Prozesse für Risikobewertung, Vulnerability Handling, sichere Updates und dokumentierte Sicherheitsanforderungen.

Was sind vertikale oder produktspezifische Standards?

Vertikale Standards beziehen sich auf bestimmte Produktarten oder Produktgruppen. Sie berücksichtigen typische Risiken, Zweckbestimmungen und technische Eigenschaften dieser Produkte.

Im ersten CRA-Normungsauftrag werden insbesondere wichtige und kritische Kategorien aus den Anhängen III und IV priorisiert. Das ist logisch, weil bei diesen Produkten die Konformitätswege stärker von harmonisierten Grundlagen und Drittbewertungen abhängen.

Warum sind Normen für wichtige Produkte Klasse I besonders relevant?

Bei wichtigen Produkten der Klasse I kann die Nutzung harmonisierter Normen eine entscheidende Voraussetzung dafür sein, dass der Hersteller die interne Kontrolle als Konformitätsweg nutzen darf.

Wer einschlägige harmonisierte Normen, gemeinsame Spezifikationen oder einen vorgesehenen Zertifizierungsweg nicht nutzt beziehungsweise nicht vollständig für die relevanten Anforderungen anwenden kann, muss gegebenenfalls auf eine Drittbewertung ausweichen. Normenstatus wird damit zu einer Projektplanungsfrage.

Ersetzt eine harmonisierte Norm die CRA-Risikobewertung?

Nein. Die Risikobewertung bleibt ein zentraler Herstellerprozess. Normen helfen bei der Umsetzung und Nachweisführung, aber sie nehmen dem Hersteller nicht die Aufgabe ab, Produktzweck, vernünftigerweise vorhersehbare Nutzung, Risiken und anwendbare Anforderungen zu bestimmen.

Ein Produkt kann Risiken haben, die eine allgemeine Norm nicht vollständig adressiert. Ebenso kann eine Anforderung für ein konkretes Produkt nicht anwendbar sein. Diese Entscheidungen müssen nachvollziehbar dokumentiert werden.

Kann ein Hersteller schon heute bestehende Standards nutzen?

Ja. Bestehende Standards können bereits heute wertvolle technische Grundlagen liefern. Sie können Anforderungen an sichere Entwicklung, industrielle Produktsicherheit, Kryptografie, Schwachstellenmanagement oder Security Testing strukturieren.

Der wichtige Unterschied lautet: technische Nutzung ist nicht dasselbe wie CRA-Konformitätsvermutung. Ein vorhandener Standard kann ein guter Nachweisbaustein sein, auch wenn seine Fundstelle noch nicht als harmonisierte CRA-Norm im Amtsblatt veröffentlicht wurde.

Welche Rolle können IEC 62443 oder ISO/IEC-Standards spielen?

In bestimmten Produkt- und Entwicklungsumgebungen können vorhandene Standards wie Teile der IEC-62443-Reihe oder ISO/IEC-Sicherheitsstandards wichtige Ausgangspunkte sein. Ob und in welchem Umfang sie konkrete CRA-Anforderungen abdecken oder später harmonisierte Bezüge erhalten, muss jedoch für den jeweiligen Stand geprüft werden.

Unternehmen sollten daher nicht einfach eine bekannte Normnummer in die technische Dokumentation schreiben. Sie benötigen eine Mapping-Logik zwischen CRA-Anforderung, Standardabschnitt, Umsetzung und Nachweis.

Wie sieht ein sinnvolles Normen-Mapping aus?

Ein Normen-Mapping verbindet die regulatorischen Anforderungen mit konkreten technischen Kontrollpunkten.

Dieses Mapping ist weit belastbarer als die Aussage „Wir arbeiten nach Standard X“.

Was bedeutet teilweise Anwendung einer Norm?

Hersteller können eine Norm nur teilweise anwenden, wenn nicht alle Abschnitte zum Produkt passen oder zusätzliche Maßnahmen notwendig sind. Dann sollte klar dokumentiert werden, welche Teile verwendet wurden.

Eine Konformitätsvermutung kann nur für die tatsächlich einschlägigen und angewandten normativen Anforderungen wirken. Nicht abgedeckte CRA-Anforderungen brauchen andere technische Nachweise.

Wie findet man heraus, ob eine Norm bereits harmonisiert ist?

Maßgeblich ist die Veröffentlichung der Fundstelle im Amtsblatt der Europäischen Union für den entsprechenden Rechtsakt. Hersteller sollten sich nicht ausschließlich auf Suchmaschinen, Schulungsfolien oder die Produktbeschreibung eines Normenanbieters verlassen.

Ein internes Normenregister sollte deshalb neben der Normnummer auch Status, Version, Rechtsbezug, Veröffentlichungsdatum und abgedeckte CRA-Anforderungen enthalten.

Warum ist die Version einer Norm wichtig?

Normen werden überarbeitet. Eine alte Ausgabe kann fachlich weiterhin hilfreich sein, während für die Konformitätsvermutung eine bestimmte neuere Fassung relevant ist.

Die EU-Konformitätserklärung nennt verwendete harmonisierte Normen oder andere einschlägige Spezifikationen. Deshalb müssen Produktakte und Erklärung denselben Normenstand abbilden.

Wie oft sollte der Normenstatus geprüft werden?

Während der laufenden CRA-Normungsphase sollten Hersteller den Status regelmäßig prüfen, besonders vor wichtigen Entwicklungsmeilensteinen und vor der Festlegung des Konformitätspfads.

Eine praktische Frequenz kann quartalsweise sein, zusätzlich ereignisbezogen bei neuen Veröffentlichungen, Produktänderungen oder kurz vor der Konformitätsbewertung. Bei Klasse-I-, Klasse-II- und kritischen Produkten sollte das Monitoring enger an die Prüfplanung gekoppelt werden.

Welche Standardisierungsarbeiten laufen 2026?

Nach dem aktuellen Umsetzungsplan der EU befinden sich horizontale und produktspezifische CRA-Standards 2026 in aktiver Entwicklung. Die Kommission nennt erste Standardisierungsleistungen im dritten Quartal 2026 und weitere Lieferungen bis 2027.

Für Unternehmen bedeutet das: Der technische Zielzustand kann heute bereits aufgebaut werden, der rechtliche Status einzelner harmonisierter Normen muss aber bis zum jeweiligen Marktstart aktuell geprüft werden.

Was passiert, wenn eine harmonisierte Norm erst spät verfügbar wird?

Hersteller sollten ihre Entwicklung nicht bis zur letzten Normveröffentlichung anhalten. Sinnvoll ist eine Gap-Strategie: bestehende relevante Standards nutzen, CRA-Anforderungen direkt mappen und neue harmonisierte Dokumente nach Erscheinen gegen die vorhandenen Nachweise prüfen.

So lässt sich erkennen, welche Anforderungen bereits abgedeckt sind und wo noch Anpassungen notwendig werden. Besonders bei Produkten mit langer Entwicklungszeit ist das realistischer als ein später Komplettumbau.

Was sind gemeinsame Spezifikationen?

Gemeinsame Spezifikationen sind ein weiterer Mechanismus, über den technische Anforderungen konkretisiert werden können. Sie können insbesondere relevant werden, wenn harmonisierte Normen nicht oder nicht rechtzeitig verfügbar sind und die gesetzlichen Voraussetzungen für ein Eingreifen der Kommission vorliegen.

Für Hersteller gilt dieselbe Grundregel: Es muss geprüft werden, ob eine solche Spezifikation für das konkrete Produkt und die konkreten CRA-Anforderungen tatsächlich gilt.

Welche Rolle spielen Cybersicherheitszertifizierungssysteme?

Bestimmte europäische Cybersicherheitszertifizierungssysteme können zur CRA-Konformität beitragen, wenn die Kommission ihre Nutzung für diesen Zweck vorsieht. Auch hier ist eine pauschale Gleichsetzung zu vermeiden.

Ein Zertifikat kann Anforderungen abdecken und unter bestimmten Bedingungen eine Drittbewertung ersetzen oder erleichtern. Der genaue Rechtsbezug, die Assurance-Stufe und der Produktumfang müssen stimmen.

Wie hängen Normen und SBOM zusammen?

Die SBOM ist ein konkretes Nachweis- und Prozessartefakt für Komponenten- und Schwachstellenmanagement. Normen können Anforderungen an Struktur, Datenqualität oder Prozesse weiter konkretisieren.

Hersteller sollten Standards jedoch nicht mit Artefakten verwechseln. Eine Norm beschreibt Anforderungen oder Methoden; die SBOM ist ein produktspezifischer Nachweis, der für einen bestimmten Build gepflegt werden muss.

Wie hängen Normen und Security Testing zusammen?

Standards können definieren, welche Prüfmethoden für bestimmte Sicherheitsziele angemessen sind. Die konkrete Teststrategie sollte trotzdem aus Risikobewertung, Produktarchitektur und anwendbaren Anforderungen entstehen.

Ein Standard kann beispielsweise Prüfziele strukturieren, ersetzt aber nicht automatisch produktspezifische Penetrationstests, Fuzzing oder Updateprüfungen, wenn diese aufgrund des Risikos notwendig sind.

Welche typischen Fehler machen Unternehmen bei CRA-Normen?

Jeden bekannten Cybersecurity-Standard als harmonisiert bezeichnen

Fachliche Relevanz und rechtliche Harmonisierung sind verschiedene Dinge.

Normen erst vor der CE-Kennzeichnung prüfen

Dann können wichtige technische Anforderungen zu spät in der Entwicklung auftauchen.

Nur Normnummern dokumentieren

Ohne Mapping zu CRA-Anforderungen ist der tatsächliche Nachweis schwer nachvollziehbar.

Versionen nicht überwachen

Eine veraltete Normfassung kann die Dokumentation und Konformitätserklärung inkonsistent machen.

Konformitätsvermutung mit vollständiger Produktsicherheit verwechseln

Auch bei angewandten Normen bleiben produktindividuelle Risiken und Herstellerpflichten bestehen.

Wie baut man ein CRA-Normenregister auf?

1. Produktkategorie und CRA-Anforderungen erfassen.
2. Potentiell relevante bestehende Standards identifizieren.
3. Status „harmonisiert / in Entwicklung / sonstige technische Grundlage“ dokumentieren.
4. Normversion und Ausgabedatum festhalten.
5. Anforderungen auf konkrete Abschnitte mappen.
6. Umsetzungs- und Testnachweise verknüpfen.
7. Verantwortlichen für Normenmonitoring bestimmen.
8. Änderungen vor Releases und Konformitätsbewertung prüfen.

Wo steht der aktuelle Stand der CRA-Normung?

Die Europäische Kommission beschreibt Normungsauftrag M/606, die 41 geplanten Standardisierungsleistungen und den Unterschied zwischen horizontalen und produktspezifischen Standards auf ihrer aktuellen Seite zur CRA-Standardisierung. Die Seite wurde zuletzt am 31. Juli 2026 aktualisiert.