EU verlangt CRA-Meldungen, Produktnormen fehlen noch

Ein deutscher Hersteller vernetzter Router muss heute bereits melden, wenn eine Schwachstelle in seinem Produkt nachweislich ausgenutzt wird. Ob er seinen nächsten Router nach dem Cyber Resilience Act (CRA) später selbst auf Konformität prüfen darf, hängt dagegen von Normen und weiteren Voraussetzungen ab, die derzeit noch nicht abgeschlossen sind. Diese zwei Zeitachsen sollte ein Unternehmen nicht verwechseln: Die Meldepflicht nach Artikel 14 gilt seit dem 11. September 2026, die wesentlichen Anforderungen an neue Produkte und ihre Konformitätsbewertung erst ab dem 11. Dezember 2027.

Die Europäische Kommission erwartet nach ihrem Normungsfahrplan für 2026 produktbezogene Normen für wichtige und kritische Produktgruppen bis zum 30. Oktober 2026. Das ist ein Ziel für die Normungsorganisationen, keine Frist, zu der ein Hersteller sein Produkt bereits nach diesen Normen zertifizieren lassen muss. Vor allem ist ein Normentwurf noch keine im EU-Amtsblatt zitierte harmonisierte Norm.

Was bereits gemeldet werden muss

Artikel 14 unterscheidet zwei Auslöser: eine Schwachstelle, die aktiv ausgenutzt wird, und einen schwerwiegenden Vorfall mit Auswirkungen auf die Sicherheit des Produkts. Für Letzteren genügt nicht jeder technische Fehler. Er ist schwerwiegend, wenn er den Schutz wichtiger oder sensibler Daten oder Funktionen beeinträchtigt oder beeinträchtigen kann, oder wenn Schadcode im Produkt oder in den Netz- und Informationssystemen eines Nutzers ausgeführt werden kann. Bei einer aktiv ausgenutzten Schwachstelle geht es um belastbare Hinweise auf eine tatsächliche, unbefugte Ausnutzung. Maßgeblich ist jeweils, wann der Hersteller davon Kenntnis erlangt. Die Auslöser stehen in Artikel 14 der Verordnung.

Dann laufen zwei Fristen ab Kenntnis: Die Frühwarnung muss unverzüglich, spätestens binnen 24 Stunden erfolgen; die ausführlichere Meldung unverzüglich, spätestens binnen 72 Stunden. Für eine ausgenutzte Schwachstelle folgt ein Abschlussbericht spätestens 14 Tage, nachdem eine Abhilfe oder Schadensbegrenzung verfügbar ist. Bei einem schwerwiegenden Vorfall ist der Abschlussbericht binnen eines Monats nach der 72-Stunden-Meldung fällig. Die Meldung läuft über die gemeinsame Plattform der EU-Cybersicherheitsagentur ENISA an die zuständige nationale Computer-Notfallstelle und ENISA. Das erläutert die Kommission zum Start der Meldepflicht.

Die Pflicht betrifft auch Produkte mit digitalen Elementen, die schon vor dem allgemeinen CRA-Stichtag in der EU auf den Markt gekommen sind. Das ist für Hersteller mit einem laufenden Gerätebestand entscheidend: Ein älterer, weiter vertriebener Router fällt bei einem meldepflichtigen Ereignis nicht deshalb aus Artikel 14 heraus, weil seine ursprüngliche Konformitätsbewertung noch ohne CRA stattfand. Für die späteren Produktanforderungen gilt dagegen eine Übergangsregel; bei vor dem 11. Dezember 2027 in Verkehr gebrachten Produkten werden sie grundsätzlich erst durch eine wesentliche Änderung nach diesem Datum relevant. Diese Trennung beschreibt die Kommission in ihrer Gesetzesübersicht.

Der Normungsfahrplan ist noch kein Konformitätsnachweis

Der Kommissionsauftrag M/606 umfasst horizontale Regeln für Produktentwicklung und Schwachstellenmanagement sowie vertikale Regeln für einzelne Produktarten. Laut Rollplan sollten erste horizontale Ergebnisse bereits bis zum 30. August 2026 vorliegen; produktbezogene Standards für die Anhänge III und IV sollen bis zum 30. Oktober folgen. Weitere produktübergreifende Anforderungen sind erst für Oktober 2027 vorgesehen.

DIN Media führt EN 40000-1-2 zu Grundsätzen und Risikomanagement und EN 40000-1-3 zum Umgang mit Schwachstellen als deutsche Norm-Entwürfe. Die September-Ausgabe von Teil 1-3 erschien bereits am 7. August. Solche Ausgaben sind von einer endgültig verabschiedeten europäischen EN zu unterscheiden. Auch deren Verabschiedung allein würde noch keine gesetzliche Konformitätsvermutung auslösen; dafür muss die Fundstelle im EU-Amtsblatt veröffentlicht sein. Für diese Vorhaben ist in den verlinkten EU- und Normungsquellen keine CRA-Amtsblattfundstelle belegt. Die DKE-Projektübersicht mit Stand Oktober 2026 führt beide Vorhaben sowie weitere horizontale und vertikale Projekte getrennt nach Entwicklungsstufen.

Bei den Produktnormen ist der Fortschritt unterschiedlich. Das laufende ETSI-Arbeitsprogramm führt EN 304 627 für Router, Modems und Switches am 9. Oktober im Genehmigungsverfahren; die Billigung des endgültigen Dokuments ist dort als nächster Schritt für den 25. November angesetzt. Für Passwortmanager nennt ETSI den 23. November. Die Norm für Betriebssysteme steht dagegen noch in der Entwurfsphase, mit einer vorgesehenen Bearbeitung von Kommissionsanmerkungen zum 31. Oktober. Die DKE listet für industrielle Router zusätzlich das CENELEC-Projekt EN 50770-5. Ein geplantes Datum im ETSI-Verfahren beweist keine spätere Veröffentlichung, zeigt aber: Der 30. Oktober ist für diese Beispiele derzeit kein belegter Veröffentlichungstag.

Warum die Stufe des Produkts zählt

Für einen deutschen Routerhersteller ist diese Unterscheidung praktisch, weil Router in Anhang III als wichtige Produkte der Klasse I aufgeführt sind. Nach Artikel 32 ist die interne Kontrolle durch den Hersteller nur möglich, wenn er die einschlägigen harmonisierten Normen vollständig anwendet oder eine anwendbare gemeinsame Spezifikation beziehungsweise eine dafür geeignete europäische Cybersicherheitszertifizierung nutzt. Fehlt ein solcher Weg oder wird er nur teilweise angewandt, ist für die betroffenen Anforderungen eine benannte Stelle in das Verfahren einzubeziehen. Eine veröffentlichte Vorabfassung von EN 304 627 ersetzt diese Voraussetzung nicht.

Auch eine endgültig verabschiedete EN wäre noch von ihrer rechtlichen Wirkung zu trennen: Die Konformitätsvermutung nach Artikel 27 setzt voraus, dass ihre Fundstelle im EU-Amtsblatt veröffentlicht ist, und gilt nur für die Anforderungen, die die Norm abdeckt. Eine europäische Zertifizierung hilft ebenfalls nicht automatisch; die Kommission muss ihre Eignung für den CRA festlegen. Laut Kommissionsübersicht zur Konformitätsbewertung sind die genauen Bedingungen dafür noch festzulegen.

Firewalls gehören als wichtige Produkte zur Klasse II, Smart-Meter-Gateways als kritische Produkte zu Anhang IV. Für beide sieht Artikel 32 grundsätzlich die Prüfung durch eine benannte Stelle nach Modul B plus C oder Modul H vor. Ein verfügbarer und für den CRA anwendbarer europäischer Zertifizierungsweg kann an deren Stelle treten. Für kritische Produkte kann die Kommission nach Artikel 8 Absatz 1 eine solche Zertifizierung gesondert vorschreiben. Ein gewöhnliches vernetztes Haushaltsgerät außerhalb dieser Kategorien kann dagegen nach dem allgemeinen Verfahren intern bewertet werden. Welche Kategorie ein konkretes Produkt hat, richtet sich nach seiner Kernfunktion, nicht nach dem Etikett auf der Verpackung. Die Kommission erklärt die Unterschiede.

Aus den offenen Normungsprojekten lässt sich noch kein belegter Kostenanstieg für deutsche Hersteller ableiten. Die konkrete Folge ist eine Planungsentscheidung: Sie müssen die seit September geltende Meldekette betreiben und für Produkte, die ab Dezember 2027 neu auf den Markt kommen, die passende Bewertungsroute vorbereiten. Ob eine künftig zitierte Norm einem Klasse-I-Produkt die interne Bewertung eröffnet, entscheidet sich erst mit ihrem tatsächlichen Anwendungsbereich und ihrer Veröffentlichung im Amtsblatt. Bis dahin ist der 30. Oktober ein Prüfpunkt für den Normungsfortschritt, kein Freibrief für eine CRA-Konformitätserklärung.