Mapping des CRA (EU) 2024/2847

Zur Umsetzung der Anforderungen des CRA (EU) 2024/2847 in transparenter und strukturierter Weise kann der regulatorische Bewertungsprozess mithilfe einer Structured Assessment Logic (SAL) dargestellt werden. Diese Logik stellt sicher, dass alle technischen und regulatorischen Anforderungen systematisch bewertet werden und die Einhaltung durch dokumentierte Nachweise belegt ist.

Die SAL umfasst folgende Schritte::

1. Produktqualifizierung – Fällt das Produkt in den Anwendungsbereich des CRA?

2. Produktklassifizierung und Auswahl des Konformitätsbewertungsverfahrens – B+C, H, europäisches Schema für die Cybersicherheitszertifizierung/Cybersicherheitszertifizierung

3. Risikobewertung – Identifikation der anwendbaren wesentlichen Cybersicherheitsanforderungen (Anhang I, Teil I) – Welche Anforderungen gelten für das Produkt?

   Die Bewertung der Cybersicherheitsrisiken dient nicht nur der Identifikation und Minderung von Gefahren, sondern auch der Bestimmung der relevanten wesentlichen Anforderungen gemäß Anhang I Teil I.

4. Nachweis der Konformität – Normen, Spezifikationen und Zertifizierungssysteme – Welche Standards decken die Anforderungen ab und wo bestehen Lücken?

5. Design- und Prozessfähigkeit für Schwachstellenmanagement (Anhang I, Teil II)

   Ermöglichen Produktarchitektur und Herstellerprozesse die effektive Meldung, Verteilung, Prüfung, den Download und die Installation von Sicherheitsupdates während der gesamten Supportdauer?

6. Technische Dokumentation – Welche Unterlagen belegen die Konformität?

7. Informationspflichten

8. EU-Konformitätserklärung & CE-Kennzeichnung – Offizielle Bestätigung der Konformität für den EU-Markt.

Hinweis: SAL ist kein Selbstzweck. Sie bietet eine wiederholbare Methodik, die regulatorische Prinzipien in eine klare strukturierte Bewertungslogik überführt.

Dieses Diagramm stellt den SAL-Workflow visuell dar:

Produktqualifizierung

↓

Produktklassifizierung │ Konformitätsbewertungsverfahren

↓

Risikobewertung – Identifikation der anwendbaren wesentlichen Cybersicherheitsanforderungen (Anhang I, Teil I)

↓

Konformitätsbewertungsverfahren

↓

Nachweis der Konformität – Normen, Spezifikationen und Zertifizierungssysteme

↓

Design- und Prozessfähigkeit für Schwachstellenmanagement (Anhang I, Teil II)

↓

Technische Dokumentation

↓

Informationspflichten

↓

CE-Kennzeichnung & Konformitätserklärung

Schnittstellen zu verwandter Gesetzgebung

Die CRA-Compliance erfordert die Berücksichtigung von Überschneidungen mit angrenzenden Rechtsrahmen, insbesondere:

• Maschinenverordnung (EU) 2023/1230

• Funkanlagenrichtlinie 2014/53/EU

• Delegierte Verordnung (EU) 2022/30

Relevante Schnittstellen werden in den FAQs on the CRA implementation (Abschnitte 2.4 und 2.6) behandelt.

Eine koordinierte Bewertung ist notwendig, um regulatorische Lücken oder Doppelarbeit zu vermeiden. SAL fungiert daher als cross-legislative Compliance-Framework und nicht als isoliertes Bewertungsinstrument.

Überblick: Verordnung (EU) 2024/2847

• Nummer: (EU) 2024/2847

• Titel: Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen

• Veröffentlichung: ABl. L, 20.11.2024

• Zweck: Rahmen für das Inverkehrbringen von Produkten mit digitalen Elementen zur Sicherstellung ihrer Cybersicherheit

• Öffentliches Interesse: Cybersicherheit

• Leitfäden: FAQs on the CRA implementation and Draft Commission guidance on the Cyber Resilience Act

Produktqualifizierung

Die CRA gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst.

Hinweis: Diese Übersicht beschränkt sich auf physische Produkte (Hardware). Standalone Software ist ebenfalls vom CRA umfasst, wird hier aber nicht betrachtet.

 Arten von Datenverbindungen im CRA:

Hinweis: Das Konzept der indirekten Konnektivität wird in der Praxis häufig übersehen. Eine direkte Internetverbindung ist nicht erforderlich. Bereits eine Verbindung über ein zwischengeschaltetes Gerät (z. B. ein Gateway, eine SPS oder eine industrielle Steuerung) kann dazu führen, dass das Produkt in den Anwendungsbereich des CRA fällt.

Typische Produkte

• Smart-Home-Geräte

• WLAN-Kameras

• Smart-Thermostate

• Smartwatches

• Fitness-Tracker

• Router

• Netzwerkdrucker

• Industrielle Steuerungssysteme (PLCs, I/O-Module, Gateways, HMIs etc.)

• IoT-Sensoren

• Vernetzte Haushaltsgeräte

Produktklassifizierung │ Auswahl des Konformitätsbewertungsverfahrens

Für die Zwecke der Konformitätsbewertung unterscheidet der CRA vier Kategorien von Produkten mit digitalen Elementen, von denen jede das anzuwendende Konformitätsbewertungsverfahren bestimmt.

Wichtige Produkte – Klasse I bilden die einzige Produktkategorie, bei der die Verfügbarkeit und vollständige Anwendung einschlägiger harmonisierter Normen, gemeinsamer Spezifikationen oder europäischer Cybersicherheitszertifizierungssysteme darüber entscheidet, ob der Hersteller Modul A (Interne Fertigungskontrolle) anwenden darf oder eine notifizierte Stelle einzubeziehen ist (Module B+C oder H).

Verfügbare Konformitätsbewertungsmodule / -verfahren:

Hinweis: Anders als bei den übrigen Produktkategorien hängt der Konformitätsbewertungsweg für Wichtige Produkte – Klasse I nicht nur von der Produktklassifizierung ab, sondern auch davon, in welchem Umfang die anwendbaren wesentlichen Cybersicherheitsanforderungen durch harmonisierte Normen, gemeinsame Spezifikationen oder europäische Cybersicherheitszertifizierungssysteme abgedeckt werden.

Risikobewertung – Identifizierung der anwendbaren wesentlichen Cybersicherheitsanforderungen (Anhang I, Teil I)

Wie bei anderen risikobasierten Harmonisierungsrechtsvorschriften der Union, die auf dem New Legislative Framework (NLF) beruhen, muss der Hersteller eine Cybersicherheitsrisikobewertung durchführen, um festzustellen, welche der in Anhang I Teil I festgelegten wesentlichen Cybersicherheitsanforderungen auf das Produkt anwendbar sind. Die Risikobewertung dient daher nicht nur der Identifizierung und Bewertung von Cybersicherheitsrisiken, sondern auch der Festlegung des Umfangs der anwendbaren wesentlichen Anforderungen.

Nach dem traditionellen NLF-Ansatz ermitteln Hersteller die auf das Produkt anwendbaren wesentlichen Anforderungen grundsätzlich auf Grundlage der Risikobewertung. Anforderungen, die offensichtlich irrelevant oder mit der Art des Produkts unvereinbar sind, können in der Regel unberücksichtigt bleiben, ohne dass hierfür eine besondere Begründung in der Risikobewertung oder der sonstigen technischen Dokumentation erforderlich ist.

Der Cyber Resilience Act (CRA) verfolgt einen anderen Ansatz. Nach Artikel 13 Absatz 4 muss die Cybersicherheitsrisikobewertung, wenn der Hersteller zu dem Schluss gelangt, dass eine oder mehrere der in Anhang I Teil I festgelegten wesentlichen Cybersicherheitsanforderungen nicht anwendbar sind, für jede dieser Anforderungen eine eindeutige und dokumentierte Begründung enthalten. Nach Erwägungsgrund 55 kann dies insbesondere dann der Fall sein, wenn eine wesentliche Cybersicherheitsanforderung mit der Art des Produkts unvereinbar ist. Die FAQs on the CRA implementation (Abschnitt 4.1.3) stellen darüber hinaus klar, dass eine Begründung auch dann erfolgen kann, wenn im Hinblick auf die betreffende wesentliche Cybersicherheitsanforderung keine Cybersicherheitsrisiken bestehen, die Maßnahmen zur Risikominderung erfordern.

Folglich erfüllt die Cybersicherheitsrisikobewertung nach dem CRA eine Doppelfunktion:

• Sie identifiziert und bewertet die mit dem Produkt verbundenen Cybersicherheitsrisiken; und

• sie bestimmt und dokumentiert, welche wesentlichen Cybersicherheitsanforderungen des Anhangs I Teil I anwendbar sind, und liefert – soweit erforderlich – eine nachvollziehbare Begründung für Anforderungen, die als nicht anwendbar angesehen werden.

  
  

Praxishinweis: Besondere Aufmerksamkeit sollte der sogenannten „Catch-all“-Anforderung in Anhang I Teil I Nummer 1 gewidmet werden. Selbst wenn einzelne wesentliche Cybersicherheitsanforderungen als nicht anwendbar eingestuft werden, bleibt die allgemeine Verpflichtung bestehen, Produkte mit einem angemessenen Cybersicherheitsniveau zu entwerfen, zu entwickeln und herzustellen. Diese Verpflichtung ist während der gesamten Bewertung zu berücksichtigen. Die übergreifende Bedeutung von Anhang I Teil I Nummer 1 wird auch im Draft Commission guidance on the Cyber Resilience Act (Randnummern 149 ff.) ausdrücklich hervorgehoben.

Konformitätsnachweis – Harmonisierte Normen, gemeinsame Spezifikationen und Cybersicherheitszertifizierungssysteme

Technische Spezifikationen zur Erleichterung der Konformität

• Ihre Anwendung begründet eine Vermutung der Konformität.

• Sie werden von anerkannten europäischen Normungsorganisationen erarbeitet oder durch Durchführungsrechtsakte der Europäischen Kommission als gemeinsame Spezifikationen festgelegt.

Produktdesign und organisatorische Prozesse für ein wirksames Schwachstellenmanagement (Anhang I, Teil II)

In diesem Schritt wird bewertet, ob Produktdesign und organisatorische Prozesse so ausgestaltet sind, dass der Hersteller seine Verpflichtungen zum Schwachstellenmanagement während des gesamten Supportzeitraums gemäß Artikel 13 Absatz 8 und Anhang I Teil II des Cyber Resilience Act erfüllen kann.

Der Fokus beschränkt sich dabei nicht auf Tätigkeiten nach dem Inverkehrbringen, sondern erstreckt sich bereits auf die Entwicklungs- und Designphase. Produkte mit digitalen Elementen müssen so entwickelt werden, dass Maßnahmen zur Behebung von Schwachstellen während ihres gesamten Lebenszyklus wirksam umgesetzt werden können.

Abhängig von Art und Schwere des Risikos können Maßnahmen zur Behebung von Schwachstellen unterschiedliche Formen annehmen. Hierzu gehören unter anderem:

• sofortige Sicherheits-Patches,

• Sicherheitshinweise mit vorübergehenden Umgehungsmaßnahmen, denen anschließend Software-Updates folgen,

• Aktualisierungen der Benutzerdokumentation oder

• Konfigurationsanleitungen zum Deaktivieren betroffener Funktionen.

Hersteller sollten daher sowohl auf Ebene der Produktentwicklung als auch der organisatorischen Prozesse sicherstellen, dass Produkte mit digitalen Elementen über technische Funktionen verfügen, die die Benachrichtigung, Verteilung, den Download und die Installation von Sicherheitsupdates ermöglichen. Insbesondere bei Verbraucherprodukten sollten Sicherheitsupdates automatisch bereitgestellt werden können, wobei den Nutzern – soweit angemessen – weiterhin die endgültige Zustimmung zum Download und zur Installation ermöglicht werden sollte.

Diese Designverpflichtung entspricht dem in denFAQs on the CRA implementation (Abschnitt 4.3) sowie im Draft Commission guidance on the Cyber Resilience Act (Randnummern 114 ff.) dargestellten Ansatz. Dort wird die Notwendigkeit integrierter Update-Mechanismen und einer angemessenen Benutzerkontrolle hervorgehoben. Darüber hinaus erläutert der Entwurf der Leitlinien der Europäischen Kommission die technischen und organisatorischen Erwartungen an die Fähigkeiten zum Schwachstellenmanagement während des gesamten Supportzeitraums näher.

Technische Dokumentation

Die technische Dokumentation muss sämtliche in Anhang VII des Cyber Resilience Act geforderten Elemente enthalten und als primärer Nachweis der Konformität mit den anwendbaren Anforderungen dienen.

Informationspflichten

Hersteller müssen sicherstellen, dass Produkte mit digitalen Elementen von den gemäß Anhang II des Cyber Resilience Act erforderlichen Informationen und Gebrauchsanweisungen begleitet werden.

CE-Kennzeichnung

• Verpflichtend vor dem Inverkehrbringen des Produkts auf dem EU-Markt.

• Muss sichtbar, lesbar und dauerhaft angebracht sein.

• Die Kennnummer der notifizierten Stelle ist anzugeben, sofern eine notifizierte Stelle am Konformitätsbewertungsverfahren beteiligt war.

Fazit

Mit der Structured Assessment Logic (SAL), dem Mapping als Roadmap sowie der Berücksichtigung der Schnittstellen zu angrenzenden Rechtsvorschriften wird deutlich, wie die Anforderungen der Verordnung (EU) 2024/2847 (Cyber Resilience Act) systematisch umgesetzt werden können.

Der abschließende Workflow folgt einer logischen Abfolge – vom Anwendungsbereich über die wesentlichen Anforderungen, Normen, Konformitätsbewertungsverfahren und Konformitätsnachweise bis hin zur CE-Kennzeichnung. Dadurch bietet die SAL eine klare Orientierung für Hersteller, Konformitätsbewertungsstellen und alle weiteren Beteiligten, die regulatorische Klarheit und eine strukturierte Umsetzung der CRA-Anforderungen anstreben.