Der Cyber Resilience Act, Verordnung (EU) 2024/2847, zertifiziert Produkte nicht gegen eine Norm. Er verlangt, dass jedes Produkt mit digitalen Elementen im Anwendungsbereich die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt, und er verlangt vom Hersteller den Nachweis in einer technischen Dokumentation, über den Konformitätsbewertungsweg, den die Stufe des Produkts erlaubt. Anhang I ist damit die Liste, an der jede andere Pflicht hängt: Die Risikobewertung ist eine Risikobewertung gegen ihn, die technische Dokumentation dokumentiert ihn, die notifizierte Stelle prüft ihn.
Er umfasst zwei Seiten in der Verordnung, und es lohnt sich, ihn als eine Tabelle zu haben. Hier ist sie, mit der Lesart, die entscheidet, ob eine Anforderung ausgeschlossen werden kann.
Der Aufbau, und die eine Unterscheidung, die zählt
Anhang I hat zwei Teile.
Teil I, „Cybersicherheitsanforderungen in Bezug auf die Eigenschaften von Produkten mit digitalen Elementen“. Nummer 1 ist die allgemeine Anforderung: ein den Risiken angemessenes Cybersicherheitsniveau. Nummer 2 listet dreizehn konkrete Eigenschaften, Buchstaben a bis m, und beginnt mit den Worten „auf der Grundlage der Cybersicherheitsrisikobewertung gemäß Artikel 13 Absatz 2 und soweit anwendbar“. Dieser Satz leistet die Arbeit. Eine Anforderung aus Teil I Nummer 2 kann bei einem Produkt weggelassen werden, aber nur auf Grundlage der Risikobewertung und mit der Begründung in der technischen Dokumentation. „Wir haben nicht daran gedacht“ ist kein Ausschluss.
Teil II, „Anforderungen an die Behandlung von Schwachstellen“. Acht Anforderungen daran, was der Hersteller über den Unterstützungszeitraum des Produkts hinweg tut, nicht an das Produkt selbst. Keine davon ist „soweit anwendbar“. Sie gelten für jedes Produkt im Anwendungsbereich, auch das kleinste.
Diese Unterscheidung ist das Erste, was in einer technischen Dokumentation richtig sein muss, und sie ist das, was die kostenlose Feststellung des Anwendungsbereichs nicht abdeckt, weil sie zum Produkt gehört und nicht zur Frage, ob die Verordnung gilt.
Teil I: Eigenschaften des Produkts
| Fundstelle | Anforderung | Was gelten muss | Gilt |
|---|---|---|---|
| Teil I, Nummer 1 | Angemessenes Cybersicherheitsniveau durch Design | Das Produkt wird so entworfen, entwickelt und hergestellt, dass ein den Risiken angemessenes Cybersicherheitsniveau gewährleistet ist, auf Grundlage der Cybersicherheitsrisikobewertung. | immer |
| Teil I, Nummer 2 Buchstabe a | Keine bekannten ausnutzbaren Schwachstellen bei Bereitstellung | Das Produkt wird ohne bekannte ausnutzbare Schwachstellen auf dem Markt bereitgestellt. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe b | Sichere Standardkonfiguration | Das Produkt wird mit einer sicheren Standardkonfiguration ausgeliefert, einschließlich der Möglichkeit, es in den Ursprungszustand zurückzusetzen, sofern mit einem gewerblichen Nutzer für ein maßgeschneidertes Produkt nichts anderes vereinbart ist. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe c | Sicherheitsupdates | Schwachstellen lassen sich durch Sicherheitsupdates beheben, einschließlich standardmäßig automatischer Updates mit klarer Abwahlmöglichkeit und Benachrichtigung der Nutzer, soweit anwendbar. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe d | Schutz vor unbefugtem Zugriff | Angemessene Kontrollmechanismen, einschließlich Authentifizierung, Identitäts- und Zugriffsverwaltung sowie Meldung möglicher unbefugter Zugriffe. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe e | Vertraulichkeit der Daten | Gespeicherte, übertragene oder anderweitig verarbeitete Daten, personenbezogen oder nicht, werden geschützt, etwa durch Verschlüsselung im Ruhezustand und bei der Übertragung nach dem Stand der Technik. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe f | Integrität von Daten, Befehlen und Konfiguration | Gespeicherte, übertragene oder verarbeitete Daten, Befehle, Programme und Konfigurationen werden gegen vom Nutzer nicht autorisierte Manipulation oder Veränderung geschützt, und Beschädigungen werden gemeldet. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe g | Datenminimierung | Es werden nur Daten verarbeitet, die dem Zweck angemessen und erheblich sowie auf das für den vorgesehenen Zweck notwendige Maß beschränkt sind. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe h | Verfügbarkeit wesentlicher und grundlegender Funktionen | Wesentliche und grundlegende Funktionen bleiben verfügbar, auch nach einem Vorfall, einschließlich Widerstandsfähigkeit und Abmilderung gegen Denial-of-Service-Angriffe. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe i | Keine negativen Auswirkungen auf andere Geräte und Netze | Das Produkt minimiert seine eigenen negativen Auswirkungen auf die Verfügbarkeit der von anderen Geräten oder Netzen bereitgestellten Dienste. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe j | Begrenzte Angriffsflächen | Angriffsflächen, einschließlich externer Schnittstellen, sind begrenzt. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe k | Verringerte Auswirkungen von Vorfällen | Die Auswirkungen eines Vorfalls werden durch geeignete Mechanismen und Techniken zur Abmilderung von Ausnutzungen verringert. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe l | Sicherheitsprotokollierung und -überwachung | Sicherheitsrelevante Informationen werden durch Aufzeichnung und Überwachung relevanter interner Aktivitäten bereitgestellt, einschließlich des Zugriffs auf oder der Veränderung von Daten, Diensten oder Funktionen, mit Abwahlmöglichkeit für den Nutzer. | soweit anwendbar |
| Teil I, Nummer 2 Buchstabe m | Sichere und einfache Löschung von Daten und Einstellungen | Nutzer können alle Daten und Einstellungen sicher und einfach dauerhaft entfernen, und wo Daten auf ein anderes Produkt übertragen werden können, geschieht das sicher. | soweit anwendbar |
Teil II: Behandlung von Schwachstellen
| Fundstelle | Anforderung | Was gelten muss |
|---|---|---|
| Teil II, Nummer 1 | Schwachstellen und Komponenten ermitteln und dokumentieren, mit SBOM | Schwachstellen und Komponenten im Produkt werden ermittelt und dokumentiert, einschließlich einer Software-Stückliste in einem gebräuchlichen maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abdeckt. |
| Teil II, Nummer 2 | Schwachstellen unverzüglich beheben | Schwachstellen werden unverzüglich behandelt und behoben, auch durch Sicherheitsupdates; wo technisch machbar, sind Sicherheitsupdates von Funktionsupdates getrennt. |
| Teil II, Nummer 3 | Regelmäßige Tests und Überprüfungen | Wirksame und regelmäßige Tests und Überprüfungen der Sicherheit des Produkts werden durchgeführt. |
| Teil II, Nummer 4 | Behobene Schwachstellen offenlegen | Sobald ein Sicherheitsupdate verfügbar ist, werden Informationen über behobene Schwachstellen geteilt und öffentlich offengelegt: Beschreibung, betroffene Produkte, Auswirkungen, Schweregrad und wie Nutzer Abhilfe schaffen; die Offenlegung kann verzögert werden, wenn das Sicherheitsrisiko der Veröffentlichung den Nutzen überwiegt. |
| Teil II, Nummer 5 | Richtlinie zur koordinierten Offenlegung von Schwachstellen | Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen wird eingeführt und durchgesetzt. |
| Teil II, Nummer 6 | Eine Kontaktstelle für Schwachstellenmeldungen | Der Austausch von Informationen über mögliche Schwachstellen wird erleichtert, einschließlich einer Kontaktadresse für die Meldung im Produkt entdeckter Schwachstellen. |
| Teil II, Nummer 7 | Sichere und rechtzeitige Verteilung von Updates | Es bestehen Mechanismen, um Updates sicher zu verteilen, sodass Schwachstellen rechtzeitig behoben oder abgemildert werden, und, soweit auf Sicherheitsupdates anwendbar, automatisch. |
| Teil II, Nummer 8 | Kostenlose Sicherheitspatches mit Hinweisen | Sicherheitspatches oder -updates werden unverzüglich verbreitet und, sofern für ein maßgeschneidertes Produkt nichts anderes vereinbart ist, kostenlos, begleitet von Hinweisen mit den relevanten Informationen für Nutzer, auch zu möglichen Maßnahmen. |
Die Liste lesen
Die Worte sind paraphrasiert, die Fundstellen nicht. Die Spalte „Was gelten muss“ ist unsere knappe Lesart jeder Nummer in einfacher Sprache. Stufen Sie gegen den Wortlaut der Verordnung ein, den Sie über die Fundstellen in Sekunden finden, und zitieren Sie ihn in der Dokumentation.
Teil II setzt vier Dokumente voraus. Eine Richtlinie zur koordinierten Offenlegung von Schwachstellen (Nummer 5), eine öffentliche Kontaktstelle für Meldungen (Nummer 6), eine Software-Stückliste (Nummer 1) und einen Weg, Updates sicher und kostenlos zu verteilen (Nummern 7 und 8). Die meisten kleinen Hersteller haben keines der vier aufgeschrieben. Sie sind nicht schwer zu schreiben; es ist schwer, daran zu denken, bevor jemand danach fragt.
„Ohne bekannte ausnutzbare Schwachstellen“ ist ein Zustand bei Bereitstellung, kein Versprechen. Teil I Nummer 2 Buchstabe a betrifft den Moment, in dem das Produkt bereitgestellt wird. Was danach geschieht, ist Teil II, und die Meldepflicht aus Artikel 14, in Kraft seit dem 11. September 2026, liegt für aktiv ausgenutzte Schwachstellen darüber.
Der Unterstützungszeitraum ist Teil der Antwort. Artikel 13 Absatz 8 verlangt vom Hersteller, einen Unterstützungszeitraum festzulegen, in dem Teil II geleistet wird, von mindestens fünf Jahren, sofern das Produkt nicht voraussichtlich kürzer genutzt wird, und ihn anzugeben. Eine Dokumentation, die die Anforderungen aus Teil II auflistet, ohne zu sagen, wie lange, ist unvollständig.
Ausschlüsse sind ein Argument, kein Häkchen. Für jede Anforderung aus Teil I Nummer 2, die Sie nicht umsetzen, braucht die Dokumentation den Grund aus der Risikobewertung. Eine notifizierte Stelle oder eine Marktüberwachungsbehörde, sobald Ihr Mitgliedstaat eine benannt hat, liest diese Gründe vor allem anderen.
Was Sie damit tun
Für jedes Produkt im Anwendungsbereich eine Zeile pro Anforderung: umgesetzt, wie, und wo der Nachweis liegt; oder ausgeschlossen, auf Grundlage welcher Feststellung der Risikobewertung. Zweiundzwanzig Zeilen. Diese Tabelle, mit der Stufe und der Feststellung des Anwendungsbereichs davor, ist der größte Teil des Rückgrats einer technischen Dokumentation, und es ist die Tabelle, um die es bei der Frist im Dezember 2027 wirklich geht.
Quellen
- Verordnung (EU) 2024/2847, Anhang I Teile I und II; Artikel 13 Absatz 2 für die Risikobewertung, auf die sich das „soweit anwendbar“ bezieht; Artikel 13 Absatz 8 für den Unterstützungszeitraum; Artikel 31 und Anhang VII für die technische Dokumentation; Artikel 71 Absatz 2 für die Daten.
- Die technische FAQ der Kommission zum CRA, Version 1.3 vom 1. Juli 2026, zu Ausschlüssen aus Teil I Nummer 2.
Das ist keine Rechtsberatung. Die Fundstellen stehen da, damit Sie jede Anforderung in der Verordnung lesen und für Ihr eigenes Produkt entscheiden können.