[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:de:die-cybersicherheitsrisikobewertung-nach-dem-cra-was-artikel-13-tatsaechlich-verlangt":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"de","die-cybersicherheitsrisikobewertung-nach-dem-cra-was-artikel-13-tatsaechlich-verlangt","Die Cybersicherheitsrisikobewertung nach dem CRA: Was Artikel 13 tatsächlich verlangt, und das eine Ergebnis, das sie liefern muss","Artikel 13 Absätze 2 bis 4 des Cyber Resilience Act machen die Risikobewertung zu dem Dokument, an dem jede andere CRA-Pflicht hängt. Sie muss Risiken aus Zweckbestimmung, vorhersehbarer Verwendung und Nutzungsbedingungen über die erwartete Nutzungsdauer analysieren; angeben, ob und wie jede Anforderung aus Teil I Nummer 2 gilt; sagen, wie Teil I Nummer 1 und Teil II angewandt werden; dokumentiert, über den Unterstützungszeitraum aktuell gehalten und in die technische Dokumentation aufgenommen sein, mit klarer Begründung für jede weggelassene Anforderung. Die vier Absätze, und eine einseitige Struktur, die sie erfüllt.","2026-09-11","\nFragt man, was ein Hersteller nach dem Cyber Resilience Act, Verordnung (EU) 2024\u002F2847, zuerst tun muss, sagen die meisten Antworten „die technische Dokumentation“. Die Verordnung sagt etwas Engeres: Vor der Dokumentation, bevor die [22 Anforderungen](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist) angewandt werden, steht eine **Cybersicherheitsrisikobewertung**, und sie ist das Dokument, das entscheidet, welche Anforderungen für Ihr Produkt gelten, und jede begründet, die Sie weglassen. Artikel 13 Absätze 2 bis 4 beschreiben sie. Sie sind kurz und ungewöhnlich konkret darin, was die Bewertung enthalten muss.\n\n## Wozu sie dient: Artikel 13 Absatz 2\n\nDer Hersteller „nimmt eine Bewertung der mit einem Produkt mit digitalen Elementen verbundenen Cybersicherheitsrisiken vor und berücksichtigt das Ergebnis dieser Bewertung in den Phasen der Planung, des Entwurfs, der Entwicklung, der Herstellung, der Lieferung und der Wartung“, mit dem Ziel, Cybersicherheitsrisiken zu minimieren, Vorfälle zu verhindern und ihre Auswirkungen zu minimieren, „auch in Bezug auf die Gesundheit und Sicherheit der Nutzer“.\n\nZwei Dinge folgen. Es ist ein Dokument für den Lebenszyklus, nicht für die Markteinführung: Das Ergebnis wird von der Planung bis zur Wartung berücksichtigt. Und Gesundheit und Sicherheit sind erfasst: Ein Produkt, dessen Kompromittierung jemanden verletzen könnte, muss das sagen und dieses Risiko behandeln.\n\n## Was sie enthalten muss: Artikel 13 Absatz 3\n\nAbsatz 3 ist der, den man langsam lesen sollte, denn er zählt den Inhalt auf.\n\n**Dokumentiert und aktualisiert.** „Die Cybersicherheitsrisikobewertung wird dokumentiert und während eines Unterstützungszeitraums gegebenenfalls aktualisiert.“ Eine einmal bei der Markteinführung erstellte und nie wieder angefasste Risikobewertung ist nicht, was der Text beschreibt; sie wird aktualisiert, wenn sich Produkt, Umgebung und Bedrohung ändern, solange der [Unterstützungszeitraum](\u002Farticles\u002Fhow-long-is-the-cra-support-period) läuft.\n\n**Eine Analyse auf Grundlage der Verwendung.** Sie „umfasst mindestens eine Analyse der Cybersicherheitsrisiken auf der Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung sowie der Nutzungsbedingungen des Produkts mit digitalen Elementen, etwa der Betriebsumgebung oder der zu schützenden Werte, unter Berücksichtigung der Zeitspanne, in der das Produkt voraussichtlich in Gebrauch sein wird“. Die Eingaben sind also benannt: wofür das Produkt ist, wie es vorhersehbar verwendet und missbraucht wird, wo es läuft, was es schützt und wie lange.\n\n**Eine Entscheidung zu jeder Anforderung aus Teil I Nummer 2.** Sie „gibt an, ob und gegebenenfalls in welcher Weise die in Anhang I Teil I Nummer 2 festgelegten Sicherheitsanforderungen auf das betreffende Produkt mit digitalen Elementen anwendbar sind und wie diese Anforderungen entsprechend der Cybersicherheitsrisikobewertung umgesetzt werden“. Das ist der Satz, der die Bewertung zum Rückgrat der Dokumentation macht: für jede der dreizehn Eigenschaften „soweit anwendbar“, anwendbar oder nicht, und wenn ja, wie umgesetzt.\n\n**Eine Aussage zu Teil I Nummer 1 und Teil II.** Sie „gibt auch an, wie der Hersteller Anhang I Teil I Nummer 1 und die in Anhang I Teil II festgelegten Anforderungen an die Behandlung von Schwachstellen anzuwenden gedenkt“. Nummer 1 (ein angemessenes Cybersicherheitsniveau) und die acht Anforderungen an die Schwachstellenbehandlung gelten immer; die Bewertung sagt wie.\n\n## Wohin sie gehört, und die Begründungsregel: Artikel 13 Absatz 4\n\nDie Bewertung wird in die technische Dokumentation aufgenommen ([Anhang VII Nummer 3](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point)). Unterliegt ein Produkt auch anderem Unionsrecht mit eigener Risikobewertung, dürfen beide ein Dokument sein. Und der Satz, der am meisten zählt: „Sind bestimmte grundlegende Cybersicherheitsanforderungen auf das Produkt mit digitalen Elementen nicht anwendbar, nimmt der Hersteller eine eindeutige Begründung dafür in diese technische Dokumentation auf.“\n\nEin Ausschluss ohne schriftlichen Grund ist eine Lücke. Ein Grund, der nicht aus der Risikoanalyse kommt („wir hatten keine Zeit“, „unsere Wettbewerber tun es nicht“), ist nicht die Art von Begründung, die der Text verlangt.\n\n## Eine einseitige Struktur, die die vier Absätze erfüllt\n\nDie Verordnung schreibt keine Methode vor. Jede strukturierte Methode funktioniert, wenn ihr Ergebnis die Inhalte oben abdeckt. Eine, die das tut, in der Reihenfolge, die der Text nahelegt:\n\n1. **Produkt und Zweckbestimmung.** Was es ist, wofür es ist, die erfassten Versionen und die erwartete Nutzungsdauer (die auch in den Unterstützungszeitraum einfließt).\n2. **Vorhersehbare Verwendung und Fehlanwendung, und Nutzungsbedingungen.** Wer es nutzt, wo es läuft, womit es verbunden ist, was es schützt (die Werte) und wie eine vernünftige Fehlanwendung aussieht.\n3. **Bedrohungen und Risiken.** Für jeden Wert und jede Schnittstelle: was schiefgehen könnte, wie wahrscheinlich, wie schlimm, einschließlich Gesundheit und Sicherheit, wo relevant. Jede anerkannte Methode (ein Bedrohungsmodell, ein Angriffsbaum, ein bewertetes Register) ist in Ordnung; der Text verlangt eine Analyse, keine bestimmte Form.\n4. **Die Tabelle zu Teil I Nummer 2.** Dreizehn Zeilen, Buchstaben a bis m: anwendbar ja oder nein; wenn ja, wie umgesetzt; wenn nein, der Grund aus Schritt 3. Diese Tabelle ist das Ergebnis, das eine notifizierte Stelle oder eine Behörde zuerst liest.\n5. **Teil I Nummer 1 und Teil II.** Wie das angemessene Cybersicherheitsniveau insgesamt erreicht wird, und wie jede der acht Anforderungen an die Schwachstellenbehandlung in der Praxis erfüllt wird: die [SBOM](\u002Farticles\u002Fdoes-the-cra-require-an-sbom), die Offenlegungsrichtlinie, der Update-Kanal, die Kontaktstelle.\n6. **Überprüfung.** Wer verantwortlich ist, wann sie das nächste Mal überprüft wird und was eine frühere Überprüfung auslöst (eine neue Version, eine neue Umgebung, eine gemeldete Schwachstelle). Die Bewertung wird über den Unterstützungszeitraum aktualisiert, und dieser Abschnitt sagt wie.\n\nDatieren, versionieren und mit der technischen Dokumentation ablegen. Ändert sich das Produkt, ändern Sie zuerst die Bewertung und danach die Dokumentation, denn die Dokumentation ist die Folge der Bewertung, nicht umgekehrt.\n\n## Was sie nicht sein muss\n\nSie muss nicht lang sein: Der Text verlangt „mindestens“ eine Analyse und die zwei Angaben, und ein kurzes Dokument, das jede Entscheidung trifft, ist besser als ein langes, das keine trifft. Sie braucht keine Beratermethodik, auch wenn eine bestehende (ISO\u002FIEC 27005, eine bereits genutzte Bedrohungsmodellierung) wiederverwendet werden kann, solange ihr Ergebnis auf die dreizehn Zeilen und die Aussage zu Teil II abgebildet wird. Und sie muss nicht auf eine harmonisierte Norm warten: [Keine ist veröffentlicht](\u002Farticles\u002Fthe-eu-s-own-cra-machinery-on-the-day-the-duty-started), und die Bewertung ist das, was ein Hersteller stattdessen hat.\n\n## Was die FAQ der Kommission ergänzen\n\nDie FAQ der Kommission zur Umsetzung, Version 1.4 vom 4. September 2026, Abschnitt 4.1, klären fünf Dinge, die die Verordnung dem Leser überlässt.\n\n**Keine Methodik ist vorgeschrieben.** Eintrag 4.1.2: „Der CRA schreibt keine bestimmte Methodik für die Cybersicherheitsrisikobewertung vor.“ Verlangt wird, dass die Methode „die Hersteller dabei unterstützt zu dokumentieren“, dass jedes relevante Risiko behandelt wurde, sodass eine Behörde „prüfen kann, wie Risiken ermittelt, bewertet und gemindert wurden“, und dass das Bedrohungsmodell zum Produkt passt: Produkte für kritische Infrastrukturen „müssen möglicherweise Risiken durch staatliche Akteure und Advanced Persistent Threats behandeln“, während Verbraucherprodukte „typischerweise ein geringeres Risikoprofil haben und ein anderes Bedrohungsmodell verwenden können“.\n\n**Teil II immer, Teil I nach den Risiken.** Eintrag 4.1.3: Die Anforderungen zur Schwachstellenbehandlung in Anhang I Teil II gelten vollständig „während des gesamten Unterstützungszeitraums des Produkts“, während der Hersteller für die Produkteigenschaften in Teil I „auf Grundlage der Cybersicherheitsrisikobewertung bestimmen muss, welche dieser Anforderungen relevant sind“. Eine beiseitegelegte Anforderung braucht „eine klare Begründung in der Cybersicherheitsrisikobewertung in der technischen Dokumentation“. Das Beispiel der FAQ sind personenbezogene Daten: Ein Produkt, dessen Zweckbestimmung keine Verarbeitung personenbezogener Daten umfasst, braucht möglicherweise keine Maßnahme zu deren Schutz, und wo eine Interoperabilitätsnorm, der das Produkt folgen muss (Erwägungsgrund 55), eine Anforderung unanwendbar macht, aber ein Risiko lässt, wird das Risiko „mit anderen Mitteln behandelt, etwa durch Beschränkung der Zweckbestimmung des Produkts auf vertrauenswürdige Umgebungen und\u002Foder durch Information der Nutzer“.\n\n**Eine Bewertung kann mehreren Rechtsakten dienen.** Eintrag 4.1.1: Ein Hersteller „kann eine einzige Risikobewertung durchführen, die die Bedürfnisse verschiedener Rechtsvorschriften abdeckt“, sofern er „die Einhaltung jeder einzelnen Rechtsvorschrift nachweisen kann“. Die Bewertung deckt „das gesamte Produkt mit digitalen Elementen ab, einschließlich der Datenfernverarbeitung, soweit im Anwendungsbereich“, und jede Phase von der Planung bis zur Wartung, für jede Stufe.\n\n**Zweckbestimmung ist, was Sie veröffentlichen.** Eintrag 4.1.4 mit Artikel 3(23): Die Zweckbestimmung ist die Verwendung, die der Hersteller „in der Gebrauchsanweisung, in Werbe- oder Verkaufsunterlagen und -aussagen sowie in der technischen Dokumentation“ angibt, und wo das Produkt es dem Nutzer erlaubt, Konfigurationen zu ändern oder die Sicherheit für Altkompatibilität herabzusetzen, gehören diese Verwendungen in die Bewertung, bekommen eine eigene Behandlung und werden in der Gebrauchsanweisung beschrieben.\n\n**Vorhersehbare Fehlanwendung gehört ebenfalls dazu.** Eintrag 4.1.5 mit Artikel 3(24): Ein Produkt „in einem unsicheren Netz“ zu betreiben, wenn die Anweisungen ein sicheres verlangen, „könnte eine vernünftigerweise vorhersehbare Fehlanwendung darstellen“, und Risiken aus vorhersehbarer Fehlanwendung „müssen ebenfalls in den Informationen und Anweisungen für die Nutzer mitgeteilt werden“ nach Anhang II Nummer 5. Das eigene Gerät aus Spaß oder zu Forschungszwecken zu hacken ist in diesem Sinne Fehlanwendung, nicht bestimmungsgemäße Verwendung.\n\n## Quellen\n\n- Verordnung (EU) 2024\u002F2847, Artikel 13 Absätze 1 bis 4 (zitiert), Artikel 13 Absatz 8 für den Unterstützungszeitraum, Artikel 31 und Anhang VII Nummer 3 für die Dokumentation, Anhang I Teile I und II. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026.\n- Europäische Kommission, FAQ zum Cyber Resilience Act, Version 1.4 vom 4. September 2026, Einträge 4.1.1 bis 4.1.5.\n\nDas ist keine Rechtsberatung. Artikel 13 Absatz 3 ist ein Absatz; lesen Sie ihn gegen Ihre eigene Bewertung und prüfen Sie, ob jeder genannte Inhalt da ist.\n",1789383976354]