[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:de:harmonisierte-normen-fuer-den-cra-was-der-normungsauftrag-m-606-verlangt-bis-wann-und-was-ein-hersteller-heute-hat":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"de","harmonisierte-normen-fuer-den-cra-was-der-normungsauftrag-m-606-verlangt-bis-wann-und-was-ein-hersteller-heute-hat","Harmonisierte Normen für den CRA: Was der Normungsauftrag M\u002F606 verlangt, bis wann, und was ein Hersteller heute hat","Artikel 27 gibt Produkten, die harmonisierten Normen mit Fundstelle im Amtsblatt folgen, eine Konformitätsvermutung. Am 3. Februar 2025 bat die Kommission CEN, CENELEC und ETSI um 41 davon, mit Fristen vom 30. August 2026 bis zum 30. Oktober 2027; die drei nahmen am 3. April 2025 an. Am 12. September 2026 hat das Verzeichnis harmonisierter Normen der Kommission noch keinen Eintrag für die Verordnung, was für ein Produkt der Klasse I bedeutet: kein Weg der Selbstbewertung nach Artikel 32(2). Was beantragt wurde, die Daten, und wogegen bis dahin zu bauen ist.","2026-09-12","\nJede Konformitätsbewertung nach der Verordnung (EU) 2024\u002F2847 kommt auf eine Frage zurück, die die Verordnung nicht allein beantworten kann: Gegen welchen technischen Text wird das Produkt bewertet? Anhang I setzt grundlegende Anforderungen in je einem Satz, und Artikel 27 sagt, wie sie prüfbar werden: „Bei Produkten mit digitalen Elementen und vom Hersteller festgelegten Verfahren, die mit harmonisierten Normen oder Teilen davon übereinstimmen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht worden sind, wird eine Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I vermutet, soweit diese Anforderungen von den betreffenden Normen oder Teilen davon abgedeckt sind“. Die Vermutung braucht drei Dinge: eine Norm, auf Auftrag der Kommission erarbeitet; ihre Annahme durch eine europäische Normungsorganisation; und ihre Fundstelle im Amtsblatt. Dieser Artikel ist der Stand jedes der drei, gelesen aus dem Auftrag selbst und von den Organisationen, die ihn angenommen haben.\n\n## Der Auftrag\n\nDer Durchführungsbeschluss C(2025) 618 der Kommission vom 3. Februar 2025 ist der Normungsauftrag, M\u002F606 in der Zählung der Kommission, gerichtet an CEN, CENELEC und ETSI nach Artikel 10(1) der Verordnung (EU) Nr. 1025\u002F2012. Artikel 1 des Beschlusses verlangt die in Anhang I des Beschlusses aufgeführten europäischen Normen zur Unterstützung des Cyber Resilience Act zu den dort gesetzten Fristen: 41 Einträge, von denen die Einträge 1 bis 15 und 39 bis 41 CEN und CENELEC zufallen und die Einträge 16 bis 38 gemeinsam von CEN, CENELEC und ETSI zu erarbeiten sind. Artikel 4 lässt die drei alle sechs Monate über den Fortschritt berichten, bis jeder Entwurf die Umfragephase erreicht hat, danach jährlich, mit einem abschließenden gemeinsamen Bericht bis zum 30. Oktober 2027; Artikel 5 lässt den Beschluss am 30. November 2027 auslaufen. CEN und CENELEC gaben am 1. Mai 2025 bekannt, dass die drei Organisationen den Auftrag am 3. April 2025 angenommen hätten, verpflichtet, harmonisierte Normen deutlich im Voraus zu liefern, mindestens ein Jahr vor Geltungsbeginn des CRA.\n\nDie 41 Einträge sind von drei Arten. Die eigenen FAQ der Kommission zur Verordnung, Frage 6.10 in Version 1.4 vom 4. September 2026, sagen, die Normungsorganisationen hätten die 15 horizontalen Normen in drei Ergebnisse gebündelt, zwei fällig bis zum 30. August 2026 und eines bis zum 30. Oktober 2027, und die 26 vertikalen Normen, in 31 gesonderten Ergebnissen bearbeitet, seien bis zum 30. Oktober 2026 fällig; der Workshop von CEN und CENELEC vom 9. April 2025 gab dieselben Daten Eintrag für Eintrag:\n\n| Einträge | Was sie sind | Wer erarbeitet | Frist |\n| --- | --- | --- | --- |\n| 1 | Der horizontale Rahmen: „Cybersicherheitsanforderungen an Produkte mit digitalen Elementen, Grundsätze der Cyberresilienz“, für Anhang I Teil I Nummer 1 | CEN und CENELEC, JTC 13 WG 9 | 30. August 2026 |\n| 2 bis 14 | Die generischen Sicherheitsanforderungen, eine je Punkt von Anhang I Teil I Nummer 2, Buchstaben (a) bis (m) | CEN und CENELEC, JTC 13 WG 9 | 30. Oktober 2027 |\n| 15 | Umgang mit Schwachstellen, für Anhang I Teil II Nummern 1 bis 8 | CEN und CENELEC, JTC 13 WG 9 | 30. August 2026 |\n| 16 bis 38 | Die vertikalen Normen für die wichtigen Produkte des Anhangs III, Klasse I und Klasse II | CEN, CENELEC und ETSI gemeinsam | 30. Oktober 2026 |\n| 39 bis 41 | Die vertikalen Normen für die kritischen Produkte des Anhangs IV | CEN und CENELEC | 30. Oktober 2026 |\n\nZwei Daten in dieser Tabelle wiegen schwerer als der Rest. Die zwei horizontalen Normen mit der frühesten Frist, der Rahmen und der Umgang mit Schwachstellen, sind die, auf die sich jede Konformitätsbewertung für jedes Produkt stützen wird, und ihre Frist war der 30. August 2026. Die vertikalen Normen für die Kategorien der Klassen I und II sind am 30. Oktober 2026 fällig, dreizehn Monate bevor die Verordnung am 11. Dezember 2027 vollständig gilt. Annahme durch die Organisationen ist keine Fundstelle: Artikel 27(6) lässt die Kommission jede angenommene Norm nach der Verordnung (EU) Nr. 1025\u002F2012 bewerten, bevor sie ihre Fundstelle veröffentlicht, und erst die Veröffentlichung gibt die Vermutung.\n\n## Was am 12. September 2026 existiert\n\nDie Kommission veröffentlicht für jeden Rechtsakt, der eine hat, eine Seite mit den harmonisierten Normen, deren Fundstellen im Amtsblatt unter ihm veröffentlicht sind; das Verzeichnis dieser Seiten führt Dutzende Rechtsakte, darunter die Maschinenverordnung, die Funkanlagenrichtlinie und die Niederspannungsrichtlinie. Am 12. September 2026 hat es keine Seite für den Cyber Resilience Act. Was auch immer CEN und CENELEC zur Frist am 30. August geliefert haben, keine Fundstelle einer harmonisierten Norm nach der Verordnung (EU) 2024\u002F2847 ist im Amtsblatt veröffentlicht, und die Konformitätsvermutung des Artikels 27 steht für kein Produkt zur Verfügung. StandardOS prüft dieses Verzeichnis monatlich; an dem Tag, an dem eine Seite erscheint, wird dieser Satz korrigiert.\n\nDas ist keine Lücke, die die Verordnung ungesichert gelassen hätte. Artikel 27(2) lässt die Kommission gemeinsame Spezifikationen durch Durchführungsrechtsakt festlegen, wenn ein Auftrag „nicht angenommen“ wurde, wenn die Normen „nicht im Rahmen der ... gesetzten Frist geliefert“ werden oder wenn sie „nicht dem Auftrag“ entsprechen, und keine Fundstelle „innerhalb eines angemessenen Zeitraums“ zu erwarten ist. Keine gemeinsame Spezifikation ist festgelegt worden. Der Auftrag wurde angenommen, sodass die erste dieser Bedingungen geschlossen ist; ob die zweite für die zwei horizontalen Normen erfüllt ist, hängt davon ab, was die Organisationen bis zum 30. August 2026 geliefert haben, was ihre halbjährlichen Berichte an die Kommission sagen werden.\n\n## Was das Fehlen für jede Stufe bedeutet\n\nFür ein Produkt der Standardstufe kostet das Fehlen eine Abkürzung, keinen Weg. Artikel 32(1) lässt den Hersteller die Konformität nach Modul A bewerten, dem Verfahren der internen Kontrolle nach Anhang VIII, ob eine harmonisierte Norm existiert oder nicht; die Norm hätte die Bewertung zur Vermutung gemacht, und ohne sie dokumentiert der Hersteller die Konformität mit jeder Anforderung des Anhangs I gegen den Stand der Technik, den er gewählt hat. [Was Modul A tatsächlich verlangt, ist ein eigener Artikel](\u002Farticles\u002Fself-assessment-under-the-cra-what-module-a-actually-requires).\n\nFür ein wichtiges Produkt der Klasse I schließt das Fehlen den Weg. Artikel 32(2) schickt ein Produkt der Klasse I zu einer notifizierten Stelle, Module B und C oder Modul H, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder europäische Schemata für die Cybersicherheitszertifizierung „nicht oder nur zum Teil angewandt“ hat oder wenn solche „nicht vorhanden“ sind. Sie sind nicht vorhanden. Ein Hersteller eines Passwortmanagers, eines VPN-Clients, eines Routers oder jeder anderen Kategorie der Klasse I hat daher heute nur den Weg über Dritte zur Konformität, und [das Register der notifizierten Stellen nach der Verordnung war leer, als es gelesen wurde](\u002Farticles\u002Fthe-eu-s-own-cra-machinery-on-the-day-the-duty-started). Beides wird sich vor dem 11. Dezember 2027 ändern, oder die Stufe ist an diesem Tag nicht bewertbar; was sich zuerst ändert, entscheidet, ob ein Hersteller der Klasse I den Kalender einer notifizierten Stelle oder den Text einer Norm braucht.\n\nFür Produkte der Klasse II und kritische Produkte ändert sich nichts: Eine notifizierte Stelle oder ein Zertifizierungsschema war immer der Weg (Artikel 32(3) und (4)).\n\n## Wogegen bis dahin zu bauen ist\n\nDie grundlegenden Anforderungen des Anhangs I gelten ab dem 11. Dezember 2027, ob eine Norm existiert oder nicht, und die Risikobewertung des Artikels 13 ist für jedes Produkt fällig, unabhängig von der Stufe. Der Auftrag sagt einem Hersteller, woraus die Normen gebaut werden: Die Rahmennorm deckt Anhang I Teil I Nummer 1 ab, die generischen Anforderungen die dreizehn Buchstaben der Nummer 2 und die Norm zum Umgang mit Schwachstellen die acht Nummern des Teils II, sodass eine heute nach diesen Punkten gegliederte technische Dokumentation sich auf die Normen abbilden lässt, wenn sie ihre Fundstelle bekommen. Die FAQ der Kommission sagen unter 4.1.7, dass die Anwendung harmonisierter Normen freiwillig ist und ein Hersteller die Konformität mit anderen technischen Mitteln nachweisen kann, dokumentiert in der technischen Dokumentation; die Entwürfe von CEN und CENELEC sind, sobald sie die Umfragephase erreichen, auf den Umfrageportalen der nationalen Normungsorganisationen öffentlich. [Anhang I als Checkliste](\u002Farticles\u002Fcra-annex-i-the-22-essential-requirements-as-a-checklist) und [was in die technische Dokumentation gehört](\u002Farticles\u002Fwhat-goes-in-the-cra-technical-file-annex-vii-point-by-point) sind die zwei Stücke, aus denen zu bauen ist; [die Stufen, und welche Kategorien Klasse I sind](\u002Farticles\u002Fis-your-product-important-or-critical-under-the-cyber-resilience-act), entscheiden, ob das Fehlen eine verlorene Abkürzung oder ein geschlossener Weg ist.\n\n## Quellen\n\n- Verordnung (EU) 2024\u002F2847 (CRA), Artikel 13, Artikel 27(1), (2) und (6), Artikel 32(1) bis (4), Artikel 71(2), Anhang I, Anhang VIII.\n- Durchführungsbeschluss C(2025) 618 der Kommission vom 3. Februar 2025 über einen Normungsauftrag an CEN, Cenelec und ETSI zu Produkten mit digitalen Elementen, Artikel 1, 4 und 5.\n- Europäische Kommission, FAQ zum Cyber Resilience Act, Version 1.4 vom 4. September 2026, Fragen 4.1.7 und 6.10.\n- CEN und CENELEC, „Cyber Resilience Act: Standardization Request Officially Accepted by CEN, CENELEC, and ETSI“, veröffentlicht am 1. Mai 2025; Workshop von CEN und CENELEC „Cyber Resilience Act and the horizontal standards“, 9. April 2025, für die Kategorien und Fristen; STAN4CR, die CRA-Normungsseite der Normungsorganisationen, für die JTC 13 WG 9 zugewiesenen Themen.\n- Europäische Kommission, harmonisierte Normen nach Rechtsvorschrift, gelesen am 12. September 2026.\n\nDies ist keine Rechtsberatung. Fristen in einem Normungsauftrag binden die Normungsorganisationen, nicht die Hersteller; die Daten, die Hersteller binden, sind die der Verordnung.\n",1789383966091]