Der EU Cyber Resilience Act (CRA) – Ein Praxisleitfaden für Hersteller

Der Cyber Resilience Act (CRA) stellt eine der bedeutendsten Änderungen der europäischen Produktgesetzgebung der letzten Jahre dar. Während Hersteller bislang in erster Linie die Einhaltung von Anforderungen an elektrische Sicherheit, elektromagnetische Verträglichkeit (EMV) und Funktechnik nachweisen mussten, wird Cybersicherheit nun zu einer gleichwertigen regulatorischen Anforderung.

Mit dem Cyber Resilience Act werden verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen eingeführt, die auf dem europäischen Markt bereitgestellt werden. Im Gegensatz zu bisherigen Vorschriften beschränkt sich der CRA nicht auf die Produktentwicklung vor dem Inverkehrbringen. Er verpflichtet Hersteller auch dazu, während des gesamten unterstützten Produktlebenszyklus Prozesse für das Management von Schwachstellen sowie die Bereitstellung von Sicherheitsupdates zu etablieren.

Für viele Unternehmen bedeutet dies einen grundlegenden Wandel. Cybersicherheit ist nicht länger ausschließlich ein Thema der IT oder Softwareentwicklung, sondern wird zu einem festen Bestandteil der Produktkonformität. Sie sollte daher bereits in den frühen Phasen der Produktentwicklung ebenso berücksichtigt werden wie Funk (RF), EMV und elektrische Sicherheit.

Dieser Leitfaden erläutert:

• Welche Produkte unter den Anwendungsbereich des CRA fallen
• Welche Produkte grundsätzlich ausgenommen sind
• Den Umsetzungszeitplan
• Die verschiedenen Produktkategorien des CRA
• Das Verfahren der Konformitätsbewertung
• Die Rolle Benannter Stellen und Prüflabore
• Harmonisierte Normen
• Meldepflichten bei Sicherheitsvorfällen
• Sanktionen bei Nichteinhaltung
• Das Zusammenspiel des CRA mit anderen europäischen Produktvorschriften

Die offiziellen Rechtsquellen finden Sie hier:

• Verordnung (EU) 2024/2847 (Cyber Resilience Act)
• Europäische Kommission – Cyber Resilience Act

Was ist der Cyber Resilience Act?

Der Cyber Resilience Act führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Products with Digital Elements – PDE) ein.

Nach der Verordnung ist ein Produkt mit digitalen Elementen grundsätzlich jedes Hardware- oder Softwareprodukt, dessen bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem anderen Gerät oder Netzwerk umfasst.

Diese Definition wurde bewusst sehr weit gefasst.

Viele Hersteller gehen zunächst davon aus, dass der CRA ausschließlich für Computer oder klassische Netzwerkgeräte gilt. Tatsächlich erfasst die Verordnung jedoch eine deutlich größere Bandbreite industrieller und privater Produkte.

Hierzu zählen beispielsweise:

• Router
• Netzwerk-Switches
• Wireless Access Points
• Industrielle Gateways
• SPS-Steuerungen (PLCs)
• Frequenzumrichter (Variable Frequency Drives)
• Gebäudeautomationssteuerungen
• Intelligente Sensoren
• IoT-Produkte für Endverbraucher
• Smart-Home-Geräte
• Vernetzte Haushaltsgeräte
• Industrielle Bedienpanels (HMIs)
• Ladeeinrichtungen für Elektrofahrzeuge
• Intelligente Beleuchtungssysteme
• Vernetzte Laborgeräte
• Embedded Software
• Mobile Anwendungen
• Eigenständige Softwareprodukte

Entscheidend ist dabei nicht, ob ein Produkt elektrisch, elektronisch oder elektromechanisch ist.

Die entscheidende Frage lautet vielmehr:

Enthält das Produkt digitale Elemente, die mit einem anderen Gerät oder einem Netzwerk kommunizieren?

Ist dies der Fall, sollte geprüft werden, ob der Cyber Resilience Act Anwendung findet.

Auch klassische Industrieprodukte können betroffen sein

Ein häufiges Missverständnis besteht darin, dass traditionelle elektromechanische Produkte grundsätzlich außerhalb des Anwendungsbereichs des CRA liegen.

Dies ist jedoch nicht zwangsläufig der Fall.

Betrachten wir beispielsweise einen Motorcontroller.

Ein konventioneller Motorcontroller ohne digitale Kommunikationsschnittstellen kann außerhalb des Geltungsbereichs des CRA liegen.

Verfügt derselbe Controller jedoch über eine oder mehrere der folgenden Kommunikationsmöglichkeiten,

• Ethernet
• WLAN (Wi-Fi)
• Bluetooth
• Mobilfunk
• USB-Kommunikation
• CAN-Bus
• RS-485
• Modbus TCP
• PROFINET
• EtherCAT
• IO-Link

oder vergleichbare digitale Kommunikationsfunktionen, kann er als Produkt mit digitalen Elementen eingestuft werden und somit unter den Cyber Resilience Act fallen.

Dasselbe Prinzip gilt für zahlreiche Industrieprodukte, die bisher nicht als klassische Cybersecurity-Produkte betrachtet wurden.

Beispiele hierfür sind:

• Industrielle Sensoren
• Temperaturregler
• HVAC-/HLK-Steuerungen
• Intelligente Stromzähler
• Lichtsteuerungen
• Batteriemanagementsysteme
• Gebäudeautomationsgeräte
• Industrieroboter
• Mess- und Prüfgeräte

Cybersicherheitsvorschriften beschränken sich somit längst nicht mehr auf klassische IT-Produkte. Sie betreffen zunehmend auch vernetzte Industrie- und Automatisierungstechnik.

Welche Produkte sind grundsätzlich ausgenommen?

Der Cyber Resilience Act gilt nicht für jedes vernetzte Produkt.

Bestimmte Produkte unterliegen bereits sektorspezifischen europäischen Rechtsvorschriften, die eigene Anforderungen an die Cybersicherheit enthalten. In diesen Fällen findet der CRA grundsätzlich keine Anwendung.

Hierzu gehören unter anderem bestimmte:

• Medizinprodukte
• In-vitro-Diagnostika (IVDs)
• Produkte der zivilen Luftfahrt
• Kraftfahrzeuge
• Schiffsausrüstungen

Hersteller sollten daher zunächst prüfen, ob für ihr Produkt bereits eine sektorspezifische Gesetzgebung existiert, die Anforderungen an die Cybersicherheit regelt, bevor sie davon ausgehen, dass der Cyber Resilience Act anwendbar ist.

Die Europäische Kommission stellt hierzu ergänzende Informationen und Leitfäden bereit.

Zeitplan zur Umsetzung

Obwohl der Cyber Resilience Act bereits im Jahr 2024 in Kraft getreten ist, bleibt den Herstellern noch Zeit, sich auf die neuen Anforderungen vorzubereiten.

Diese Übergangsfrist sollte jedoch nicht unterschätzt werden. Die Umsetzung der neuen Anforderungen – insbesondere hinsichtlich Produktentwicklung, technischer Dokumentation und interner Prozesse – kann erheblichen Aufwand verursachen.

Die wichtigsten Meilensteine sind:

Datum	Meilenstein
10. Dezember 2024	Inkrafttreten des Cyber Resilience Act
11. Juni 2026	Vorschriften zur Benennung und Notifizierung Benannter Stellen werden anwendbar
11. September 2026	Verpflichtende Meldung ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle tritt in Kraft
11. Dezember 2027	Vollständige Anwendung des Cyber Resilience Act

Die Übergangszeit bis Ende 2027 soll Herstellern ausreichend Gelegenheit geben, ihre Produkte, Entwicklungsprozesse und Dokumentationen an die neuen gesetzlichen Anforderungen anzupassen.

Unternehmen, die bereits heute vernetzte Produkte entwickeln, sollten jedoch nicht bis 2027 warten. Cybersicherheit sollte bereits jetzt als integraler Bestandteil neuer Produktentwicklungen berücksichtigt werden.

Produktkategorien

Der Cyber Resilience Act unterteilt Produkte mit digitalen Elementen in vier unterschiedliche Kategorien.

Ein wichtiger Punkt wird dabei häufig missverstanden:

Die Einstufung erfolgt nicht anhand einzelner Komponenten, die im Produkt verbaut sind.

Vielmehr richtet sie sich nach der Funktion des Endprodukts.

So kann beispielsweise derselbe Prozessor oder dasselbe Funkmodul in unterschiedlichen Produkten verbaut sein. Je nachdem, welche Funktion das fertige Produkt erfüllt, kann es jedoch einer völlig anderen Produktkategorie zugeordnet werden.

Standardkategorie (Default Category)

Der überwiegende Teil aller vernetzten Produkte fällt in die Standardkategorie.

Typische Beispiele sind:

• Intelligente Beleuchtungssysteme
• Vernetzte Haushaltsgeräte
• Umweltsensoren
• IoT-Produkte für Endverbraucher
• Gebäudeautomationsgeräte
• Vernetzte Industrieprodukte
• Intelligente Energiesysteme
• Unterhaltungselektronik

Für diese Produkte gilt in der Regel das Konformitätsbewertungsverfahren Interne Fertigungskontrolle (Internal Production Control).

Was bedeutet das?

Der Hersteller führt die Konformitätsbewertung eigenverantwortlich durch.

Eine Benannte Stelle (Notified Body) ist grundsätzlich nicht erforderlich.

Ebenso besteht keine Verpflichtung, ein externes Prüflabor einzubeziehen.

Der Hersteller ist selbst verantwortlich für:

• die Erstellung der Technischen Dokumentation,
• den Nachweis der Erfüllung der grundlegenden Cybersicherheitsanforderungen,
• die Ausstellung der EU-Konformitätserklärung,
• das Anbringen der CE-Kennzeichnung.

Dies bedeutet jedoch keineswegs, dass die Bewertung einfach oder weniger anspruchsvoll ist.

Der Hersteller muss jederzeit in der Lage sein, gegenüber den Marktüberwachungsbehörden nachzuweisen, dass sein Produkt sämtliche Anforderungen des Cyber Resilience Act erfüllt.

Wichtige Produkte – Klasse I (Important Class I)

Produkte der Important Class I erfüllen sicherheitsrelevante Funktionen im Bereich der Cybersicherheit und werden deshalb als risikobehafteter eingestuft als Produkte der Standardkategorie.

Der CRA nennt unter anderem folgende Beispiele:

• Passwortmanager
• VPN-Produkte
• Identitätsmanagementsysteme
• Software für sichere Kommunikation
• Smart-Home-Sicherheitssteuerungen

Da von diesen Produkten ein höheres Cybersicherheitsrisiko ausgehen kann, gelten strengere Anforderungen an die Konformitätsbewertung.

Konformitätsbewertung

Im Gegensatz zur Standardkategorie ist bei Produkten der Important Class I grundsätzlich die Einbindung einer Benannten Stelle erforderlich.

In der Praxis arbeiten Hersteller hierfür meist mit einem Prüflabor oder einer Zertifizierungsorganisation zusammen, das beziehungsweise die als Benannte Stelle fungiert oder über eine entsprechende Benannte Stelle verfügt.

Je nach Produkt und gewähltem Konformitätsbewertungsverfahren kann die Bewertung unter anderem folgende Elemente umfassen:

• Prüfung der Technischen Dokumentation
• Bewertung der implementierten Cybersicherheitsmaßnahmen
• Beurteilung der sicheren Entwicklungsprozesse des Herstellers
• Analyse der Systemarchitektur
• Funktionale Demonstrationen
• Laborprüfungen, sofern erforderlich

Ein wichtiger Aspekt sollte dabei beachtet werden:

Der Cyber Resilience Act sieht vor, dass bestimmte Produkte der Important Class I künftig wieder im Verfahren der Internen Fertigungskontrolle bewertet werden können, sobald geeignete harmonisierte europäische Normen verfügbar sind und vollständig angewendet werden.

In diesem Fall wäre die Beteiligung einer Benannten Stelle nicht mehr erforderlich.

Mit der Veröffentlichung harmonisierter CRA-Normen dürfte diese Möglichkeit in den kommenden Jahren zunehmend an Bedeutung gewinnen.

Wichtige Produkte – Klasse II (Important Class II)

Produkte der Important Class II erfüllen Cybersicherheitsfunktionen, die als besonders kritisch eingestuft werden und daher strengeren regulatorischen Anforderungen unterliegen als Produkte der Standardkategorie oder der Important Class I.

Typische Beispiele, die im Cyber Resilience Act aufgeführt sind, sind:

• Router
• Netzwerk-Switches
• Firewalls
• Intrusion Detection Systeme (IDS)
• Intrusion Prevention Systeme (IPS)
• Hypervisoren

Diese Produkte bilden häufig einen wesentlichen Bestandteil der IT- und Kommunikationsinfrastruktur. Sie schützen Netzwerke oder steuern den Datenverkehr zwischen verschiedenen Systemen. Sicherheitslücken oder Fehlfunktionen können daher deutlich schwerwiegendere Auswirkungen haben als bei gewöhnlichen vernetzten Produkten.

Konformitätsbewertung

Im Gegensatz zur Standardkategorie ist eine reine Hersteller-Selbstbewertung für Produkte der Important Class II nicht zulässig.

Stattdessen muss im Rahmen der Konformitätsbewertung zwingend eine Benannte Stelle (Notified Body) eingebunden werden.

In der Praxis arbeiten Hersteller hierfür in der Regel mit einem Prüflabor oder einer Zertifizierungsorganisation zusammen, die als Benannte Stelle tätig ist oder über eine entsprechende Benannte Stelle verfügt.

Je nach Produkt und Risikoprofil kann die Bewertung unter anderem folgende Aspekte umfassen:

• Prüfung der Technischen Dokumentation
• Bewertung der implementierten Cybersicherheitsmaßnahmen
• Beurteilung der sicheren Entwicklungsprozesse
• Bewertung der Prozesse zum Umgang mit Schwachstellen (Vulnerability Handling)
• Cybersicherheitsprüfungen
• Ergänzende Laborprüfungen, sofern erforderlich

Im Vergleich zu Produkten der Important Class I erfolgt die Bewertung in der Regel deutlich umfassender, da diese Produktgruppe eine höhere sicherheitsrelevante Bedeutung besitzt.

Kritische Produkte (Critical Products)

Für Produkte mit dem höchsten Cybersicherheitsrisiko definiert der Cyber Resilience Act eine eigene Kategorie.

Hierzu gehören insbesondere Produkte, die als Vertrauensanker innerhalb digitaler Infrastrukturen dienen.

Beispiele sind:

• Hardware Security Modules (HSM)
• Smart Meter Gateways
• Smartcards
• Secure Elements
• Qualifizierte Signaturerstellungseinrichtungen

Diese Produkte bilden häufig die Grundlage sicherer digitaler Infrastrukturen. Ein erfolgreicher Angriff auf eines dieser Produkte kann weitreichende Auswirkungen auf zahlreiche weitere Systeme haben.

EU-Baumusterprüfung (EU Type Examination)

Für kritische Produkte ist eine EU-Baumusterprüfung (EU Type Examination) vorgeschrieben.

Sie stellt das anspruchsvollste Konformitätsbewertungsverfahren des Cyber Resilience Act dar.

Während bei Produkten der Important Class I und II vor allem bewertet wird, ob der Hersteller die Einhaltung der Anforderungen ausreichend nachgewiesen hat, steht bei der EU-Baumusterprüfung das Produkt selbst im Mittelpunkt.

Die Benannte Stelle prüft dabei eigenständig unter anderem:

• die Produktarchitektur,
• das Hardwaredesign,
• die Softwareimplementierung,
• die Technische Dokumentation,
• die umgesetzten Cybersicherheitsmaßnahmen,
• das Sicherheitskonzept,
• die vorgelegten technischen Nachweise.

Falls erforderlich, können zusätzlich Laborprüfungen oder weitergehende technische Untersuchungen durchgeführt werden.

Erfüllt das Produkt sämtliche anwendbaren Anforderungen, stellt die Benannte Stelle eine EU-Baumusterprüfbescheinigung aus.

Erst nach erfolgreichem Abschluss dieser Prüfung kann der Hersteller das weitere Konformitätsbewertungsverfahren abschließen und die CE-Kennzeichnung anbringen.

Harmonisierte Normen

Eine der häufigsten Fragen von Herstellern lautet derzeit:

„Welche harmonisierten Normen sollen wir anwenden?“

Die kurze Antwort lautet:

Die meisten existieren derzeit noch nicht.

Die Europäische Kommission hat die europäischen Normungsorganisationen bereits mit der Erarbeitung harmonisierter Normen zur Unterstützung des Cyber Resilience Act beauftragt.

Sobald diese Normen im Amtsblatt der Europäischen Union (Official Journal of the European Union – OJEU) veröffentlicht werden, profitieren Hersteller bei deren Anwendung von einer Konformitätsvermutung hinsichtlich der entsprechenden grundlegenden Cybersicherheitsanforderungen des CRA.

Es ist jedoch wichtig zu verstehen, was dies bedeutet.

Die Anwendung harmonisierter Normen ist grundsätzlich freiwillig.

Hersteller können auch andere technische Lösungen verwenden.

In diesem Fall müssen sie jedoch nachweisen und begründen können, dass ihre gewählte Lösung sämtliche grundlegenden Anforderungen des Cyber Resilience Act erfüllt.

Für bestimmte Produkte der Important Class I können harmonisierte Normen künftig zusätzlich den Vorteil bieten, dass die Konformitätsbewertung wieder über die Interne Fertigungskontrolle erfolgen kann. Die Einbindung einer Benannten Stelle wäre dann nicht mehr erforderlich.

Mit zunehmender Veröffentlichung harmonisierter CRA-Normen dürfte dieser Weg künftig erheblich an Bedeutung gewinnen.

Grundlegende Cybersicherheitsanforderungen

Im Gegensatz zu den Anforderungen der EMV- oder Funkrichtlinien schreibt der Cyber Resilience Act keine festen Prüfprogramme oder einzelnen Prüfungen vor.

Stattdessen definiert der CRA sogenannte grundlegende Cybersicherheitsanforderungen (Essential Cybersecurity Requirements), die jedes betroffene Produkt erfüllen muss.

Diese Anforderungen umfassen unter anderem:

• Security by Design – Cybersicherheit muss bereits während der Produktentwicklung berücksichtigt werden.
• Angemessenes Management von Cybersicherheitsrisiken über den gesamten Produktlebenszyklus.
• Schutz vor unbefugtem Zugriff auf Systeme und Daten.
• Sichere Standardeinstellungen (Secure by Default), sodass Produkte bereits im Auslieferungszustand möglichst sicher konfiguriert sind.
• Schutz der Vertraulichkeit und Integrität von Daten.
• Sichere Authentifizierungsmechanismen.
• Protokollierung (Logging) sicherheitsrelevanter Ereignisse, sofern erforderlich.
• Management von Schwachstellen (Vulnerability Management).
• Bereitstellung von Sicherheitsupdates während der vorgesehenen Produktlebensdauer.
• Schutz gespeicherter und übertragener Daten.

Wie diese Anforderungen konkret umgesetzt werden, hängt stets vom jeweiligen Produkt, dessen Verwendungszweck sowie den im Rahmen der Risikobewertung identifizierten Cybersicherheitsrisiken ab.

Der CRA schreibt daher keine einheitliche technische Lösung vor, sondern fordert, dass der Hersteller nachweisen kann, dass die gewählten Maßnahmen für das jeweilige Produkt angemessen und wirksam sind.

Verlangt der Cyber Resilience Act Laborprüfungen?

Diese Frage wird häufig gestellt und führt regelmäßig zu Missverständnissen.

Die Antwort lautet:

Nicht zwangsläufig.

Der Cyber Resilience Act verlangt in erster Linie einen Nachweis der Konformität, nicht jedoch ein fest definiertes Prüfprogramm, wie es beispielsweise aus der EMV- oder Funkzulassung bekannt ist.

Ist im Rahmen der Konformitätsbewertung jedoch eine Benannte Stelle einzubeziehen, arbeitet der Hersteller in der Praxis häufig mit einem Prüflabor oder einer Zertifizierungsorganisation zusammen.

Je nach Produkt und gewähltem Konformitätsbewertungsverfahren können dabei unter anderem folgende Aktivitäten erforderlich sein:

• Prüfung der Technischen Dokumentation
• Bewertung der implementierten Cybersicherheitsmaßnahmen
• Analyse der Systemarchitektur
• Überprüfung der Software
• Penetrationstests
• Laborprüfungen
• oder eine Kombination dieser Maßnahmen

Im Gegensatz zu klassischen EMV- oder Funkprüfungen existiert jedoch kein universelles Prüfprogramm, das auf jedes Produkt gleichermaßen angewendet werden kann.

Welche Nachweise erforderlich sind, richtet sich nach:

• dem jeweiligen Produkt,
• den identifizierten Cybersicherheitsrisiken sowie
• dem anwendbaren Konformitätsbewertungsverfahren.

Meldung von Schwachstellen (Vulnerability Reporting)

Mit dem Cyber Resilience Act werden erstmals umfassende Pflichten eingeführt, die über das Inverkehrbringen eines Produkts hinausgehen.

Hersteller müssen geeignete Prozesse etablieren, um:

• Schwachstellen kontinuierlich zu überwachen,
• gemeldete Schwachstellen zu bewerten,
• erforderlichenfalls Sicherheitsupdates bereitzustellen und
• mit den zuständigen Behörden zusammenzuarbeiten.

Ab dem 11. September 2026 gelten verbindliche Meldepflichten für aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle.

Die Meldungen erfolgen über die von ENISA bereitgestellte Single Reporting Platform.

Damit wird deutlich, dass Cybersicherheit künftig nicht mehr mit dem Inverkehrbringen eines Produkts endet, sondern während der gesamten vorgesehenen Produktlebensdauer aktiv gemanagt werden muss.

Meldefristen

Die vom Cyber Resilience Act vorgesehenen Meldefristen sind bewusst kurz gehalten.

Hersteller sollten daher bereits frühzeitig interne Prozesse zur Behandlung von Sicherheitsvorfällen einrichten.

Typische Fristen sind:

Frist	Anforderung
Innerhalb von 24 Stunden	Erste Warnmeldung nach Bekanntwerden einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Sicherheitsvorfalls
Innerhalb von 72 Stunden	Detailliertere Meldung mit den verfügbaren technischen Informationen
Innerhalb von 14 Tagen	Informationen über verfügbare Gegenmaßnahmen oder Sicherheitsupdates
Innerhalb eines Monats	Abschlussbericht mit Ursachenanalyse, Auswirkungen und den ergriffenen Korrekturmaßnahmen

Da diese Verpflichtungen während der gesamten unterstützten Produktlebensdauer gelten, sollten Hersteller entsprechende Prozesse bereits bei der Entwicklung neuer Produkte berücksichtigen.

Sanktionen bei Nichteinhaltung

Der Cyber Resilience Act verleiht den Marktüberwachungsbehörden weitreichende Befugnisse.

Stellt sich heraus, dass ein Produkt die Anforderungen des CRA nicht erfüllt, können die Behörden unter anderem:

• das Inverkehrbringen untersagen,
• Korrekturmaßnahmen anordnen,
• die Bereitstellung auf dem Markt aussetzen,
• den Rückzug eines Produkts vom Markt verlangen,
• Produktrückrufe anordnen,
• behördliche Entscheidungen veröffentlichen.

Darüber hinaus verpflichtet der CRA die Mitgliedstaaten zur Einführung wirksamer, verhältnismäßiger und abschreckender Sanktionen.

Die Verordnung sieht unter anderem folgende maximale Bußgelder vor:

• bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des Herstellers – je nachdem, welcher Betrag höher ist – bei bestimmten besonders schwerwiegenden Verstößen,
• bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei weiteren festgelegten Verstößen,
• bis zu 5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes, wenn Behörden vorsätzlich oder fahrlässig unrichtige, unvollständige oder irreführende Informationen übermittelt werden.

Welche Sanktion im Einzelfall verhängt wird, richtet sich nach Art und Schwere des jeweiligen Verstoßes sowie den einschlägigen Bestimmungen der Verordnung.

Zusammenhang mit anderen europäischen Produktvorschriften

Der Cyber Resilience Act ersetzt bestehende europäische Produktvorschriften nicht.

Vielmehr müssen Hersteller in vielen Fällen mehrere Rechtsvorschriften gleichzeitig erfüllen.

Ein vernetztes Funkprodukt kann beispielsweise gleichzeitig den Anforderungen folgender Rechtsvorschriften unterliegen:

• Cyber Resilience Act (CRA)
• Funkanlagenrichtlinie (Radio Equipment Directive – RED)
• EMV-Richtlinie (EMC Directive)
• Niederspannungsrichtlinie (Low Voltage Directive – LVD), sofern anwendbar
• RoHS-Richtlinie
• Ökodesign-Anforderungen
• Weitere sektorspezifische Rechtsvorschriften, sofern diese für das jeweilige Produkt gelten

Cybersicherheit sollte daher nicht erst kurz vor der Zertifizierung berücksichtigt werden. Wie bereits bei Funk, EMV und Produktsicherheit empfiehlt es sich, entsprechende Anforderungen bereits zu Beginn der Produktentwicklung in den Entwicklungsprozess zu integrieren.

Eine frühzeitige Berücksichtigung reduziert das Risiko kostspieliger Designänderungen, vermeidet Verzögerungen während der Konformitätsbewertung und erleichtert den späteren Marktzugang.

Fazit

Der Cyber Resilience Act verändert grundlegend, wie vernetzte Produkte innerhalb der Europäischen Union entwickelt, bewertet und in Verkehr gebracht werden.

Cybersicherheit ist künftig keine optionale Zusatzfunktion und auch kein ausschließliches Softwarethema mehr. Sie wird zu einer verbindlichen Anforderung der Produktkonformität und damit zu einem festen Bestandteil des gesamten Entwicklungs- und Zulassungsprozesses.

Unternehmen, die bereits heute geeignete Prozesse etablieren und Cybersicherheitsanforderungen frühzeitig in ihre Produktentwicklung integrieren, schaffen eine solide Grundlage für die zukünftige Konformität ihrer Produkte. Gleichzeitig lassen sich aufwendige Nacharbeiten, zusätzliche Entwicklungskosten und Verzögerungen bei der Markteinführung vermeiden.

Der CRA sollte daher nicht lediglich als weitere regulatorische Verpflichtung verstanden werden, sondern auch als Chance, die Sicherheit und Qualität vernetzter Produkte nachhaltig zu verbessern.

Wie ScopeRight Hersteller unterstützt

Bei ScopeRight kombinieren wir spezialisierte Compliance-Software mit langjähriger regulatorischer Erfahrung.

Unsere Plattform unterstützt Hersteller dabei, bereits vor Beginn der Prüfungen die für ihr Produkt relevanten Anforderungen in den Bereichen Funk (RF), EMV, Produktsicherheit und Cybersicherheit zu identifizieren. Dadurch können produktspezifische Konformitätsanforderungen frühzeitig bestimmt, internationale Zertifizierungsstrategien entwickelt und weltweite Marktzugänge effizient geplant werden.

Doch Produktkonformität lässt sich nicht in jedem Fall vollständig automatisieren. Produktvarianten, unterschiedliche Funktechnologien, Zielmärkte sowie nationale und internationale Rechtsvorschriften erfordern häufig eine technische Bewertung und regulatorische Erfahrung, die über eine reine Softwarelösung hinausgehen.

Deshalb wird ScopeRight von erfahrenen Compliance-Spezialisten unterstützt, die über umfassende Expertise im Bereich internationaler Produktzulassungen verfügen und Hersteller bei komplexen regulatorischen Fragestellungen begleiten.

Ganz gleich, ob Sie eine schnelle Bewertung der Konformitätsanforderungen über unsere Plattform benötigen oder Unterstützung bei anspruchsvollen internationalen Zulassungsprojekten suchen – ScopeRight verbindet leistungsfähige Software mit fundierter regulatorischer Beratung und begleitet Sie zuverlässig auf dem Weg zur erfolgreichen Produktkonformität.