EU-CRA: prEN 40000-1-2 – Grundsätze der Cyberresilienz

Sytance · Aktualisiert 6. Oktober 2026

Diese Seite erläutert den im Oktober 2025 zur Umfrage vorgelegten Text von prEN 40000-1-2:2025, dem Entwurf einer horizontalen Norm zu Grundsätzen für Cyberresilienz. Sie beschreibt risikobasierte Arbeiten über den gesamten Lebenszyklus, die Anhang I Teil I unterstützen, insbesondere die risikogerechte Konzeption, Entwicklung und Herstellung von Produkten mit einem angemessenen Cybersicherheitsniveau.

Entwurfsstatus

Der hier behandelte Text wurde im Oktober 2025 zur Umfrage vorgelegt. Es handelt sich um eine versionsspezifische Erläuterung dieses Entwurfs und nicht um die Aussage, dass die Umfrage noch läuft oder dies der neueste Text ist. Anforderungen können sich in späteren Fassungen ändern. Der Entwurf selbst begründet keine Konformitätsvermutung nach dem CRA.

Eintrag 1 des M/606 fordert eine europäische Norm für die Konzeption, Entwicklung und Herstellung von Produkten mit digitalen Elementen, damit diese auf Grundlage der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten. Die Frist für diesen Eintrag gemäß M/606 ist der 30. August 2026.

Verhältnis zu Anhang I

Produkte mit digitalen Elementen müssen so konzipiert, entwickelt und hergestellt werden, dass sie auf der Grundlage der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten.
Verordnung (EU) 2024/2847, Anhang I, Teil I, Nummer 1

prEN 40000-1-2 steht dieser allgemeinen Anforderung in Teil I am nächsten. Es handelt sich um eine Prozess- und Lebenszyklusnorm. Sie ersetzt weder die spezifischeren Anforderungen an die Produktsicherheit in Anhang I Teil I Nummern 2 Buchstaben a bis m noch ist sie die Norm für den Umgang mit Schwachstellen.

Grundsätze der Cybersicherheit

Klausel 5 des Entwurfs vom Oktober 2025 beschreibt vier Grundsätze für Produktplanung, Konzeption, Umsetzung, Herstellung und Wartung: risikobasierter Ansatz, Security by Design, sichere Standardeinstellungen und Transparenz.

Risikobasierter Ansatz

Sicherheitsmaßnahmen werden anhand der Produktrisiken, des vorgesehenen Verwendungszwecks und der vernünftigerweise vorhersehbaren Nutzung ausgewählt und überprüft.

Security by Design

Cybersicherheit wird in die Produktkonzeption und -entwicklung integriert, statt erst nach Fertigstellung des Produkts hinzugefügt zu werden.

Sichere Standardeinstellungen

Das Produkt wird mit einer sicheren Konfiguration bereitgestellt, die seinem vorgesehenen Verwendungszweck und seiner Betriebsumgebung entspricht.

Transparenz

Relevante Interessengruppen erhalten zugängliche und nutzbare Cybersicherheitsinformationen, damit sie die Produktsicherheit erreichen und aufrechterhalten können (Klausel 5.5).

Struktur des Risikomanagements

Der Entwurf behandelt das Risikomanagement als wiederkehrende Produktaktivität und nicht als einmaliges Formular. Zunächst wird der Produktkontext bestimmt, denn dieselbe Software oder Hardware kann je nach Anwendungsfall unterschiedliche Risiken verursachen.

Produktkontext

Risikokriterien und -methode

Risikobewertung und -behandlung

Überwachung und Überprüfung

Lebenszyklusaktivitäten

Der Entwurf setzt die Grundsätze anschließend in Lebenszyklusaktivitäten um. Diese Aktivitäten lassen sich in verschiedene Entwicklungsmodelle integrieren; entscheidend ist, dass die Sicherheitsarbeit geplant, durchgeführt, überprüft und aktuell gehalten wird.

Cybersicherheitsplanung für das Produkt;
Cybersicherheitsanforderungen an das Produkt;
Cybersicherheitsarchitektur und -entwurf;
sichere Implementierung;
Verifizierung und Validierung der Cybersicherheit;
sichere Herstellung und Bereitstellung;
Management von Cybersicherheitsproblemen;
Überwachung des Produkts;
Planung einer sicheren Außerbetriebnahme;
Management der Cybersicherheit von Komponenten Dritter.

Abgrenzung zu anderen Normen

prEN 40000-1-2 ist die Norm zu Grundsätzen und risikobasiertem Lebenszyklus. Der Umgang mit Schwachstellen gehört zu prEN 40000-1-3 Umgang mit Schwachstellen. Produktspezifische Normen können kategorienbezogene Anforderungen für Browser, Router, Firewalls, Secure Elements und andere wichtige oder kritische Produkte ergänzen.

Das Normungsprogramm zum CRA wird erläutert unter Normen und harmonisierte Normen.