CRA: Harmonisierte Normen und Konformitätsvermutung
Sytance · Aktualisiert
Die Konformität mit harmonisierten Normen kann für die darin abgedeckten Anforderungen eine Konformitätsvermutung nach dem CRA begründen, jedoch erst, wenn ihre Fundstellen im Amtsblatt veröffentlicht wurden. Normentwürfe, Arbeitspakete, Planungsunterlagen zu M/606 und Konsultationstexte können technische Arbeiten unterstützen, begründen für sich genommen aber keine rechtliche Vermutung.
Konformitätsvermutung
Für Produkte mit digitalen Elementen und vom Hersteller eingeführte Prozesse, die harmonisierten Normen oder Teilen davon entsprechen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, wird vermutet, dass sie den in Anhang I festgelegten und von diesen Normen oder Teilen davon abgedeckten grundlegenden Cybersicherheitsanforderungen entsprechen.
Verordnung (EU) 2024/2847, Artikel 27 Absatz 1
Die letzten Worte sind entscheidend. Eine Norm deckt nicht automatisch die gesamte Verordnung ab. Sie umfasst die in der veröffentlichten Fundstelle genannten Anforderungen aus Anhang I und gilt nur für Produkte und Prozesse innerhalb ihres Anwendungsbereichs.
Harmonisierte Norm
Freiwilliger technischer Weg. Eine Konformitätsvermutung entsteht erst nach Veröffentlichung ihrer Fundstelle im Amtsblatt.
Gemeinsame Spezifikation
Auffangweg der Kommission, wenn die Voraussetzungen in Artikel 27 Absatz 2 erfüllt sind und die Spezifikation die Anforderung abdeckt.
Zertifizierungssystem
Ein Europäisches Cybersicherheitszertifikat kann die Konformität für die vom System abgedeckten Anforderungen unterstützen.
Arbeitsprogramm M/606
M/606 ist der Auftrag der Kommission an CEN, CENELEC und ETSI. Die Normungsseite der Kommission beschreibt 41 angeforderte Normen, aufgeteilt in horizontale Normen und vertikale, produktspezifische Normen. CEN, CENELEC und ETSI nahmen den Auftrag am 3. April 2025 an.
Die Einträge 1 und 15 des M/606 betreffen die erste horizontale Norm zu Grundsätzen sowie die horizontale Norm zum Umgang mit Schwachstellen.
Die Einträge 16 bis 41 des M/606 betreffen wichtige und kritische Produktkategorien wie Browser, VPN-Produkte, Betriebssysteme, Router, Firewalls, Halbleiter, Smart-Home-Produkte, Wearables und Secure Elements.
Die Einträge 2 bis 14 des M/606 betreffen weitere horizontale Normen für Produkteigenschaften der Sicherheit, etwa sichere Standardeinstellungen, Updates, Zugriffskontrolle, Vertraulichkeit, Integrität, Verfügbarkeit, Verringerung der Angriffsfläche, Überwachung und Datenlöschung.
Horizontale Normen
Horizontale Normen sollen für verschiedene Produktkategorien nutzbar sein. Sie schaffen einheitliche Begriffe sowie Strukturen für Risikomanagement, Produktsicherheit und den Umgang mit Schwachstellen. Produktspezifische Normen können darauf aufbauen.
Ein gemeinsames Vokabular unterstützt horizontale und produktspezifische Normen. Die Norm ist nicht als eigenständige Norm für Produktsicherheitskontrollen zu behandeln.
Der aktuelle Entwurf erläutert Grundsätze der Cyberresilienz, risikobasierte Cybersicherheit von Produkten und Lebenszyklusaktivitäten. Eine gesonderte Erläuterung findet sich unter prEN 40000-1-2 Grundsätze für Cyberresilienz.
M/606 fordert allgemeine Sicherheitsanforderungen und Kontrollen für Produkteigenschaften nach Anhang I Teil I. Die geplante Rolle wird erläutert unter prEN 40000-1-4 öffentliche Materialien.
Der aktuelle Entwurf erläutert den Umgang mit Schwachstellen nach Anhang I Teil II. Eine gesonderte Erläuterung findet sich unter prEN 40000-1-3 Umgang mit Schwachstellen.
Die derzeit öffentlich verfügbaren Dokumente 1-2 und 1-3 sind Normentwürfe. Sie sind für die Planung nützlich, sollten aber weder als endgültige EN-Normen noch als zitierte harmonisierte Normen bezeichnet werden, solange dieser Status nicht erreicht ist.
Referenz für Produktnormen
Der Fortschritt bei produktspezifischen Normen ist aufgeführt unter Produktnormen nach Kategorie. Auf dieser Seite sind mögliche Normen für die Kategorien in Anhang III und IV aufgeführt; außerdem wird der Status der geprüften Quellen angegeben.
Darstellung, wie Normen die Anforderungen abdecken
Ein Produkt kann Normen bereits vor ihrer Zitierung als technischen Nachweis verwenden; das ist jedoch etwas anderes als eine rechtliche Konformitätsvermutung. Die technische Dokumentation sollte zeigen, welche Anforderungen durch zitierte Normen, gemeinsame Spezifikationen, Zertifizierungssysteme oder andere technische Lösungen abgedeckt sind.
Die horizontalen Entwurfsseiten werden gesondert erläutert: prEN 40000-1-2 Grundsätze für Cyberresilienz und prEN 40000-1-3 Umgang mit Schwachstellen.