CRA umsetzen: Mit EUCC und BSI-TR-03183 zur Compliance

Dieser Artikel wurde erstmals am 04.06.2025 veröffentlicht und am 03.09.2026 auf Basis des zu diesem Zeitpunkt bekannten Rechts- und Informationsstands aktualisiert.

Unsere bisherigen Beiträge zum CRA bieten eine solide Grundlage, um die Anforderungen des CRA zu verstehen und erste Schritte zur Umsetzung zu planen. In diesem Artikel gehen wir einen Schritt weiter: Wir beleuchten zwei zentrale Hilfsmittel zur praktischen Umsetzung der CRA-Anforderungen:

• Die EUCC-Zertifizierung als formalisierter technischer Nachweis
• Die BSI-Richtlinie TR-03183 als praxisnahe Auslegungshilfe

Refresher: Was fordert der CRA?

Der Cyber Resilience Act (Verordnung 2024/2847) verpflichtet Hersteller, dass ihre Produkte mit digitalen Elementen:

• sicher entwickelt
• angemessen gegen Cyberangriffe geschützt
• über den gesamten Lebenszyklus wart- und patchbar

Hersteller müssen:

• eine Cyber-Risikoanalyse vorlegen
• konkrete Sicherheitsmaßnahmen technisch umsetzen
• technischen Dokumentation nachweisen

Zwei Wege zur Umsetzung: EUCC und TR-03183

Die EUCC (European Union Common Criteria) ist eine offizielle EU-Zertifizierung für Cybersicherheit. Sie basiert auf dem Standard ISO/IEC 15408 und ermöglicht es, technische Sicherheitsfunktionen formell prüfen und zertifizieren zu lassen.

Die BSI TR-03183 ist eine hilfreiche technische Orientierungshilfe des Bundesamts für Sicherheit in der Informationstechnik (BSI). Sie beinhaltet keinen formalen Zertifizierungsprozess, ist nicht verbindlich und erzeugt keine Konformitätsvermutung. Ihre aktuellen Teile und Versionen ordnen wir weiter unten ein.

Unterschiede zwischen EUCC und TR-03183

Sowohl EUCC als auch TR-03183 zielen darauf ab, die Anforderungen des CRA umzusetzen, aber sie tun das mit sehr unterschiedlichem Anspruch, Aufwand und Zielsetzung. Hier sind die wichtigsten Unterschiede:

Rechtsstatus und Zielsetzung

Prüfverfahren und Aufwand

Gültigkeit und Anerkennung

Technische Tiefe und Formalismus

Entscheidungshilfe zur Nutzung

Für Hersteller von Produkten, die gemäß CRA nicht als wichtig oder kritisch eingestuft sind, ist eine Zertifizierung wie EUCC nicht generell verpflichtend. Stattdessen erlaubt der CRA grundsätzlich eine interne Kontrolle auf Basis einer fundierten Risikoanalyse. Die BSI TR-03183 kann dafür eine detaillierte technische Orientierung bieten. Sie reicht jedoch nicht allein aus, um CRA-Konformität abzuleiten: Hersteller müssen alle anwendbaren CRA-Anforderungen bewerten, den gewählten Konformitätsweg durchführen und die Ergebnisse nachvollziehbar dokumentieren. EUCC ist dort relevant, wo für den konkreten Produkttyp ein passendes europäisches Zertifizierungsschema genutzt werden kann und ein formaler Zertifizierungsnachweis sinnvoll oder erforderlich ist. Bei Critical Products nach Anhang IV ist nicht pauschal EUCC vorgeschrieben, sondern ein europäisches Cybersicherheitszertifizierungsschema oder ein Drittbewertungsweg gemäß Artikel 32 CRA.

Aktuelle Teile der BSI TR-03183

Die BSI TR-03183 wird fortlaufend weiterentwickelt. Zum Rechts- und Informationsstand 03.09.2026 sind diese Teile aktuell:

Für eine belastbare Umsetzung sollten Hersteller die jeweils relevante aktuelle Teilversion, Bezugsquelle, Anwendbarkeit und offene Lücken pro Produkt dokumentieren. Die Technischen Richtlinien sind eine Vorbereitungshilfe und können durch künftig verfügbare harmonisierte europäische Normen ersetzt werden.

Hersteller, die mit den jeweils einschlägigen aktuellen Teilen der TR-03183 arbeiten, schaffen eine strukturierte Grundlage für ihre technische Dokumentation und Konformitätsbewertung. Die Anwendung ersetzt jedoch weder eine spätere EUCC-Zertifizierung noch eine eigene Konformitätserklärung.

EUCC-Zertifizierung

Wenn eine interne Konformitätsbewertung nicht ausreicht oder ein passendes Zertifizierungsschema für den Produkttyp genutzt werden soll, ist der Schritt zur EUCC-Zertifizierung zu prüfen.

1. Hersteller: Definiert den Scope (TOE) und liefert Doku.
2. Prüflabor (ITSEF): Bewertet Design, führt Tests & Pen-Tests durch.
3. Zertifizierungsstelle (CAB): Validiert alles und vergibt das EUCC-Zertifikat.

Für den CRA lässt sich kein pauschales EUCC-Level festschreiben. Welches Assurance-Level sinnvoll ist, hängt vom Produkttyp, dem anwendbaren Schema und dem angestrebten Nachweis ab.

Das EUCC-Schema orientiert sich an den sogenannten Evaluation Assurance Levels (EALs) aus den Common Criteria. Dabei beschreibt EAL2 ein grundlegendes Niveau an Sicherheitsprüfung – inklusive strukturierter Tests, Überprüfung von Design-Dokumentation und einer systematischen Schwachstellenanalyse. Das Plus-Symbol (EAL2+) steht für zusätzliche, individuell gewählte Prüfkomponenten (z. B. AVA_VAN.3 statt AVA_VAN.2), die über das Minimum hinausgehen, aber noch nicht den vollen Umfang von EAL3 oder höher erreichen.

Laut ENISA – EUCC Scheme ist das Zertifizierungsniveau „substantial“ ein typisches Ziel für viele Produkte unterhalb der Hochsicherheitsklasse. Daraus folgt jedoch nicht automatisch, dass es für jedes CRA-Produkt ausreicht. Ob ein EUCC-Nachweis die Konformitätsvermutung nach Art. 27 CRA unterstützt, hängt davon ab, dass ein einschlägiges europäisches Zertifizierungsschema für den Produkttyp existiert und die relevanten Anforderungen tatsächlich abdeckt.

Fazit: EUCC und TR-03183 als strategische Werkzeuge

Mit der EUCC-Zertifizierung steht ein europaweit anerkanntes Verfahren bereit, das geprüfte Sicherheit dokumentiert. Die BSI TR-03183 liefert dazu eine praxisnahe technische Orientierung für alle, die sich systematisch vorbereiten oder intern evaluieren möchten.

Beide Ansätze ergänzen sich und ermöglichen eine fundierte, effiziente und revisionssichere Umsetzung des CRA. Die EUCC ist dabei kein pauschaler Pflichtweg, sondern ein starkes Instrument dort, wo das Schema zum Produkttyp und zum geforderten Nachweis passt. TR-03183 bildet die pragmatische Brücke dorthin.

Unser CRA-Workshop bietet Ihnen einen kompakten Einstieg und hilft, betroffene Produkte und Pflichten zu identifizieren.