Harmonisierte Standards für den CRA – Stand der Dinge

Dieser Artikel wurde erstmals am 04.03.2026 veröffentlicht und am 03.09.2026 auf Basis des zu diesem Zeitpunkt bekannten Rechts- und Informationsstands aktualisiert.

Harmonisierte europäische Normen, kurz hEN, entstehen auf Basis eines Normungsauftrags der Europäischen Kommission an CEN, CENELEC oder ETSI. Ein Produkt profitiert nach Artikel 27 CRA von einer Konformitätsvermutung, wenn es einer im Amtsblatt der Europäischen Union zitierten harmonisierten Norm oder ihrem einschlägigen Teil entspricht. Die Vermutung gilt nur für die grundlegenden Anforderungen aus Anhang I, welche die Norm tatsächlich abdeckt.

Nicht alle Produktkategorien folgen dabei demselben Konformitätsbewertungsweg. Die folgende Einordnung beschreibt Herstellerprodukte, die nicht als freie und quelloffene Software qualifizieren. Für freie und quelloffene Software können Hersteller von Important Products der Class I und II nach Artikel 32 Absatz 3 das interne Kontrollverfahren nutzen, wenn sie die technische Dokumentation öffentlich bereitstellen.

• Default-Kategorie: Das interne Kontrollverfahren nach Modul A ist grundsätzlich möglich.
• Important Product Class I: Modul A ist nur möglich, wenn vollständig angewendete harmonisierte Normen oder gemeinsame Spezifikationen (Common Specifications) alle einschlägigen grundlegenden Anforderungen aus Anhang I abdecken. Alternativ muss ein europäisches Cybersicherheitszertifizierungsschema, das die Kommission dafür vorgesehen hat, diese Anforderungen abdecken und seine Voraussetzungen müssen erfüllt sein. Andernfalls ist eine Drittbewertung erforderlich.
• Important Product Class II: Ein reguläres Modul-A-Self-Assessment ist nicht möglich. Erforderlich sind EU-Baumusterprüfung und interne Fertigungskontrolle (B+C), vollständige Qualitätssicherung (Modul H) oder ein europäisches Cybersicherheitszertifizierungsschema, wenn die Kommission es für diesen Nachweis vorgesehen hat.
• Critical Product: Ein reguläres Self-Assessment ist nicht vorgesehen. Der Nachweis erfolgt über ein anwendbares europäisches Cybersicherheitszertifizierungsschema oder, wenn dessen Voraussetzungen nicht erfüllt sind, über einen Drittbewertungsweg entsprechend Artikel 32.

Die Details und Ausnahmen stehen in Artikel 32 CRA. Wer bereits andere EU-Vorschriften erfüllt, bringt häufig nutzbare Prozesse und Nachweise mit. Mehr dazu findest du in unserem Artikel: Der Cyber Resilience Act und angrenzende EU-Vorschriften.

Normungsauftrag M/606

Die Europäische Kommission hat mit dem Normungsauftrag M/606 eine klare Richtung vorgegeben. Beauftragt sind CEN, CENELEC und ETSI, insgesamt 41 horizontale und vertikale beziehungsweise produktspezifische Standards zu entwickeln.

Horizontale Normen behandeln produktübergreifende Themen wie Schwachstellenmanagement, sichere Entwicklungsprozesse und grundlegende Sicherheitsanforderungen. Vertikale Normen ergänzen sie für bestimmte Produktkategorien aus Anhang III und IV. Zusätzlich entwickeln die europäischen Normungsorganisationen unterstützende Dokumente zu Terminologie, sektoralen Risikobewertungsmethoden und einem gemeinsamen Bedrohungskatalog. Eine Übersicht zum Gesamtauftrag bietet die Normungsseite der EU-Kommission.

JRC/ENISA-Report als Mapping-Basis

Der JRC137340-Report des Joint Research Centre (JRC) und der Agentur der Europäischen Union für Cybersicherheit (ENISA) bleibt eine gute Basis, um bestehende Cybersicherheitsnormen den Anforderungen des damaligen CRA-Entwurfs zuzuordnen. Die gemeinsame Analyse aus April 2024 bewertet den Abdeckungsgrad vorhandener Standards, ist jedoch kein aktueller Statusbericht zur CRA-Normung und kein Nachweis für die Konformität mit dem finalen Anhang I.

Der Report ist für Hersteller unmittelbar praktisch, weil er Kombinationen bestehender Standards wie IEC 62443, EN 303 645 oder ISO 27001 einordnet und offene Lücken sichtbar macht. Aktuelle Auslegungsfragen zu Scope, Supportzeitraum, wesentlicher Änderung und Risikobewertung behandelt zusätzlich die Kommissions-Guidance vom 27. Juli 2026.

Wo findet man den aktuellen Normungsstand?

Die Normung verändert sich laufend. Ein Statusartikel braucht deshalb einen klaren Stichtag und verlässliche Quellen.

STAN4CR ist die gemeinsame Informationsplattform von CEN, CENELEC und ETSI für CRA-Normungsaktivitäten. Sie zeigt Technical Committees und Work Programme Lines.

Die DKE (Deutsche Kommission Elektrotechnik Elektronik Informationstechnik) veröffentlicht einen Projektstatus vom 7. August 2026, der mehrere Statusstufen getrennt ausweist. Dazu gehören Entwurf (Drafting), formale Abstimmung (Voting), die Prüfung durch einen Harmonised Standards Consultant (HAS) und die Zitierung im Amtsblatt der Europäischen Union. Zu den konkreten horizontalen Projekten gehören die Reihe 40000-1-x zu Vocabulary, Product Risk Management und Lifecycle, Vulnerability Handling sowie Generic Security Requirements. Der ursprünglich separat vorgesehene Teil zu Threats and Security Objectives wird nicht mehr als eigenständiges Projekt fortgeführt, sondern in die Generic Security Requirements überführt.

Ein Arbeitsstand, ein prEN als Entwurf einer Europäischen Norm oder eine veröffentlichte EN als Europäische Norm ist nicht automatisch eine CRA-hEN. Erst die Zitierung im Amtsblatt der Europäischen Union löst die Konformitätsvermutung aus. Prüfe deshalb vor jeder Entscheidung nicht nur den Projektstatus, sondern auch die tatsächliche Zitierung im Amtsblatt und die abgedeckten Anforderungen.

Für technische Vorbereitung können verfügbare Entwürfe und etablierte Standards bereits sehr hilfreich sein. Sie ersetzen aber nicht den anforderungsspezifischen CRA-Konformitätsnachweis.

An der Normung mitwirken

Harmonisierte Normen entstehen nicht ohne Stakeholder-Input. Hersteller und Industrieverbände können aktiv mitgestalten, und das ist durchaus im eigenen Interesse: Wer heute mitgestaltet, hat morgen weniger Überraschungen bei der Konformitätsbewertung.

Der Weg zur Beteiligung führt über stan4cra.eu: Zunächst das relevante Technical Committee und die zugehörige Work Program Line identifizieren, dann das nationale Normungsgremium kontaktieren (in Deutschland DKE oder DIN) und sich registrieren. Wer finanzielle Unterstützung für die Beteiligung sucht, findet sie bei CYBERSTAND.eu.

Was Hersteller jetzt tun sollten

Für Produkte der Default-Kategorie ist das interne Kontrollverfahren grundsätzlich verfügbar. Der JRC/ENISA-Report und bestehende Standards helfen dabei, eine belastbare technische Grundlage aufzubauen.

Für Important Products der Class I lohnt es sich, passende harmonisierte Normen, gemeinsame Spezifikationen und europäische Cybersicherheitszertifizierungsschemata frühzeitig zu verfolgen. Modul A bleibt nur möglich, wenn vollständig angewendete harmonisierte Normen oder gemeinsame Spezifikationen alle einschlägigen grundlegenden Anforderungen aus Anhang I abdecken. Alternativ muss ein europäisches Cybersicherheitszertifizierungsschema, das die Kommission dafür vorgesehen hat, diese Anforderungen abdecken und seine Voraussetzungen müssen erfüllt sein. Für Class II muss unabhängig von verfügbaren harmonisierten Normen ein Drittbewertungsweg oder ein anwendbares Zertifizierungsschema eingeplant werden. Für Critical Products gilt ebenfalls kein reguläres Self-Assessment.

Der aktuelle Stand lässt sich über DKE, STAN4CR und die Kommissionsseiten verfolgen. Dokumentiere dabei pro Produkt, welche Anforderungen durch welchen Standard oder Nachweis abgedeckt werden und wo eine Drittbewertung nötig ist.

Wie verfolgst du den Normungsstand und die Konformitätswege für deine Produkte? Schau gerne bei uns auf LinkedIn vorbei und diskutiere mit.