CRA-Normen: Stand der harmonisierten Normen im September 2026

Stand September 2026 ist noch keine harmonisierte Norm zum Cyber Resilience Act im Amtsblatt der EU zitiert. Der Normungsauftrag M/606 umfasst 41 Normen; ETSI hat am 13. August 2026 für 17 produktspezifische Entwürfe der Reihe EN 304 xxx die öffentliche Umfrage gestartet.

Für Hersteller heißt das: Die Konformitätsvermutung, die harmonisierte Normen bieten, steht noch nicht zur Verfügung. Die Pflichten ab Dezember 2027 gelten trotzdem – und wer jetzt Nachweise aufbaut, kann sie später auf die Normen abbilden.

Der Normungsauftrag M/606

Mit dem Normungsauftrag M/606 hat die Kommission die europäischen Normungsorganisationen beauftragt, 41 Normen zu erarbeiten. Sie teilen sich in zwei Gruppen:

• Horizontale Normen: gelten produktübergreifend, etwa für Sicherheitsanforderungen an den Entwicklungsprozess und die Schwachstellenbehandlung.
• Produktspezifische (vertikale) Normen: priorisieren die wichtigen und kritischen Produktkategorien aus Annex III und IV.

ETSI EN 304 xxx: 17 Entwürfe

Am 13. August 2026 hat ETSI das Genehmigungsverfahren für 17 produktspezifische Normentwürfe eingeleitet. Sie befinden sich in der öffentlichen Umfrage (Public Enquiry) bei den nationalen Normungsorganisationen. Abgedeckt sind unter anderem Passwortmanager, Antivirensoftware, Smart-Home-Assistenten, vernetztes Spielzeug und Wearables – also Produkte aus Annex III. Die Umfragen enden je nach Produktbereich zwischen Mitte September und Mitte November 2026.

Zeitplan

Nach Fertigstellung prüft die Kommission die Normen, bevor sie im Amtsblatt zitiert werden. Zwischen der Frist für horizontale Normen und dem Anwendungsbeginn liegen damit nur rund sechs Wochen – zu knapp, um erst dann mit der Umsetzung zu beginnen.

Folgen für Klasse-I-Produkte

Besonders betroffen sind wichtige Produkte der Klasse I. Sie dürfen nur dann per Selbstbewertung (Modul A) in Verkehr gebracht werden, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder eine europäische Cybersicherheitszertifizierung vollständig anwendet. Fehlt das, ist eine benannte Stelle nötig (Modul B+C oder H). Details zur Einordnung finden Sie in CRA-Produktkategorien.

Hersteller von Klasse-I-Produkten sollten deshalb zweigleisig planen: die für sie relevanten Normentwürfe verfolgen und parallel mit einer benannten Stelle sprechen, falls die Normen nicht rechtzeitig zitiert werden.

Bis dahin: Evidenz aufbauen

Die wesentlichen Anforderungen aus Annex I stehen fest – die Normen konkretisieren nur, wie man sie nachweist. Was Sie heute tun, bleibt gültig:

• Risikobewertung je Produkt dokumentieren und aktuell halten.
• SBOMs automatisiert erzeugen und je Release archivieren.
• Schwachstellenprozess, CVD-Richtlinie und Updates nachweisbar betreiben.
• Testergebnisse und Konfigurationsentscheidungen versioniert ablegen.
• Anforderungen strukturiert erfassen, damit Sie sie später Normabschnitten zuordnen können.

Eine priorisierte Liste bietet die CRA-Checkliste.

Was Hersteller jetzt konkret tun können

1. Relevante Entwürfe identifizieren: Prüfen Sie, ob einer der 17 ETSI-Entwürfe Ihre Produktkategorie betrifft.
2. Kommentieren: Über Ihre nationale Normungsorganisation (in Deutschland DIN bzw. DKE) können Sie sich an Umfragen beteiligen oder Informationen erhalten.
3. Gap-Analyse vorbereiten: Stellen Sie Ihre bestehenden Nachweise den Anforderungen aus Annex I gegenüber – das lässt sich später auf die Normstruktur übertragen.
4. Plan B festlegen: Für Klasse-I-Produkte klären, welche benannte Stelle infrage kommt, falls Normen nicht rechtzeitig zitiert werden.
5. Bestehende Standards nutzen: Etablierte Rahmenwerke für sichere Entwicklung helfen bei der Strukturierung, auch wenn sie keine Konformitätsvermutung für den CRA begründen.

Szenarien für Klasse-I-Hersteller

Beispiel: Hersteller eines Passwortmanagers

Passwortmanager sind Klasse I, und ETSI hat für diese Kategorie einen Entwurf in die Umfrage gegeben. Ein Hersteller sollte den Entwurf jetzt lesen, seine Nachweise vorläufig darauf abbilden und gleichzeitig mit einer benannten Stelle sprechen. Ändert sich der Entwurf, ist nur die Zuordnung anzupassen – die Nachweise selbst bleiben.

Beispiel: Maschinenbauer mit Standardprodukt

Für ein Standardprodukt ist die Selbstbewertung unabhängig von Normen zulässig. Horizontale Normen werden aber auch hier nützlich sein, um die Anforderungen an Entwicklungsprozess und Schwachstellenbehandlung nachvollziehbar zu belegen.

Häufige Missverständnisse

• „Ohne Normen gilt der CRA noch nicht.“ Falsch – die Pflichten gelten ab dem 11. Dezember 2027 unabhängig vom Normungsstand.
• „Ein Entwurf reicht für die Selbstbewertung.“ Nein, maßgeblich ist die im Amtsblatt zitierte Fassung.
• „Normen sind verpflichtend.“ Sie sind freiwillig; sie erleichtern aber den Nachweis erheblich.

Ein Evidenz-Dossier, das mitwächst

Nuowei (Beta, Launch November 2026) sammelt Nachweise aus Repository und Pipeline je Anforderung aus Annex I. Sobald Normen zitiert sind, lassen sich die Nachweise den Normabschnitten zuordnen. Frühzugang über die Warteliste.