Harmonisierte europäische CRA-Normen für die Industrie

Mit dem Cyber Resilience Act (CRA) hat die Europäische Union erstmals einen einheitlichen Rechtsrahmen für die Cybersicherheit von Produkten mit digitalen Elementen geschaffen. Ziel ist, dass Hard- und Softwareprodukte bereits beim Inverkehrbringen und über ihren gesamten Lebenszyklus hinweg ein angemessenes Cybersicherheitsniveau aufweisen. Der CRA ist am 10. Dezember 2024 in Kraft getreten – die meisten Verpflichtungen gelten ab 11. Dezember 2027, aber einzelne Meldepflichten bereits ab dem 11. September 2026.

Gerade weil der CRA bewusst technologieneutral formuliert ist, sind harmonisierte europäische Normen ein wichtiger Baustein zur effizienten Umsetzung der regulatorischen Anforderungen in der Industrie. Sie übersetzen abstrakte gesetzliche Anforderungen in konkrete, nachvollziehbare und prüfbare technische Spezifikationen. Wer solche harmonisierten Normen anwendet, erhält die Konformitätsvermutung für die jeweils abgedeckten Anforderungen entsprechend der Definitionen zu den Produktkategorien im CRA. Die Verwendung der Normen ist aber freiwillig – Hersteller können auch andere im CRA definierte Vorgangsweisen wählen, um die Erfüllung der Anforderungen nachzuweisen.

Für die horizontalen Basisnormen, welche unabhängig von einer bestimmten Produktkategorie Hilfestellungen bei der Umsetzung der CRA-Anforderungen geben, wird gerade an der Normenreihe EN 40000 gearbeitet. EN 40000-1-1 liefert die gemeinsame Terminologie. EN 40000-1-2„Principles for Cyber Resilience“ ist die prozessorientierte Klammer: Die Norm adressiert das risikobasierte Vorgehen über den gesamten Produktlebenszyklus. Im Mittelpunkt stehen also Sicherheitsprinzipien, Risikoanalyse, Ableitung von Maßnahmen und die Erwartung, dass der Hersteller seine Sicherheitsziele, Inputs, Aktivitäten und Ergebnisse systematisch definiert und dokumentiert.

EN 40000-1-3„Vulnerability Handling“ deckt die Pflichten aus Anhang I Teil II des CRA ab. Hier stehen Schwachstellenmanagement, Security Updates, Coordinated Vulnerability Disclosure, Testing, SBOM-bezogene Informationen und die Marktphase des Produkts im Mittelpunkt. Diese Norm ist damit für viele Hersteller besonders operativ relevant, weil sie unmittelbar Support-, Update- und Incident-Prozesse betrifft.

EN 40000-1-4 „Generic Security Requirements“ ist das Fundament für die Umsetzung der technischen Anforderungen aus Annex I Teil I. Genau dieser Teil ist für spätere vertikale Normen besonders wichtig, weil er die Brücke zwischen den abstrakten CRA-Schutzzielen und konkreten produktspezifischen Sicherheitsanforderungen schlägt. Vereinfacht gesagt: EN 40000-1-2 beschreibt die grundsätzlichen Abläufe in der Produktentwicklung, EN 40000-1-3 den Umgang mit Schwachstellen in Produkten und EN 40000-1-4 die technischen Sicherheitsmaßnahmen.

Der Entwicklungsstand ist im Frühjahr 2026 unterschiedlich weit. Für EN 40000-1-2 und EN 40000-1-3 liegen Entwürfe zum Review in den nationalen Spiegelkomitees vor. Für EN 40000-1-4 sind die Arbeiten noch am Laufen. Nach dem ursprünglichen gemeinsamen Arbeitsprogramm von CEN, CENELEC und ETSI sind für EN 40000-1-2 und EN 40000-1-3 Zieltermine im August 2026 vorgesehen, während EN 40000-1-4 deutlich länger angelegt ist und im Arbeitsprogramm bis Oktober 2027 reicht.

Diese Normen decken zwar generisch die Anforderungen aus dem CRA ab, werden aber (mit Ausnahme der EN 40000-1-3) voraussichtlich nicht als „harmonisierte Normen“ zur Erlangung der Konformitätsvermutung veröffentlicht werden, da sie keine der im CRA definierten Produktkategorien adressieren. Diese harmonisierten Normen werden spezifisch für die entsprechenden Produktkategorien in verschiedenen anderen Arbeitsgruppen erarbeitet.

Für die Industrie und Geräte im Umfeld der OT (Operational Technology) arbeitet das Gremium CLC/TC 65X/WG 3 an entsprechenden harmonisierten Normen. Dabei setzt man nicht auf ein neues europäisches Sonderregelwerk, sondern auf die gezielte Weiterentwicklung der etablierten IEC-62443-Reihe. Der Grundgedanke lautet: internationale Anschlussfähigkeit bewahren, aber die zusätzlichen Anforderungen des europäischen CRA – insbesondere die notwendigen Voraussetzungen für eine Veröffentlichung als harmonisierte Norm – durch europäische Ergänzungen abbilden.

Dazu wurde im ersten Schritt an den Kernbausteinen IEC 62443-4-1 für den sicheren Produktentwicklungslebenszyklus und IEC 62443-4-2 für technische Komponentenanforderungen gearbeitet, und später soll auch die IEC 62443-3-3 für Anforderungen auf Systemebene folgen. Die Ergebnisse dieser Arbeit befinden sich derzeit als angepasste EN/IEC-62443-4-1- und EN/IEC-62443-4-2-Versionen im Abstimmungsprozess der nationalen Gremien. Zusätzlich zu diesen angepassten 62443-Basisdokumenten sind dann produktspezifische Security Profiles auf Basis dieser EN/IEC-62443-Standards vorgesehen, welche die Produktkategorien, wie z. B. VPN, Network Management Systems, SIEM-Systeme, physische und virtuelle Netzwerkschnittstellen, Router/Modems/Switches sowie Firewalls und Intrusion Detection/Prevention, abdecken. Inhaltlich orientiert man sich dabei an den Vorgaben der IEC 62443-1-5: Zunächst wird ein generischer Rahmen geschaffen, darauf aufbauend folgen Profile für konkrete Produktklassen. In Bezug auf die Nummerierung wurde inzwischen festgelegt, dass diese harmonisierten OT-Normen für die verschiedenen Produktkategorien in den Nummernkreis EN-50770-X eingeordnet werden.

Aus industrieller Sicht ist das ein pragmatischer Weg. Hersteller können auf bestehende 62443-Erfahrungen, -Prozesse und -Nachweise aufsetzen und diese um europäische CRA-spezifische Elemente ergänzen. Derzeit wird intensiv an den ersten Entwürfen für diese Produktkategorie-spezifischen Standards gearbeitet. Leider sind die zeitlichen Vorgaben der europäischen Institutionen mit den Abläufen in der konsensorientierten Normentwicklung nur bedingt kompatibel – die Arbeiten in den Gremien laufen unter hohem Zeitdruck, damit die Ergebnisse möglichst rasch als harmonisierte Normen veröffentlicht werden können.

Auf den ersten Blick kann sich für Anwender:innen und Hersteller dadurch ein zeitliches Problem ergeben, da nach der Veröffentlichung der Normen die Anforderungen ja auch noch bis zu den jeweiligen Fristen des CRA umgesetzt werden müssen. Genau hier zeigt sich aber der Vorteil der gewählten Vorgangsweise: Nachdem alle produktspezifischen Normen für den OT-Bereich auf den etablierten und bereits vor einiger Zeit veröffentlichten Standards IEC 62443-4-1 und IEC 62443-4-2 basieren, gibt es keine Notwendigkeit zu warten. Wenn in einem Unternehmen bzw. für ein Produkt die Anforderungen aus den IEC-Basisnormen umgesetzt sind, ist die Umsetzung der CRA-spezifischen Anpassungen in den EN-Versionen nur mehr ein kleiner Schritt, der dann nach Veröffentlichung der harmonisierten Standards problemlos nachgezogen werden kann.

Neben den Normungstätigkeiten planen wir auch für dieses Jahr wieder die IEC-62443-Cybersecurity-Tagung für einen Austausch über aktuelle Themen rund um industrielle Cybersicherheit. Als Termin haben wir in diesem Jahr den Dienstag, 6. Oktober 2026, vorgesehen. Wie immer freuen wir uns über Vorschläge für Beiträge bei der Veranstaltung – bitte dazu einfach ein kurzes Mail an t@b-sec.net senden.