CRA Klasse I Compliance-Leitfaden: Router, Modems, Switches

Klassifizierungsgrundlage

Die CRA behandelt Router, Internet-Modems und Switches als wichtige Produkte der Klasse I, was nicht dasselbe ist wie der Klasse-II-Status einer Firewall. Zusätzliche Sicherheitsfunktionen verschieben einen Router nicht nach Klasse II, solange Routing und Internetkonnektivität die vermarktete Kernfunktion bleiben.

Das Produkt ist nicht kritisch, nur weil es am Netzwerkrand steht. Die Liste der kritischen Produkte ist enger gefasst und enthält weder Verbraucher-Router noch ISP-CPE als Ganzes.

Was zählt zum Router-Produkt?

Ein Router, Modem oder Switch kann mehr umfassen als nur das Kunststoffgehäuse:

• Bootloader, Betriebssystem, Kernel, Funktreiber, WAN-Stack und LAN-Dienste;
• Modem, ONT, Ethernet-Switch-Silizium, Verhalten des Management-VLAN und PoE-Steuerung, sofern vorhanden;
• Web-Admin-Oberfläche, Mobile-App-Pairing und lokales Setup-Portal;
• TR-069, USP/TR-369 oder anderer Fernwartungskanal;
• Hersteller- oder ISP-Cloud für Fernzugriff, Kindersicherung, Telemetrie, Mesh-Koordination oder Aktualisierungs-Orchestrierung;
• Firmware-Update-Dienst, Signierschlüssel, Recovery-Image und Supportprozess.

Das Produktdossier sollte ebenfalls erfassen, was außerhalb des Produkts liegt: das ISP-Konto des Kunden, Smart-Home-Geräte von Dritten, vom Kunden erstellte Netzwerkregeln, das separat verkaufte Kundenmodem sowie nachgelagerte Betreibersysteme, die nicht vom Hersteller geliefert werden.

Welchen Konformitätsbewertungsweg sollte der Hersteller planen?

Wichtig Klasse I bedeutet nicht automatisch, dass jeder Router eine Drittbewertung benötigt, aber interne Kontrolle ist nicht selbstverständlich. Wenn der Hersteller den allgemeinen Weg der internen Kontrolle nutzen kann und die einschlägigen harmonisierten Normen, gemeinsame Spezifikationen oder ein geeignetes europäisches Cybersicherheits-Zertifizierungsschema mindestens auf der Vertrauensstufe „substanziell" für die anwendbaren grundlegenden Anforderungen vollständig angewendet hat, kann dieser Weg verfügbar sein. Existieren diese Bezüge nicht, sind sie nur teilweise oder gar nicht angewendet oder decken sie nicht alle einschlägigen Anforderungen ab, planen Sie eine EU-Baumusterprüfung plus interne Produktionskontrolle oder eine umfassende Qualitätssicherung. Die allgemeine Wegmechanik und der Inhalt der EU-Konformitätserklärung sind in den Leitfäden zur Konformitätsbewertung und zur Konformitätserklärung beschrieben; diese Seite behandelt nur die router-spezifische Wahl.

Wird dieselbe Hardware-Variante zusätzlich als Firewall, VPN-Gateway, Netzwerkmanagement-Appliance oder Managed-Security-Plattform vermarktet, erstellen Sie für dieses SKU ein eigenes Klassifizierungsmemo.

Wie verhält sich die RED-Cybersicherheitsfrist zum CRA?

Die meisten Router und mit dem Internet verbundenen Modems enthalten Funk (WLAN, ein Mobilfunkmodem oder Ähnliches), und diese funkfähige Teilmenge hat bereits vor dem CRA eine Cybersicherheits-Schwelle überschritten. Seit dem 1. August 2025 gelten die Cybersicherheitsanforderungen der Funkanlagenrichtlinie (RED Artikel 3.3 Buchstaben d, e und f, festgelegt durch die Delegierte Verordnung (EU) 2022/30) für mit dem Internet verbundene Funkanlagen wie WLAN-Router, Mesh-Knoten, Modem-Router und Mobilfunk-Gateways. Ein rein kabelgebundenes Gerät, etwa ein reiner Ethernet-Router oder ein nacktes DSL-, Kabel- oder Glasfasermodem ohne Funk, liegt außerhalb des RED-Cybersicherheits-Anwendungsbereichs, ist aber dennoch ein Produkt mit digitalen Elementen unter dem CRA. Die CRA-Meldepflichten beginnen am 11. September 2026 und der CRA wird am 11. Dezember 2027 vollständig anwendbar, wenn die Aufhebung der RED-Cybersicherheits-Delegierten Verordnung durch die Delegierte Verordnung (EU) 2026/339 wirksam wird, sodass sich die beiden Regelungen nicht überlappen.

Für einen Routerhersteller ergibt sich praktisch:

• Zwischen dem 1. August 2025 und dem 10. Dezember 2027 erfüllt einschlägige Funkausrüstung die RED-Cybersicherheitsanforderungen; der harmonisierte Weg verläuft über die Reihe EN 18031, mit ETSI EN 303 645 als Verbraucher-Baseline, auf der sie aufbaut.
• Ab dem 11. Dezember 2027 liegen dieselben Cybersicherheitspflichten unter dem CRA, mit dessen breiteren Lebenszyklus-Pflichten: standardmäßig sichere Konfiguration, Schwachstellen-Handhabungsprozess, Erklärung des Supportzeitraums sowie die Meldepflichten, die bereits am 11. September 2026 beginnen.
• Ein vor dem 11. Dezember 2027 in Verkehr gebrachter Router fällt nur dann unter den CRA, wenn er nach diesem Datum wesentlich verändert wird. Die einzige Ausnahme ist die Meldepflicht, die für jedes Produkt im Anwendungsbereich gilt, einschließlich bereits verkaufter Geräte.
• Die in Vorbereitung befindliche router-spezifische harmonisierte CRA-Norm ist ETSI EN 304 627 (Router, Modems und Switches), die auf Klasse I Punkt 12 und die grundlegenden Cybersicherheitsanforderungen abbildet. Sie ist noch ein Entwurf, planen Sie also den Konformitätsweg anhand der zum Zeitpunkt der Bewertung tatsächlich zitierten Normen und nutzen Sie die für RED aufgebauten Kontrollen (sichere Standardeinstellungen, signierte Updates, Zugriffskontrolle) als Grundlage für das CRA-Dossier statt ein separates Projekt zu starten.

Welche Nachweise sollten bereitliegen?

Welche Architekturdetails dürfen nicht fehlen?

Die Router-Nachweise müssen dem tatsächlich ausgelieferten Edge-Gerät folgen. Ein Retail-WLAN-Router, ein ISP-Modem-Router, ein PON-ONT, ein Kabelmodem, ein Mobil-Hotspot, ein Mesh-Knoten und ein Managed Switch haben unterschiedliche WAN-Exposition, Fernwartungs- und Firmware-Branch-Risiken.

Die WAN-Seite ist der Ort, an dem das Gerät erstmals nicht authentifizierten Input verarbeitet, und diese Seite verändert sich mit der Zugangstechnologie. Ein Retail-Ethernet-WAN-Router, ein Kabelmodem-Router, eine Glasfaser-ONT und ein Mobilfunk-Hotspot teilen weder denselben Provisionierungskanal noch denselben Upstream-Peer.

Wie sieht eine echte Router-Bedrohungsanalyse aus?

Nutzen Sie dies als Beispiel für die Tiefe, die im Bedrohungsmodell der Produktdatei erwartet wird. Der Hersteller muss die Analyse weiterhin am realen Router, Modem-Chipsatz, Funkstack, Fernwartungskanal, an den Lieferanten-SDKs, der Aktualisierungsverantwortung, den Vertriebsaussagen und der Zusage zum Supportzeitraum durchführen.

Beispiel-Produktprofil

Beispielprodukt: ExampleCo HomeRouter R1, ein Wi-Fi-7-Heimrouter, der in der EU über Retail- und ISP-White-Label-Kanäle verkauft wird. Er verfügt über Ethernet-WAN, vier LAN-Ports, Gast-WLAN, eine lokale Web-Admin-Oberfläche, Mobile-App-Onboarding, optionale ISP-Fernwartung, signierte OTA-Firmware, automatische Update-Prüfungen, DNS-/DHCP-Dienste, Kindersicherungsprofile und ein Recovery-Image.

Die Produktgrenze umfasst die Router-Hardware, den Bootloader, den Kernel, die WLAN-Treiber, die WAN-Dienste, die LAN-Dienste, die Firewall-Standardeinstellungen, die lokale Web-Oberfläche, das Mobile-App-Pairing, die Hersteller-Cloud für den Fernzugriff, den optionalen ISP-Fernwartungsagenten, den OTA-Dienst, das Recovery-Image, die Support-Website, die Annahmestelle für koordinierte Offenlegung und den Hinweisprozess. Ausgeschlossen sind das Modem des Kunden, sofern separat verkauft, das ISP-Abonnement, Smart-Home-Geräte von Dritten, der Identitätsanbieter des Nutzers sowie nachgelagerte OSS-/BSS-Systeme des ISP, sofern derselbe Wirtschaftsakteur sie nicht als Teil des Produkts liefert.

Release gate: Firmware-Engineering verantwortet die First-Boot-Baseline, Produktsicherheit verantwortet den Expositionstest und der Support verantwortet die Reset- und RMA-Nachweise. Artifact: Provisionierungs-Eintrag, Expositions-Scan nach dem Setup, Test zur Downgrade-Ablehnung und Ergebnis von Transfer oder Entkopplung.

Asset-Inventar

Vertrauensgrenzen

Bedrohungsszenarien

Initiales Risikoregister

Zuordnung von Kontrollen und Nachweisen

Restrisiko nach Kontrollen

Wie sollten Support, Updates und Meldungen funktionieren?

Für das Beispiel HomeRouter R1 sollte das praktische CRA-Dossier das Betriebsmodell während des Supportzeitraums enthalten, nicht nur die Nachweise vor der Markteinführung.

Welche Validierungs-Gates laufen vor dem Release?

Ein Router-Release sollte nicht mit einer pauschalen „Sicherheit geprüft"-Notiz passieren. Listen Sie die konkreten Entscheidungen auf, die den Versand halten können, und geben Sie jeder den Fehler an, vor dem sie schützt, die Kontrolle, die sie schließt, und das Artefakt, das belegt, dass die Kontrolle tatsächlich läuft.

Wer verantwortet die Router-Entwicklung vom Konzept bis zum Support?

Die Verantwortung für ein Router-Release wechselt mehrfach den Inhaber, während es von einer Produktdefinition zu einer Flotte in den Haushalten und ISP-Netzen der Kunden wird. Die folgende Spur weist jeder Phase einen verantwortlichen Lead, den von diesem Lead gepflegten Eintrag und das Gate zu, das geschlossen werden muss, bevor die nächste Phase startet.

Jeder Übergang ist ein Freeze-Punkt: Die Grenze ist vor dem Architekturstart fixiert, die Design-Absicht vor dem Code, der Build vor der Verifizierung und das Release vor der Auslieferung, danach läuft die Firmware durch das Supportfenster weiter. Ein Schwachstellenbericht, ein ISP- oder Lieferantenhinweis oder ein Feldausfall öffnet das nächste Abgrenzungsmemo, die Bedrohungsliste und das Komponenteninventar wieder, nicht das bereits ausgelieferte.

Welche Nachweiseinträge gehören in das Dossier?

Das Dossier soll es einem Prüfer ermöglichen, die Router-Entscheidung von der Produktidentität bis zu den Sicherheitskontrollen nachzuvollziehen. Jede Zeile verweist auf einen gepflegten Eintrag, nicht auf einen Ordner mit zusammenhanglosen Screenshots.

Was gehört in ein Router-Komponenteninventar?

Der CRA verlangt ein maschinenlesbares Komponenteninventar, das die Komponenten des Produkts identifiziert und mindestens die Abhängigkeiten erster Ebene abdeckt, ohne bislang ein festes Format zu benennen. Router-Hersteller wählen normalerweise CycloneDX oder SPDX. Die produktübergreifenden Details zur Mechanik des Komponenteninventars finden Sie im dedizierten SBOM-Leitfaden; dieser Abschnitt behandelt den router-spezifischen Baum.

Ein Router-Release liefert mehrere digitale Elemente mit getrennten Aktualisierungszyklen, nicht ein einzelnes Binärpaket. Zwei Muster erfüllen das CRA-Minimum: ein Produkt-Komponenteninventar mit elementgetrennten Abschnitten (Bootloader, Kernel, WLAN-Firmware, WAN-PHY-Stack, Netzwerk-Daemons, TLS, Fernwartungs-Agent und Web-Oberfläche, jeweils versionsfixiert) oder ein Inventar je ausgeliefertem Element, das bei jedem Release aktualisiert wird. Beide sind zulässig, sofern sie maschinenlesbar sind und die Abhängigkeiten erster Ebene abdecken.

Was prüft die Release-Signatur?

Die Signatur vor der EU-Veröffentlichung sollte vier Eintragsordner schließen können, unten als Q1 bis Q4 gezeigt. Der vollständige Dossierindex steht in der Nachweisliste oben; die vier Fragen hier sind nur die, die das Release blockieren, wenn ein Ordner leer ist.

Evidence: Fixieren Sie jeden der vier Einträge an der genauen Firmware-Version, die er signiert, damit dasselbe Release später ohne erneute Herleitung wieder geöffnet werden kann.

Wie wird der Router an Einführer, Händler, ISP und Betreiber übergeben?