CRA-Leitfaden für Smart-Meter-Gateways und Energiemessung
Zusammenfassung
Ein Smart-Meter-Gateway ist das einzige Energieprodukt, das der CRA in seine oberste Stufe einordnet, die Stufe, die er kritisch nennt. Das verändert die Arbeit. Ein kritisches Produkt kann seine Konformität nicht einfach selbst erklären, wie es ein gewöhnlicher Router darf. Es muss von einem externen Prüfer abgenommen werden. Ob Ihr Gerät wirklich dieses Gateway ist oder nur ein normaler vernetzter Zähler, entscheidet ein Eintrag, den Sie zuerst schreiben: das Mess-Abgrenzungsmemo.
Nicht jedes Messgerät ist kritisch. Ein Unterzähler, ein Heizkostenverteiler, ein Funkmodul eines Wasserzählers oder eine Verbraucher-Energiebrücke fällt weiterhin unter den CRA, ist aber nicht automatisch ein Smart-Meter-Gateway. Das Kriterium „kritisch" gilt für das Gateway, das als Kommunikationseinheit eines intelligenten Messsystems wirkt, und für Geräte, die für eine Sicherheitsaufgabe verkauft werden. Eine EU-Regel von 2025 hat dies verbindlich gemacht und bestätigt, dass es auch Gas- und Wärme-Gateways erfasst, nicht nur Strom. Ein Zähler wird nicht kritisch, nur weil er Verbrauch misst oder Verschlüsselung nutzt.
Im deutschen Modell sitzt eine separate Kommunikationsbox zwischen den Zählern und dem Netz. Frankreich, Spanien und Italien machen es anders: Der Zähler misst und kommuniziert in einer einzigen Einheit und spricht mit einem Datenkonzentrator in der lokalen Ortsnetzstation, ohne Box im Haus. Dort wandert die Frage „kritisch" zum Konzentrator.
Das Memo benennt die Teile des Systems: den Zähler, das Gateway, die Verbindung hinunter zu den Zählern, die Haus- und Weitverkehrsanschlüsse, das Sicherheitsmodul, das die Schlüssel hält, den Administrator, der die Flotte verwaltet, den Aktualisierungsdienst, die Ablesungs-Datenschutzdaten, den Installateur-Workflow und wer zwischen Hersteller und Versorger was macht. Diese eine Entscheidung legt den Konformitätsweg fest.
Zwei Dinge prägen die Datei, bevor der Konformitätsweg überhaupt beginnt. Erstens nimmt eine CRA-Bewertung die versiegelte Metrologie-Funktion nicht ab: Ein Sicherheitsupdate braucht weiterhin eine Metrologie-Wirkungsprüfung, bevor es die rechtlich relevante Messsoftware berührt. Zweitens beginnen die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle am 11. September 2026, vor dem vollständigen CRA am 11. Dezember 2027, und sie erfassen bereits am Markt befindliche Produkte. Eine installierte Zähler- oder Gateway-Flotte kann also eine laufende Meldepflicht tragen, selbst dort, wo der übrige CRA erst nach einer wesentlichen Veränderung gilt.
| Produktvariante | Voraussichtlicher CRA-Weg | Begründung |
|---|---|---|
| Smart-Meter-Gateway in einem intelligenten Messsystem | Weg für kritische Produkte | Der CRA ordnet Smart-Meter-Gateways innerhalb intelligenter Messsysteme seiner kritischen Stufe zu |
| Vernetzter Strom-Unterzähler, Gas-, Wärme- oder Wasser-Unterzähler oder Funkmodul | Standard-Weg im Anwendungsbereich, sofern keine andere gelistete Funktion greift | Ein vernetztes Messprodukt, nicht das Gateway, das die Kommunikationseinheit eines intelligenten Messsystems ist |
| Mit dem Gateway gelieferte Head-End-Software | Abgrenzungsabhängig | Kann Teil des Produkts sein, wenn sie für die vorgesehene Funktion erforderlich ist |
| Energiedatenbrücke für Verbraucher | Standard-Weg | Zeigt oder leitet Ablesungen meist nur weiter |
| Gerät, das für einen fortgeschrittenen Sicherheitszweck verkauft wird, einschließlich sicherer Kryptoverarbeitung | Weg für kritische Produkte | Der fortgeschrittene Sicherheitszweck, nicht die gewöhnliche Nutzung von Kryptografie, bestimmt den Weg |
| Integrierter VNB-Zähler (Linky, spanisches oder italienisches Modell) | In den meisten Designs Standard-Weg | Ein vernetzter Endpunkt-Zähler, nicht die Kommunikationseinheit des Systems |
| Datenkonzentrator in der Ortsnetzstation | Kandidat für den kritischen Weg, im Abgrenzungsmemo zu bestätigen | Der Aggregations- und Kommunikationssteuerungsknoten des Messsystems |
Was der CRA für Smart-Meter-Gateways verlangt
Der CRA behandelt ein Smart-Meter-Gateway als ein Produkt, das aus vielen digitalen Elementen besteht. Das Produkt kann die Zähler-Firmware, das Gateway-Betriebssystem, das Kommunikationsmodul, den DLMS/COSEM-Stack (das Standardprotokoll für Messdaten) oder einen proprietären Zähler-Protokollstack, die SIM, eSIM oder Funk-Zugangsdaten, den Schlüsselspeicher, den Head-End-Konnektor (die Verbindung zum zentralen Erfassungssystem des Versorgers), das lokale Display, eine Mobile App, ein Cloud-Portal, den Aktualisierungsdienst, das Installateur-Werkzeug und den Schwachstellen-Handhabungsprozess umfassen. Es schließt normalerweise das Abrechnungssystem des Versorgers, die metrologische Zulassung, die Netzbetriebssysteme und den Energievertrag des Kunden aus, sofern derselbe Hersteller diese nicht als Teil des Produkts liefert.
Diese Abgrenzung ist das Herz der Datei. Die Nachweise müssen Cybersicherheit von der rechtlichen Metrologie trennen und zugleich die Schnittstellen zwischen dem Gateway, den Zählern und dem Head-End dokumentieren. Die metrologische Zulassung nach der Messgeräte-Richtlinie und den nationalen Messregeln beantwortet eine andere Frage als der CRA. Die eine belegt, dass die Messung korrekt und versiegelt ist. Die andere belegt, dass das vernetzte Produkt über seinen Supportzeitraum hinweg Angriffen standhält. Ein Hersteller, der beides vermengt, erhält eine Datei, die keinem der beiden Prüfer genügt.
| Anforderungsbereich | Was ein Hersteller eines Smart-Meter-Gateways erfassen sollte |
|---|---|
| Verwendungszweck | Gateway in einem intelligenten Messsystem, Unterzähler, Heizkostenverteiler, Funkmodul, Verbraucherbrücke oder ein Gerät, das für einen fortgeschrittenen Sicherheitszweck verkauft wird |
| Prüfung „kritisch" | Ob das Produkt ein Gateway innerhalb eines intelligenten Messsystems oder ein anderes vernetztes Messprodukt auf dem Standard-Weg ist |
| Produktgrenze | Zählerschnittstelle, Gateway, Kommunikationsmodul, Sicherheitsmodul, Head-End-Konnektor, lokales Display, Installateur-Werkzeug, Aktualisierungsdienst und die ausgeschlossenen Versorgersysteme |
| Standardmäßig sicherer Zustand | Gegenseitige Authentifizierung auf jeder Verbindung, kein gemeinsames Chargengeheimnis, signierte Updates, Downgrade-Ablehnung, minimierte Datenexposition und gesperrter Debug-Zugang |
| Schlüssel-Lebenszyklus | Geräteindividuelle Identität, Zertifikatsbereitstellung, Rotation, Widerruf, Inbetriebnahme und Außerbetriebnahme, mit dem Sicherheitsmodul als Vertrauensanker |
| Ablesungs-Datenschutz | Intervalldaten, Manipulations- und Ausfallereignisse, Anwesenheits-Rückschlüsse, Verarbeitungsprofile, Pseudonymisierung, Aufbewahrung und Support-Export |
| Aktualisierungsweg | Signierte Firmware, Metrologie-Wirkungsentscheidung, gestaffelter Flotten-Rollout, Wiederherstellung und Fallback |
| Rollenaufteilung | Zählerhersteller, Gateway-Hersteller, Versorger, Gateway-Administrator, Installateur, Einführer und etwaige Eigenmarken-Verantwortlichkeiten |
| Support und Meldung | Erklärung des Supportzeitraums, Verfügbarkeit von Sicherheitsupdates, ein einzelner Schwachstellen-Kontakt und der Melde-Workflow nach Artikel 14 |
Die Cybersicherheitsanforderungen und die technische Dokumentation, die sie belegt, funktionieren für jedes CRA-Produkt gleich, und der Leitfaden zur technischen Dokumentation behandelt diese. Diese Seite beschränkt sich auf das, was für ein Mess-Gateway spezifisch ist: die Einstufung „kritisch", den Konformitätsweg, die Gateway-Architektur und die messspezifischen Nachweise.
Liegt Ihr Gerät in der kritischen Stufe?
Das Kriterium „kritisch" ist eng, und ein Messprodukt kann auf beiden Seiten davon liegen. Ein Gerät ist das kritische Gateway, wenn es die Kommunikationseinheit des Messsystems ist: Es steuert die Verbindung zu den Versorgern, verarbeitet die Zähler- und personenbezogenen Daten, führt die Kryptografie aus und kann das System absichern und andere Geräte steuern. Ein Zähler, der nur misst und meldet, bleibt auf dem Standard-Weg, und der Einsatz starker Kryptografie zum Schutz einer gewöhnlichen Funktion macht ein Gerät ebenfalls nicht kritisch. Die Durchführungsverordnung (EU) 2025/2392 (die Durchführungsverordnung), seit 21. Dezember 2025 verbindlich, legt diesen Test fest und dehnt ihn auf Gas- und Wärme-Gateways aus, nicht nur auf Strom. Klären Sie die Antwort einmal im Abgrenzungsmemo. Die Übersichtstabelle oben ordnet die gängigen Varianten ihrem Weg zu.
Wie sich die Architektur in der EU unterscheidet
Deutschland nutzt ein Modell mit separatem Gateway und einer eigenständigen Kommunikationseinheit, das Modell, um das die Einstufung „kritisch" gezeichnet wurde. Frankreich, Spanien und Italien messen nicht so. Sie betreiben integrierte Zähler, die in einer versiegelten Einheit messen und kommunizieren und direkt einen Datenkonzentrator in der Ortsnetzstation erreichen, ohne Gateway-Box im Haus. Der Konzentrator übernimmt die Aggregation und die vorgelagerte Verbindung, sodass die CRA-Nachweise weiterhin greifen, aber an anderen Geräten, und die Frage nach dem kritischen Weg wandert mit. Das deutsche Modell erhält weiter unten einen eigenen Abschnitt.
Die Form ist in allen drei Märkten gleich: ein integrierter Zähler beim Kunden, Schmalband-Powerline-Carrier hinauf über die Niederspannungsleitung, ein Konzentrator in der Ortsnetzstation, dann eine Mobilfunkverbindung zum Betreiber. Was sich ändert, sind die Powerline-Technologie, der Verbraucherkanal und, in Italien, eine zweite Funkschnittstelle. In jedem Fall ist der Konzentrator der Knoten, der viele Zähler aggregiert und die Kommunikation mit autorisierten Dritten steuert. Der integrierte Zähler ist normalerweise ein vernetztes Produkt auf dem Standard-Weg. Keine der beiden Einordnungen ist automatisch. Die Durchführungsverordnung knüpft die Kategorie an die Kernfunktionalität, sodass ein Zähler, dessen eigene Funktionen der Gateway-Beschreibung entsprechen, in die kritische Stufe argumentiert werden kann, und der Hersteller legt die Aufteilung im Abgrenzungsmemo fest, statt sie anzunehmen.
Frankreich: Enedis Linky
Der Linky-Zähler erledigt beide Aufgaben. Er misst den Verbrauch und kommuniziert vorgelagert aus einer einzigen Einheit, und er erreicht einen Konzentrator in der HTA/BT-Ortsnetzstation (Mittel- bis Niederspannung) direkt statt über ein Gateway im Haus. Die Verbindung ist Schmalband-Powerline-Carrier im CENELEC-A-Band, dem niederfrequenten Versorgerband, überwiegend dem G3-PLC-Profil, wobei ein Teil der Flotte auf dem S-FSK-Schema der ersten Generation läuft. Der Konzentrator backhault über öffentliches Mobilfunknetz, im ursprünglichen Design GPRS, zum zentralen Enedis-System. Enedis ist der Verteilnetzbetreiber, der das System betreibt, nicht der Zählerhersteller. Die Verbraucherschnittstelle ist optional: Der Zähler stellt einen TIC-Informationsport bereit, den ein Display im Haus über ein separates Funkmodul lesen kann, eine Erweiterung statt einer Standard-Enedis-Ausrüstung. Der Rollout begann 2015 und erreichte rund 35 Millionen Zähler.
Spanien: PRIME und Meters and More
Spanien betreibt dieselbe dreistufige Form: ein integrierter DLMS-Zähler beim Kunden, ein Konzentrator im centro de transformación und ein Head-End beim VNB. Die Niederspannungs-Powerline-Technologie teilt sich nach Betreiber. Iberdrola (i-DE) und UFD nutzen PRIME, während Endesa (e-distribución) Meters and More nutzt. Der Konzentrator aggregiert die Zähler, gibt Befehle weiter und überwacht das Niederspannungsnetz, und er spricht über das STG-DC-Supervisor-Protokoll mit dem Head-End. Er backhault über eine öffentliche Netzverbindung, meist Mobilfunk und oft über ein VPN. Das rechtliche Rückgrat ist die Orden ITC/3860/2007, die den Austausch von Zählern durch fernverwaltbare Einheiten vorschrieb, sodass Spanien früh eine nahezu vollständige Abdeckung erreichte, bei rund 27 Millionen Niederspannungszählern.
Italien: e-distribuzione Open Meter
Italien war der erste große EU-Rollout, mit der ersten Generation Telegestore ab 2001, und ist nun auf der zweiten Generation Open Meter, rund 30 Millionen installierte Zähler bis 2023. ARERA erlaubt, Chain 1 über Powerline-Band A, eine 169-MHz-Funkschnittstelle oder andere Telekommunikationstechnologien zu betreiben, und der Open Meter trägt eine doppelte Chain-1-Schnittstelle, die Powerline-Band A und 169-MHz-Funk kombiniert. Ein separater Chain-2-Powerline-Kanal in Band C erreicht optionale Verbraucher-User-Devices, standardisiert durch die Reihe CEI TS 13-82 bis 13-85 und vorgeschrieben durch die ARERA-Resolution 87/2016. Der Konzentrator in der MT/BT-Ortsnetzstation (Mittel- bis Niederspannung) ist, in den eigenen Worten von e-distribuzione, der Informationsknoten und Aktor für die Netzautomatisierung, und er backhault über das öffentliche GSM-, GPRS-, UMTS- oder PSTN-Netz.
| Markt | Zählerform | Niederspannungsverbindung | Aggregationsknoten | Backhaul | Verbraucherkanal | Kandidat für den kritischen Weg |
|---|---|---|---|---|---|---|
| Deutschland (SMGW) | Separates Gateway plus Zähler | Lokales metrologisches Netz zum Gateway | Das Gateway | Weitverkehr-Mobilfunk oder anderes | Heimnetz und Verbraucherdisplay | Das Gateway |
| Frankreich (Linky) | Integrierter Zähler | G3-PLC, CENELEC-A-Band | Konzentrator in der HTA/BT-Station | Mobilfunk, ursprünglich GPRS | Optionaler TIC-Port und Funkdisplay | Der Konzentrator |
| Spanien (PRIME, Meters and More) | Integrierter DLMS-Zähler | PRIME- oder Meters-and-More-PLC | Konzentrator im centro de transformación | Mobilfunk, teils Glasfaser oder Funk | Hier nicht im Detail | Der Konzentrator |
| Italien (Open Meter) | Integrierter Zähler | PLC-Band A und 169-MHz-RF | Konzentrator in der MT/BT-Station | GSM, GPRS, UMTS oder PSTN | Chain-2-PLC-Band C zu User Devices | Der Konzentrator |
All das erklärt den Konzentrator nicht zum kritischen Produkt. Er ist meist der stärkere Kandidat. Die Bestimmung ist geräte- und nutzungsspezifisch, sie hängt an der Beschreibung der Kernfunktionalität in der Durchführungsverordnung, und sie gehört in das Abgrenzungsmemo des Herstellers. Die Entscheidung unten ist die Kurzfassung dieses Tests.
Wie ein System mit separatem Gateway aufgebaut ist (das deutsche Modell)
Dies ist das Modell mit separatem Gateway, jenes mit einer eigenständigen Kommunikationseinheit als eigener Box. In den Märkten mit integriertem Zähler, die oben beschrieben sind, Frankreich, Spanien und Italien, existieren dieselben Nachweisgrenzen, aber sie fallen in den Zähler und den Netzkonzentrator zusammen statt in ein eigenständiges Gateway. Ein Smart-Meter-Gateway ist die zentrale Kommunikationseinheit eines intelligenten Messsystems. Das BSI beschreibt es als die zentrale Komponente, die Daten von Zählern empfängt und speichert und sie für die berechtigten Marktteilnehmer aufbereitet. Die Bundesnetzagentur nennt es das Herz des Systems. Das Gateway sitzt zwischen drei Netzen, und der Vertrauensanker für alle drei ist ein dediziertes Sicherheitsmodul. Jede Grenze ist der Ort, an dem ein Stück CRA-Nachweis ansetzt, also lohnt es sich, die Architektur genau zu zeichnen.
Die drei Netze tragen jeweils ein anderes Risiko und eine andere Kontrolle:
- Das lokale metrologische Netz (LMN) verbindet das Gateway mit den Zählern, Strom, Gas, Wasser oder Wärme, eines oder mehrerer Endverbraucher. Hier treten die Ablesungen in das Produkt ein. Der Nachweis hier deckt ab, wie das Gateway einen Zähler authentifiziert, wie es Ablesungen eines nicht autorisierten Zählers ablehnt und wie die Zähler-zu-Gateway-Verbindung gepaart und geschützt ist.
- Das Heimnetz (HAN) verbindet das Gateway mit steuerbaren lokalen Anlagen wie Solar auf dem Dach, Kraft-Wärme-Kopplung, Wärmepumpen und Ladevorgängen für E-Fahrzeuge, mit einem Servicetechniker während der Wartung und mit dem Verbraucher, der seinen eigenen Verbrauch einsehen darf. Der Nachweis hier deckt die Isolation zwischen der Verbraucheransicht und den Gerätegeheimnissen ab und den Umfang etwaiger Steuerbefehle, die eine lokale Anlage erreichen.
- Das Weitverkehrsnetz (WAN) verbindet das Gateway mit externen Marktteilnehmern, den Energieversorgern, Netzbetreibern und dem Messstellenbetreiber, und mit dem Gateway-Administrator. Dies ist der Flottenpfad. Der Nachweis hier deckt gegenseitige Authentifizierung, Zertifikatsverwahrung, die Pseudonymisierung der Zählerdaten, bevor sie einen Marktteilnehmer erreichen, und die Verarbeitungsprofile ab, die entscheiden, welche Daten wohin gehen.
Das Sicherheitsmodul ist der Vertrauensanker. Das BSI definiert es als den sicheren Speicherort für das kryptografische Schlüsselmaterial, der die kryptografischen Kernroutinen für Signaturerstellung und -prüfung, Schlüsselerzeugung, Schlüsselvereinbarung und Zufallszahlenerzeugung bereitstellt. Ist das Sicherheitsmodul solide, kann das Gateway in jedem Netz beweisen, wer es ist. Ist es schwach, steht jede andere nachgelagerte Kontrolle auf Sand. Die CRA-Datei sollte das Sicherheitsmodul als benannte Komponente mit eigenem Lieferantennachweis, eigener Update-Geschichte und eigener Grenze im Diagramm behandeln.
Der Gateway-Administrator (GWA) konfiguriert, verwaltet und überwacht das Gateway aus der Ferne über das Weitverkehrsnetz. Er spielt Firmware ein, setzt Konfiguration und Verarbeitungsprofile und beobachtet die Flotte. Aus CRA-Sicht ist der Gateway-Administrator ein privilegierter Fernsteuerungspfad, ähnlich dem Auto-Configuration-Server bei einem Router. Die Datei muss die Identität des Administrators, den Umfang der Befehle, die er erteilen kann, den Vertrauensanker, gegen den er sich authentifiziert, und die Audit-Spur, die er hinterlässt, festhalten.
Mehrere Kontrollen liegen dann auf der Leitung übereinander, und jede ist ein eigenes Stück Nachweis in der Datei.
Die Weitverkehrsverbindung wird mit TLS gesichert und schützt den Kanal zwischen dem Gateway und der Stelle, mit der es spricht.
Zählerinhalte, die für externe Marktteilnehmer bestimmt sind, werden zusätzlich Ende zu Ende mit CMS, der Cryptographic Message Syntax, gesichert, sodass die Nutzlast über den Transport-Endpunkt hinaus geschützt bleibt.
Ablesungen werden pseudonymisiert, bevor sie einen Marktteilnehmer erreichen, und Verarbeitungsprofile entscheiden, welcher Datensatz minimiert, aggregiert und an welchen Empfänger geleitet wird.
Physischer Manipulationsschutz bewahrt das Gerät vor Manipulation im Feld.
Nationales Schema, eigene Spur. Deutschland betreibt für dieses Gerät bereits ein detailliertes nationales Regime nach dem Messstellenbetriebsgesetz, aufgebaut auf einem Stapel von BSI-Standards:
- TR-03109-1: Interoperabilitätsanforderungen für die Kommunikationseinheit, in der weiteren TR-03109-Familie. Jetzt in Version 2.0.
- TR-03109-4: die Smart-Metering-Public-Key-Infrastruktur.
- BSI-CC-PP-0073: Common-Criteria-Schutzprofil für das Gateway. V2.0 zertifiziert im Dezember 2024.
- BSI-CC-PP-0077: Common-Criteria-Schutzprofil für das Sicherheitsmodul.
Die früheren Baselines PP-0073 v1.3 und TR-03109-1 v1.1 bleiben bis zum 31. Dezember 2027 gültig.
Der CRA übernimmt TR-03109 nicht. Sein Weg verläuft über die eigenen harmonisierten Normen, die unter dem Normungsauftrag der Kommission entwickelt werden. Der Sinn der Erwähnung des deutschen Schemas ist eine ehrliche Einordnung: Regulierer verlangen diese Tiefe an Sicherheitsarchitektur bereits von genau dem Gerät, das der CRA nun als kritisch listet, sodass die Latte, die ein Gateway-Hersteller überspringen muss, nicht theoretisch ist. Deutschland ist auch nicht die einzige Latte vor 2027. Ein funkfähiger Zähler schuldet schon heute die RED-Cybersicherheitsanforderungen, in jedem Markt, wie die Überschneidung mit RED, MID, DSGVO und NIS2 unten darlegt.
| Architektur-Prüfpunkt | Nachweis-Anstoß |
|---|---|
| Zähler-zu-Gateway-Verbindung (LMN) | Dokumentieren Sie die optische, drahtgebundene, drahtlose, DLMS/COSEM- oder proprietäre Verbindung und wie das Gateway einen Zähler authentifiziert und einen nicht autorisierten ablehnt. |
| Heimnetz (HAN) | Zeigen Sie die Isolation zwischen der Verbraucheransicht, dem Servicetechniker-Zugang und den Befehlen für steuerbare lokale Anlagen, sodass eine Haushaltsansicht keine Gerätegeheimnisse erreichen kann. |
| Weitverkehrsnetz (WAN) | Zeigen Sie gegenseitige Authentifizierung, Zertifikats- und Schlüsselverwahrung, Wiederverbindungsverhalten und welcher Marktteilnehmer welchen Datensatz erhält. |
| Sicherheitsmodul | Behandeln Sie den Schlüsselspeicher und die Krypto-Routinen als benannte Komponente mit Lieferantennachweis, einer Update-Geschichte und Manipulationsschutz. |
| Gateway-Administrator | Erfassen Sie die Administrator-Identität, den Befehlsumfang, den Vertrauensanker und die Audit-Spur für Fernkonfiguration und Firmware. |
| Pseudonymisierung und Profile | Zeigen Sie, wo Ablesungen pseudonymisiert werden und welches Verarbeitungsprofil jeden Datensatz minimiert und leitet. |
| Metrologie-Grenze | Trennen Sie Cybersicherheitsupdates von der rechtlich relevanten Metrologie-Software und dokumentieren Sie, wo eine angrenzende metrologische Zulassung nötig ist. |
Wie der Konformitätsweg für ein kritisches Produkt funktioniert
Weil ein Gateway kritisch ist, ist der Weg der Selbsterklärung, den ein Router der wichtigen Klasse I nutzen kann, verschlossen. Es nimmt den externen Weg nach Artikel 32: eine Drittprüfung oder ein vollständiges Qualitätssicherungs-Audit, oder ein europäisches Cybersicherheits-Zertifizierungsschema, sobald eines nach Artikel 8 gilt. Für Gateways wurde noch kein Schema verpflichtend gemacht, sodass der Weg heute die Dritt- oder Qualitätssystem-Bewertung ist, mit dem Schema als künftigem Auslöser, den es zu beobachten gilt. Die Mechanik jedes Verfahrens steht im Leitfaden zur Konformitätsbewertung. Der messspezifische Haken ist die Metrologie-Grenze: Eine CRA-Bewertung nimmt die rechtlich relevante Messfunktion nicht ab, halten Sie also den Konformitätsnachweis und die metrologische Zulassung als getrennte Einträge.
Welche Nachweise die technische Dokumentation enthalten sollte
Die Datei sollte einem Prüfer erlauben, dem Gateway von der Produktidentität bis zu den Sicherheitskontrollen ohne Raten zu folgen. Die Tabelle unten listet die dateispezifischen Einträge, die die Anforderungstabelle oben noch nicht abgedeckt hat: Identität, die Bestimmung „kritisch", das Konformitätsergebnis und das Komponenteninventar. Die zwei Einträge, die für ein Mess-Gateway das meiste Gewicht tragen, der Schlüssel- und Zertifikats-Lebenszyklus und die Aufteilung zwischen metrologie-relevanten und rein cybersicherheitsbezogenen Änderungen, sind darunter vollständig gezeichnet.
| Nachweisbereich | Mess-Nachweis zum Aufbewahren |
|---|---|
| Produktidentität | Zähler- und Gateway-Modell, Metrologie-Firmware, Kommunikationsmodul, Sicherheitsmodul-Teil und Hardware-Revision |
| Bestimmung „kritisch" | Ob das Produkt ein Gateway innerhalb eines intelligenten Messsystems oder ein anderes vernetztes Messprodukt ist, mit festgehaltener Begründung |
| Konformitätsergebnis | Das EU-Baumusterprüfbescheinigung der notifizierten Stelle oder die Zulassung der umfassenden Qualitätssicherung, die EU-Konformitätserklärung und die CE-Kennzeichnung, mit der Nummer der notifizierten Stelle nur dort ergänzt, wo die Stelle den Weg der umfassenden Qualitätssicherung betreibt |
| Komponenteninventar | Versionierte Liste der ausgelieferten digitalen Elemente, mit benannten Verantwortlichen und einer Überwachung von Lieferantenhinweisen |
Das Sicherheitsmodul macht den Schlüssel-Lebenszyklus anders als eine generische IoT-Schlüsselgeschichte. Ein geräteindividuelles Geheimnis wird in der Fertigung eingebracht und verlässt das Modul nie im Klartext. Bei der Installation bindet der Installateur das Gateway an seine Zähler und an die Betreiberrolle, ohne je einen Chargenschlüssel anzufassen, sodass geleckte Installateur-Zugangsdaten keine Flotte vortäuschen können. Im Betrieb authentifiziert sich das Gateway am Head-End mit dem konfigurierten Vertrauensanker und zeichnet jede Ablesung, jedes Manipulationsereignis und jedes Update auf. Die Rotation ist geplant, vorfallgetrieben oder durch einen Rollenwechsel ausgelöst, und sie aktualisiert sowohl das Gateway als auch den Eintrag des Betreibers. Bei der Außerbetriebnahme wird die alte Bindung widerrufen und die Schlüssel werden zerstört oder deaktiviert, sodass ein zurückgegebenes oder getauschtes Gateway nicht weiter als lebendiges Mess-Gateway agieren kann.
Der zweite messspezifische Eintrag ist die Aufteilung zwischen rechtlich relevanter Metrologie-Software und rein cybersicherheitsbezogenen Änderungen. Ein Gateway-Hersteller liefert Sicherheits-Fixes weit häufiger aus als Metrologie-Änderungen, und die Datei muss zeigen, dass ein Sicherheitsupdate die zugelassene Messfunktion nicht stillschweigend verändert hat. Die Matrix unten ist die Entscheidungshilfe: Sie sagt dem Hersteller, wo er die Cybersicherheitsentscheidung festhält und wo eine angrenzende metrologische Zulassung oder ein betreiberkoordiniertes Änderungsfenster nötig ist.
Aufteilung Metrologie versus Cybersicherheitsupdate. Sicherheits-Fixes müssen gegen rechtlich relevante Software geprüft werden, ohne so zu tun, als ersetze der CRA die metrologische Zulassung.
| Änderungsbereich | Beispieländerung | Entscheidungsfrage | Release-Pfad | Nachweis |
|---|---|---|---|---|
| Rechtlich relevante Metrologie | Messberechnung oder versiegelte Zähler-Firmware | Betrifft dies die zugelassene Metrologie-Funktion? | Für eine Metrologie-Wirkungsentscheidung anhalten | Wirkungsbewertung und Zulassungseintrag |
| Gateway-Sicherheit | TLS-, Pairing-, Update-Agent- oder Schlüsselspeicher-Fix | Kann der Fix ausgeliefert werden, ohne die Messlogik zu ändern? | Signiertes Sicherheitsupdate mit Rollback | Eintrag zur Metrologie-Wirkungsentscheidung, Testergebnis und Kundenhinweis |
| Kommunikationsmodul | Firmware des Mobilfunkmodems oder Patch der Protokollbibliothek | Ändert das Lieferanten-Update exponierte Dienste oder Zugangsdaten? | Gestaffeltes Feld-Update | Entscheidung zum Lieferantenhinweis und Kompatibilitätstest |
| Head-End-Konnektor | Exportformat, Vertrauensanker oder Pairing-Workflow | Braucht der Betreiber ein koordiniertes Änderungsfenster? | Betreiberkoordinierter Rollout | Betreiberanweisung und Migrationsprotokoll |
Entscheidungs-Gate: Diese Aufteilung ist keine Abkürzung um die Metrologie- oder Versorgerzulassung herum. Sie sagt dem Hersteller, wo er die Cybersicherheitsentscheidung festhält und wo eine angrenzende Zulassung oder ein Betreiber-Halt nötig ist. Die Frage, die sie beantwortet: Kann dieser Fix als Cybersicherheitsupdate ausgeliefert werden, oder berührt er rechtlich relevante Metrologie-Software? Artefakt: Eintrag zur Metrologie-Wirkungsentscheidung je Release.
Wie eine echte Mess-Risikobewertung aussieht
Nutzen Sie dies als Beispiel für die Tiefe, die eine Datei der kritischen Stufe braucht. Der Hersteller muss die Bewertung weiterhin an seinem realen Gateway, Sicherheitsmodul, Zähler-Protokollstack, Kommunikationsmodul, an den Lieferantenkomponenten, der Aktualisierungsverantwortung, den Vertriebsaussagen und der Zusage zum Supportzeitraum durchführen.
Asset-Inventar
Beispielprodukt: ExampleCo GridMeter G2, ein Smart-Meter-Gateway, gepaart mit Stromzählern, einem Mobilfunk-Kommunikationsmodul, einem Hardware-Sicherheitsmodul, einem Versorger-Head-End-Konnektor, einer Verbraucherdisplay-Schnittstelle, signierten Firmware-Updates und einem Installateur-Inbetriebnahme-Werkzeug.
Die Produktgrenze umfasst die Gateway-Hardware, das Sicherheitsmodul, die Zählerschnittstelle, das Kommunikationsmodul, den Schlüsselspeicher, den Head-End-Konnektor, die Verbraucherdisplay-Schnittstelle, den Firmware-Aktualisierungsdienst, das Installateur-Werkzeug, die Annahmestelle für koordinierte Offenlegung und den Hinweisprozess. Ausgeschlossen sind das Abrechnungssystem des Versorgers, die metrologische Zulassung, die Netzbetriebssysteme und der Energievertrag des Kunden, sofern derselbe Betreiber sie nicht als Teil des Produkts liefert.
| Asset | Warum es zählt | Wo es liegt |
|---|---|---|
| Zähler-zu-Gateway-Verbindung (LMN) | Führt Messdaten in das Produkt und muss nicht autorisierte Zähler ablehnen | Zählerschnittstelle, Pairing-Material, LMN-Protokollstack |
| Hardware-Sicherheitsmodul und Schlüsselspeicher | Hält die Schlüssel, die die Identität des Gateways in jedem Netz beweisen | Sicherheitsmodul, Schlüsselspeicher, Bereitstellungseinträge |
| Head-End- und WAN-Verbindung | Privilegierter Pfad zu Marktteilnehmern und zum Gateway-Administrator | Mobilfunkmodul, WAN-Zugangsdaten, Zertifikatsspeicher |
| Befehlspfad des Gateway-Administrators | Ein Flotten-Steuerungspfad kann auf viele Gateways zugleich wirken | WAN-Verwaltung, Administrator-Zugangsdaten, Befehls-Audit |
| Vertrauensanker der Firmware-Signierung | Schützt den Update-Kanal gegen Rollback und Manipulation | Bootloader, sicherer Speicher, OTA-Update-Dienst |
| Intervall-Ablesungs- und Datenschutzdaten | Feingranularer Verbrauch kann Anwesenheit und Verhalten verraten | Ablesungsspeicher, Verarbeitungsprofil, Support-Export |
| Installateur-Inbetriebnahme-Workflow | Die Inbetriebnahme-Befugnis bindet das Gateway an den Zähler und die Betreiberrolle | Installateur-Werkzeug, Installateur-Portal, Pairing-Attestierung |
| Firmware des Kommunikationsmoduls | Modem-Schwachstellen wirken auf Verfügbarkeit und Exposition | Mobilfunkmodul, Hersteller-SDK, Lieferantenhinweise |
| Metrologie-Grenze | Ein Sicherheitsupdate darf rechtlich relevante Messsoftware nicht stillschweigend berühren | Versiegelte Metrologie-Funktion, Release-Prozess, Eintrag zur Metrologie-Wirkung |
Dokumentieren Sie die Rollenaufteilung und die ausgeschlossenen Versorgersysteme.
Wegprüfung | Produktdatei | Risikodatei | Erklärung des Supportzeitraums
Schlüssel-Lebenszyklus, Datenschutzprüfung, Firmware-Tests und Versorger-Abnahmenachweis.
Protokollbibliothek-Überwachung, Modem-Firmware-Nachweis, Schlüsselspeicher-Tests und Lieferantenhinweise.
Widerrufsverfahren, Installateur-Anweisungen, Update-Pfad für Ersatzteile und Eintrag zur Kundenbenachrichtigung.
Die datenschutzsensibelste Ausgabe eines Gateways ist die Intervall-Ablesung. Feingranulare Verbrauchsdaten können Anwesenheit, Gerätenutzung und Verhalten verraten, sodass die Datei einen klaren Minimierungs-Engpass und eine klare Antwort darauf braucht, was der Support während einer Untersuchung sehen kann. Der Fluss unten bindet das an die Pseudonymisierungs- und Verarbeitungsprofil-Kontrollen aus dem Architekturabschnitt zurück.
Die Ablesekadenz ist betreiber- oder marktspezifisch. Das Gateway erfasst nur den unterstützten Datensatz.
Ein Verarbeitungsprofil behält nur, was die angegebene Funktion braucht, und Ablesungen werden pseudonymisiert, bevor sie einen Marktteilnehmer erreichen.
Verbraucher- und Betreiberansichten sind von rohen Gerätegeheimnissen und Pairing-Material getrennt.
Ein Support-Export entfernt Schlüssel, präzise Topologie und unnötige personenbezogene Details. Artefakt: Schwärzungsliste für das Support-Bündel.
Vertrauensgrenzen
| Umgebung | Erwartete Exposition | Risikofolge |
|---|---|---|
| Zählerverbindung (LMN) | Erreichbar von den im Feld installierten Zählern | Ein nicht autorisierter oder gefälschter Zähler kann falsche Ablesungen einspeisen |
| Heimnetz (HAN) | Geteilt mit Verbraucherdisplays und steuerbaren lokalen Anlagen | Schwache Isolation kann Ablesungen preisgeben oder Steuerfunktionen erreichen |
| Weitverkehrsnetz (WAN) | Dauerhaft externen Marktteilnehmern und dem Administrator ausgesetzt | Eine Kompromittierung von Zugangsdaten oder Zertifikaten kann über die Flotte skalieren |
| Pfad des Gateway-Administrators | Privilegierter Kanal für Fernkonfiguration und Update | Ein zu großer Befehlsumfang oder ein kompromittierter Administrator betrifft viele Gateways |
| Schnittstelle des Sicherheitsmoduls | Erreicht von jeder Operation, die Schlüssel signiert, prüft oder speichert | Ein schwaches Modul untergräbt jede nachgelagerte Kontrolle |
| Update- und Wiederherstellungspfad | Empfängt privilegierte Firmware-Images | Schwache Signierung oder Rollback führt bekannte Schwachstellen wieder ein |
| Support- und Ablesungsexport | Geht vom Gerät zu Betreibern und Support-Personal über | Ungeschwärzte Exporte können Schlüssel, Topologie oder personenbezogene Verbrauchsdaten preisgeben |
Bedrohungsszenarien
| ID | Bedrohungsszenario | Gefährdetes Asset | Einstiegspunkt |
|---|---|---|---|
| M1 | Gateway akzeptiert Zählerablesungen von einem nicht autorisierten Zähler | Ableseintegrität | Zählerverbindung |
| M2 | Head-End-Zertifikat oder Geräteschlüssel wird über Chargen hinweg wiederverwendet | Flotten-Authentifizierung | Bereitstellung |
| M3 | Firmware-Rollback führt eine bekannte Schwachstelle wieder ein | Firmware-Integrität | Update-Agent |
| M4 | Intervalldaten lecken Anwesenheit über einen Support-Export | Ablesungs-Datenschutz | Support-Bündel |
| M5 | Installateur-Konto bleibt nach dem Offboarding des Auftragnehmers aktiv | Inbetriebnahme-Autorität | Installateur-Portal |
| M6 | Verbraucherschnittstelle gibt die Ablesungen eines anderen Haushalts preis | Datenschutz | Cloud- oder lokale API |
| M7 | Metrologie-relevantes Update wird ohne Trennung vom Sicherheits-Fix ausgeliefert | Metrologie-Grenze | Release-Prozess |
| M8 | Schwachstelle im Mobilfunkmodem wird während des Supports nicht triagiert | Gateway-Verfügbarkeit | Lieferantenmodul |
| M9 | Werksreset widerruft die Versorgerbindung oder alte Schlüssel nicht | Eigentum, Schlüssel | Austausch oder Rückgabe |
| M10 | Befehlsumfang des Gateway-Administrators übersteigt das bewertete Profil | Flottensteuerung | WAN-Management |
Initiales Risikoregister
| ID | Wahrscheinlichkeit | Auswirkung | Erstentscheidung | Begründung |
|---|---|---|---|---|
| M1 | Gering | Hoch | Vor Release behandeln | Ableseintegrität ist zentral |
| M2 | Gering | Schwerwiegend | Vor Release behandeln | Schlüssel-Wiederverwendung kann über die Flotte skalieren |
| M3 | Gering | Schwerwiegend | Vor Release behandeln | Update-Schwäche untergräbt den Support |
| M4 | Mittel | Mittel | Vor Release behandeln | Messdaten sind datenschutzsensibel |
| M5 | Mittel | Hoch | Vor Release behandeln | Installateure betreffen viele Geräte |
| M6 | Gering | Hoch | Vor Release behandeln | Ein haushaltsübergreifendes Leck ist schwerwiegend |
| M7 | Mittel | Hoch | Vor Release behandeln | Metrologie- und Cybersicherheitsupdates wirken zusammen |
| M8 | Mittel | Mittel | Vor Release behandeln | Kommunikationsmodule altern schnell |
| M9 | Mittel | Hoch | Vor Release behandeln | Austausch und Rückgabe sind normal |
| M10 | Mittel | Schwerwiegend | Vor Release behandeln | Ein Flottensteuerungspfad kann viele Gateways betreffen |
Zuordnung von Kontrollen und Nachweisen
| Bedrohungen | Designkontrolle | Nachweise, die der Hersteller aufbewahren sollte |
|---|---|---|
| M1, M2 | Gegenseitige Authentifizierung, geräteindividuelle Schlüssel im Sicherheitsmodul verankert, Bereitstellungs-Audit | Schlüssel-Einbringungseintrag, Pairing-Tests |
| M3 | Signierte Updates, Anti-Rollback, Wiederherstellungsverifizierung | Update-Tests, Downgrade-Ablehnung |
| M4, M6 | Datenminimierung, Verarbeitungsprofile, Pseudonymisierung, Mandantenisolation, Support-Schwärzung | Datenschutzprüfung, API-Tests |
| M5, M9 | Installateur-Rollentrennung, Offboarding, Austausch- und Widerrufs-Workflow | Rollentests, Rückgabe-Checkliste |
| M7 | Metrologie-Wirkungsbewertung und Release-Trennung | Eintrag zur Release-Entscheidung |
| M8 | Komponenteninventar und Überwachung von Lieferantenhinweisen | Hinweisprotokoll, Patch-Entscheidung |
| M10 | Geringst-privilegiertes Administratorprofil, Zertifikatsinventar, Befehls-Audit | Profilprüfung, Stichprobe des Befehls-Audits |
Restrisiko nach Kontrollen
| Restbereich | Warum es bleibt | Operativer Nachweis |
|---|---|---|
| Versorgersysteme | Abrechnung und Head-End-Betrieb können außerhalb der Kontrolle des Produktherstellers liegen | Memo zur Rollenaufteilung |
| Datenschutz-Rückschluss | Feingranulare Ablesungen können weiterhin Verhalten verraten | Aufbewahrungs- und Minimierungseintrag |
| Zertifizierungsweg | Die Behandlung als kritisches Produkt hängt vom Schema und vom künftigen delegierten Rechtsakt ab | Wegentscheidungs-Protokoll, Schema-Beobachtungsnotiz |
Was gehört in das Komponenteninventar eines Smart-Meter-Gateways?
Die generische Mechanik des Komponenteninventars, die Formatwahl und die Signierung stehen im SBOM-Leitfaden, im HBOM-Leitfaden und im BSI-TR-03183-Leitfaden. Spezifisch für ein Gateway ist die Form des Baums. Es ist ein Hardware-Produkt, das viele digitale Elemente auf getrennten Aktualisierungszyklen ausliefert, selten weniger als zehn und oft eher zwanzig Komponenten erster Ebene, jede mit eigenem Lieferanten, eigener Update-Kadenz und eigenem Hinweis-Feed. Listen Sie sie als ein produktweites Inventar mit elementgetrennten Abschnitten oder als ein Inventar je ausgeliefertem Element, solange es maschinenlesbar bleibt und die Abhängigkeiten erster Ebene abdeckt.
| Komponente | Funktion im Gateway | Konkretes Beispiel |
|---|---|---|
| Sicherer Bootloader und Vertrauensanker | Verifiziert und startet die signierte Firmware-Kette | Eine gemessene oder verifizierte Boot-Erststufe, die Signaturen prüft, bevor das Betriebssystem lädt, und herabgestufte Images ablehnt |
| Betriebssystem und Kernel | Die Plattform, auf der das Gateway läuft | Ein eingebettetes Linux, gebaut mit Yocto/OpenEmbedded auf einem Long-Term-Support-Kernel, oder ein gehärtetes RTOS |
| Metrologie-Firmware | Die versiegelte, rechtlich relevante Messfunktion | Mess-Firmware des Zählers, versiegelt nach der Messgeräte-Richtlinie (2014/32/EU) und nationalem Metrologie-Recht. In der Gateway-Grenze nur, wenn der Zähler Teil des auf den Markt gebrachten Produkts ist, andernfalls sitzt sie im Zähler und wird gemäß dem WELMEC-7.2-Software-Leitfaden identifiziert |
| Zähler-Protokollstack (LMN) | Liest Zähler über das lokale metrologische Netz | Ein DLMS/COSEM-Stack (Device Language Message Specification / Companion Specification for Energy Metering) (IEC 62056). In deutschen Bereitstellungen SML (Smart Message Language) und Wireless M-Bus (EN 13757-4) mit OMS-Profilen (Open Metering System) |
| Kommunikationsmodul-Firmware (WAN) | Trägt die Weitverkehrsverbindung zu den Marktteilnehmern | Lieferanten-Baseband-Firmware auf einem NB-IoT- oder LTE-M-Mobilfunkmodul (z. B. von u-blox oder Quectel). Manche Netze nutzen stattdessen Powerline-Backhaul |
| Head-End-Konnektor / -Client | Spricht mit dem Head-End-System und dem Gateway-Administrator | Ein WAN-Client, der das Betreiberprotokoll implementiert (in Deutschland die TR-03109-1-Verbindung zum Gateway-Administrator) |
| Sicherheitsmodul-Firmware und Schlüsselspeicher | Der Vertrauensanker: Schlüsselspeicherung und der Krypto-Kern | Ein Secure Element oder HSM (Hardware-Sicherheitsmodul), bewertet gegen ein Common-Criteria-Schutzprofil (in Deutschland BSI PP-0077) |
| PKI- / Zertifikatsmanagement-Client | Beantragt, erneuert und widerruft die Gerätezertifikate | Ein Zertifikats-Client (z. B. EST oder CMP) gegen die Betreiber-PKI. In Deutschland die TR-03109-4 Smart-Metering-PKI |
| TLS-Bibliothek | Schützt den WAN-Kanal | mbedTLS, wolfSSL oder OpenSSL |
| CMS-Schicht | Ende-zu-Ende-Inhaltsschutz der Ablesungen über den Transport-Endpunkt hinaus | Eine Cryptographic-Message-Syntax-Implementierung (RFC 5652), die Zählerinhalte für den berechtigten Empfänger signiert und verschlüsselt |
| Over-the-Air-Update-Agent | Spielt signierte Firmware mit Rollback ein | Ein A/B-Update-Client wie SWUpdate, Mender oder RAUC, mit Signaturprüfung und Anti-Rollback |
| Verarbeitungsprofil- und Konfigurations-Engine | Minimiert und leitet jeden Datensatz an den berechtigten Empfänger | Die Komponente, die Verarbeitungsprofile anwendet und Ablesungen pseudonymisiert, bevor sie das Gateway verlassen |
| Ereignis- und Manipulations-Protokollierungs-Subsystem | Zeichnet Ablesungen, Manipulations- und Update-Ereignisse für die Audit-Spur auf | Ein anhängend-geschriebenes Ereignisprotokoll, das die Betreiber-Audit-Spur und den Nachweis für Abrechnungsstreitigkeiten speist |
| Sichere Zeitquelle | Liefert vertrauenswürdige Zeit für Zertifikate, Protokolle und Tarife | Eine synchronisierte Uhr, etwa authentifiziertes NTP, als Grundlage für Zertifikatsgültigkeit und Zeitstempel von Manipulationsereignissen |
| Lokales Display / HAN-Schnittstelle | Die Verbraucher-Transparenzansicht und die Verbindung zu steuerbaren lokalen Anlagen | Eine lokale Web-Ansicht für den Endverbraucher oder eine EEBus- / OMS-Schnittstelle zu Heimnetz-Anlagen |
| Installateur- / Inbetriebnahme-Werkzeug | Paart, stellt bereit und tauscht Gateways im Feld | Eine Feld-App oder ein Laptop-Werkzeug, das das Gateway an seine Zähler und Betreiberrolle bindet, ohne einen Chargenschlüssel anzufassen |
Halten Sie die Pflicht ehrlich. Der CRA verlangt ein maschinenlesbares Inventar, das mindestens die Abhängigkeiten erster Ebene abdeckt, über den Supportzeitraum aktualisiert wird, mit Überwachung von Lieferantenhinweisen, sodass eine bekannte Schwachstelle in der Modem-Firmware oder der Protokollbibliothek triagiert statt verpasst wird. Er schreibt bislang kein festes Format und keine Tiefe über die Abhängigkeiten erster Ebene hinaus vor. Spiegeln Sie diesen Wortlaut, statt eine strengere Regel zu erfinden.
Das Inventar ist keine passive Liste. Artikel 13 verpflichtet Sie zur Sorgfaltspflicht, wenn Sie eine Drittkomponente integrieren, einschließlich Open Source, sodass sie die Cybersicherheit des Gateways nicht schwächt. Bei Schwachstellen geht er weiter. Finden Sie eine in einer integrierten Komponente, melden Sie sie der Stelle, die diese Komponente herstellt oder pflegt, beheben Sie sie in Ihrem Produkt nach den Schwachstellen-Handhabungsregeln des Anhangs I, und wo Sie einen Software- oder Hardware-Fix erstellt haben, teilen Sie den relevanten Code oder die Dokumentation mit diesem Maintainer. Das Mobilfunkmodul und das Sicherheitsmodul sind nicht nur Posten. Jedes ist für sich ein Produkt mit digitalen Elementen, das eigene CRA-Pflichten trägt, sodass der Modem-Baseband-Hinweis und das Sicherheitsmodul-Errata Teil Ihrer Überwachung und Ihrer vorgelagerten Meldung sind, nicht das Problem eines anderen.
Wie sollten Support, Updates und Meldungen funktionieren?
Eine Zählerflotte überlebt die meiste Unterhaltungselektronik. Gateways bleiben ein Jahrzehnt oder länger in den Wänden, sodass das Supportmodell Teil der Datei ist, kein nachträglicher Einfall. Der Supportnachweis sollte die Metrologie-Firmware, die Gateway-Firmware, das Sicherheitsmodul, das Kommunikationsmodul, den Head-End-Konnektor und die Installateur-Werkzeuge abdecken. Langlebige Flotten brauchen auch Nachweise für die Kontinuität der Zertifizierungsstelle, das Ablaufen von Signierschlüsseln, Baselines für Ersatz-Gateways und die Trennung zwischen rechtlich relevanter Metrologie-Software und rein cybersicherheitsbezogenen Updates.
| Operativer Bereich | Vorzubereitender Nachweis |
|---|---|
| Supportzeitraum und Update-Verfügbarkeit | Die generischen Untergrenzen stehen im Supportzeitraum-Leitfaden. Planen Sie für eine Zählerflotte ein Fenster, das einer mehrjährigen Bereitstellung entspricht, statt der Untergrenze, zeigen Sie das Monat-und-Jahr-Enddatum beim Kauf und bewahren Sie Recovery-Images, Hashes und Release-Notizen für Baselines von Ersatz-Gateways auf. |
| Metrologie-Wirkungstrennung | Ein Entscheidungseintrag je Release, der zeigt, ob eine Änderung die zugelassene Metrologie-Funktion berührt hat und wo eine angrenzende Zulassung oder ein Betreiber-Halt nötig war. |
| Einzelner Schwachstellen-Kontakt | Ein direkter Schwachstellen-Meldekontakt für den verantwortlichen Hersteller, nicht nur ein automatisierter Kanal. Ist der Versorger Hersteller eines gebrandeten Gateways, verantwortet der Versorger einen Annahmeweg. |
| Komponenten-Sorgfaltspflicht | Überwachung von Lieferantenhinweisen für den Kernel, den Protokollstack, die Modem-Firmware, das Sicherheitsmodul, die TLS- und CMS-Bibliotheken und den Update-Agenten, mit Triage und Fix-Verbreitung. |
| Meldung bei aktiver Ausnutzung und schwerwiegenden Vorfällen | Melden Sie über die einzelne Plattform an das als Koordinator benannte CSIRT und an ENISA auf der CRA-Uhr, fügen Sie dann die gateway-spezifische Überlagerung hinzu: Stimmen Sie den Nutzerhinweis und etwaige Minderung mit dem Versorger ab und erfassen Sie die Metrologie-Wirkung des Fixes. Die Fristen für Frühwarnung, Meldung und Abschlussbericht sind die produktübergreifenden aus dem Leitfaden zur Schwachstellen-Handhabung und dem Leitfaden zur koordinierten Schwachstellen-Offenlegung. |
Sicherheitsupdates müssen mit den Versorgern und dem Gateway-Administrator koordiniert werden, sodass der Feld-Rollout, die Metrologie-Wirkung und der Nutzerhinweis nachvollziehbar sind. Ein Gateway-Hersteller kann kein Flotten-Update so einspielen, wie eine Telefon-App es tut. Der Betreiber besitzt das Änderungsfenster, und die Datei sollte diese Koordination zeigen, statt sie anzunehmen. Die Meldepflichten nach Artikel 14 beginnen am 11. September 2026, sodass die Offenlegungsrichtlinie und der einzelne Kontakt vorher funktionieren sollten, während der übrige CRA ab dem 11. Dezember 2027 gilt, dem Datum, bis zu dem der Konformitätsweg und die technische Dokumentation vollständig sein müssen.
Eine Übergangsregel zählt für eine Zählerflotte mehr als für fast jedes andere Produkt. Ein vor dem Anwendungsdatum auf den Markt gebrachtes Produkt fällt nur dann vollständig unter den CRA, wenn es danach wesentlich verändert wird, sodass ein Jahre früher installierter Zähler nicht rückwirkend den Konformitätsweg braucht. Eine Pflicht bricht diese Regel. Die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle erreicht jedes Produkt im Anwendungsbereich, das bereits am Markt ist, die bereitgestellte Flotte eingeschlossen (Artikel 69). Der Hersteller von vor Jahren ausgelieferten Zählern schuldet diese Meldung also weiterhin für seine bereitgestellte Flotte, und ein Versorger trägt sie nur dort, wo er der verantwortliche Hersteller ist, etwa nach einem Re-Branding oder einer wesentlichen Veränderung. Ordnen Sie die bereitgestellte Flotte früh dieser Aufteilung zu, weil die Meldepflicht vor dem Rest der Datei landet.
Was Einführer, Händler und Versorger prüfen müssen
Ein Gateway teilt seine Rollen oft auf mehr Wirtschaftsakteure auf als ein Verbraucherprodukt: einen Zählerhersteller, einen Gateway-Hersteller, einen Versorger, der die Flotte umbranden oder betreiben kann, einen Gateway-Administrator und einen Installateur. Die Übergabekarte unten zeigt, wer jede Vorab-Prüfung verantwortet und was das Gateway an jeder Rolle anhält.
Die generischen Pflichten für Einführer und Händler gelten wie für jedes Produkt. Die messspezifischen Prüfungen betreffen den Build und die Schlüssel. Einführer und Händler sollten bestätigen, dass der erhaltene Build der bewertete Build ist, kein umgebrandeter Fork. Versorger und Installateure sollten die Schlüsselbereitstellung, die Firmware-Baseline, den Widerrufs- und Austausch-Workflow und das Gateway-Administratorprofil prüfen, bevor sie eine Charge annehmen. Ein Versorger, der das Gateway unter eigenem Namen anbietet, die Management-Cloud betreibt oder die Firmware wesentlich verändert, übernimmt Herstellerpflichten für diese gebrandete Flotte, einschließlich des Schwachstellen-Meldekontakts.
Ein Nicht-EU-Hersteller eines Zählers oder Moduls kann einen EU-Bevollmächtigten nach Artikel 18 benennen. Der Artikel sagt „kann", es ist also eine Option, keine Pflicht, und Sie sollten einen Bevollmächtigten nicht als verpflichtend festhalten. Was nicht optional ist, ist die Zuordnung. Ein Eigenmarken- oder wesentlich verändertes Produkt macht den, der es auf den Markt gebracht oder verändert hat, zum Hersteller. Die Datei muss benennen, wer eine Schwachstellenmeldung erhält und wer die Dokumentation verfügbar hält, wenn der Hersteller außerhalb der EU sitzt. Entscheiden Sie diese Zuordnung in der Abgrenzungsarbeit, nicht an der Grenze.
Wie sich dies zu RED, MID, DSGVO und NIS2 verhält
Der CRA landet nicht auf einem leeren Tisch. Ein Smart Meter trägt bereits andere CE-Pflichten, und der Versorger, der die Flotte betreibt, hat eigene Pflichten. Vier Überschneidungen entscheiden, wie viel der Datei wirklich neu ist.
| Regelwerk | Landet auf | Was es ergänzt und wie es den CRA erfüllt |
|---|---|---|
| Funkanlagenrichtlinie (2014/53/EU) | Einem funkfähigen Zähler | Schutz- und EMV-Ziele über Art. 3 Absatz 1, sodass die Niederspannungsrichtlinie und die EMV-Richtlinie nicht separat gelistet sind. Cybersicherheit über die Delegierte Verordnung (EU) 2022/30, in Kraft seit 1. August 2025, vor dem CRA. |
| Messgeräte-Richtlinie (2014/32/EU) | Der Messfunktion | Metrologische Zulassung, dass die Messung korrekt und versiegelt ist, eine andere Frage als die Cybersicherheit. |
| DSGVO | Den Intervall-Ablesungsdaten | Datenschutzpflichten zusätzlich zum CRA, mit einer Vorlage für eine Smart-Grid-Folgenabschätzung. |
| NIS2 (2022/2555) | Dem Betreiber, nicht der Box | Die eigenen Pflichten des Verteilnetzbetreibers zu Vorfallsmeldung und Risikomanagement, neben der CRA-Meldung des Herstellers. |
Eine einzige EU-Konformitätserklärung listet jeden anwendbaren Rechtsakt, RED, MID, RoHS und den CRA darunter. Zwei Dinge bringen Hersteller in die Bredouille.
Die RED-Cybersicherheit bindet einen Funkzähler bereits heute. Er muss jetzt die Normen EN 18031-1, -2 und -3 erfüllen, vor dem CRA. Erfüllen Sie beide weiter, bis die Delegierte Verordnung (EU) 2026/339 die RED-Cybersicherheitsregeln am 11. Dezember 2027 aufhebt, dem CRA-Anwendungsdatum.
EMV und die Niederspannungsrichtlinie sind nicht doppelt gelistet. Bei einem Funkzähler trägt RED bereits die EMV- und Sicherheitsziele. Diese beiden Richtlinien gelten allein nur für eine funklose Variante.
Häufig gestellte Fragen
Ist jeder Smart Meter unter dem CRA kritisch?
Nein. Die Einstufung „kritisch" konzentriert sich auf Smart-Meter-Gateways innerhalb intelligenter Messsysteme und auf Geräte, deren Zweck fortgeschrittene Sicherheit einschließlich sicherer Kryptoverarbeitung ist. Ein Unterzähler, ein Heizkostenverteiler, ein Funkmodul eines Wasserzählers oder eine Verbraucherbrücke ist ein Produkt mit digitalen Elementen im Anwendungsbereich, wird aber nicht kritisch, nur weil es Verbrauch misst oder Kryptografie nutzt. Jedes davon braucht eine eigene Abgrenzungs- und Verwendungsanalyse auf dem Standard-Weg.
Kann ein Smart-Meter-Gateway den Weg der internen Kontrolle nutzen wie ein Router?
Nein. Ein Router der Klasse I kann sich nach interner Kontrolle selbst erklären, sobald er die einschlägigen harmonisierten Normen vollständig angewendet hat. Ein kritisches Gateway kann das nicht. Artikel 32 schickt es zu einem Zertifizierungsschema, wo eines gilt, oder zu einer Drittprüfung oder umfassenden Qualitätssicherung. Planen Sie eine externe Bewertung des Produkts oder des Prozesses, keine selbst unterzeichnete Erklärung.
Braucht das Gateway heute ein Cybersicherheits-Zertifikat?
Noch nicht, und dies ist die häufigste Überbehauptung. Artikel 8 erlaubt der Kommission, ein Zertifikat auf der Stufe „substanziell" für ein kritisches Produkt verpflichtend zu machen, aber erst, sobald ein geeignetes Schema existiert und verfügbar ist. Kein solches Schema ist in Kraft, halten Sie eine verpflichtende Zertifizierung also als beobachtete künftige Bedingung fest, statt ein Zertifikat gegen ein Schema zu behaupten, das nicht angenommen wurde.
Erfüllt das deutsche BSI-Schema den CRA?
Nein. BSI TR-03109 und die Schutzprofile PP-0073 und PP-0077 sind ein deutsches nationales Regime nach dem Messstellenbetriebsgesetz. Der CRA übernimmt sie nicht. Der CRA-Weg verläuft über die eigenen harmonisierten Normen, die unter dem Normungsauftrag der Kommission entwickelt werden. Das deutsche Schema ist nützlicher Kontext, weil es die Tiefe an Sicherheitsarchitektur zeigt, die Regulierer von diesem Gerät bereits erwarten, aber ein TR-03109-Zertifikat ist kein CRA-Konformitätsweg.
Erfüllt die metrologische Zulassung den CRA?
Nein. Die metrologische Zulassung belegt, dass die Messung korrekt und versiegelt ist. Der CRA belegt, dass das vernetzte Produkt über seinen Supportzeitraum hinweg Angriffen standhält. Sie wirken zusammen, weil ein Sicherheitsupdate gegen die rechtlich relevante Metrologie-Software geprüft werden muss, aber das eine ersetzt das andere nicht. Halten Sie die zwei Einträge getrennt und dokumentieren Sie die Schnittstelle zwischen ihnen.
Ist der Datenschutz der Intervall-Ablesungen Teil der CRA-Bewertung?
Ja. Feingranulare Intervalldaten können Anwesenheit und Verhalten verraten, sodass die Bewertung Vertraulichkeit und Datenminimierung berücksichtigen sollte. Das Gateway sollte Ablesungen pseudonymisieren, bevor sie einen Marktteilnehmer erreichen, Verarbeitungsprofile nutzen, um nur das zu senden, was jeder Empfänger braucht, und ein Schema und einen Schwärzungstest für jeden Support-Export führen. Das allgemeine Datenschutzregime gilt zusätzlich zum CRA, nicht an seiner Stelle.
Welcher Nachweis sollte als Erstes von einem Gateway-Hersteller erstellt werden?
Das Mess-Abgrenzungs- und Kritisch-Weg-Memo für das genaue Gateway: die Zählerschnittstelle, die Haus- und Weitverkehrsanschlüsse, das Sicherheitsmodul, der Head-End-Konnektor, der Gateway-Administrator und der Schlüssel-Lebenszyklus. Dieser eine Eintrag fixiert die Bestimmung „kritisch" und lässt den Konformitätsweg, die Lieferantenverträge und das Einführerpaket auf dieselbe Entscheidung verweisen.
Gilt das, wenn mein Land kein separates Gateway hat, wie Frankreich, Spanien oder Italien?
Ja. Diese Märkte betreiben integrierte Zähler, die in einer Einheit messen und kommunizieren und direkt einen Datenkonzentrator in der Ortsnetzstation erreichen, sodass keine Gateway-Box im Haus dazwischen liegt. Die Anhang-IV-Analyse verschwindet nicht, sie wandert zum Konzentrator, der Zähler aggregiert und die Kommunikation zwischen dem Messsystem und autorisierten Dritten steuert. Das ist die Funktion, auf die die Beschreibung der Durchführungsverordnung zielt, sodass der Konzentrator meist der stärkere Kandidat für den kritischen Weg ist, keine automatische Antwort. Ein integrierter Zähler, dessen eigene Kernfunktionen dieser Beschreibung entsprechen, könnte selbst hineinargumentiert werden. Führen Sie das Abgrenzungsmemo am realen Gerät durch, wie in wie sich die Architektur in der EU unterscheidet dargelegt.