Was sind harmonisierte CRA-Normen? Status und Tracker

Harmonisierte Normen sind die technischen Spezifikationen, die die breiten Anforderungen aus Anhang I des Cyber Resilience Act in konkrete, prüfbare Vorgaben übersetzen. Diese Seite erklärt, was sie sind, und verfolgt jeden Entwurf unter dem Normungsantrag M/606 der Europäischen Kommission: die Produktkategorie, das erarbeitende Gremium, den aktuellen Status und einen Link zu jedem öffentlichen Entwurf.

Was eine harmonisierte Norm ist

Der Cyber Resilience Act legt seine grundlegenden Cybersicherheitsanforderungen in allgemeinen rechtlichen Begriffen fest. Eine harmonisierte Norm ist eine technische Spezifikation, die eine europäische Normungsorganisation auf Anfrage der Europäischen Kommission erarbeitet und die diese Anforderungen in konkrete, prüfbare Vorgaben übersetzt.

Eine harmonisierte Norm entfaltet ihre Rechtswirkung erst, wenn die Kommission ihre Fundstelle im Amtsblatt der Europäischen Union veröffentlicht. Ab diesem Zeitpunkt gilt für ein Produkt, das der Norm entspricht, die Vermutung, dass es die von der Norm abgedeckten Anforderungen erfüllt. In der Praxis bewirkt das zweierlei:

• Hersteller erhalten einen anerkannten, prüfbaren Weg, ihre Konformität nachzuweisen, und
• für wichtige Produkte der Klasse I ermöglicht eine veröffentlichte harmonisierte Norm dem Hersteller die Selbstbewertung durch interne Kontrolle, statt eine notifizierte Stelle einzuschalten. Sie ersetzt nicht die Drittbewertung, die Produkte der Klasse II und kritische Produkte benötigen, und gewöhnliche Produkte außerhalb dieser Stufen können ohnehin selbst bewerten.

Harmonisierte Normen sind einer von drei Wegen zu dieser Vermutung. Ein Zertifikat im Rahmen eines europäischen Schemas für die Cybersicherheitszertifizierung ist ein weiterer Weg nach Artikel 27 Absatz 8, obwohl noch kein Schema für den CRA anerkannt ist.

Stand 17. Oktober 2026: Für keine harmonisierte CRA-Norm ist eine Fundstelle im Amtsblatt veröffentlicht. EN 40000-1-1 und EN 40000-1-2 führt CEN-CENELEC als „Under Approval“, ihre Ratifizierung als EN ist für den 2. November 2026 angesetzt. CEN-CENELEC erwartet für keine der beiden eine Fundstelle im Amtsblatt. Die 17 produktspezifischen ETSI-Entwürfe befinden sich im Annahmeverfahren von ETSI, und jede andere Norm in den Tabellen weiter unten ist noch ein Entwurf. Deshalb steht die normbasierte Konformitätsvermutung nach Artikel 27 Absatz 1 noch nicht zur Verfügung. Annahme, Ratifizierung als EN und Fundstelle im Amtsblatt sind getrennte Meilensteine, und nur die Fundstelle begründet die Vermutung. Nutzen Sie die Entwürfe, um die Anforderungen vorwegzunehmen, nicht als fertige Grundlage für die Konformität.

Horizontale und vertikale Normen

Die Kommission verfolgt einen zweigleisigen Ansatz: Jeder Normentwurf gehört zu einer von zwei Arten.

• Horizontale Normen legen einen gemeinsamen Rahmen, eine Methodik und eine Taxonomie fest und gelten für jedes Produkt mit digitalen Elementen.
• Vertikale Normen (auch als produktspezifisch bezeichnet) decken die spezifischen Risiken eines bestimmten Produkttyps ab, etwa Router oder Antivirensoftware.

Die drei Normtypen und ihre Fristen

Der Normungsantrag M/606 gliedert die Arbeit in drei Typen. Die Fristen in der Tabelle sind Lieferfristen: das Datum, bis zu dem die jeweilige Normungsorganisation ihre Norm an die Kommission übergeben muss. Es sind keine Veröffentlichungsdaten. Die Konformitätsvermutung nach Artikel 27 gilt für eine Norm erst, wenn ihre Fundstelle im Amtsblatt erscheint. Diese Fundstelle folgt der Lieferung nach einem Zeitplan, den die Kommission noch nicht festgelegt hat.

Der Liefertermin 30. August 2026 ist verstrichen, die Normen wurden zu diesem Datum nicht geliefert. Am 7. Juli 2026 hat die Kommission den Entwurf einer Änderung von C(2025) 618 verteilt, der den horizontalen Typ-A-Punkt und den Punkt zur Schwachstellenbehandlung auf den 30. Oktober 2026 und die produktspezifischen Normen auf den 31. Dezember 2026 verschieben würde. Der Entwurf hält fest, dass die Kommission ihn nicht angenommen hat, und Stand 17. Oktober 2026 haben wir keine angenommene Änderung gefunden. Die Termine in der Tabelle sind daher weiter die des ursprünglichen Antrags. Es sind Liefertermine an die Kommission, keine Termine für die Fundstelle im Amtsblatt.

Einige Punkte, die die Tabelle nicht ausführt:

• Typ A, Rahmen: Das übergreifende Grundsatzgebot aus Anhang I lautet: „Produkte mit digitalen Elementen werden so konzipiert, entwickelt und hergestellt, dass sie angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten." CEN-CENELEC vermerkt für EN 40000-1-2 keine erwartete Fundstelle im Amtsblatt. Die Norm legt den Rahmen und die Methode des Risikomanagements fest, ohne eine Konformitätsvermutung zu begründen.
• Typ B, Schwachstellenbehandlung: baut auf bestehender ISO/IEC-Arbeit auf und deckt den gesamten Prozess ab, von der Entdeckung und Triage bis zur Behebung.
• Typ C, produktspezifisch: muss mit Typ A und Typ B konsistent bleiben und gilt für wichtige wie für kritische Produktkategorien.

Typ A und Typ B bilden die horizontalen Teile der Reihe EN 40000-1. Typ C umfasst alle Produktnormen in den produktstufenbezogenen Tabellen weiter unten, darunter die CEN-Produktnormen EN 40000-10 und EN 40000-11.

Wie die Normen erarbeitet werden

Die Kommission hat CEN, CENELEC und ETSI über den Normungsantrag M/606, ausgestellt durch den Durchführungsbeschluss der Kommission C(2025) 618 final (3. Februar 2025), gebeten, diese Normen zu erarbeiten:

• ETSI (Technisches Komitee CYBER, CYBER-EUSR) erarbeitet die Normen für die meisten Kategorien wichtiger Software und vernetzter Produkte. Diese tragen die Fundstellen EN 304 6xx und sind am weitesten fortgeschritten; ihre Entwürfe sind im öffentlichen ETSI-CYBER-EUSR-Konsultationsordner einsehbar, mit Projekthistorie in den ETSI-Labs-STAN4CRA-Repositories, und sind unten einzeln verlinkt.
• CEN und CENELEC erarbeiten die horizontalen Normen (die Teile der Reihe EN 40000-1), die Profile für die Betriebstechnik (Reihe EN 50770), die Plattformnormen für Chips und Sicherheitselemente (EN 40001-3 bis EN 40004-3) sowie die Arbeit zu Identität, Sicherheitsboxen und Chipkarten in CEN/TC 224 (EN 40000-10, EN 40000-11 und EN 18330). Für diese gibt es keinen einzelnen öffentlichen Ordner; der Status wird über die Matrix der DIN/DKE-CRA-Normungsprojekte, die Normensuche von CEN/CENELEC und die technische Arbeit von STAN4CRA verfolgt.

Ein Entwurf durchläuft mehrere Arbeitsgruppenversionen und eine öffentliche CEN-Umfrage (bei ETSI eine offene Konsultation und eine Abstimmung über die Annahme), danach die Ratifizierung als EN. CEN-CENELEC kann eine separate förmliche Abstimmung auslassen und nach einer positiven Umfrage direkt veröffentlichen. Die Ratifizierung ist noch nicht das Ziel: Die Kommission muss die Fundstelle anschließend im Amtsblatt zitieren, und erst diese Fundstelle löst die Konformitätsvermutung aus. Stand 17. Oktober 2026 führt CEN-CENELEC EN 40000-1-1 und EN 40000-1-2 als „Under Approval“, und ihre Ratifizierung ist für den 2. November 2026 angesetzt. Die 17 produktspezifischen ETSI-Entwürfe befinden sich im Annahmeverfahren von ETSI. Keine Norm auf dieser Seite ist bisher ratifiziert oder im Amtsblatt zitiert. Die Kommission hat keinen Zeitplan für die Fundstellen im Amtsblatt bestätigt.

Wie der Status zu lesen ist

Die Tabellen weiter unten sind nach CRA-Konformitätsstufe gruppiert. Horizontale Normen gelten für jedes Produkt; die vertikalen (produktspezifischen) Normen sind in wichtige Produkte Klasse I, wichtige Produkte Klasse II und kritische Produkte aufgeteilt, weil die Stufe über den Konformitätsweg entscheidet. Die Normfundstelle zeigt, wer sie erarbeitet:

• EN 304 6xx: ETSI.
• EN 40000-1-x: CEN-CLC/JTC 13.
• EN 40000-10, EN 40000-11 und EN 18330: CEN/TC 224.
• EN 50770: OT-Profile von CLC/TC 65X, die parallel zu den ETSI-Normen für dieselben Funktionen laufen.
• EN 40001-3 bis EN 40004-3: CLC/TC 47X. Sie ersetzen die früheren Projektbezeichnungen EN 50765, EN 50766, EN 50764 und EN 50767, in dieser Reihenfolge.

Keine Norm hat bisher „Angenommen (EN ratifiziert)" oder „Im Amtsblatt veröffentlicht" erreicht. EN 40000-1-1 und EN 40000-1-2 stehen bei „In Genehmigung“, die Ratifizierung ist für den 2. November 2026 angesetzt. Der Status spiegelt die aktuellsten öffentlichen Nachweise zum Datum oben auf dieser Seite wider.

Horizontale Normen: die Reihe EN 40000

Die Teile der Reihe EN 40000-1, erarbeitet von CEN-CLC/JTC 13, gelten für jedes Produkt mit digitalen Elementen, zusätzlich zu jeder vertikalen (produktspezifischen) Norm in den Abschnitten darunter. EN 40000-10 und EN 40000-11 sind Produktnormen von CEN/TC 224 und stehen in den Stufentabellen.

Die Datenbank von CEN-CENELEC vermerkt „No citation expected for Directive 2024/2847" für EN 40000-1-1 und EN 40000-1-2. Eine Norm begründet eine Konformitätsvermutung erst, wenn ihre Fundstelle im Amtsblatt zitiert ist. Diese beiden Teile legen also das gemeinsame Vokabular und die Methode des Risikomanagements fest, öffnen aber für sich allein keinen Konformitätsweg.

Wichtige Produkte: Klasse I

Diese decken die Kategorien der Klasse I aus Anhang III ab. Eine veröffentlichte harmonisierte Norm ermöglicht einem Hersteller der Klasse I die Selbstbewertung durch interne Kontrolle; ohne sie muss die Konformität auf andere Weise nachgewiesen werden.

Wichtige Produkte: Klasse II

Produkte der Klasse II brauchen immer eine Drittbewertung (durch eine notifizierte Stelle); eine harmonisierte Norm schaltet für sie die Selbstbewertung nicht frei.

Kritische Produkte

Kritische Produkte (Anhang IV) müssen ein europäisches Schema für die Cybersicherheitszertifizierung nutzen, wo eines vorgeschrieben ist, oder sonst dieselben Drittbewertungswege wie Klasse II. Eine harmonisierte Norm hebt diese Pflicht nicht auf.

Die Einträge 39, 40 und 41 werden in einem beschränkten Rahmen erarbeitet, weil sie sensible kritische Produkte abdecken. Deshalb sind ihre Entwürfe nicht öffentlich zugänglich.