Was sind harmonisierte CRA-Normen? Status und Tracker

Harmonisierte Normen sind die technischen Spezifikationen, die die breiten Anforderungen aus Anhang I des Cyber Resilience Act in konkrete, prüfbare Vorgaben übersetzen. Diese Seite erklärt, was sie sind, und verfolgt jeden Entwurf unter dem Normungsantrag M/606 der Europäischen Kommission: die Produktkategorie, das erarbeitende Gremium, den aktuellen Status und einen Link zu jedem öffentlichen Entwurf.

Was eine harmonisierte Norm ist

Der Cyber Resilience Act legt seine grundlegenden Cybersicherheitsanforderungen in allgemeinen rechtlichen Begriffen fest. Eine harmonisierte Norm ist eine technische Spezifikation, die eine europäische Normungsorganisation auf Anfrage der Europäischen Kommission erarbeitet und die diese Anforderungen in konkrete, prüfbare Vorgaben übersetzt.

Eine harmonisierte Norm entfaltet ihre Rechtswirkung erst, wenn die Kommission ihre Fundstelle im Amtsblatt der Europäischen Union veröffentlicht. Ab diesem Zeitpunkt gilt für ein Produkt, das der Norm entspricht, die Vermutung, dass es die von der Norm abgedeckten Anforderungen erfüllt. In der Praxis bewirkt das zweierlei:

• Hersteller erhalten einen anerkannten, prüfbaren Weg, ihre Konformität nachzuweisen, und
• für wichtige Produkte der Klasse I ermöglicht eine veröffentlichte harmonisierte Norm dem Hersteller die Selbstbewertung durch interne Kontrolle, statt eine notifizierte Stelle einzuschalten. Sie ersetzt nicht die Drittbewertung, die Produkte der Klasse II und kritische Produkte benötigen, und gewöhnliche Produkte außerhalb dieser Stufen können ohnehin selbst bewerten.

Harmonisierte Normen sind einer von drei Wegen zu dieser Vermutung. Ein Zertifikat im Rahmen eines europäischen Schemas für die Cybersicherheitszertifizierung ist ein weiterer Weg nach Artikel 27 Absatz 8, obwohl noch kein Schema für den CRA anerkannt ist.

Stand 13. August 2026: Bisher wurde keine harmonisierte CRA-Norm angenommen, und für keine ist eine Fundstelle im Amtsblatt veröffentlicht. Alle 17 produktspezifischen ETSI-Entwürfe befinden sich in der öffentlichen Umfrage, der ersten Phase ihres Annahmeverfahrens, nicht dessen Ende. Jede Norm in den Tabellen weiter unten ist noch ein Entwurf, deshalb steht die Konformitätsvermutung für keine Produktkategorie zur Verfügung. Die Annahme (Ratifizierung als EN) und die separate Fundstelle im Amtsblatt sind zwei spätere Meilensteine, und keinen davon hat eine Norm erreicht. Die ersten Normen werden in der zweiten Jahreshälfte 2026 erwartet, die Fundstelle folgt danach. Nutzen Sie die Entwürfe, um die Anforderungen vorwegzunehmen, nicht als fertige Grundlage für die Konformität.

Horizontale und vertikale Normen

Die Kommission verfolgt einen zweigleisigen Ansatz: Jeder Normentwurf gehört zu einer von zwei Arten.

• Horizontale Normen legen einen gemeinsamen Rahmen, eine Methodik und eine Taxonomie fest und gelten für jedes Produkt mit digitalen Elementen.
• Vertikale Normen (auch als produktspezifisch bezeichnet) decken die spezifischen Risiken eines bestimmten Produkttyps ab, etwa Router oder Antivirensoftware.

Die drei Normtypen und ihre Fristen

Der Normungsantrag M/606 gliedert die Arbeit in drei Typen. Die Fristen in der Tabelle sind Lieferfristen: das Datum, bis zu dem die jeweilige Normungsorganisation ihre Norm an die Kommission übergeben muss. Es sind keine Veröffentlichungsdaten. Die Konformitätsvermutung nach Artikel 27 gilt für eine Norm erst, wenn ihre Fundstelle im Amtsblatt erscheint. Diese Fundstelle folgt der Lieferung nach einem Zeitplan, den die Kommission noch nicht festgelegt hat.

Einige Punkte, die die Tabelle nicht ausführt:

• Typ A, Rahmen: Das übergreifende Grundsatzgebot aus Anhang I lautet: „Produkte mit digitalen Elementen werden so konzipiert, entwickelt und hergestellt, dass sie angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten."
• Typ B, Schwachstellenbehandlung: baut auf bestehender ISO/IEC-Arbeit auf und deckt den gesamten Prozess ab, von der Entdeckung und Triage bis zur Behebung.
• Typ C, produktspezifisch: muss mit Typ A und Typ B konsistent bleiben und gilt für wichtige wie für kritische Produktkategorien.

Typ A und Typ B bilden die horizontale Reihe EN 40000. Typ C umfasst alle Produktnormen in den produktstufenbezogenen Tabellen weiter unten.

Wie die Normen erarbeitet werden

Die Kommission hat CEN, CENELEC und ETSI über den Normungsantrag M/606, ausgestellt durch den Durchführungsbeschluss der Kommission C(2025) 618 final (3. Februar 2025), gebeten, diese Normen zu erarbeiten:

• ETSI (Technisches Komitee CYBER, CYBER-EUSR) erarbeitet die Normen für die meisten Kategorien wichtiger Software und vernetzter Produkte. Diese tragen die Fundstellen EN 304 6xx und sind am weitesten fortgeschritten; ihre Entwürfe sind im öffentlichen ETSI-CYBER-EUSR-Konsultationsordner einsehbar, mit Projekthistorie in den ETSI-Labs-STAN4CRA-Repositories, und sind unten einzeln verlinkt.
• CEN und CENELEC erarbeiten die horizontalen Normen (die Reihe EN 40000), die Profile für die Betriebstechnik (Reihe EN 50770), die Halbleiternormen (EN 5076x) sowie die Arbeit zu Identität und Sicherheitselementen in CEN/TC 224. Für diese gibt es keinen einzelnen öffentlichen Ordner; der Status wird über die Matrix der DIN/DKE-CRA-Normungsprojekte, die Normensuche von CEN/CENELEC und die technische Arbeit von STAN4CRA verfolgt.

Ein Entwurf durchläuft mehrere Arbeitsgruppenversionen und eine öffentliche CEN-Umfrage (bei ETSI eine offene Konsultation und eine Abstimmung über die Annahme), danach die Ratifizierung als EN. CEN-CENELEC kann eine separate förmliche Abstimmung auslassen und nach einer positiven Umfrage direkt veröffentlichen. Die Ratifizierung ist noch nicht das Ziel: Die Kommission muss die Fundstelle anschließend im Amtsblatt zitieren, und erst diese Fundstelle löst die Konformitätsvermutung aus. Stand 13. August 2026 sind alle 17 produktspezifischen ETSI-Entwürfe öffentlich und in der Umfrage. Keine Norm auf dieser Seite ist ratifiziert oder im Amtsblatt zitiert. Die Kommission hat keinen Zeitplan für die Fundstellen im Amtsblatt bestätigt.

Wie der Status zu lesen ist

Die Tabellen weiter unten sind nach CRA-Konformitätsstufe gruppiert. Horizontale Normen gelten für jedes Produkt; die vertikalen (produktspezifischen) Normen sind in wichtige Produkte Klasse I, wichtige Produkte Klasse II und kritische Produkte aufgeteilt, weil die Stufe über den Konformitätsweg entscheidet. Die Normfundstelle zeigt, wer sie erarbeitet: EN 304 6xx = ETSI; EN 40000 = CEN-CLC/JTC 13; EN 50770 = OT-Profile von CLC/TC 65X, die parallel zu den ETSI-Normen für dieselben Funktionen laufen; EN 5076x = CLC/TC 47X; EN 18330 = CEN/TC 224.

Keine Norm hat „Angenommen (EN ratifiziert)" oder „Im Amtsblatt veröffentlicht" erreicht. Der Status spiegelt die aktuellsten öffentlichen Nachweise zum Datum oben auf dieser Seite wider.

Horizontale Normen: die Reihe EN 40000

Die Reihe EN 40000, erarbeitet von CEN-CLC/JTC 13, gilt für jedes Produkt mit digitalen Elementen, zusätzlich zu jeder vertikalen (produktspezifischen) Norm in den Abschnitten darunter.

Wichtige Produkte: Klasse I

Diese decken die Kategorien der Klasse I aus Anhang III ab. Eine veröffentlichte harmonisierte Norm ermöglicht einem Hersteller der Klasse I die Selbstbewertung durch interne Kontrolle; ohne sie muss die Konformität auf andere Weise nachgewiesen werden.

Wichtige Produkte: Klasse II

Produkte der Klasse II brauchen immer eine Drittbewertung (durch eine notifizierte Stelle); eine harmonisierte Norm schaltet für sie die Selbstbewertung nicht frei.

Kritische Produkte

Kritische Produkte (Anhang IV) müssen ein europäisches Schema für die Cybersicherheitszertifizierung nutzen, wo eines vorgeschrieben ist, oder sonst dieselben Drittbewertungswege wie Klasse II. Eine harmonisierte Norm hebt diese Pflicht nicht auf.

Die Einträge 39, 40 und 41 werden in einem beschränkten Rahmen erarbeitet, weil sie sensible kritische Produkte abdecken. Deshalb sind ihre Entwürfe nicht öffentlich zugänglich.