Der Cyber Resilience Act (CRA) sagt Herstellern, was ihre Produkte leisten müssen. Wie, sagt er nicht. Das ist die Aufgabe harmonisierter Normen: Sobald eine Norm im Amtsblatt der EU genannt ist, wird für ein Produkt, das sie erfüllt, vermutet, dass es die CRA-Anforderungen erfüllt, die die Norm abdeckt.
Die Europäische Kommission hat die europäischen Normungsorganisationen im Normungsauftrag M/606 um diese Normen gebeten. Die Arbeit ist auf CEN, CENELEC und ETSI verteilt, und der Fortschritt unterscheidet sich stark zwischen den Gremien. Die Tabellen unten zeigen, wo jede Norm im Oktober 2026 stand.
Warum der Zeitpunkt zählt
Die Meldepflichten des CRA für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten seit dem 11. September 2026. Die grundlegenden Anforderungen an Produkte gelten ab dem 11. Dezember 2027. Welche Normen vor diesem Datum ins Amtsblatt kommen, entscheidet, wie viel Arbeit Ihre Konformitätsbewertung macht.
Das Verfahren hängt von der Produktklasse ab:
- Standardprodukte (nicht in Anhang III oder IV aufgeführt) können die interne Kontrolle (Modul A) nutzen, mit oder ohne harmonisierte Normen.
- Wichtige Produkte der Klasse I (Anhang III) können die interne Kontrolle nur nutzen, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung anwenden. Ohne eines davon brauchen Sie eine notifizierte Stelle.
- Wichtige Produkte der Klasse II (Anhang III) brauchen immer eine Bewertung durch Dritte.
- Kritische Produkte (Anhang IV) folgen den Verfahren der Klasse II, bis die Kommission per delegiertem Rechtsakt ein europäisches Cybersicherheitszertifikat wie EUCC vorschreibt.
Für ein Produkt der Klasse I ist eine fehlende harmonisierte Norm der Unterschied zwischen interner Kontrolle und einer notifizierten Stelle, die Sie für die Bewertung bezahlen.
So lesen Sie die Tabellen
Horizontale Normen gelten für jedes Produkt mit digitalen Elementen. Vertikale Normen ergänzen Anforderungen für eine Produktkategorie aus Anhang III oder IV. Die Spalte M/606 nennt die Nummer des Punkts im Normungsauftrag. Manche Punkte werden von zwei Gremien bearbeitet und tragen ein “a” und ein “b”: #36a (Firewalls) schreibt ETSI, #36b (industrielle Firewalls) CLC/TC 65X.
Jede Norm durchläuft dieselben Stadien:
- NWI
- prEN-Entwurf
- prEN-Abstimmung
- EN-Entwurf
- EN-Abstimmung (FV)
- Angenommen
- HAS-Bewertung
- Fundstelle im ABl.
Ein neues Arbeitsvorhaben (NWI) wird genehmigt, das Gremium schreibt einen Entwurf (prEN), und die nationalen Normungsorganisationen kommentieren ihn in der Umfrage. Danach bereitet das Gremium den endgültigen Text (EN-Entwurf) für die formelle Abstimmung (FV) vor. Nach der Annahme prüft ein Berater für harmonisierte Normen (HAS) die Norm gegen den Auftrag. Erst die Fundstelle im Amtsblatt (ABl.) begründet die Konformitätsvermutung.
Horizontale Normen: CEN/CLC JTC 13 WG9
Diese gelten für alle Produkte. EN 40000-1-2 (Grundsätze und Risikomanagement) ist angenommen, EN 40000-1-3 (Schwachstellenbehandlung) ist in der formellen Abstimmung. EN 40000-1-4 deckt die Punkte #2 bis #14 von M/606 ab, den Großteil der Produktanforderungen in Anhang I Teil I, und ist noch im Entwurfsstadium. Auf diese Norm warten die meisten Hersteller.
| Norm | M/606 | Gegenstand | Klasse | Stadium |
|---|---|---|---|---|
| EN 40000-1-2 | #1 | Grundsätze, Risikomanagement, Lebenszyklus | Horizontal | Angenommen |
| EN 40000-1-3 | #15 | Schwachstellenbehandlung | Horizontal | FV ausstehend |
| EN 40000-1-4 | #2–14 | Allgemeine Sicherheitsanforderungen | Horizontal | prEN-Entwurf |
| EN 40000-1-1 | – | Begriffe | Nicht in M/606 | Angenommen |
| Technischer Bericht (TR) | – | Proof of Concept: EN 18037 für den CRA (Nummer folgt) | Nicht in M/606 | prEN-Entwurf |
| Technische Spezifikation (TS) | – | Leitfaden: EN 18037 für den CRA anwenden (Nummer folgt) | Nicht in M/606 | prEN-Entwurf |
Offizielle Quellen: der Projektstatus in der Normensuche von CEN-CENELEC. Entwürfe in der Umfrage und veröffentlichte Normen erhalten Sie über Ihre nationale Normungsorganisation; in Deutschland über DIN und DKE, in den Niederlanden zeigt NEN Connect offene Entwürfe mit einem kostenlosen Konto. Hintergrund zum Gremium: stan4cra.eu.
Vertikale Normen: ETSI TC CYBER
ETSI schreibt 17 der produktspezifischen Normen in der Reihe EN 304 6xx, die meisten für Produkte der Klasse I. ETSI genehmigt sie in einer kombinierten Umfrage und Abstimmung. Bei zehn davon endete diese Abstimmung zwischen Mitte September und Mitte Oktober; Ergebnis und Veröffentlichung stehen noch aus, daher sind sie als EN-Entwurf aufgeführt. Die Abstimmungen über die übrigen sieben enden bis Mitte November. Zwei betreffen Produkte der Klasse II: Hypervisoren und Container-Laufzeitumgebungen (EN 304 635) sowie Firewalls und Systeme zur Angriffserkennung und -verhinderung (EN 304 636). EN 304 642 für Netzfunktionen der Telekommunikation liegt außerhalb von M/606.
| Norm | M/606 | Produktkategorie | Klasse | Stadium |
|---|---|---|---|---|
| EN 304 617 | #17a+b | Browser | Klasse I | prEN-Abstimmung |
| EN 304 618 | #18 | Passwortmanager | Klasse I | EN-Entwurf |
| EN 304 619 | #19 | Anti-Malware-Software | Klasse I | EN-Entwurf |
| EN 304 620 | #20a | VPN-Produkte | Klasse I | prEN-Abstimmung |
| EN 304 621 | #21a | Netzwerkmanagementsysteme | Klasse I | prEN-Abstimmung |
| EN 304 622 | #22a | SIEM-Systeme | Klasse I | prEN-Abstimmung |
| EN 304 623 | #23 | Bootmanager | Klasse I | EN-Entwurf |
| EN 304 624 | #24 | PKI und Software zur Ausstellung digitaler Zertifikate | Klasse I | prEN-Abstimmung |
| EN 304 625 | #25a | Physische und virtuelle Netzwerkschnittstellen | Klasse I | prEN-Abstimmung |
| EN 304 626 | #26 | Betriebssysteme | Klasse I | prEN-Abstimmung |
| EN 304 627 | #27a | Router, Modems und Switches | Klasse I | EN-Entwurf |
| EN 304 631 | #31 | Virtuelle Assistenten | Klasse I | EN-Entwurf |
| EN 304 632 | #32 | Sicherheitsprodukte für Smart Homes | Klasse I | EN-Entwurf |
| EN 304 633 | #33 | Vernetztes Spielzeug | Klasse I | EN-Entwurf |
| EN 304 634 | #34 | Wearables | Klasse I | EN-Entwurf |
| EN 304 635 | #35 | Hypervisoren und Container-Laufzeitumgebungen | Klasse II | EN-Entwurf |
| EN 304 636 | #36a | Firewalls, Systeme zur Angriffserkennung und -verhinderung | Klasse II | EN-Entwurf |
| EN 304 642 | – | Netzfunktionen der Telekommunikation | Nicht in M/606 | prEN-Entwurf |
Offizielle Quellen: der Status jeder Norm im ETSI Work Programme, die Entwürfe im offenen CRA-Ordner von ETSI und veröffentlichte ETSI-Normen kostenlos auf etsi.org. Hintergrund zum Gremium: stan4cra.eu.
Halbleiter und vertrauenswürdige Chips: CLC/TC 47X
Vier Normen behandeln Mikroprozessoren, Mikrocontroller und die sichere Hardware, in die sie eingebaut werden. Jede trägt zwei Nummern: die Nummer EN 4000x-3 in der CRA-Reihe und die Nummer prEN 5076x, unter der sie entwickelt wurde.
| Norm | M/606 | Produktkategorie | Klasse | Stadium |
|---|---|---|---|---|
| EN 40001-3 / prEN 50765 | #28, #29 | Mikroprozessoren und Mikrocontroller | Klasse I | EN-Entwurf |
| EN 40004-3 / prEN 50767 | #30 | FPGAs und ASICs | Klasse I | prEN-Abstimmung |
| EN 40002-3 / prEN 50766 | #37, #38 | Manipulationssichere Mikroprozessoren und Mikrocontroller | Klasse II | EN-Entwurf |
| EN 40003-3 / prEN 50764 | #41a | Plattformen für Smartcards und Secure Elements | Kritisch | EN-Entwurf |
Offizielle Quellen: der Projektstatus in der Normensuche von CEN-CENELEC. Entwürfe in der Umfrage und veröffentlichte Normen erhalten Sie über Ihre nationale Normungsorganisation; in Deutschland über DIN und DKE, in den Niederlanden zeigt NEN Connect offene Entwürfe mit einem kostenlosen Konto. Hintergrund zum Gremium: stan4cra.eu.
Geräte zur persönlichen Identifizierung: CEN/TC 224
| Norm | M/606 | Produktkategorie | Klasse | Stadium |
|---|---|---|---|---|
| EN 40000-10 | #16 | Identitätsmanagement und Privileged Access Management | Klasse I | EN-Entwurf |
| EN 40000-11 | #39 | Hardwaregeräte mit Sicherheitsboxen | Kritisch | EN-Entwurf |
| EN 18330 | #41b | Smartcards und Secure Elements, Anwendungsschicht | Kritisch | EN-Entwurf |
Offizielle Quellen: der Projektstatus in der Normensuche von CEN-CENELEC. Entwürfe in der Umfrage und veröffentlichte Normen erhalten Sie über Ihre nationale Normungsorganisation; in Deutschland über DIN und DKE, in den Niederlanden zeigt NEN Connect offene Entwürfe mit einem kostenlosen Konto. Hintergrund zum Gremium: stan4cra.eu.
Smart-Meter-Gateways: CEN/CLC JTC 13 WG6
| Norm | M/606 | Produktkategorie | Klasse | Stadium |
|---|---|---|---|---|
| EN (Nummer folgt) | #40 | Smart-Meter-Gateways | Kritisch | prEN-Entwurf |
Offizielle Quellen: der Projektstatus in der Normensuche von CEN-CENELEC. Entwürfe in der Umfrage und veröffentlichte Normen erhalten Sie über Ihre nationale Normungsorganisation; in Deutschland über DIN und DKE, in den Niederlanden zeigt NEN Connect offene Entwürfe mit einem kostenlosen Konto. Hintergrund zum Gremium: stan4cra.eu.
Industrielle (OT-)Produkte: CLC/TC 65X
Die Reihe EN 50770 liefert OT-Varianten mehrerer Produktkategorien von ETSI, aufgebaut auf IEC 62443. Alle Teile sind im Stadium prEN-Entwurf. EN 50770-1 wurde in zwei Teile geteilt, einen für Firewalls und einen für Angriffserkennung und -verhinderung. Parallel ändert das Gremium drei IEC-62443-Normen (die prAA-Dokumente), um sie an den CRA anzugleichen. Diese Änderungen sind keine Punkte von M/606, aber wer bereits nach IEC 62443 zertifiziert ist, sollte sie verfolgen.
| Norm | M/606 | Produktkategorie | Klasse | Stadium |
|---|---|---|---|---|
| EN 50770-1-1 | #36b | Industrielle Firewalls | Klasse II | prEN-Entwurf |
| EN 50770-1-2 | #36b | Industrielle Angriffserkennung und -verhinderung | Klasse II | prEN-Entwurf |
| EN 50770-2 | #21b | Netzwerkmanagement | Klasse I | prEN-Entwurf |
| EN 50770-3 | #25b | Netzwerkschnittstellen | Klasse I | prEN-Entwurf |
| EN 50770-4 | #20b | VPN | Klasse I | prEN-Entwurf |
| EN 50770-5 | #27b | Router und Switches | Klasse I | prEN-Entwurf |
| EN 50770-6 | #22b | SIEM | Klasse I | prEN-Entwurf |
| EN IEC 62443-4-1/prAA | – | Sicherer Produktentwicklungszyklus | Nicht in M/606 | EN-Entwurf |
| EN IEC 62443-4-2/prAA | – | Technische Anforderungen an Komponenten | Nicht in M/606 | EN-Entwurf |
| EN IEC 62443-3-3/prAA | – | Systemanforderungen und Security Levels | Nicht in M/606 | NWI |
Offizielle Quellen: der Projektstatus in der Normensuche von CEN-CENELEC. Entwürfe in der Umfrage und veröffentlichte Normen erhalten Sie über Ihre nationale Normungsorganisation; in Deutschland über DIN und DKE, in den Niederlanden zeigt NEN Connect offene Entwürfe mit einem kostenlosen Konto. Die IEC-62443-Basisnormen finden Sie im IEC Webstore. Hintergrund zum Gremium: stan4cra.eu.
Was Sie damit tun
Suchen Sie Ihre Produktkategorie in den Tabellen. Hat ihre Norm die Umfrage passiert, besorgen Sie den Entwurf über Ihre nationale Normungsorganisation und führen Sie jetzt eine Gap-Analyse dagegen durch.
Ist Ihr Produkt Klasse I und seine Norm noch in einem frühen Stadium, planen Sie für beide Ausgänge: interne Kontrolle (Modul A), wenn die Norm rechtzeitig genannt wird, und eine notifizierte Stelle, wenn nicht. Die Kapazität notifizierter Stellen für den CRA wird noch aufgebaut, spätes Buchen ist also selbst ein Risiko.
Egal in welcher Klasse: EN 40000-1-2 und EN 40000-1-3 lohnen sich schon heute. Beim Risikomanagement und bei der Schwachstellenbehandlung zeigen sich die meisten CRA-Lücken, und beide Normen sind fast fertig. Die EU CRA Compliance Journey baut Ihre Risikobewertung und Ihr Schwachstellenmanagement auf diesen Normen auf.
Sie wissen nicht, in welche Klasse Ihr Produkt fällt? Nutzen Sie die kostenlose EU-CRA-Selbstbewertung oder vereinbaren Sie ein kostenloses EU-CRA-Strategiegespräch.
Quellen: CRA-Statusliste von DIN/DKE, Oktober 2026; Arbeitsprogramm von ETSI TC CYBER, 16. Oktober 2026. Die Stadien ändern sich jeden Monat; diese Übersicht zeigt den Stand zum genannten Datum.