CRA-Wissensdatenbank
Pflichten der Hersteller
Risikobewertung, Schwachstellen, Sicherheitsupdates, Komponenten und Support-Zeitraum.
Alle Fragen in diesem Thema
Was verlangt der CRA von der Cybersicherheits-Risikobewertung des Herstellers?
Wie im New Legislative Framework üblich: eine Risikobewertung durchführen und darauf aufbauend die einschlägigen grundlegenden Anforderungen umsetzen, dokumentieren und aktuell halten.
Quelle: EU-Kommission · FAQ 4.1 Offizielles EU-FAQ (Originaltext, Englisch)
Schreibt der CRA eine bestimmte Methode zur Risikobewertung vor?
Nein. Hersteller wählen die Methodik selbst, mit der sie relevante Risiken erkennen und behandeln.
Quelle: EU-Kommission · FAQ 4.1.2 Offizielles EU-FAQ (Originaltext, Englisch)
Muss ein Hersteller alle grundlegenden Anforderungen umsetzen?
Die Anforderungen zum Schwachstellen-Handling (Anhang I Teil II) gelten immer. Die produktbezogenen Anforderungen (Teil I) sind anzuwenden, soweit sie aufgrund der Risikobewertung relevant sind.
Quelle: EU-Kommission · FAQ 4.1.3 Offizielles EU-FAQ (Originaltext, Englisch)
Was sind „bestimmungsgemäße" und „vernünftigerweise vorhersehbare" Verwendung – und wie wirken sie?
Sie stecken den Rahmen der Risikobewertung ab (Art. 13): Es sind die geplante Nutzung und realistisch absehbare Nutzungsszenarien zu betrachten, um Risiken zu minimieren und Vorfälle zu vermeiden.
Quelle: EU-Kommission · FAQ 4.1.4 Offizielles EU-FAQ (Originaltext, Englisch)
Was ist „vernünftigerweise vorhersehbarer Missbrauch" und wie wirkt er sich aus?
Hersteller informieren über sichere Einsatzbedingungen; absehbarer Fehlgebrauch ist in der Risikobewertung zu berücksichtigen (Art. 13 Abs. 18), Nutzer halten die vorgesehenen Nutzungsbedingungen ein.
Quelle: EU-Kommission · FAQ 4.1.5 Offizielles EU-FAQ (Originaltext, Englisch)
Wie wirkt sich die erwartete Nutzungsdauer auf die Risikobewertung aus?
Die erwartete Nutzungsdauer bestimmt den Support-Zeitraum und fließt in die Risikobewertung ein (Art. 13 Abs. 3): je länger die Nutzung, desto länger sind Sicherheit und Updates zu gewährleisten.
Quelle: EU-Kommission · FAQ 4.1.6 Offizielles EU-FAQ (Originaltext, Englisch)
Wie hängen harmonisierte Normen mit der Risikobewertung zusammen?
Harmonisierte Normen ersetzen die rechtlich verbindlichen Anforderungen nicht – sie sind ein möglicher technischer Weg, sie zu erfüllen (Konformitätsvermutung).
Quelle: EU-Kommission · FAQ 4.1.7 Offizielles EU-FAQ (Originaltext, Englisch)
Was muss zur Risikobewertung in der technischen Dokumentation stehen?
Die technische Doku (Art. 13 Abs. 12, Art. 31) muss die Konformität belegen – inklusive der Risikobewertung – und den Marktüberwachungsbehörden auf Verlangen zur Verfügung stehen.
Quelle: EU-Kommission · FAQ 4.1.8 Offizielles EU-FAQ (Originaltext, Englisch)
Welche technischen Maßnahmen muss ein Hersteller umsetzen?
Die grundlegenden Anforderungen aus Anhang I Teil I – zielorientiert und technologieneutral, horizontal für alle Produkte mit digitalen Elementen, umzusetzen nach Maßgabe der Risikobewertung.
Quelle: EU-Kommission · FAQ 4.2 Offizielles EU-FAQ (Originaltext, Englisch)
Wie kann ein Hersteller sicherstellen, dass ein Produkt frei von Schwachstellen ist?
Absolute Fehlerfreiheit ist nicht verlangt. Produkte müssen aber ohne bekannte ausnutzbare Schwachstellen in Verkehr gebracht werden (Anhang I, Anf. 2(a)), auf Basis der Risikobewertung.
Quelle: EU-Kommission · FAQ 4.2.2 Offizielles EU-FAQ (Originaltext, Englisch)
Wie ist mit bekannten Schwachstellen umzugehen, die nach Inverkehrbringen, aber vor Auslieferung entdeckt werden?
Solche Schwachstellen sind zu adressieren, bevor das Produkt den Endnutzer erreicht – etwa noch in der Vertriebskette durch Updates oder Korrekturen.
Quelle: EU-Kommission · FAQ 4.2.3 Offizielles EU-FAQ (Originaltext, Englisch)
Wie funktioniert die Anforderung „sicher durch Voreinstellung" (secure by default)?
Produkte sind mit einer sicheren Standardkonfiguration bereitzustellen (Anhang I) – Abweichungen nur, wenn dies mit einem gewerblichen Nutzer für ein maßgeschneidertes Produkt vereinbart ist.
Quelle: EU-Kommission · FAQ 4.2.4 Offizielles EU-FAQ (Originaltext, Englisch)
Wann ist ein Produkt „maßgeschneidert" und welche Dokumentation ist nötig?
Maßgeschneidert sind für einen bestimmten gewerblichen Nutzer angepasste Produkte. Nur hier sind begründete Abweichungen von einzelnen Anforderungen möglich – nachvollziehbar zu dokumentieren.
Quelle: EU-Kommission · FAQ 4.2.5 Offizielles EU-FAQ (Originaltext, Englisch)
Müssen Hersteller alle im Support-Zeitraum entdeckten Schwachstellen patchen?
Schwachstellen sind unverzüglich zu behandeln und zu beheben, u. a. durch Sicherheitsupdates (Anhang I Teil II). Das „Wie/Wann" richtet sich nach Risiko; nicht jede Behebung muss ein separates Update sein.
Quelle: EU-Kommission · FAQ 4.3 Offizielles EU-FAQ (Originaltext, Englisch)
Muss der Hersteller Schwachstellen für alle Versionen einer Software beheben?
Bei mehreren wesentlich veränderten Versionen kann sich die Pflicht auf die zuletzt in Verkehr gebrachte Version beschränken – unter bestimmten Voraussetzungen.
Quelle: EU-Kommission · FAQ 4.3.2 Offizielles EU-FAQ (Originaltext, Englisch)
Ist der Hersteller dafür verantwortlich, dass Nutzer Sicherheitsupdates installieren?
Hersteller müssen Updates bereitstellen und ihre Produkte/Prozesse so gestalten, dass Updates zeitnah möglich sind. Die Installation selbst obliegt grundsätzlich den Nutzern.
Quelle: EU-Kommission · FAQ 4.3.3 Offizielles EU-FAQ (Originaltext, Englisch)
Muss der Hersteller das Produkt zurückrufen, wenn eine Schwachstelle nicht behoben werden kann?
Bei Nichtkonformität sind unverzüglich Korrekturmaßnahmen zu ergreifen – abhängig vom Risiko bis hin zu Rücknahme oder Rückruf des Produkts.
Quelle: EU-Kommission · FAQ 4.3.4 Offizielles EU-FAQ (Originaltext, Englisch)
Wie sind Sicherheits- und Funktionsupdates zu trennen, wenn ein Update beides leistet?
Sicherheitsupdates sollen möglichst getrennt bereitgestellt werden, damit Nutzer sie ohne ungewollte Funktionsänderungen einspielen können – auch wenn ein Update beide Zwecke erfüllt.
Quelle: EU-Kommission · FAQ 4.3.5 Offizielles EU-FAQ (Originaltext, Englisch)
Wie sind Schwachstellen in integrierten Komponenten zu behandeln?
Die Pflichten gelten für das gesamte Produkt einschließlich aller integrierten Komponenten. Der Hersteller muss auch Komponenten-Schwachstellen adressieren.
Quelle: EU-Kommission · FAQ 4.3.6 Offizielles EU-FAQ (Originaltext, Englisch)
Wie wirkt sich das Support-Ende einer Komponente auf die CRA-Konformität aus?
Bei der Festlegung des Support-Zeitraums sind u. a. die Support-Zeiträume integrierter Komponenten zu berücksichtigen, damit das Gesamtprodukt sicher unterstützt bleibt.
Quelle: EU-Kommission · FAQ 4.3.7 Offizielles EU-FAQ (Originaltext, Englisch)
Was schreibt der CRA bei der Integration von Komponenten vor?
Das fertige Produkt muss die grundlegenden Anforderungen erfüllen (Art. 13 Abs. 1). Bei zugekauften Komponenten ist mit angemessener Sorgfalt sicherzustellen, dass sie die Produktsicherheit nicht gefährden.
Quelle: EU-Kommission · FAQ 4.4 Offizielles EU-FAQ (Originaltext, Englisch)
Was ist das angemessene Maß an Sorgfalt (Due Diligence)?
Es richtet sich nach Art und Höhe des Cyber-Risikos der jeweiligen Komponente – Ziel ist, dass integrierte Komponenten die Cybersicherheit des Produkts nicht beeinträchtigen.
Quelle: EU-Kommission · FAQ 4.4.2 Offizielles EU-FAQ (Originaltext, Englisch)
Dürfen nur Komponenten mit CE-Kennzeichnung integriert werden?
Nein. Es dürfen auch nicht (CE-)gekennzeichnete oder vor CRA-Geltung in Verkehr gebrachte Komponenten integriert werden, sofern Due Diligence die Produktsicherheit gewährleistet (Art. 13 Abs. 5).
Quelle: EU-Kommission · FAQ 4.4.3 Offizielles EU-FAQ (Originaltext, Englisch)
Wie ist bei Open-Source-Komponenten außerhalb des CRA Sorgfalt zu wahren?
Solche Open-Source-Komponenten (nicht im Rahmen einer Geschäftstätigkeit bereitgestellt oder von einem Open-Source-Verwalter veröffentlicht) dürfen integriert werden – mit risikoangemessener Sorgfalt.
Quelle: EU-Kommission · FAQ 4.4.4 Offizielles EU-FAQ (Originaltext, Englisch)
Welche Kriterien bestimmen den Support-Zeitraum eines Produkts?
Der Support-Zeitraum muss die erwartete Nutzungsdauer abbilden – u. a. nach vernünftigen Nutzererwartungen, Art und Zweck des Produkts sowie einschlägigem Unionsrecht.
Quelle: EU-Kommission · FAQ 4.5 Offizielles EU-FAQ (Originaltext, Englisch)
Gibt es einen Mindest-Support-Zeitraum?
Ja: mindestens fünf Jahre. Wird das Produkt voraussichtlich kürzer genutzt, entspricht der Support-Zeitraum der erwarteten Nutzungsdauer (Art. 13 Abs. 8).
Quelle: EU-Kommission · FAQ 4.5.2 Offizielles EU-FAQ (Originaltext, Englisch)
Dürfen Produkte ohne festgelegten Support-Zeitraum verkauft werden?
Nein. Für alle nach dem 11.12.2027 in Verkehr gebrachten Produkte ist ein Support-Zeitraum festzulegen. Nach dessen Ablauf dürfen sie weiter am Markt bereitgestellt werden.
Quelle: EU-Kommission · FAQ 4.5.3 Offizielles EU-FAQ (Originaltext, Englisch)
Kann ein Hersteller aus einem Drittland Produkte direkt auf dem EU-Markt anbieten?
Nur, wenn es einen in der EU niedergelassenen verantwortlichen Wirtschaftsakteur gibt (z. B. Bevollmächtigten, Importeur), der die vorgeschriebenen Aufgaben übernimmt.
Quelle: EU-Kommission · FAQ 4.6 Offizielles EU-FAQ (Originaltext, Englisch)
Themenblöcke
- Anwendungsbereich
- Zusammenspiel mit anderem EU-Recht
- Wichtige & kritische Produkte
- Meldepflichten
- Konformitätsbewertung & CE
- Übergangsfristen