CRA-Fachglossar

Abschlussbericht↑

Synonyme und Abkürzungen: engl. final report

Der Abschlussbericht ist die letzte Stufe der Meldung nach Art. 14. Bei einer aktiv ausgenutzten Schwachstelle ist er spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, abzugeben; bei einem schwerwiegenden Sicherheitsvorfall innerhalb eines Monats nach der Meldung nach 72 Stunden. Er beschreibt die Schwachstelle oder den Vorfall einschließlich Schweregrad und Auswirkungen, nennt, soweit bekannt, den handelnden Akteur beziehungsweise die Ursache und dokumentiert die getroffenen Maßnahmen. Weil er eine abgeschlossene Analyse voraussetzt, ist er der Punkt, an dem sich zeigt, ob die eigene Vorfallbearbeitung belastbar dokumentiert wurde.

ADCO↑

Synonyme und Abkürzungen: Administrative Cooperation Group; Gruppe für Verwaltungszusammenarbeit

ADCO steht für „Administrative Cooperation Group", auf Deutsch Gruppe für Verwaltungszusammenarbeit. In ihr stimmen sich die Marktüberwachungsbehörden der Mitgliedstaaten über die einheitliche Anwendung eines Produktrechtsakts ab. Der CRA weist der ADCO eigene Aufgaben zu, etwa Empfehlungen zu Mindestdauern des Unterstützungszeitraums und unionsweite Bewertungen der Abhängigkeit von bestimmten Produktkategorien. Für Hersteller ist sie mittelbar bedeutsam, weil sich aus ihren Empfehlungen die spätere Verwaltungspraxis der Marktüberwachungsbehörden entwickelt.

Akkreditierung↑

Synonyme und Abkürzungen: keine

Die Akkreditierung ist die förmliche Bestätigung, dass eine Prüf- oder Zertifizierungsstelle fachlich und organisatorisch in der Lage ist, bestimmte Konformitätsbewertungen durchzuführen. In Deutschland erteilt sie die DAkkS. Sie ist der übliche Weg, über den eine Konformitätsbewertungsstelle nachweist, dass sie die Anforderungen erfüllt, bevor sie von der notifizierenden Behörde benannt und damit zur notifizierten Stelle wird. Die Akkreditierung selbst verleiht noch kein Recht, Bewertungen nach dem CRA durchzuführen; dafür ist die Notifizierung erforderlich.

Aktiv ausgenutzte Schwachstelle↑

Synonyme und Abkürzungen: engl. actively exploited vulnerability

Eine aktiv ausgenutzte Schwachstelle ist eine Schwachstelle, für die verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat. Die Unterscheidung zur bloß ausnutzbaren Schwachstelle ist im CRA meldeentscheidend: Erst die aktive Ausnutzung löst die Meldepflicht nach Art. 14 mit ihrer Frist von 24 Stunden für die Frühwarnung aus. Der Nachweis muss sich nicht auf das eigene Produkt im Feld beziehen, sondern auf die Ausnutzung der Schwachstelle als solche. In der Praxis ist die Bewertung, ab wann ein Hinweis als verlässlicher Nachweis gilt, einer der schwierigsten Punkte im Meldeprozess.

Amtsblatt der Europäischen Union↑

Synonyme und Abkürzungen: ABl.; engl. Official Journal of the European Union

Das Amtsblatt ist das amtliche Veröffentlichungsorgan der EU. Rechtsakte treten erst in Kraft, nachdem sie dort veröffentlicht wurden, und auch die Fundstellen harmonisierter Normen werden dort bekannt gemacht. Diese Bekanntmachung ist der Zeitpunkt, ab dem die Anwendung einer harmonisierten Norm die Konformitätsvermutung auslöst. Für die Planung eines CRA-Projekts ist das Amtsblatt damit die maßgebliche Quelle für die Frage, welche Normen bereits verwendbar sind.

Anbieter von Online-Marktplätzen↑

Synonyme und Abkürzungen: Betreiber von Online-Marktplätzen; engl. provider of an online marketplace

Anbieter von Online-Marktplätzen sind Plattformen, über die Dritte Produkte an Verbraucher oder Unternehmen in der Union verkaufen. Sie sind nach dem CRA keine Wirtschaftsakteure im eigentlichen Sinn, unterliegen aber über die Marktüberwachungsverordnung eigenen Mitwirkungspflichten, etwa der Entfernung von Angeboten auf Anordnung einer Marktüberwachungsbehörde. Für Betreiber von App-Stores und Softwareportalen ist diese Rolle praktisch bedeutsam, weil sie weder Händler noch Einführer sind und dennoch in die Durchsetzung eingebunden werden.

Angriffsfläche↑

Synonyme und Abkürzungen: engl. attack surface

Die Angriffsfläche umfasst alle Punkte eines Produkts, an denen ein Angreifer ansetzen kann: offene Schnittstellen und Ports, verarbeitete Eingaben, aktivierte Dienste, eingebundene Fremdkomponenten und vorhandene Konten. Der CRA verlangt in den grundlegenden Cybersicherheitsanforderungen ausdrücklich, die Angriffsfläche zu begrenzen. Praktisch bedeutet das, nicht benötigte Funktionen abzuschalten oder gar nicht erst auszuliefern, was eng mit der Härtung und mit Secure by Default zusammenhängt. Eine dokumentierte Betrachtung der Angriffsfläche ist zugleich ein Ergebnis der Bedrohungsmodellierung.

Anhang I Teil I↑

Synonyme und Abkürzungen: grundlegende Cybersicherheitsanforderungen an die Produkteigenschaften

Anhang I Teil I des CRA enthält die Anforderungen an die Eigenschaften des Produkts selbst. Dazu gehören unter anderem die Auslieferung ohne bekannte ausnutzbare Schwachstellen, eine sichere Standardkonfiguration, Schutz von Vertraulichkeit und Integrität der verarbeiteten Daten, Zugriffskontrolle, Minimierung der Angriffsfläche und die Möglichkeit, Sicherheitsaktualisierungen einzuspielen. Die Anforderungen gelten nicht pauschal, sondern nach Maßgabe des Risikos, das sich aus der Cybersicherheitsrisikobewertung ergibt. Anhang I Teil I ist der Maßstab, an dem die Konformitätsbewertung das Produkt misst, und wird regelmäßig mit den Prozessanforderungen aus Anhang I Teil II vermengt.

Anhang I Teil II↑

Synonyme und Abkürzungen: Anforderungen an den Umgang mit Schwachstellen

Anhang I Teil II beschreibt, was der Hersteller über den gesamten Unterstützungszeitraum hinweg organisatorisch leisten muss. Dazu zählen die Führung einer Software-Stückliste, das Erkennen und Beheben von Schwachstellen, regelmäßige Tests, die Bereitstellung von Sicherheitsaktualisierungen, ein Verfahren zur koordinierten Schwachstellenoffenlegung und die Information der Nutzer über behobene Schwachstellen. Anders als Teil I richtet sich Teil II nicht an die Beschaffenheit des Produkts, sondern an laufende Prozesse. Diese Prozesse sind der eigentliche Anknüpfungspunkt für einen Secure Software Development Lifecycle.

Anhang II↑

Synonyme und Abkürzungen: Informationen und Anleitungen für den Nutzer

Anhang II legt fest, welche Angaben einem Produkt mit digitalen Elementen beigefügt sein müssen. Dazu gehören Name und Kontaktdaten des Herstellers, die Kontaktstelle für Schwachstellenmeldungen, die Zweckbestimmung, bekannte Auswirkungen auf die Sicherheit, das Ende des Unterstützungszeitraums und Hinweise zur sicheren Inbetriebnahme und Außerbetriebnahme. Diese Angaben sind Konformitätsanforderungen und keine Marketingtexte; fehlen sie, ist das Produkt nicht konform. In der Praxis lassen sie sich gut mit vorhandener Produktdokumentation verbinden, müssen aber vollständig und auffindbar sein.

Anhang III↑

Synonyme und Abkürzungen: wichtige Produkte mit digitalen Elementen

Anhang III listet die Produktkategorien auf, die als wichtige Produkte gelten, getrennt nach Klasse I und Klasse II. Beispiele aus Klasse I sind Identitätsmanagementsysteme, Passwort-Manager, Browser, Betriebssysteme, Netzmanagementsysteme sowie Router, Modems für die Internetanbindung und Switches; Klasse II umfasst Hypervisoren und Container-Runtime-Systeme, Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme sowie manipulationssichere Mikroprozessoren und Mikrocontroller. Fällt die Kernfunktion eines Produkts unter eine dieser Kategorien, schränkt das die zulässigen Konformitätsbewertungsverfahren ein. Die Liste ist abschließend, und die technischen Beschreibungen der Kategorien werden durch die Durchführungsverordnung (EU) 2025/2392 konkretisiert.

Anhang IV↑

Synonyme und Abkürzungen: kritische Produkte mit digitalen Elementen

Anhang IV enthält die Kategorien kritischer Produkte, derzeit Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways und andere Geräte für fortgeschrittene Sicherheitszwecke sowie Chipkarten und ähnliche Geräte einschließlich Sicherheitselementen. Für sie kann die Kommission durch delegierten Rechtsakt vorschreiben, dass die Konformität über ein europäisches Cybersicherheitszertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel" nachzuweisen ist. Solange ein solcher Rechtsakt nicht ergangen ist, gelten die Verfahren, die auch für Klasse-II-Produkte nach Anhang III zulässig sind. Die Zahl der betroffenen Hersteller ist klein, die Anforderungen sind dafür die höchsten des CRA.

Anhang V↑

Synonyme und Abkürzungen: Inhalt der EU-Konformitätserklärung

Anhang V bestimmt, welche Angaben die EU-Konformitätserklärung enthalten muss. Dazu gehören die Bezeichnung und Identifizierung des Produkts, Name und Anschrift des Herstellers, die Erklärung der alleinigen Verantwortung, die angewandten Normen oder gemeinsamen Spezifikationen sowie gegebenenfalls Name und Kennnummer der notifizierten Stelle. Die Erklärung ist ein formales Dokument mit festgelegtem Inhalt und kein frei formulierbares Schreiben.

Anhang VI↑

Synonyme und Abkürzungen: vereinfachte EU-Konformitätserklärung

Anhang VI beschreibt die Kurzform der EU-Konformitätserklärung. Sie besteht aus einer knappen Konformitätsaussage und der Angabe einer Internetadresse, unter der die vollständige Erklärung abrufbar ist. Sie ist dafür gedacht, dem Produkt beigefügt zu werden, ohne den vollständigen Text mitliefern zu müssen. Die vollständige Erklärung nach Anhang V muss dann tatsächlich unter der angegebenen Adresse verfügbar sein und bleiben.

Anhang VII↑

Synonyme und Abkürzungen: Inhalt der technischen Dokumentation

Anhang VII legt fest, was die technische Dokumentation eines Produkts mit digitalen Elementen mindestens enthalten muss. Dazu gehören eine allgemeine Beschreibung des Produkts und seiner Zweckbestimmung, die Cybersicherheitsrisikobewertung, Angaben zum Unterstützungszeitraum, Entwurfs- und Entwicklungsunterlagen einschließlich der Software-Stückliste, Berichte über durchgeführte Tests und eine Beschreibung der Verfahren zum Umgang mit Schwachstellen. Der Umfang wird von Herstellern regelmäßig unterschätzt, weil die Dokumentation die Erfüllung aller Anforderungen aus Anhang I nachvollziehbar belegen muss. Für Kleinstunternehmen sowie kleine und mittlere Unternehmen sind vereinfachte Formate vorgesehen.

Anhang VIII↑

Synonyme und Abkürzungen: Konformitätsbewertungsverfahren

Anhang VIII beschreibt den Ablauf der vier Konformitätsbewertungsverfahren des CRA: Modul A, Modul B, Modul C und Modul H. Er legt fest, welche Unterlagen vorzulegen sind, welche Schritte der Hersteller selbst durchführt und an welchen Stellen eine notifizierte Stelle beteiligt ist. Welches dieser Verfahren zulässig ist, ergibt sich nicht aus Anhang VIII, sondern aus der Einstufung des Produkts nach Anhang III und Anhang IV.

Aufbewahrungspflicht↑

Synonyme und Abkürzungen: keine

Hersteller müssen die technische Dokumentation und die EU-Konformitätserklärung nach dem Inverkehrbringen für einen festgelegten Zeitraum bereithalten. Der CRA nennt hierfür zehn Jahre oder, falls länger, die Dauer des Unterstützungszeitraums. Die Unterlagen müssen den Marktüberwachungsbehörden auf Verlangen vorgelegt werden können, was voraussetzt, dass sie auch nach Produktabkündigung und nach Personalwechseln auffindbar bleiben. Dieselbe Verpflichtung trifft in abgestufter Form auch Einführer und Bevollmächtigte.

Auftragsfertiger↑

Synonyme und Abkürzungen: Lohnfertiger; engl. contract manufacturer

Ein Auftragsfertiger stellt ein Produkt im Auftrag eines anderen Unternehmens her, vermarktet es aber nicht unter eigenem Namen. Nach dem CRA ist er deshalb in der Regel nicht Hersteller; Hersteller ist, wer das Produkt unter seinem Namen oder seiner Marke vermarktet. Der Auftragsfertiger ist auch kein Bevollmächtigter, weil dieser gerade keine Fertigungs-, sondern Verwaltungsaufgaben wahrnimmt. In Softwareprojekten entspricht dem Auftragsfertiger der Dienstleister, der im Kundenauftrag entwickelt, ohne selbst in Verkehr zu bringen.

Ausnutzbare Schwachstelle↑

Synonyme und Abkürzungen: engl. exploitable vulnerability

Eine ausnutzbare Schwachstelle ist eine Schwachstelle, die von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden kann. Damit grenzt der CRA sie von theoretischen Schwächen ab, die sich unter realen Bedingungen nicht ausnutzen lassen. Die Unterscheidung ist wirtschaftlich erheblich, weil ein Produkt nach Anhang I Teil I ohne bekannte ausnutzbare Schwachstellen in Verkehr gebracht werden muss. Von der aktiv ausgenutzten Schwachstelle unterscheidet sie sich dadurch, dass noch keine Nachweise für eine tatsächlich erfolgte Ausnutzung vorliegen.

Automatische Aktualisierung↑

Synonyme und Abkürzungen: automatisches Update; engl. automatic update

Der CRA verlangt, dass Sicherheitsaktualisierungen bei Produkten, deren Nutzung das zulässt, standardmäßig automatisch bereitgestellt und eingespielt werden. Nutzer müssen über die Aktualisierung informiert werden und die Möglichkeit haben, die automatische Installation abzuschalten. Diese Vorgabe ist ein Anwendungsfall von Secure by Default: Die sichere Einstellung ist die Voreinstellung, und die Abweichung davon ist eine bewusste Entscheidung des Nutzers. Für Produkte in industriellen Umgebungen, in denen unkontrollierte Updates nicht vertretbar sind, sieht der CRA Abweichungsmöglichkeiten vor.

AVA_VAN↑

Synonyme und Abkürzungen: Vulnerability Assessment; Schwachstellenanalyse nach Common Criteria

AVA_VAN bezeichnet in den Common Criteria die Klasse der Schwachstellenbewertung, deren Stufen von AVA_VAN.1 bis AVA_VAN.5 reichen. Die Stufe legt fest, wie leistungsfähig ein unterstellter Angreifer ist und wie tief die Prüfstelle nach Schwachstellen sucht. Im Rahmen von EUCC bestimmt die AVA_VAN-Stufe die Vertrauenswürdigkeitsstufe des Zertifikats: Die Stufen AVA_VAN.1 und AVA_VAN.2 entsprechen der Stufe „mittel", die Stufen AVA_VAN.3 bis AVA_VAN.5 der Stufe „hoch". Weil der Prüfaufwand mit der Stufe stark steigt, ist sie einer der größten Kostenfaktoren einer Zertifizierung.

Bedrohungsmodellierung↑

Synonyme und Abkürzungen: Threat Modeling; Bedrohungsanalyse

Bedrohungsmodellierung ist ein strukturiertes Verfahren, mit dem ein Entwicklungsteam systematisch ermittelt, welche Bedrohungen für ein Produkt bestehen, welche Werte geschützt werden müssen und welche Gegenmaßnahmen erforderlich sind. Sie liefert die Begründung dafür, welche der grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I in welcher Tiefe umzusetzen sind, und ist damit ein praktikabler Weg, die geforderte Cybersicherheitsrisikobewertung zu erarbeiten. Verbreitete Methoden sind STRIDE und Angriffsbäume; entscheidend ist weniger die Methode als die Nachvollziehbarkeit des Ergebnisses. Ohne Bedrohungsmodellierung bleibt die Auswahl der Sicherheitsmaßnahmen eine Behauptung.

Beinahe-Vorfall↑

Synonyme und Abkürzungen: engl. near miss

Ein Beinahe-Vorfall ist ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Diensten hätte beeinträchtigen können, dies aber nicht getan hat. Der CRA übernimmt den Begriff aus der NIS-2-Richtlinie. Für Hersteller ist er vor allem im Verhältnis zum Sicherheitsvorfall bedeutsam, weil er die Grenze markiert, unterhalb derer keine Meldepflicht ausgelöst wird. In der eigenen Prozessdokumentation empfiehlt es sich dennoch, Beinahe-Vorfälle zu erfassen, weil sie auf Schwachstellen hinweisen.

Benannte Stelle↑

Synonyme und Abkürzungen: engl. notified body

Im deutschen Sprachgebrauch des Produktrechts wird „benannte Stelle" häufig gleichbedeutend mit „notifizierte Stelle" verwendet. Der CRA selbst spricht von der notifizierten Stelle, während etwa die Medizinprodukteverordnung von benannten Stellen spricht. Gemeint ist in beiden Fällen eine Konformitätsbewertungsstelle, die von einem Mitgliedstaat für die Bewertung nach einem bestimmten Rechtsakt benannt und der Kommission mitgeteilt wurde. Eine Stelle, die für einen Rechtsakt benannt ist, ist damit nicht automatisch auch für den CRA benannt.

Bereichsausschluss↑

Synonyme und Abkürzungen: Ausnahme vom Anwendungsbereich

Ein Bereichsausschluss liegt vor, wenn ein Produkt zwar ein Produkt mit digitalen Elementen ist, der CRA aber aufgrund einer ausdrücklichen Regelung nicht anzuwenden ist. Ausgenommen sind Produkte, auf die die Medizinprodukteverordnung, die Verordnung über In-vitro-Diagnostika oder die Verordnung (EU) 2019/2144 über die Sicherheit von Kraftfahrzeugen Anwendung findet, ferner nach der EASA-Grundverordnung (EU) 2018/1139 zertifizierte Produkte, Geräte im Anwendungsbereich der Richtlinie 2014/90/EU über Schiffsausrüstung sowie Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder der Verteidigung entwickelt oder geändert wurden oder speziell für die Verarbeitung von Verschlusssachen konzipiert sind. Der Ausschluss knüpft an den Rechtsakt an, dem das Produkt unterliegt, nicht an die Branche des Herstellers. Eigenständig geregelt sind Ersatzteile: Sie sind ausgenommen, wenn sie identische Komponenten ersetzen und nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen.

Bereitstellung auf dem Markt↑

Synonyme und Abkürzungen: engl. making available on the market

Die Bereitstellung auf dem Markt ist die entgeltliche oder unentgeltliche Abgabe eines Produkts zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit. Jede Weitergabe in der Lieferkette ist eine Bereitstellung, während nur die erste von ihnen zugleich ein Inverkehrbringen ist. Die Unterscheidung bestimmt, welche Pflichten wen treffen: Das Inverkehrbringen löst die Herstellerpflichten aus, die Bereitstellung die Pflichten von Händlern und Einführern. Dass auch die unentgeltliche Abgabe erfasst ist, führt dazu, dass kostenlose Software nicht allein wegen ihrer Kostenfreiheit außerhalb des CRA steht.

Beschluss 768/2008/EG↑

Synonyme und Abkürzungen: Modulbeschluss

Der Beschluss 768/2008/EG über einen gemeinsamen Rechtsrahmen für die Vermarktung von Produkten enthält die Musterbausteine, aus denen das EU-Produktrecht zusammengesetzt wird, insbesondere die standardisierten Konformitätsbewertungsmodule. Die Module A, B, C und H des CRA stammen aus diesem Beschluss und haben dort dieselbe Bedeutung wie in anderen Produktrechtsakten. Der Beschluss ist an die Gesetzgebungsorgane gerichtet und begründet für sich genommen keine Pflichten für Hersteller. Er erklärt jedoch, warum der CRA strukturell den Rechtsakten für Maschinen, Funkanlagen oder Spielzeug ähnelt.

Bestandsprodukt↑

Synonyme und Abkürzungen: Altprodukt; engl. legacy product

Als Bestandsprodukt wird in der Praxis ein Produkt bezeichnet, das vor dem Geltungsbeginn des CRA in Verkehr gebracht wurde. Der Begriff stammt nicht aus der Verordnung, ist für die Projektplanung aber zentral, weil sich die Übergangsregelung nach Art. 69 daran orientiert. Entscheidend ist nicht, wann ein Produkt entwickelt wurde, sondern wann das einzelne Exemplar oder die einzelne Kopie in Verkehr gebracht wurde. Wird ein Bestandsprodukt nach dem Stichtag wesentlich geändert, gilt es als neu in Verkehr gebracht und fällt in vollem Umfang unter den CRA.

Bevollmächtigter↑

Synonyme und Abkürzungen: engl. authorised representative

Ein Bevollmächtigter ist eine in der Union ansässige Person, die ein Hersteller schriftlich beauftragt hat, bestimmte Aufgaben in seinem Namen wahrzunehmen, etwa das Bereithalten der technischen Dokumentation und die Zusammenarbeit mit den Marktüberwachungsbehörden. Er ist vor allem für Hersteller aus Drittstaaten von Bedeutung, die einen Ansprechpartner in der Union benötigen. Der Bevollmächtigte ist weder ein Auftragsfertiger noch ein Vertriebspartner, und die Beauftragung verlagert die Verantwortung für die Konformität des Produkts nicht auf ihn. Sein Aufgabenkreis ergibt sich aus dem schriftlichen Mandat und ist auf die im CRA vorgesehenen Aufgaben begrenzt.

Blue Guide↑

Synonyme und Abkürzungen: Leitfaden für die Umsetzung der Produktvorschriften der EU; Blauer Leitfaden

Der Blue Guide ist ein von der Europäischen Kommission herausgegebener Leitfaden, der die gemeinsamen Grundbegriffe des EU-Produktrechts erläutert, darunter Inverkehrbringen, Bereitstellung, die Rollen der Wirtschaftsakteure, die wesentliche Änderung und die CE-Kennzeichnung. Er ist rechtlich unverbindlich und gibt die Auffassung der Kommission wieder; verbindlich auslegen kann das Unionsrecht nur der Gerichtshof der Europäischen Union. In der Praxis ist er dennoch die wichtigste Auslegungshilfe, weil er in allen Produktrechtsakten dieselben Begriffe erklärt und von Behörden herangezogen wird. Bei einem Widerspruch zwischen Blue Guide und Verordnungstext geht der Verordnungstext vor.

BNetzA↑

Synonyme und Abkürzungen: Bundesnetzagentur

Die Bundesnetzagentur ist in Deutschland unter anderem Marktüberwachungsbehörde für Funkanlagen und elektrische Betriebsmittel. Ob und in welchem Umfang sie auch Aufgaben der Marktüberwachung nach dem CRA übernimmt, richtet sich nach dem nationalen CRA-Durchführungsgesetz. Für Hersteller ist die Zuständigkeitsfrage praktisch bedeutsam, weil sie bestimmt, welche Behörde Unterlagen anfordern und Maßnahmen anordnen kann. Bis zur endgültigen Festlegung sollte die Entwicklung der nationalen Gesetzgebung beobachtet werden.

BSI↑

Synonyme und Abkürzungen: Bundesamt für Sicherheit in der Informationstechnik

Das BSI ist die nationale Cybersicherheitsbehörde Deutschlands. Im Zusammenhang mit dem CRA ist es in mehrfacher Hinsicht bedeutsam: Es veröffentlicht mit der Reihe BSI TR-03183 technische Richtlinien als Umsetzungshilfe, nimmt CSIRT-Aufgaben im Meldewesen wahr und ist Kandidat für Aufgaben der Marktüberwachung nach dem nationalen CRA-Durchführungsgesetz. Seine Veröffentlichungen sind unverbindlich und lösen keine Konformitätsvermutung aus, werden aber zunehmend in Ausschreibungen und Verträgen in Bezug genommen.

BSI TR-03183↑

Synonyme und Abkürzungen: Technische Richtlinie Cyber Resilience Requirements for Manufacturers and Products

BSI TR-03183 ist eine vierteilige technische Richtlinie des BSI, die beschreibt, wie die Anforderungen des CRA umgesetzt werden können. Teil 1 behandelt die allgemeinen Anforderungen, Teil 2 die Software-Stückliste, Teil 3 die Schwachstellenbehandlung und Meldepflichten, und der Teil zu Modul H die Qualitätssicherung. Die Richtlinie ist national, unverbindlich und löst keine Konformitätsvermutung aus; sie zeigt einen möglichen Umsetzungsweg, nicht den geschuldeten Umfang. Ihre praktische Bedeutung liegt darin, dass sie konkrete Festlegungen trifft, wo der Verordnungstext offen bleibt, etwa bei den Pflichtfeldern einer Software-Stückliste.

Bußgeld↑

Synonyme und Abkürzungen: Sanktion; Geldbuße

Der CRA sieht in Art. 64 dreifach gestaffelte Geldbußen vor, die von den Mitgliedstaaten verhängt werden: bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen oder gegen die Herstellerpflichten aus Art. 13 und Art. 14; bis zu 10 Millionen Euro oder 2 Prozent bei Verstößen gegen die übrigen aufgezählten Pflichten; bis zu 5 Millionen Euro oder 1 Prozent bei falschen, unvollständigen oder irreführenden Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden. Maßgeblich ist jeweils der höhere Betrag, und bei der Bemessung sind Art, Schwere und Dauer des Verstoßes sowie die Größe des Unternehmens zu berücksichtigen. Zwei Ausnahmen bestehen: Verwalter quelloffener Software sind von diesen Geldbußen vollständig ausgenommen, Kleinst- und Kleinunternehmen hinsichtlich der Frist für die Frühwarnung. Die Ausgestaltung im Einzelnen, einschließlich Zuständigkeit und Verfahren, erfolgt national, in Deutschland über das CRA-Durchführungsgesetz. Neben dem Bußgeld stehen den Behörden Anordnungen bis hin zum Verbot der Bereitstellung und zum Rückruf zur Verfügung, die wirtschaftlich meist schwerer wiegen.

CE-Kennzeichnung↑

Synonyme und Abkürzungen: CE-Zeichen; engl. CE marking

Mit der CE-Kennzeichnung erklärt der Hersteller, dass sein Produkt allen anwendbaren Harmonisierungsrechtsvorschriften der Union entspricht, im Fall des CRA also den grundlegenden Cybersicherheitsanforderungen aus Anhang I. Sie ist eine Selbsterklärung des Herstellers und kein Prüfsiegel, das eine unabhängige Stelle vergibt; auch dort, wo eine notifizierte Stelle beteiligt war, bringt der Hersteller die Kennzeichnung selbst an. Sie richtet sich an Behörden und nicht an Verbraucher und sagt nichts über Qualität oder Sicherheitsniveau im Vergleich zu anderen Produkten aus. War eine notifizierte Stelle beteiligt, steht deren vierstellige Kennnummer neben der Kennzeichnung.

CEN↑

Synonyme und Abkürzungen: Europäisches Komitee für Normung; Comité Européen de Normalisation

CEN ist eine der drei europäischen Normungsorganisationen und zuständig für Normen außerhalb der Elektrotechnik und der Telekommunikation. Gemeinsam mit CENELEC und ETSI bearbeitet CEN das Normungsmandat M/606, mit dem die Kommission die harmonisierten Normen zum CRA in Auftrag gegeben hat. Erst wenn eine dort erarbeitete Norm im Amtsblatt der Europäischen Union veröffentlicht ist, löst ihre Anwendung die Konformitätsvermutung aus. Für Hersteller ist der Bearbeitungsstand bei CEN und CENELEC damit unmittelbar planungsrelevant.

CENELEC↑

Synonyme und Abkürzungen: Europäisches Komitee für elektrotechnische Normung; Comité Européen de Normalisation Électrotechnique

CENELEC ist die europäische Normungsorganisation für den Bereich der Elektrotechnik. Zusammen mit CEN und ETSI erarbeitet sie die harmonisierten Normen zum CRA unter dem Normungsmandat M/606, wobei die inhaltliche Arbeit überwiegend in gemeinsamen technischen Gremien stattfindet. Für die Wirkung ihrer Normen gilt dasselbe wie bei CEN: Maßgeblich ist die Veröffentlichung der Fundstelle im Amtsblatt.

CI/CD-Pipeline↑

Synonyme und Abkürzungen: Continuous Integration und Continuous Delivery beziehungsweise Continuous Deployment; Build-Pipeline

Eine CI/CD-Pipeline ist die automatisierte Kette von Schritten, mit der Quellcode gebaut, geprüft, paketiert und ausgeliefert wird. Für den CRA ist sie bedeutsam, weil sich dort viele geforderte Nachweise ohne zusätzlichen Aufwand erzeugen lassen: die Software-Stückliste, die Ergebnisse von statischer Codeanalyse und Software Composition Analysis, Testberichte und die Signatur des ausgelieferten Artefakts. Die Pipeline ist damit zugleich ein Teil der Angriffsfläche des Herstellers, weil ein Angriff auf sie in jedes ausgelieferte Produkt hineinwirkt. Ihre Absicherung gehört zur Lieferkettensicherheit.

Common Criteria↑

Synonyme und Abkürzungen: CC; ISO/IEC 15408; Common Criteria for Information Technology Security Evaluation

Die Common Criteria sind ein international abgestimmtes Rahmenwerk für die Prüfung und Zertifizierung der Sicherheitseigenschaften von IT-Produkten, festgeschrieben in der Normenreihe ISO/IEC 15408. Geprüft wird nicht ein Produkt gegen einen festen Katalog, sondern gegen die vom Hersteller in einem Sicherheitsvorgaben-Dokument selbst beschriebenen Sicherheitsziele, häufig orientiert an einem Schutzprofil. Die Prüftiefe wird über Vertrauenswürdigkeitsstufen und die Schwachstellenanalyse nach AVA_VAN festgelegt. Die Common Criteria sind die methodische Grundlage des europäischen Zertifizierungsschemas EUCC und damit auch für den CRA von Bedeutung.

CRA-Durchführungsgesetz↑

Synonyme und Abkürzungen: CRA-DG

Das CRA-Durchführungsgesetz ist das deutsche Gesetz, mit dem die national zu organisierenden Teile des CRA geregelt werden. Der CRA gilt als Verordnung unmittelbar und braucht kein Umsetzungsgesetz, verlangt von den Mitgliedstaaten aber, eine Marktüberwachungsbehörde und eine notifizierende Behörde zu benennen und Sanktionsvorschriften zu erlassen. Das CRA-DG weist diese Aufgaben dem BSI zu und verankert sie im BSI-Gesetz, einschließlich der Eingriffsbefugnisse und der Bußgeldvorschriften. Die Benennung des BSI gegenüber der Kommission ist bereits erfolgt, während das Gesetz selbst bei der letzten Recherche im September 2026 noch nicht verkündet war; der aktuelle Stand sollte vor einer Aussage gegenüber Kunden geprüft werden.

CSAF↑

Synonyme und Abkürzungen: Common Security Advisory Framework

CSAF ist ein bei OASIS gepflegtes, maschinenlesbares Format für Sicherheitshinweise. Ein Hersteller kann damit Angaben zu betroffenen Produktversionen, zur Schwere und zu verfügbaren Abhilfen so veröffentlichen, dass Kunden sie automatisiert auswerten können, statt Fließtext zu lesen. Das BSI empfiehlt CSAF in seinen technischen Richtlinien als Format für Security Advisories. Verbindlich vorgeschrieben ist es nicht, aber es erleichtert die im CRA geforderte Information der Nutzer über behobene Schwachstellen erheblich.

CSIRT↑

Synonyme und Abkürzungen: Computer Security Incident Response Team

Ein CSIRT ist eine Einrichtung, die Meldungen über Sicherheitsvorfälle und Schwachstellen entgegennimmt, bewertet und die Reaktion koordiniert. Die NIS-2-Richtlinie verpflichtet die Mitgliedstaaten, mindestens ein nationales CSIRT zu benennen; in Deutschland nimmt das BSI diese Aufgabe wahr. Im CRA sind die CSIRT neben den Marktüberwachungsbehörden Empfänger der Meldungen nach Art. 14 über aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die Meldung erfolgt über die einheitliche Meldeplattform, die die Weiterleitung an die zuständigen Stellen übernimmt.

CVE↑

Synonyme und Abkürzungen: Common Vulnerabilities and Exposures; CVE-Kennung

CVE ist ein System eindeutiger Kennungen für öffentlich bekannte Schwachstellen, aufgebaut nach dem Muster CVE-Jahr-Nummer. Die Kennung benennt eine Schwachstelle, bewertet sie aber nicht; die Bewertung erfolgt getrennt, etwa über CVSS. Vergeben werden Kennungen von sogenannten CVE Numbering Authorities, zu denen sich auch Hersteller selbst benennen lassen können. Für den CRA ist CVE das praktische Bindeglied zwischen der Software-Stückliste, der Schwachstellenüberwachung und der Information der Nutzer über behobene Schwachstellen.

CVSS↑

Synonyme und Abkürzungen: Common Vulnerability Scoring System

CVSS ist ein offenes Bewertungsschema, das den Schweregrad einer Schwachstelle auf einer Skala von 0 bis 10 ausdrückt, gepflegt von FIRST. Der weit verbreitete Basiswert beschreibt nur die Eigenschaften der Schwachstelle an sich und berücksichtigt weder den konkreten Einsatzkontext noch die Frage, ob die Schwachstelle im eigenen Produkt überhaupt erreichbar ist. Für die Priorisierung nach dem CRA ist der Basiswert deshalb allein nicht ausreichend; ergänzend kommen EPSS, der KEV-Katalog und eine eigene Einschätzung über VEX in Betracht. Ein hoher CVSS-Wert begründet für sich genommen keine Meldepflicht, denn diese knüpft an die aktive Ausnutzung an.

CWE↑

Synonyme und Abkürzungen: Common Weakness Enumeration

CWE ist ein Katalog von Schwachstellentypen, also von wiederkehrenden Fehlerarten wie fehlender Eingabevalidierung oder unsicherer Speicherverwaltung. Während CVE eine konkrete Schwachstelle in einem konkreten Produkt bezeichnet, benennt CWE die zugrunde liegende Fehlerklasse. Für die sichere Entwicklung ist CWE nützlicher als CVE, weil sich daraus Prüfregeln, Schulungsinhalte und Codierrichtlinien ableiten lassen. Werkzeuge der statischen Codeanalyse melden Befunde üblicherweise mit CWE-Bezug.

Cyberbedrohung↑

Synonyme und Abkürzungen: engl. cyber threat

Eine Cyberbedrohung ist ein möglicher Umstand, ein Ereignis oder eine Handlung, die Systeme, Nutzer oder Daten schädigen oder stören könnte. Der CRA übernimmt den Begriff aus dem Cybersecurity Act. Die Bedrohung ist von der Schwachstelle zu unterscheiden: Die Schwachstelle ist die Schwäche im Produkt, die Bedrohung das, was diese Schwäche ausnutzen könnte. Aus dem Zusammentreffen beider ergibt sich das Cybersicherheitsrisiko.

Cyberresilienz-Verordnung↑

Synonyme und Abkürzungen: CRA; Cyber Resilience Act; Verordnung (EU) 2024/2847

Die Cyberresilienz-Verordnung ist der erste EU-Rechtsakt, der durchgehende Cybersicherheitsanforderungen an Produkte mit digitalen Elementen stellt, von der Entwicklung über das Inverkehrbringen bis zum Ende des Unterstützungszeitraums. Sie gilt als Verordnung unmittelbar in allen Mitgliedstaaten und richtet sich an Hersteller, Einführer und Händler, nicht an Betreiber von Netzen und Informationssystemen; darin unterscheidet sie sich von der NIS-2-Richtlinie. Ihre Anforderungen greifen gestaffelt, mit vollständiger Anwendbarkeit ab dem 11. Dezember 2027. Der Aufbau folgt dem Neuen Rechtsrahmen, weshalb Begriffe wie CE-Kennzeichnung, Konformitätsbewertung und notifizierte Stelle dieselbe Bedeutung haben wie in anderen Produktrechtsakten.

Cybersecurity Act↑

Synonyme und Abkürzungen: CSA; Verordnung (EU) 2019/881; Rechtsakt zur Cybersicherheit

Der Cybersecurity Act regelt das Mandat der Agentur ENISA und schafft den europäischen Rahmen für die Cybersicherheitszertifizierung. Auf seiner Grundlage werden einzelne Zertifizierungsschemata erlassen, von denen EUCC das erste ist. Er definiert die drei Vertrauenswürdigkeitsstufen „niedrig", „mittel" und „hoch", auf die der CRA an mehreren Stellen Bezug nimmt. Ein Zertifikat nach einem solchen Schema kann unter bestimmten Voraussetzungen die Konformitätsbewertung nach dem CRA ganz oder teilweise ersetzen.

Cybersicherheitsrisiko↑

Synonyme und Abkürzungen: engl. cybersecurity risk

Das Cybersicherheitsrisiko ist das Potenzial für Verluste oder Störungen durch einen Sicherheitsvorfall, ausgedrückt als Kombination aus dem Ausmaß des möglichen Schadens und der Wahrscheinlichkeit seines Eintretens. Es ist damit weder die Schwachstelle noch die Cyberbedrohung, sondern das Ergebnis ihrer Betrachtung im konkreten Verwendungszusammenhang. Der CRA stellt seine Anforderungen risikobasiert: Was ein Produkt leisten muss, ergibt sich aus dem Risiko, das mit seiner Zweckbestimmung und seiner vernünftigerweise vorhersehbaren Verwendung verbunden ist. Ein erhebliches Cybersicherheitsrisiko ist ein qualifizierter Sonderfall mit eigenen Rechtsfolgen für die Marktüberwachung.

Cybersicherheitsrisikobewertung↑

Synonyme und Abkürzungen: Risikobewertung nach dem CRA

Die Cybersicherheitsrisikobewertung ist die vom Hersteller durchzuführende Analyse, aus der sich ergibt, welche der grundlegenden Cybersicherheitsanforderungen für sein Produkt in welcher Ausprägung gelten. Sie ist Pflichtbestandteil der technischen Dokumentation und muss über den gesamten Unterstützungszeitraum aktuell gehalten werden. Sie ist nicht dasselbe wie die Risikoanalyse eines Informationssicherheits-Managementsystems: Betrachtet wird nicht das Risiko für das eigene Unternehmen, sondern das Risiko, das vom Produkt für seine Nutzer ausgeht. Methodisch lässt sie sich gut aus einer Bedrohungsmodellierung heraus erarbeiten.

Cyber Solidarity Act↑

Synonyme und Abkürzungen: Verordnung über Solidarität im Cyberraum

Der Cyber Solidarity Act ist ein EU-Rechtsakt, der Strukturen für die gemeinsame Erkennung von und Reaktion auf großflächige Cybersicherheitsvorfälle schafft, unter anderem ein europäisches Warnsystem und einen Reservepool an Unterstützungsleistungen. Er richtet sich an Mitgliedstaaten und Einrichtungen der Union, nicht an Produkthersteller, und begründet keine Pflichten nach dem CRA. Für Hersteller ist er mittelbar interessant, weil er das Umfeld beschreibt, in dem Meldungen über aktiv ausgenutzte Schwachstellen verarbeitet werden.

CycloneDX↑

Synonyme und Abkürzungen: keine

CycloneDX ist ein offenes Format für Software-Stücklisten, das bei OWASP gepflegt wird. Es ist neben SPDX das gebräuchlichste Format und deckt über die reine Komponentenliste hinaus auch Abhängigkeitsbeziehungen, Schwachstellenangaben und VEX-Aussagen ab. Welches der beiden Formate verwendet wird, ist eine der ersten praktischen Entscheidungen in einem CRA-Projekt, weil Werkzeugketten und Kundenanforderungen daran hängen. Ob die Kommission hierzu über einen Durchführungsrechtsakt eine Festlegung getroffen hat, sollte vor einer endgültigen Entscheidung geprüft werden.

DAkkS↑

Synonyme und Abkürzungen: Deutsche Akkreditierungsstelle

Die DAkkS ist die nationale Akkreditierungsstelle Deutschlands. Sie bestätigt durch Akkreditierung, dass eine Prüf-, Inspektions- oder Zertifizierungsstelle fachlich kompetent und unabhängig arbeitet. Für den CRA ist sie mittelbar bedeutsam, weil eine Konformitätsbewertungsstelle ihre Eignung üblicherweise über eine Akkreditierung nachweist, bevor sie von der notifizierenden Behörde benannt wird. Die Akkreditierung ersetzt die Notifizierung nicht.

DAST↑

Synonyme und Abkürzungen: Dynamic Application Security Testing; dynamische Sicherheitsprüfung

DAST bezeichnet Prüfverfahren, die ein laufendes Produkt von außen untersuchen, also über seine Schnittstellen Eingaben senden und das Verhalten beobachten. Anders als die statische Codeanalyse benötigt DAST keinen Zugriff auf den Quellcode, findet dafür aber nur Schwachstellen, die sich im laufenden Betrieb zeigen. Für den CRA sind DAST-Ergebnisse ein Baustein der nach Anhang I Teil II geforderten regelmäßigen Tests und gehören in die technische Dokumentation. Statische und dynamische Prüfung ergänzen einander und ersetzen einander nicht.

Data Act↑

Synonyme und Abkürzungen: Datenverordnung; Verordnung (EU) 2023/2854

Der Data Act regelt den Zugang zu und die Nutzung von Daten, die bei der Verwendung vernetzter Produkte und zugehöriger Dienste entstehen, sowie den Wechsel zwischen Datenverarbeitungsdiensten. Er richtet sich an dieselben vernetzten Produkte wie der CRA, verfolgt aber ein anderes Ziel: Der Data Act betrifft die Verfügbarkeit von Daten, der CRA ihre Sicherheit. Berührungspunkte entstehen dort, wo Zugangsschnittstellen für Daten geschaffen werden müssen, die zugleich Teil der Angriffsfläche des Produkts sind.

Datenfernverarbeitung↑

Synonyme und Abkürzungen: RDPS; Datenfernverarbeitungslösung; engl. remote data processing solution

Datenfernverarbeitung ist eine entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter seiner Verantwortung konzipiert und entwickelt wird und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Sie ist der Weg, auf dem serverseitige Anteile eines Produkts in den Anwendungsbereich des CRA gelangen, obwohl sie nicht ausgeliefert werden. Zwei Kriterien müssen zusammenkommen: die Entwicklung durch den Hersteller oder unter seiner Verantwortung und die Unverzichtbarkeit für eine Funktion des Produkts. Ein reiner Dienst ohne ausgeliefertes Produkt ist keine Datenfernverarbeitung, sondern fällt gar nicht unter den CRA; die Abgrenzung ist bei SaaS-Angeboten die praktisch schwierigste Frage der Betroffenheitsprüfung.

Datenschutz-Grundverordnung↑

Synonyme und Abkürzungen: DSGVO; Verordnung (EU) 2016/679; engl. GDPR

Die Datenschutz-Grundverordnung regelt die Verarbeitung personenbezogener Daten. Sie überschneidet sich mit dem CRA nur teilweise: Der CRA schützt die Sicherheit des Produkts unabhängig davon, ob personenbezogene Daten betroffen sind, während die DSGVO den Umgang mit solchen Daten unabhängig vom Produkt regelt. Wo ein Produkt personenbezogene Daten verarbeitet, wirken beide Rechtsakte nebeneinander, und Maßnahmen wie Datenminimierung oder Verschlüsselung können zugleich Anforderungen aus beiden erfüllen. Eine Meldung nach dem CRA ersetzt keine Meldung einer Datenschutzverletzung und umgekehrt.

Defense in Depth↑

Synonyme und Abkürzungen: gestaffelte Verteidigung; mehrschichtige Sicherheit

Defense in Depth bezeichnet den Ansatz, mehrere voneinander unabhängige Schutzmaßnahmen hintereinanderzuschalten, damit das Versagen einer einzelnen Maßnahme nicht unmittelbar zum Schaden führt. Beispiele sind die Kombination aus Zugriffskontrolle, Eingabevalidierung, Rechtetrennung und Protokollierung. Der CRA schreibt das Prinzip nicht ausdrücklich vor, doch die Anforderungen aus Anhang I Teil I lassen sich in der Summe nur so sinnvoll erfüllen. Aus einer Bedrohungsmodellierung ergibt sich, an welchen Stellen eine zweite Schutzebene erforderlich ist.

Delegierter Rechtsakt↑

Synonyme und Abkürzungen: delegierte Verordnung; engl. delegated act

Ein delegierter Rechtsakt ist eine Regelung, die die Europäische Kommission auf Grundlage einer Ermächtigung im Basisrechtsakt selbst erlässt, um diesen zu ergänzen oder zu ändern. Der CRA enthält mehrere solcher Ermächtigungen, insbesondere zur Änderung der Produktkategorien in Anhang III und Anhang IV, zur Festlegung von Mindestunterstützungszeiträumen und zur Anordnung einer verpflichtenden Zertifizierung für kritische Produkte. Für Hersteller bedeutet das ein dauerhaftes Planungsrisiko: Die Einstufung eines Produkts kann sich ändern, ohne dass die Verordnung selbst neu verhandelt wird. Vom Durchführungsrechtsakt unterscheidet sich der delegierte Rechtsakt dadurch, dass er den Rechtsakt inhaltlich fortschreibt, während der Durchführungsrechtsakt nur dessen einheitliche Anwendung sicherstellt.

DORA↑

Synonyme und Abkürzungen: Digital Operational Resilience Act; Verordnung (EU) 2022/2554

DORA regelt die digitale operationale Widerstandsfähigkeit im Finanzsektor und richtet sich an Banken, Versicherungen, Zahlungsdienstleister und deren IKT-Dienstleister. Sie betrifft den Betrieb und das Risikomanagement dieser Unternehmen, nicht die Beschaffenheit von Produkten, und ist insoweit vom CRA zu trennen. Für Softwarehersteller wird DORA dort relevant, wo sie als IKT-Drittdienstleister an Finanzunternehmen liefern und dann vertraglich in deren Pflichtenkreis einbezogen werden. Nachweise, die für den CRA ohnehin entstehen, etwa zur Schwachstellenbehandlung, lassen sich in diesen Verhandlungen häufig wiederverwenden.

Dual-Licensing↑

Synonyme und Abkürzungen: Doppellizenzierung

Beim Dual-Licensing gibt ein Anbieter dieselbe Software unter zwei Lizenzen heraus, typischerweise einer freien Lizenz für die Allgemeinheit und einer kommerziellen Lizenz für zahlende Kunden. Für den CRA ist das Modell bedeutsam, weil die Einordnung als freie und quelloffene Software und die Frage, ob eine Geschäftstätigkeit vorliegt, davon berührt werden. Wer dieselbe Software entgeltlich vertreibt und dabei Unterstützungsleistungen anbietet, handelt in der Regel im Rahmen einer Geschäftstätigkeit und ist Hersteller. Die Einordnung richtet sich nach dem tatsächlichen Vertriebsmodell und nicht nach der Bezeichnung des Projekts.

Durchführungsrechtsakt↑

Synonyme und Abkürzungen: Durchführungsverordnung; engl. implementing act

Ein Durchführungsrechtsakt ist eine Regelung der Europäischen Kommission, die die einheitliche Anwendung eines Rechtsakts sicherstellt, ohne ihn inhaltlich zu erweitern. Im CRA ergehen auf diesem Weg unter anderem die technischen Beschreibungen der Produktkategorien und Festlegungen zu Formaten und Verfahren. Die Kommission wird dabei von einem Ausschuss der Mitgliedstaaten begleitet, während sie beim delegierten Rechtsakt allein handelt und Rat und Parlament ein Einspruchsrecht haben. Für Hersteller sind Durchführungsrechtsakte meist die praktisch konkreteren Vorgaben.

Durchführungsverordnung (EU) 2025/2392↑

Synonyme und Abkürzungen: DVO 2025/2392

Diese Durchführungsverordnung konkretisiert die technischen Beschreibungen der Produktkategorien, die in Anhang III und Anhang IV des CRA als wichtige und kritische Produkte aufgeführt sind. Sie beantwortet damit die Frage, welche konkreten Produkte tatsächlich unter eine Kategorie fallen, die im Verordnungstext nur schlagwortartig benannt ist. Für die Einstufung eines Produkts ist sie neben dem Verordnungstext die maßgebliche Quelle und sollte vor jeder Zuordnung herangezogen werden. Sie ist verbindlich und nicht mit den unverbindlichen Leitlinien der Kommission zu verwechseln.

EAL↑

Synonyme und Abkürzungen: Evaluation Assurance Level; Vertrauenswürdigkeitsstufe nach Common Criteria

EAL bezeichnet in den Common Criteria die Prüftiefe einer Evaluierung, gestuft von EAL1 bis EAL7. Die Stufe sagt nichts darüber aus, wie sicher ein Produkt ist, sondern nur, wie gründlich seine behaupteten Sicherheitseigenschaften geprüft wurden. Weil Aufwand und Kosten mit der Stufe stark steigen, ist ihre Wahl eine wirtschaftliche Entscheidung, die früh getroffen werden sollte. Die EAL-Stufen sind nicht mit den Vertrauenswürdigkeitsstufen „niedrig", „mittel" und „hoch" des Cybersecurity Act identisch, auch wenn sie bei EUCC über die AVA_VAN-Stufe miteinander verknüpft sind.

Eigenentwicklung zur Eigennutzung↑

Synonyme und Abkürzungen: Inhouse-Entwicklung

Software, die ein Unternehmen für den eigenen Gebrauch entwickelt und nicht an Dritte abgibt, wird nicht auf dem Markt bereitgestellt und damit auch nicht in Verkehr gebracht. Der CRA ist auf sie nicht anwendbar, solange sie das Unternehmen nicht verlässt. Die Abgrenzung wird unscharf, wenn die Software konzernweit an rechtlich selbstständige Gesellschaften weitergegeben oder später doch vermarktet wird; dann ist die Frage des Inverkehrbringens neu zu bewerten. Unabhängig vom CRA können für solche Software Anforderungen aus dem Betrieb gelten, etwa aus der NIS-2-Richtlinie.

Einführer↑

Synonyme und Abkürzungen: Importeur; engl. importer

Ein Einführer ist eine in der Union ansässige Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen Person in der Union in Verkehr bringt. Er muss prüfen, ob der Hersteller die Konformitätsbewertung durchgeführt hat, ob die technische Dokumentation vorliegt und ob CE-Kennzeichnung und Nutzerinformationen vorhanden sind. Er darf ein Produkt nicht in Verkehr bringen, wenn er Grund zu der Annahme hat, dass es nicht konform ist, und muss Behörden und Hersteller informieren, wenn er nachträglich davon erfährt. Wer ein eingeführtes Produkt unter eigenem Namen vermarktet, ist nicht Einführer, sondern Hersteller.

Einheitliche Meldeplattform↑

Synonyme und Abkürzungen: engl. single reporting platform

Die einheitliche Meldeplattform ist die von ENISA einzurichtende technische Plattform, über die Hersteller ihre Meldungen nach Art. 14 abgeben. Sie leitet die Meldung an das als Koordinator benannte CSIRT und an die weiteren zuständigen Stellen weiter, sodass der Hersteller nicht mehrere Adressaten getrennt bedienen muss. Für den Meldeprozess im Unternehmen bedeutet das, dass Zugänge, Zuständigkeiten und Vertretungsregelungen vorab eingerichtet sein müssen, weil die Frist für die Frühwarnung nur 24 Stunden beträgt.

Embargo-Frist↑

Synonyme und Abkürzungen: Offenlegungsfrist; engl. disclosure deadline

Die Embargo-Frist ist der zwischen Melder und Hersteller abgestimmte Zeitraum zwischen der Meldung einer Schwachstelle und ihrer Veröffentlichung. Sie gibt dem Hersteller Zeit, eine Korrektur zu entwickeln und auszuliefern, bevor die Schwachstelle allgemein bekannt wird. Üblich sind Fristen von 90 Tagen, doch die Dauer ist Verhandlungssache und kann bei schwer zu behebenden Fehlern verlängert oder bei laufender Ausnutzung verkürzt werden. Die Frist ist Teil des Verfahrens zur koordinierten Schwachstellenoffenlegung und berührt die behördliche Meldepflicht nach Art. 14 nicht, die unabhängig davon gilt.

Endnutzerinformation↑

Synonyme und Abkürzungen: Unterrichtung der Nutzer; engl. user notification

Der CRA verpflichtet Hersteller, betroffene Nutzer über eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall zu informieren und ihnen erforderlichenfalls Abhilfemaßnahmen mitzuteilen. Diese Information ist von der behördlichen Meldung nach Art. 14 zu unterscheiden: Sie richtet sich an die Kunden, nicht an CSIRT und ENISA, und folgt eigenen Erwägungen zum richtigen Zeitpunkt. Praktisch setzt sie voraus, dass der Hersteller weiß, wer seine Nutzer sind und über welchen Kanal er sie erreicht, was bei Vertrieb über Händler und Marktplätze nicht selbstverständlich ist. Sie hängt eng mit dem Security Advisory und mit der koordinierten Schwachstellenoffenlegung zusammen.

ENISA↑

Synonyme und Abkürzungen: Agentur der Europäischen Union für Cybersicherheit; European Union Agency for Cybersecurity

ENISA ist die Cybersicherheitsagentur der EU mit Sitz in Athen. Im Rahmen des Cybersecurity Act erarbeitet sie die europäischen Zertifizierungsschemata, im Rahmen des CRA ist sie Empfängerin der Meldungen nach Art. 14 und betreibt die einheitliche Meldeplattform. Sie ist keine Aufsichts- oder Marktüberwachungsbehörde und kann Herstellern gegenüber keine Maßnahmen anordnen. Ihre technischen Veröffentlichungen sind unverbindlich, werden in der Praxis aber als Auslegungshilfe herangezogen.

EPSS↑

Synonyme und Abkürzungen: Exploit Prediction Scoring System

EPSS ist ein bei FIRST gepflegtes Bewertungssystem, das die Wahrscheinlichkeit schätzt, dass eine bekannte Schwachstelle in den nächsten 30 Tagen tatsächlich ausgenutzt wird. Es ergänzt CVSS, das nur den möglichen Schweregrad beschreibt, um eine Aussage über die Wahrscheinlichkeit. Für die Priorisierung im Schwachstellenmanagement ist die Kombination beider Werte aussagekräftiger als jeder für sich. Eine rechtliche Bedeutung im CRA hat EPSS nicht, es hilft aber, begrenzte Kapazitäten nachvollziehbar zu verteilen.

Erhebliches Cybersicherheitsrisiko↑

Synonyme und Abkürzungen: engl. significant cybersecurity risk

Ein erhebliches Cybersicherheitsrisiko ist ein Risiko, bei dem aufgrund der technischen Merkmale mit hoher Wahrscheinlichkeit ein Sicherheitsvorfall mit schwerwiegenden negativen Auswirkungen zu erwarten ist. Der Begriff ist die Schwelle, ab der Marktüberwachungsbehörden auch dann eingreifen können, wenn ein Produkt formal konform ist. Für Hersteller ist er vor allem im Verfahren bedeutsam, weil er behördliche Anordnungen bis hin zur Rücknahme vom Markt rechtfertigen kann.

Erwägungsgrund↑

Synonyme und Abkürzungen: engl. recital

Erwägungsgründe sind die nummerierten Absätze, die dem eigentlichen Verordnungstext vorangestellt sind und die Ziele und Beweggründe des Gesetzgebers erläutern. Sie sind nicht unmittelbar verbindlich, werden bei der Auslegung unklarer Bestimmungen aber regelmäßig herangezogen, auch vom Gerichtshof der Europäischen Union. Beim CRA sind sie besonders nützlich, weil sie zu vielen Abgrenzungsfragen ausführlichere Erläuterungen enthalten als der Artikeltext, etwa zu freier und quelloffener Software oder zur Datenfernverarbeitung. Ein Erwägungsgrund kann den Artikeltext jedoch nicht erweitern oder einschränken.

ETSI↑

Synonyme und Abkürzungen: European Telecommunications Standards Institute

ETSI ist die europäische Normungsorganisation für den Bereich der Telekommunikation. Ihre Norm EN 303 645 zu Cybersicherheitsanforderungen an vernetzte Verbraucherprodukte ist ein vielzitierter Vorläufer der CRA-Anforderungen und wurde bereits im Zusammenhang mit der Funkanlagenrichtlinie herangezogen. ETSI ist neben CEN und CENELEC Empfänger des Normungsmandats M/606 und damit an der Erarbeitung der harmonisierten Normen zum CRA beteiligt. Maßgeblich für die Konformitätsvermutung ist allein die Veröffentlichung der Fundstelle im Amtsblatt.

EU-Baumuster↑

Synonyme und Abkürzungen: Baumuster; engl. EU type

Das EU-Baumuster ist das repräsentative Exemplar eines Produkts, das im Modul B von einer notifizierten Stelle geprüft und dokumentiert wird. Alle später ausgelieferten Exemplare müssen diesem geprüften Baumuster entsprechen, was im anschließenden Modul C sichergestellt wird. Bei Software ist das Baumuster ein konkreter, eindeutig bezeichneter Produktstand, weshalb die Versionsverwaltung und die Abgrenzung der wesentlichen Änderung hier unmittelbar praktische Bedeutung erlangen.

EU-Baumusterprüfbescheinigung↑

Synonyme und Abkürzungen: engl. EU type-examination certificate

Die EU-Baumusterprüfbescheinigung ist das Ergebnisdokument des Moduls B. Darin bestätigt die notifizierte Stelle, dass das geprüfte Baumuster die grundlegenden Cybersicherheitsanforderungen erfüllt. Die Bescheinigung ist befristet und kann verlängert werden; ändert sich das Produkt wesentlich, ist eine erneute Prüfung erforderlich. Sie ersetzt nicht die EU-Konformitätserklärung, die weiterhin der Hersteller selbst abgibt.

EUCC↑

Synonyme und Abkürzungen: Europäisches Schema für die Cybersicherheitszertifizierung auf Grundlage der Common Criteria; Durchführungsverordnung (EU) 2024/482

EUCC ist das erste auf Grundlage des Cybersecurity Act erlassene europäische Zertifizierungsschema. Es überführt die bisher national organisierte Zertifizierung nach den Common Criteria in einen unionsweit einheitlichen Rahmen und sieht die Vertrauenswürdigkeitsstufen „mittel" und „hoch" vor, die über die Prüftiefe nach AVA_VAN bestimmt werden. Für den CRA ist EUCC auf zwei Wegen bedeutsam: Ein Zertifikat begründet nach Art. 27 Abs. 8 eine Konformitätsvermutung, soweit es die Anforderungen abdeckt, und für kritische Produkte nach Anhang IV kann die Kommission die Zertifizierung verpflichtend vorschreiben. Ob EUCC darüber hinaus als eigenständiges Konformitätsbewertungsverfahren verwendet werden kann, hängt von einem delegierten Rechtsakt nach Art. 27 Abs. 9 ab; ob dieser ergangen ist, sollte vor einer Festlegung geprüft werden. Die Zertifizierung ist aufwendig und setzt eine sorgfältige Festlegung des Prüfgegenstands und der Prüftiefe voraus.

EuGH↑

Synonyme und Abkürzungen: Gerichtshof der Europäischen Union

Der EuGH ist die einzige Instanz, die das Unionsrecht verbindlich auslegt. Alle Auslegungshilfen zum CRA, auch der Blue Guide, die Leitlinien der Kommission und die technischen Richtlinien des BSI, geben lediglich die Auffassung ihres Verfassers wieder. Bei einer Streitfrage von wirtschaftlichem Gewicht ist deshalb einzukalkulieren, dass die heute vertretene Auslegung später anders entschieden werden kann. Zum CRA liegt bislang keine Rechtsprechung vor, weshalb sich viele Abgrenzungsfragen derzeit nur mit Argumenten und nicht mit Entscheidungen beantworten lassen.

EU-Konformitätserklärung↑

Synonyme und Abkürzungen: Konformitätserklärung; engl. EU declaration of conformity

Die EU-Konformitätserklärung ist das Dokument, mit dem der Hersteller in eigener Verantwortung erklärt, dass sein Produkt die grundlegenden Cybersicherheitsanforderungen erfüllt. Ihr Pflichtinhalt ergibt sich aus Anhang V; eine Kurzform mit Verweis auf die Volltextfassung ist nach Anhang VI zulässig. Sie ist dem Produkt beizufügen oder zugänglich zu machen und zusammen mit der technischen Dokumentation aufzubewahren. Auch wenn eine notifizierte Stelle beteiligt war, gibt der Hersteller die Erklärung selbst ab und übernimmt damit die Verantwortung.

Europäische Kommission↑

Synonyme und Abkürzungen: EU-Kommission

Die Europäische Kommission ist das Organ, das den CRA fortschreibt und konkretisiert. Sie erlässt delegierte Rechtsakte und Durchführungsrechtsakte, erteilt Normungsmandate wie M/606, veröffentlicht unverbindliche Leitlinien und kann bei ausbleibenden harmonisierten Normen gemeinsame Spezifikationen festlegen. Sie ist keine Aufsichtsbehörde für einzelne Hersteller; die Marktüberwachung liegt bei den Mitgliedstaaten. Ihre Veröffentlichungen sind dennoch praktisch maßgeblich, weil Behörden sich an ihnen orientieren.

Europäische Norm↑

Synonyme und Abkürzungen: EN

Eine europäische Norm ist eine von CEN, CENELEC oder ETSI angenommene Norm, die von den nationalen Normungsorganisationen unverändert übernommen wird. Sie ist nicht automatisch eine harmonisierte Norm: Erst wenn sie im Auftrag der Kommission erarbeitet und ihre Fundstelle im Amtsblatt veröffentlicht wurde, löst ihre Anwendung die Konformitätsvermutung aus. Die Anwendung einer europäischen Norm ohne diesen Status ist möglich und kann fachlich sinnvoll sein, verschiebt die Beweislast aber nicht.

Europäisches Schema für die Cybersicherheitszertifizierung↑

Synonyme und Abkürzungen: Zertifizierungsschema; engl. European cybersecurity certification scheme

Ein europäisches Zertifizierungsschema ist ein auf Grundlage des Cybersecurity Act erlassenes Regelwerk, nach dem Produkte, Dienste oder Prozesse einheitlich zertifiziert werden können. Jedes Schema legt fest, was geprüft wird, nach welchen Kriterien, durch wen und auf welcher Vertrauenswürdigkeitsstufe. EUCC ist das erste erlassene Schema; weitere befinden sich in Vorbereitung. Nach Art. 27 Abs. 8 begründet ein solches Zertifikat eine Konformitätsvermutung, soweit es die grundlegenden Cybersicherheitsanforderungen abdeckt; ob ein Schema zusätzlich als eigenständiges Konformitätsbewertungsverfahren dienen kann, setzt einen delegierten Rechtsakt nach Art. 27 Abs. 9 voraus.

Freier Warenverkehr↑

Synonyme und Abkürzungen: engl. free movement

Der Grundsatz des freien Warenverkehrs verbietet es den Mitgliedstaaten, die Bereitstellung konformer Produkte zu behindern. Der CRA enthält dazu ausdrückliche Regelungen und lässt zugleich zwei praktisch wichtige Ausnahmen zu: Nicht konforme Produkte dürfen auf Messen und bei Vorführungen gezeigt werden, und unfertige Software darf für einen begrenzten Zeitraum zu Testzwecken bereitgestellt werden. In beiden Fällen ist eine sichtbare Kennzeichnung erforderlich, die auf die fehlende Konformität hinweist. Für Beta-Programme und Messeauftritte ist diese Kennzeichnung der entscheidende Punkt.

Freie und quelloffene Software↑

Synonyme und Abkürzungen: FOSS; Open-Source-Software; engl. free and open-source software

Der CRA versteht unter freier und quelloffener Software eine Software, deren Quellcode offen geteilt wird und die unter einer kostenlosen Open-Source-Lizenz mit allen Rechten zur freien Nutzung, Veränderung und Weiterverteilung bereitgestellt wird. Diese Definition ist enger als das Alltagsverständnis, und sie entscheidet nicht allein über die Betroffenheit: Maßgeblich ist zusätzlich, ob die Bereitstellung im Rahmen einer Geschäftstätigkeit erfolgt. Wer quelloffene Software entgeltlich vertreibt, dafür Unterstützung verkauft oder sie in ein kommerzielles Produkt einbindet, kann damit in vollem Umfang Hersteller sein. Für Organisationen, die Open-Source-Projekte dauerhaft unterstützen, sieht der CRA mit dem Verwalter quelloffener Software eine eigene, abgeschwächte Rolle vor.

Frühwarnung↑

Synonyme und Abkürzungen: engl. early warning

Die Frühwarnung ist die erste Stufe der Meldung nach Art. 14 und muss unverzüglich, spätestens aber innerhalb von 24 Stunden nach Kenntniserlangung abgegeben werden. Sie ist bewusst knapp gehalten und verlangt im Wesentlichen die Angabe, welche Mitgliedstaaten betroffen sein können, beziehungsweise bei einem Sicherheitsvorfall, ob ein böswilliges Handeln vermutet wird. Ihr folgen die ausführlichere Meldung innerhalb von 72 Stunden und später der Abschlussbericht. Die kurze Frist macht die Frühwarnung zum eigentlichen organisatorischen Problem: Erreichbarkeit, Entscheidungsbefugnis und Zugang zur Meldeplattform müssen auch außerhalb der Geschäftszeiten geregelt sein.

Fulfilment-Dienstleister↑

Synonyme und Abkürzungen: engl. fulfilment service provider

Ein Fulfilment-Dienstleister übernimmt Lagerung, Verpackung, Adressierung oder Versand von Produkten, ohne deren Eigentümer zu sein. Die Marktüberwachungsverordnung weist ihm eigene Pflichten zu, wenn für ein Produkt sonst kein in der Union ansässiger Wirtschaftsakteur verantwortlich ist. Für reine Softwarelieferungen spielt die Rolle kaum eine Rolle, wohl aber bei Hardware mit digitalen Elementen aus Drittstaaten.

Funkanlagenrichtlinie↑

Synonyme und Abkürzungen: RED; Radio Equipment Directive; Richtlinie 2014/53/EU

Die Funkanlagenrichtlinie regelt die Anforderungen an Geräte, die Funkwellen zur Kommunikation oder Ortung nutzen. Über die delegierte Verordnung (EU) 2022/30 wurden für bestimmte Funkanlagen bereits Cybersicherheitsanforderungen eingeführt, die inhaltlich Vorläufer der CRA-Anforderungen sind. Der CRA sieht für das Verhältnis beider Rechtsakte eine Übergangsregelung vor, damit Hersteller nicht dauerhaft zwei parallele Regime bedienen müssen. Wer Funkprodukte herstellt, sollte den Übergang gezielt planen, weil bereits erbrachte Nachweise teilweise weiterverwendet werden können.

Fuzzing↑

Synonyme und Abkürzungen: Fuzz-Testing

Fuzzing ist ein Prüfverfahren, bei dem ein Produkt automatisiert mit sehr vielen ungültigen, unerwarteten oder zufällig erzeugten Eingaben konfrontiert wird, um Abstürze und Fehlverhalten aufzudecken. Es findet Fehlerklassen, die von statischer Codeanalyse und funktionalen Tests regelmäßig übersehen werden, insbesondere in der Verarbeitung von Datenformaten und Protokollen. Bei Produkten mit erhöhtem Schutzbedarf, etwa in Klasse II nach Anhang III, wird ein systematisches Fuzzing von Prüfstellen üblicherweise erwartet. Die Ergebnisse gehören zu den Testnachweisen in der technischen Dokumentation.

Gebrauchsanleitung↑

Synonyme und Abkürzungen: Nutzerinformationen; Benutzerdokumentation

Der CRA verlangt, dass jedem Produkt mit digitalen Elementen bestimmte Informationen und Anleitungen beigefügt sind, deren Mindestinhalt in Anhang II festgelegt ist. Dazu gehören unter anderem die Kontaktdaten des Herstellers, die Kontaktstelle für Schwachstellenmeldungen, die Zweckbestimmung, das Ende des Unterstützungszeitraums sowie Hinweise zur sicheren Inbetriebnahme und Außerbetriebnahme. Diese Angaben sind Konformitätsanforderungen; fehlen sie, ist das Produkt unabhängig von seiner technischen Beschaffenheit nicht konform. Sie müssen in einer für den Nutzer verständlichen Sprache und dauerhaft verfügbar sein.

Geltungsbeginn↑

Synonyme und Abkürzungen: Anwendbarkeit; Stichtage

Der CRA ist bereits in Kraft, seine Pflichten greifen aber gestaffelt. Die Vorschriften über die Notifizierung der Konformitätsbewertungsstellen gelten seit dem 11. Juni 2026, die Meldepflichten der Hersteller nach Art. 14 seit dem 11. September 2026, und alle übrigen Vorschriften ab dem 11. Dezember 2027. Die Staffelung bedeutet nicht, dass die Produktanforderungen erst ab dem letzten Stichtag zu bedenken sind: Ein Produkt, das ab diesem Zeitpunkt in Verkehr gebracht wird, muss sie erfüllen, und die dafür nötigen Entwicklungs- und Prüfschritte liegen zeitlich davor.

Gemeinsame Spezifikation↑

Synonyme und Abkürzungen: engl. common specification

Eine gemeinsame Spezifikation ist ein von der Europäischen Kommission durch Durchführungsrechtsakt erlassenes technisches Dokument, das an die Stelle fehlender harmonisierter Normen tritt. Ihre Anwendung löst wie die einer harmonisierten Norm die Konformitätsvermutung aus. Die Kommission darf sie erlassen, wenn das Normungsmandat nicht rechtzeitig zu brauchbaren Ergebnissen führt. Weil zum CRA bislang keine harmonisierte Norm im Amtsblatt veröffentlicht ist, ist die Frage, ob und wann gemeinsame Spezifikationen ergehen, für die Planung der Konformitätsbewertung von erheblicher Bedeutung.

Geschäftstätigkeit↑

Synonyme und Abkürzungen: kommerzielle Tätigkeit; engl. commercial activity

Der CRA greift nur, wenn ein Produkt im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt bereitgestellt wird. Entgeltlichkeit ist dafür nicht erforderlich; auch die unentgeltliche Abgabe kann im Rahmen einer Geschäftstätigkeit erfolgen, etwa wenn sie der Kundenbindung, dem Verkauf von Zusatzleistungen oder der Monetarisierung über Daten dient. Umgekehrt steht die bloße Veröffentlichung eines Open-Source-Projekts ohne solche Absicht außerhalb des Anwendungsbereichs. Die Prüfung ist eine Gesamtbetrachtung des tatsächlichen Vorgehens und lässt sich nicht allein am Preis festmachen.

Grundlegende Cybersicherheitsanforderungen↑

Synonyme und Abkürzungen: wesentliche Anforderungen; engl. essential cybersecurity requirements

Die grundlegenden Cybersicherheitsanforderungen sind der materielle Kern des CRA und stehen in Anhang I. Teil I betrifft die Eigenschaften des Produkts, Teil II die Prozesse zum Umgang mit Schwachstellen über den Unterstützungszeitraum. Sie sind bewusst zielorientiert formuliert und schreiben keine konkreten Techniken vor; wie sie zu erfüllen sind, ergibt sich aus der Cybersicherheitsrisikobewertung und gegebenenfalls aus einer harmonisierten Norm. Diese Formulierungsweise ist typisch für den Neuen Rechtsrahmen und verlagert die Konkretisierung auf die Normung.

Händler↑

Synonyme und Abkürzungen: Distributor; engl. distributor

Ein Händler ist eine Person in der Lieferkette, die ein Produkt mit digitalen Elementen auf dem Unionsmarkt bereitstellt, ohne dessen Eigenschaften zu verändern, und die weder Hersteller noch Einführer ist. Seine Pflichten sind auf Sorgfalts- und Mitwirkungspflichten beschränkt: Er muss prüfen, ob CE-Kennzeichnung und Nutzerinformationen vorhanden sind, darf bei Zweifeln an der Konformität nicht bereitstellen und muss Behörden und Hersteller informieren, wenn er von einem Problem erfährt. Verändert er das Produkt oder vertreibt er es unter eigenem Namen oder eigener Marke, wird er zum Hersteller und übernimmt dessen vollständigen Pflichtenkreis.

Harmonisierte Norm↑

Synonyme und Abkürzungen: hEN; engl. harmonised standard

Eine harmonisierte Norm ist eine europäische Norm, die auf Auftrag der Europäischen Kommission erarbeitet und deren Fundstelle im Amtsblatt der Europäischen Union veröffentlicht wurde. Nur sie löst die Konformitätsvermutung aus: Wer sie anwendet, gilt hinsichtlich der von ihr abgedeckten Anforderungen als konform, und die Beweislast kehrt sich zugunsten des Herstellers um. Sie ist nicht dasselbe wie eine beliebige DIN-, EN- oder ISO-Norm; der Status entsteht erst durch Mandat und Veröffentlichung. Zum CRA war bei der letzten Prüfung im Sommer 2026 noch keine harmonisierte Norm veröffentlicht, weshalb die Konformitätsvermutung praktisch noch nicht zur Verfügung steht.

Harmonisierungsrechtsvorschriften der Union↑

Synonyme und Abkürzungen: Unionsharmonisierungsrechtsvorschriften; engl. Union harmonisation legislation

Unter diesem Begriff fasst das EU-Produktrecht alle Rechtsakte zusammen, die die Bedingungen für die Vermarktung von Produkten unionsweit vereinheitlichen, etwa für Maschinen, Funkanlagen, Spielzeug oder Medizinprodukte. Der CRA ist einer dieser Rechtsakte und teilt mit ihnen Systematik und Begriffe. Für Hersteller ist der Begriff praktisch bedeutsam, weil ein Produkt mehreren dieser Rechtsakte zugleich unterliegen kann und die CE-Kennzeichnung dann die Konformität mit allen anwendbaren erklärt.

Härtung↑

Synonyme und Abkürzungen: Hardening; Systemhärtung

Härtung bezeichnet die Reduktion eines Produkts auf das für seine Zweckbestimmung Notwendige: Abschalten nicht benötigter Dienste und Schnittstellen, Entfernen von Beispieldaten und Standardkonten, Einschränkung von Rechten und Deaktivierung von Debug-Funktionen in der Auslieferungsfassung. Sie ist der praktische Weg, die vom CRA geforderte Minimierung der Angriffsfläche umzusetzen, und hängt eng mit Secure by Default zusammen. Härtung ist keine einmalige Maßnahme, sondern muss bei jeder Version nachgeführt werden, weil neue Funktionen neue Angriffspunkte mitbringen.

Hersteller↑

Synonyme und Abkürzungen: engl. manufacturer

Hersteller im Sinne des CRA ist, wer ein Produkt mit digitalen Elementen entwickelt oder herstellt oder entwickeln beziehungsweise herstellen lässt und es unter seinem Namen oder seiner Marke vermarktet, gleich ob gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Die Definition knüpft an die Vermarktung unter eigenem Namen an und nicht an die Frage, wer programmiert hat; wer fremd entwickelte Software unter eigener Marke anbietet, ist deshalb Hersteller. Ihn trifft der vollständige Pflichtenkreis des CRA von der Risikobewertung über die Konformitätsbewertung bis zu den Meldepflichten und dem Unterstützungszeitraum. Diese Abweichung vom Alltagsverständnis ist der häufigste Grund dafür, dass Unternehmen ihre eigene Betroffenheit zunächst falsch einschätzen.

Hochrisiko-KI-System↑

Synonyme und Abkürzungen: Hochrisiko-KI; engl. high-risk AI system

Ein Hochrisiko-KI-System ist ein System der künstlichen Intelligenz, das nach Art. 6 der KI-Verordnung in die höchste geregelte Risikoklasse fällt. Das ist in zwei Fällen so: wenn das System als Sicherheitsbauteil eines Produkts dient oder selbst ein Produkt ist, das unter eine der in Anhang I der KI-Verordnung genannten Harmonisierungsvorschriften fällt und dort einer Konformitätsbewertung durch Dritte bedarf, oder wenn es einem der in Anhang III genannten Verwendungszwecke zuzuordnen ist, etwa der biometrischen Identifizierung, dem Betrieb kritischer Infrastrukturen, der Auswahl von Bewerbern oder der Strafverfolgung.

Für den CRA ist die Einordnung an einer Stelle von Bedeutung: Ist ein Produkt mit digitalen Elementen zugleich ein Hochrisiko-KI-System, so gilt nach Art. 12 die Erfüllung der grundlegenden Cybersicherheitsanforderungen des Anhangs I des CRA als Erfüllung der Cybersicherheitsanforderungen des Art. 15 der KI-Verordnung, soweit diese sich decken. Bei wichtigen Produkten der Klasse I und der Klasse II sowie bei kritischen Produkten richtet sich das anzuwendende Verfahren der Konformitätsbewertung dabei nach dem CRA.

Die Einordnung als Hochrisiko-KI-System ändert nichts daran, ob der CRA anwendbar ist; sie ändert nur, welche Nachweise doppelt zu führen sind und welche nicht. Ob ein System die Schwelle erreicht, ist nach der KI-Verordnung zu beurteilen und nicht nach dem CRA.

Horizontale Norm↑

Synonyme und Abkürzungen: produktübergreifende Norm; in der europäischen Normung auch Typ-A- und Typ-B-Norm

Eine horizontale Norm gilt produktübergreifend und formuliert Anforderungen, die für viele verschiedene Produktarten gleichermaßen gelten. Das Normungsmandat M/606 sieht rund fünfzehn solcher Normen vor, darunter die beiden zentralen zu sicherer Entwicklung und zur Schwachstellenbehandlung. Ihnen gegenüber stehen die vertikalen oder produktspezifischen Normen, die sich auf bestimmte Produktkategorien beziehen. Die Unterscheidung ist für die Planung wichtig, weil ein Hersteller regelmäßig mehrere Normen kombinieren muss, um alle Anforderungen abzudecken.

IEC 62443-4-1↑

Synonyme und Abkürzungen: Secure product development lifecycle requirements

IEC 62443-4-1 ist der Teil der Normenreihe IEC 62443, der Anforderungen an einen sicheren Produktentwicklungsprozess beschreibt. Er gliedert diesen in Praktiken wie Sicherheitsmanagement, Anforderungsdefinition, sicheres Design, sichere Implementierung, Verifikation und Validierung, Schwachstellenbehandlung, Update-Management und Leitlinien für den sicheren Einsatz. Damit deckt er inhaltlich große Teile dessen ab, was der CRA in Anhang I Teil II verlangt, und ist derzeit der naheliegendste Referenzrahmen für einen Secure Software Development Lifecycle. Eine Konformitätsvermutung löst er nicht aus, solange er nicht als harmonisierte Norm veröffentlicht ist.

Individualsoftware↑

Synonyme und Abkürzungen: Auftragsentwicklung; Kundenprojekt; engl. bespoke software

Individualsoftware ist Software, die für einen einzelnen Kunden nach dessen Anforderungen entwickelt wird. Ob sie unter den CRA fällt, hängt davon ab, ob sie auf dem Markt bereitgestellt wird: Wird sie dem Kunden im Rahmen einer Geschäftstätigkeit übergeben, liegt regelmäßig ein Inverkehrbringen vor, auch wenn es nur einen einzigen Abnehmer gibt. Maßgeblich ist außerdem, unter wessen Namen die Software vermarktet wird, weil sich daraus die Herstellerrolle ergibt. Die verbreitete Annahme, Auftragsentwicklung sei generell ausgenommen, trifft nicht zu; ausgenommen ist allein die Entwicklung für den eigenen Gebrauch.

Integritätsschutz↑

Synonyme und Abkürzungen: Manipulationsschutz; engl. integrity protection

Integritätsschutz umfasst alle Maßnahmen, die sicherstellen, dass Programme, Konfigurationen und Daten nicht unbemerkt verändert werden können. Dazu gehören die Signierung von Auslieferungspaketen und Updates, die Prüfung dieser Signaturen vor der Installation, Prüfsummen und die Verankerung der Prüfkette in Hardware, etwa über Secure Boot. Der CRA verlangt in Anhang I Teil I den Schutz der Integrität von Programmen, Daten und Konfigurationen sowie sichere Aktualisierungsmechanismen. Der Integritätsschutz der Auslieferungskette ist zugleich ein Kernstück der Lieferkettensicherheit.

Internationale Norm↑

Synonyme und Abkürzungen: ISO-Norm; IEC-Norm

Eine internationale Norm ist eine von einer internationalen Normungsorganisation wie ISO oder IEC angenommene Norm. Sie löst im EU-Produktrecht keine Konformitätsvermutung aus, auch wenn sie fachlich anerkannt und weit verbreitet ist. Internationale Normen werden häufig als europäische Normen übernommen und können auf diesem Weg später harmonisiert werden. Ihre Anwendung ist für den CRA gleichwohl sinnvoll, weil sie belegbare Praxis darstellt und die Erfüllung der grundlegenden Cybersicherheitsanforderungen nachvollziehbar begründen hilft.

Inverkehrbringen↑

Synonyme und Abkürzungen: in den Verkehr bringen; engl. placing on the market

Das Inverkehrbringen ist die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt. Es ist der Zeitpunkt, an dem die Herstellerpflichten des CRA greifen und zu dem das Produkt konform sein muss; spätere Weitergaben sind lediglich Bereitstellungen. Der Begriff bezieht sich auf das einzelne Exemplar oder die einzelne Kopie und nicht auf den Produkttyp, weshalb dieselbe Softwareversion mit jedem neuen Kunden erneut in Verkehr gebracht wird. Er ist weder mit der Fertigstellung der Entwicklung noch mit dem Vertragsschluss noch mit der technischen Auslieferung gleichzusetzen, was in der Praxis die häufigste Verwechslung ist.

ISMS↑

Synonyme und Abkürzungen: Informationssicherheits-Managementsystem; engl. information security management system

Ein ISMS ist das organisatorische Rahmenwerk, mit dem ein Unternehmen Informationssicherheit plant, umsetzt, überprüft und verbessert, üblicherweise nach ISO/IEC 27001. Für den CRA ist es auf zwei Wegen nützlich: Es liefert etablierte Prozesse für Risikomanagement, Vorfallbehandlung und Lieferantensteuerung, und es ist eine geeignete Grundlage für das Qualitätsmanagementsystem, das Modul H voraussetzt. Ein ISMS allein genügt jedoch nicht, weil es das Unternehmen und nicht das Produkt betrachtet; die produktbezogene Cybersicherheitsrisikobewertung bleibt zusätzlich erforderlich.

Kapitel IV des CRA↑

Synonyme und Abkürzungen: Notifizierung von Konformitätsbewertungsstellen

Kapitel IV des CRA regelt, wie Konformitätsbewertungsstellen bewertet, benannt, notifiziert und überwacht werden, und welche Anforderungen sie erfüllen müssen. Es gilt seit dem 11. Juni 2026 und damit deutlich vor dem übrigen Verordnungstext. Der Grund ist praktischer Natur: Notifizierte Stellen müssen verfügbar sein, bevor Hersteller sie für Konformitätsbewertungen benötigen. Für Hersteller enthält Kapitel IV keine unmittelbaren Pflichten, bestimmt aber, ob zum Zeitpunkt des vollständigen Geltungsbeginns ausreichend Prüfkapazität besteht.

Kennnummer der notifizierten Stelle↑

Synonyme und Abkürzungen: Kennnummer; engl. identification number

Jede notifizierte Stelle erhält von der Europäischen Kommission eine vierstellige Kennnummer. War eine notifizierte Stelle am Konformitätsbewertungsverfahren beteiligt, wird diese Nummer neben der CE-Kennzeichnung angebracht. Fehlt sie, obwohl das gewählte Verfahren die Beteiligung einer notifizierten Stelle verlangt, ist die Kennzeichnung formal fehlerhaft. Umgekehrt darf die Nummer nicht angebracht werden, wenn das Produkt im Modul A intern bewertet wurde.

Kernfunktion↑

Synonyme und Abkürzungen: Hauptfunktion; engl. core functionality

Die Kernfunktion ist der Maßstab, mit dem ein Produkt den Kategorien in Anhang III und Anhang IV zugeordnet wird. Entscheidend ist, welche Funktion das Produkt seiner Zweckbestimmung nach ausmacht, nicht welche Funktionen es zusätzlich mitbringt. Ein Produkt wird deshalb nicht schon dadurch zum wichtigen Produkt, dass es beiläufig eine Funktion aus Anhang III enthält; umgekehrt kann die Einstufung nicht dadurch vermieden werden, dass die Kernfunktion anders bezeichnet wird. Kommen mehrere Kernfunktionen in Betracht, ist die weitergehende Einstufung maßgeblich, und die Begründung der Zuordnung gehört in die technische Dokumentation.

KEV-Katalog↑

Synonyme und Abkürzungen: Known Exploited Vulnerabilities Catalog

Der KEV-Katalog ist ein von der US-amerikanischen Behörde CISA geführtes Verzeichnis von Schwachstellen, für die eine Ausnutzung nachgewiesen ist. Er ist für die Priorisierung im Schwachstellenmanagement nützlich, weil er eine belastbare Aussage über tatsächliche Ausnutzung liefert, die CVSS nicht enthält. Rechtlich ist er im CRA ohne Bedeutung, kann aber im Einzelfall ein Hinweis auf eine aktiv ausgenutzte Schwachstelle sein und damit die Prüfung der Meldepflicht auslösen. Ein Eintrag im Katalog ersetzt die eigene Bewertung nicht.

KI-Verordnung↑

Synonyme und Abkürzungen: KI-VO; AI Act; Verordnung (EU) 2024/1689

Die KI-Verordnung regelt das Inverkehrbringen und die Nutzung von Systemen der künstlichen Intelligenz, abgestuft nach Risikoklassen. Berührungspunkte zum CRA entstehen vor allem bei Hochrisiko-KI-Systemen, die zugleich Produkte mit digitalen Elementen sind: Für sie sieht die KI-Verordnung vor, dass die Erfüllung der CRA-Anforderungen zugleich bestimmte Cybersicherheitsanforderungen der KI-Verordnung abdeckt. Für Produkte unterhalb der Hochrisikoschwelle wirken beide Rechtsakte unabhängig voneinander. Die genaue Verzahnung ist im Einzelfall zu prüfen, weil beide Rechtsakte eigene Konformitätsbewertungs- und Dokumentationspflichten enthalten.

Kleine und mittlere Unternehmen↑

Synonyme und Abkürzungen: KMU; Kleinstunternehmen; engl. SME

Der CRA knüpft an die Unternehmensgrößenklassen der EU-Empfehlung 2003/361/EG an und sieht für Kleinstunternehmen sowie kleine und mittlere Unternehmen Erleichterungen vor. Dazu zählen vereinfachte Formate für die technische Dokumentation, Rücksichtnahme bei der Gebührenbemessung notifizierter Stellen und besondere Unterstützungsangebote der Mitgliedstaaten, etwa über Reallabore für Cyberresilienz. Die materiellen Anforderungen an das Produkt werden dadurch nicht abgesenkt; erleichtert wird die Form des Nachweises, nicht sein Inhalt.

Komponente↑

Synonyme und Abkürzungen: Bauteil; Modul; engl. component

Eine Komponente ist Software oder Hardware, die zur Integration in ein elektronisches Informationssystem bestimmt ist. Für den CRA ist entscheidend, ob sie getrennt in Verkehr gebracht wird: Dann ist sie ein eigenes Produkt mit digitalen Elementen mit allen Herstellerpflichten. Wird sie nur als Bestandteil eines größeren Produkts geliefert, geht sie in dessen Konformitätsbewertung ein, und der Hersteller des Gesamtprodukts trägt die Verantwortung. Für eingebundene Fremd- und Open-Source-Komponenten bestehen eigene Sorgfaltspflichten.

Konformitätsbewertung↑

Synonyme und Abkürzungen: Konformitätsbewertungsverfahren; engl. conformity assessment

Die Konformitätsbewertung ist das Verfahren, mit dem überprüft wird, ob ein Produkt und die vom Hersteller festgelegten Verfahren die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllen. Der CRA sieht dafür vier Wege vor: Modul A, die Kombination aus Modul B und Modul C, Modul H sowie ein europäisches Schema für die Cybersicherheitszertifizierung. Welcher Weg zulässig ist, ergibt sich aus der Einstufung des Produkts und aus der Frage, ob eine harmonisierte Norm oder gemeinsame Spezifikation angewandt wurde. Die Konformitätsbewertung ist keine einmalige Prüfung, sondern bei wesentlichen Änderungen zu wiederholen.

Konformitätsbewertungsstelle↑

Synonyme und Abkürzungen: KBS; engl. conformity assessment body

Eine Konformitätsbewertungsstelle ist eine Einrichtung, die Kalibrierungen, Prüfungen, Zertifizierungen oder Inspektionen durchführt. Der Begriff ist der Oberbegriff; wird eine solche Stelle von einem Mitgliedstaat für einen bestimmten Rechtsakt benannt und der Kommission mitgeteilt, wird sie zur notifizierten Stelle für diesen Rechtsakt. Eine Stelle kann also am Markt tätig sein, ohne für den CRA notifiziert zu sein, und ihre Bescheinigungen haben dann im Verfahren nach dem CRA keine Wirkung. Vor einer Beauftragung sollte der Notifizierungsstatus für den CRA geprüft werden.

Konformitätsvermutung↑

Synonyme und Abkürzungen: Vermutungswirkung; engl. presumption of conformity

Die Konformitätsvermutung ist die Rechtsfolge, die eintritt, wenn ein Hersteller eine harmonisierte Norm oder eine gemeinsame Spezifikation anwendet oder ein Zertifikat aus einem europäischen Schema für die Cybersicherheitszertifizierung vorliegt: Das Produkt gilt hinsichtlich der davon abgedeckten Anforderungen als konform, ohne dass der Hersteller dies gesondert belegen muss. Sie ist widerlegbar, verschiebt aber die Beweislast und senkt damit Aufwand und Risiko erheblich. Ohne verfügbare harmonisierte Norm muss der Hersteller die Erfüllung jeder einzelnen Anforderung aus Anhang I selbst nachweisen, was der derzeitige Zustand beim CRA ist. Die Vermutung reicht nur so weit, wie die angewandte Norm inhaltlich reicht.

Kontaktstelle für Schwachstellenmeldungen↑

Synonyme und Abkürzungen: Security Contact; security.txt

Der CRA verlangt, dass der Hersteller eine Stelle benennt, an die Dritte Schwachstellen melden können, und dass diese Angabe den Nutzerinformationen zu entnehmen ist. Üblich sind eine eigene E-Mail-Adresse, ein Meldeformular und die maschinenlesbare Angabe nach dem security.txt-Verfahren. Die Einrichtung ist mit geringem Aufwand möglich, wird aber häufig übersehen, obwohl ihr Fehlen ein formaler Konformitätsmangel ist. Sie ist der Eingang des Verfahrens zur koordinierten Schwachstellenoffenlegung und muss über den gesamten Unterstützungszeitraum erreichbar bleiben.

Kooperationsgruppe↑

Synonyme und Abkürzungen: NIS-Kooperationsgruppe; engl. NIS Cooperation Group

Die Kooperationsgruppe ist das nach der NIS-2-Richtlinie eingerichtete Gremium, in dem Mitgliedstaaten, Kommission und ENISA die strategische Zusammenarbeit in der Cybersicherheit abstimmen. Der CRA berührt sie an einzelnen Stellen, etwa wenn die Marktüberwachungsbehörden ihr über Ergebnisse einer unionsweiten Bewertung von Softwareabhängigkeiten berichten. Für einzelne Hersteller hat sie keine unmittelbare Bedeutung, zeigt aber, wie eng Produktrecht und Betreiberrecht auf Verwaltungsebene verzahnt sind.

Koordinator-CSIRT↑

Synonyme und Abkürzungen: als Koordinator benanntes CSIRT

Das Koordinator-CSIRT ist das CSIRT, das ein Mitgliedstaat nach der NIS-2-Richtlinie für die Koordinierung der Schwachstellenoffenlegung benannt hat. Im CRA ist es neben ENISA der Adressat der Meldungen nach Art. 14 und koordiniert die Reaktion, wenn mehrere Hersteller oder Mitgliedstaaten betroffen sind. In Deutschland nimmt das BSI diese Rolle wahr. Für den Hersteller ist die Zuständigkeit meist nicht unmittelbar zu klären, weil die Meldung über die einheitliche Meldeplattform erfolgt und von dort weitergeleitet wird.

Koordinierte Schwachstellenoffenlegung↑

Synonyme und Abkürzungen: CVD; Coordinated Vulnerability Disclosure

Die koordinierte Schwachstellenoffenlegung ist ein festgelegtes Verfahren, nach dem ein Hersteller Hinweise auf Schwachstellen entgegennimmt, bewertet, behebt und anschließend gemeinsam mit dem Melder veröffentlicht. Der CRA verlangt in Anhang I Teil II ausdrücklich eine solche Regelung, einschließlich einer Kontaktstelle für Schwachstellenmeldungen. Zum Verfahren gehören eine Eingangsbestätigung, eine Bewertung innerhalb einer angemessenen Frist, eine abgestimmte Embargo-Frist bis zur Veröffentlichung und die Information der Nutzer über die behobene Schwachstelle. Der ältere Begriff Responsible Disclosure bezeichnet dasselbe Anliegen, gilt aber als ungenau, weil er die Verantwortung einseitig beim Melder verortet.

Kritisches Produkt↑

Synonyme und Abkürzungen: kritisches Produkt mit digitalen Elementen

Kritische Produkte sind die in Anhang IV aufgeführten Produktkategorien, für die der CRA die höchsten Anforderungen vorsieht. Die Kommission kann für sie durch delegierten Rechtsakt anordnen, dass die Konformität über ein europäisches Schema für die Cybersicherheitszertifizierung nachzuweisen ist. Bis zu einer solchen Anordnung gelten die Verfahren, die auch für wichtige Produkte der Klasse II zulässig sind. Der Kreis der betroffenen Produkte ist eng und umfasst derzeit Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways und andere Geräte für fortgeschrittene Sicherheitszwecke sowie Chipkarten und ähnliche Geräte einschließlich Sicherheitselementen.

Kryptografische Agilität↑

Synonyme und Abkürzungen: Krypto-Agilität; engl. cryptographic agility

Kryptografische Agilität bezeichnet die Fähigkeit eines Produkts, verwendete kryptografische Verfahren, Schlüssellängen und Protokolle auszutauschen, ohne dass die Architektur geändert werden muss. Sie ist im CRA nicht ausdrücklich gefordert, ergibt sich praktisch aber aus der Pflicht, ein Produkt über den gesamten Unterstützungszeitraum sicher zu halten: Verfahren, die heute als sicher gelten, können in fünf Jahren überholt sein. Besondere Bedeutung hat sie im Hinblick auf die Umstellung auf quantensichere Verfahren. Fest verdrahtete Algorithmen sind der häufigste Grund dafür, dass eine solche Umstellung nicht möglich ist.

Least Privilege↑

Synonyme und Abkürzungen: Prinzip der geringsten Rechte; Rechteminimierung

Least Privilege bedeutet, dass jeder Prozess, jedes Konto und jede Komponente nur die Rechte erhält, die für die jeweilige Aufgabe erforderlich sind, und diese nur so lange, wie sie gebraucht werden. Der CRA greift das Prinzip in Anhang I Teil I auf, wenn er Zugriffskontrolle und den Schutz vor unbefugtem Zugriff verlangt. Praktisch betrifft es Dienstkonten, Dateisystemrechte, Datenbankzugriffe, Containerrechte und die Trennung von Administrations- und Nutzerfunktionen. Verstöße dagegen sind häufig der Grund dafür, dass aus einer kleinen Schwachstelle ein vollständiger Systemzugriff wird.

Leitlinien der Kommission↑

Synonyme und Abkürzungen: Guidance; Kommissionsleitlinien

Die Europäische Kommission veröffentlicht zum CRA Leitlinien, die Auslegungsfragen erläutern, etwa zum Anwendungsbereich, zu den Rollen und zur Behandlung freier und quelloffener Software. Sie sind rechtlich unverbindlich und geben die Auffassung der Kommission wieder; verbindlich auslegen kann das Unionsrecht nur der Gerichtshof der Europäischen Union. In der Praxis sind sie dennoch von erheblichem Gewicht, weil Marktüberwachungsbehörden sich an ihnen orientieren. Bei einem Widerspruch zum Verordnungstext geht der Verordnungstext vor.

Lieferkettensicherheit↑

Synonyme und Abkürzungen: Supply Chain Security; Software-Lieferkette

Lieferkettensicherheit umfasst alle Maßnahmen, die verhindern, dass über eingebundene Fremdkomponenten, Entwicklungswerkzeuge oder Auslieferungswege Schadcode oder Schwachstellen in ein Produkt gelangen. Der CRA verlangt vom Hersteller, bei der Einbindung von Komponenten Dritter Sorgfalt walten zu lassen, die enthaltenen Komponenten in einer Software-Stückliste zu führen und Schwachstellen darin zu behandeln. Dazu gehört auch, gefundene Schwachstellen an den Hersteller der Komponente zurückzumelden. Weil moderne Software überwiegend aus fremden Bestandteilen besteht, ist dies der Bereich, in dem der CRA in vielen Unternehmen die größte Verhaltensänderung verlangt.

Managed Service Provider↑

Synonyme und Abkürzungen: MSP; Managed-Service-Anbieter

Ein Managed Service Provider betreibt IT-Dienste im Auftrag seiner Kunden, häufig auf Grundlage fremder Software. Betreibt er lediglich Software, die er nicht selbst entwickelt und nicht unter eigenem Namen vermarktet, ist er nach dem CRA in der Regel kein Wirtschaftsakteur, sondern Nutzer. Entwickelt er eigene Softwareanteile und liefert sie an Kunden aus oder vermarktet er eine Lösung unter eigenem Namen, kann er Hersteller sein. Unabhängig davon kann er als Erbringer verwalteter Dienste unter die NIS-2-Richtlinie fallen, die an den Betrieb und nicht an das Produkt anknüpft.

Marktüberwachungsbehörde↑

Synonyme und Abkürzungen: engl. market surveillance authority

Die Marktüberwachungsbehörde ist die nationale Stelle, die kontrolliert, ob Produkte auf dem Markt die geltenden Anforderungen erfüllen. Sie kann Unterlagen anfordern, Produkte prüfen, Korrekturmaßnahmen anordnen und die Bereitstellung untersagen, eine Rücknahme vom Markt oder einen Rückruf verlangen. Für den CRA hat Deutschland das BSI gegenüber der Kommission benannt; die nationalen Eingriffsbefugnisse werden über das CRA-Durchführungsgesetz geregelt. Die Abstimmung zwischen den Behörden der Mitgliedstaaten erfolgt unter anderem in der ADCO.

Marktüberwachungsverordnung↑

Synonyme und Abkürzungen: Verordnung (EU) 2019/1020

Die Marktüberwachungsverordnung regelt einheitlich für das gesamte EU-Produktrecht, wie Behörden die Einhaltung der Produktanforderungen überwachen und durchsetzen. Der CRA verweist an mehreren Stellen auf sie, etwa für die Begriffe Rückruf, Rücknahme vom Markt und Marktüberwachungsbehörde. Sie enthält außerdem Regelungen für den Fernabsatz, für Fulfilment-Dienstleister und für Anbieter von Online-Marktplätzen und schließt damit Lücken, die bei Vertrieb aus Drittstaaten entstehen. Für Hersteller ist vor allem bedeutsam, dass sie den Behörden weitreichende Befugnisse gibt.

Maschinenverordnung↑

Synonyme und Abkürzungen: Verordnung (EU) 2023/1230

Die Maschinenverordnung löst die bisherige Maschinenrichtlinie ab und enthält erstmals eigene Anforderungen an die Cybersicherheit von Steuerungen, soweit sie die funktionale Sicherheit berühren. Sie schließt den CRA nicht aus; eine Maschine mit digitalen Elementen kann beiden Rechtsakten unterliegen, und die CE-Kennzeichnung erklärt dann die Konformität mit beiden. Die Anforderungen überschneiden sich teilweise, verfolgen aber unterschiedliche Schutzziele: Die Maschinenverordnung schützt vor Gefahren für Leib und Leben, der CRA vor Cyberrisiken allgemein. Hersteller von Maschinensteuerungen sollten die Nachweisführung von vornherein für beide Rechtsakte gemeinsam planen.

Medizinprodukteverordnung↑

Synonyme und Abkürzungen: MDR; Verordnung (EU) 2017/745

Die Medizinprodukteverordnung regelt Marktzugang und Anforderungen für Medizinprodukte einschließlich eigenständiger Medizinprodukte-Software. Produkte, die ihr unterliegen, sind vom Anwendungsbereich des CRA ausgenommen, weil die Medizinprodukteverordnung bereits vergleichbare Anforderungen an die Cybersicherheit stellt. Der Ausschluss gilt nur, soweit ein Produkt tatsächlich in den Anwendungsbereich der Medizinprodukteverordnung fällt; begleitende Software, Zubehör und separat vertriebene Komponenten sind gesondert zu bewerten. Für Hersteller im Gesundheitsbereich ist die Abgrenzung deshalb sorgfältig zu dokumentieren.

Meldepflicht nach Art. 14↑

Synonyme und Abkürzungen: Meldepflichten der Hersteller

Art. 14 verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen in ihren Produkten und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Produktsicherheit zu melden, und zwar gleichzeitig an das als Koordinator benannte CSIRT und an ENISA über die einheitliche Meldeplattform. Die Meldung erfolgt in drei Stufen: Frühwarnung innerhalb von 24 Stunden, ausführlichere Meldung innerhalb von 72 Stunden und Abschlussbericht. Die Pflicht gilt seit dem 11. September 2026 und damit deutlich vor den übrigen Anforderungen des CRA. Weil die Fristen ab Kenntniserlangung laufen, muss im Unternehmen geregelt sein, wer Kenntnis wovon nimmt, wer entscheidet und wer außerhalb der Geschäftszeiten erreichbar ist.

Meldung an den Komponentenhersteller↑

Synonyme und Abkürzungen: Upstream-Meldung

Findet ein Hersteller eine Schwachstelle in einer Komponente, die er von einem Dritten bezogen oder aus einem Open-Source-Projekt übernommen hat, verlangt der CRA, dass er sie der Person oder Organisation meldet, die diese Komponente pflegt. Damit soll verhindert werden, dass Erkenntnisse in einem Produkt verbleiben, während andere Produkte dieselbe Schwachstelle weiter enthalten. Praktisch setzt dies voraus, dass die Herkunft der Komponenten bekannt ist, was die Software-Stückliste leistet, und dass ein Meldeweg zum jeweiligen Projekt ermittelt wird. Die Pflicht ergänzt die Sorgfaltspflicht bei Komponenten Dritter.

Modul A↑

Synonyme und Abkürzungen: internes Kontrollverfahren; interne Fertigungskontrolle

Modul A ist das Konformitätsbewertungsverfahren, bei dem der Hersteller die Bewertung vollständig selbst durchführt, ohne eine notifizierte Stelle zu beteiligen. Er erstellt die technische Dokumentation, führt die Cybersicherheitsrisikobewertung und die erforderlichen Prüfungen durch, gibt die EU-Konformitätserklärung ab und bringt die CE-Kennzeichnung an. Modul A ist der Regelfall für Produkte, die weder unter Anhang III noch unter Anhang IV fallen, und steht außerdem Herstellern freier und quelloffener Software auch bei eingestuften Produkten offen. Dass keine Stelle beteiligt ist, senkt den Nachweisbedarf nicht: Die Marktüberwachungsbehörde kann die vollständige Dokumentation anfordern.

Modul B↑

Synonyme und Abkürzungen: EU-Baumusterprüfung; EU-Baumusterprüfverfahren

In Modul B prüft eine notifizierte Stelle ein repräsentatives Exemplar des Produkts, das EU-Baumuster, auf Übereinstimmung mit den grundlegenden Cybersicherheitsanforderungen und stellt darüber eine EU-Baumusterprüfbescheinigung aus. Geprüft wird der Entwurf zusammen mit der technischen Dokumentation und, je nach Produkt, auch das Muster selbst. Modul B steht nie allein, sondern wird stets mit Modul C kombiniert, das die Übereinstimmung der ausgelieferten Produkte mit dem Baumuster sicherstellt. Bei Software ist die zentrale Frage, wie eng das Baumuster an eine Version gebunden ist und ab welcher Änderung eine erneute Prüfung erforderlich wird.

Modul C↑

Synonyme und Abkürzungen: Konformität mit dem Baumuster auf Grundlage interner Fertigungskontrolle

Modul C ist die Fortsetzung von Modul B und stellt sicher, dass die tatsächlich in Verkehr gebrachten Produkte dem geprüften EU-Baumuster entsprechen. Diesen Teil führt der Hersteller wieder selbst durch; er gibt die EU-Konformitätserklärung ab und bringt die CE-Kennzeichnung zusammen mit der Kennnummer der notifizierten Stelle an. Für Software bedeutet Modul C vor allem eine belastbare Versionsverwaltung und einen nachvollziehbaren Auslieferungsprozess, der belegt, dass das ausgelieferte Artefakt dem geprüften Stand entspricht.

Modul H↑

Synonyme und Abkürzungen: umfassende Qualitätssicherung

In Modul H bewertet eine notifizierte Stelle nicht das einzelne Produkt, sondern das Qualitätsmanagementsystem des Herstellers für Entwicklung, Produktion und Endprüfung, und überwacht es durch regelmäßige Audits. Der Hersteller kann Produkte innerhalb des zugelassenen Systems in Verkehr bringen, ohne für jede Version erneut eine Baumusterprüfung durchführen zu lassen. Für Software mit häufigen Releases ist Modul H deshalb häufig der praktikablere Weg als die Kombination aus Modul B und Modul C, verlangt aber ein belastbar dokumentiertes und gelebtes Qualitätsmanagementsystem. Ein vorhandenes ISMS oder ein Qualitätsmanagementsystem nach ISO 9001 ist eine geeignete Ausgangsbasis, deckt die produktbezogenen Anforderungen aber nicht vollständig ab.

Nachweisführung↑

Synonyme und Abkürzungen: Evidence; Nachweisbestand

Nachweisführung bezeichnet die planmäßige Erzeugung und Aufbewahrung von Belegen dafür, dass die Anforderungen des CRA tatsächlich erfüllt werden. Der Begriff kommt im Verordnungstext nicht vor, beschreibt aber den praktischen Kern jedes CRA-Projekts: Die Verordnung verlangt nicht nur ein sicheres Produkt, sondern einen belegbaren Prozess. Nachweise sind unter anderem die Risikobewertung, Testberichte, die Software-Stückliste, Freigabeprotokolle, Schulungsnachweise und die Dokumentation der Schwachstellenbehandlung. Am wirtschaftlichsten entstehen sie als Nebenprodukt der ohnehin durchgeführten Arbeitsschritte, etwa automatisiert in der CI/CD-Pipeline, statt nachträglich für ein Audit zusammengetragen zu werden.

NANDO↑

Synonyme und Abkürzungen: New Approach Notified and Designated Organisations

NANDO ist die von der Europäischen Kommission geführte Datenbank der notifizierten und benannten Stellen. Sie weist zu jeder Stelle aus, für welche Rechtsakte und für welche Verfahren sie notifiziert ist, und nennt ihre Kennnummer. Für Hersteller ist sie das praktische Werkzeug, um vor einer Beauftragung zu prüfen, ob eine Stelle tatsächlich für den CRA notifiziert ist. Weil der Aufbau der Notifizierungen erst begonnen hat, lohnt sich ein wiederholter Blick in die Datenbank.

Neuer Rechtsrahmen↑

Synonyme und Abkürzungen: NLF; New Legislative Framework

Der Neue Rechtsrahmen ist das seit 2008 verwendete Baukastenprinzip des EU-Produktrechts. Es besteht aus grundlegenden Anforderungen im Rechtsakt selbst, ihrer Konkretisierung durch harmonisierte Normen, standardisierten Konformitätsbewertungsmodulen, der CE-Kennzeichnung als Abschluss und der Marktüberwachung als nachgelagerter Kontrolle. Der CRA folgt diesem Muster vollständig, weshalb seine Systematik derjenigen der Rechtsakte für Maschinen, Funkanlagen oder Spielzeug entspricht. Wer diese Systematik kennt, kann den CRA schneller einordnen; wer sie nicht kennt, hält viele seiner Regelungen für Besonderheiten der Cybersicherheit.

Neuprodukt↑

Synonyme und Abkürzungen: keine

Als Neuprodukt wird in der Praxis ein Produkt bezeichnet, das nach dem maßgeblichen Stichtag des CRA in Verkehr gebracht wird und deshalb dessen Anforderungen in vollem Umfang erfüllen muss. Der Begriff stammt nicht aus der Verordnung, ist aber im Gegensatz zum Bestandsprodukt für die Projektplanung nützlich. Entscheidend ist der Zeitpunkt des Inverkehrbringens des einzelnen Exemplars oder der einzelnen Kopie, nicht der Beginn der Entwicklung. Auch ein lange bestehendes Produkt wird deshalb zum Neuprodukt, sobald nach dem Stichtag eine weitere Kopie in Verkehr gebracht wird.

NIS-2-Richtlinie↑

Synonyme und Abkürzungen: NIS2; Richtlinie (EU) 2022/2555

Die NIS-2-Richtlinie verpflichtet Betreiber in bestimmten Sektoren, Maßnahmen zum Risikomanagement der Cybersicherheit zu treffen und erhebliche Sicherheitsvorfälle zu melden. Sie knüpft an den Betrieb von Netzen und Informationssystemen an, während der CRA an das Produkt anknüpft; darin liegt die wichtigste Abgrenzung zwischen beiden Rechtsakten. Als Richtlinie gilt sie nicht unmittelbar, sondern muss national umgesetzt werden, was zu Unterschieden zwischen den Mitgliedstaaten führt. Ein Unternehmen kann zugleich Hersteller nach dem CRA und Betreiber nach NIS-2 sein und unterliegt dann beiden Regimen mit getrennten Meldewegen.

NIST SSDF↑

Synonyme und Abkürzungen: Secure Software Development Framework; NIST SP 800-218

Das SSDF ist ein vom US-amerikanischen NIST veröffentlichtes Rahmenwerk, das Praktiken für die sichere Softwareentwicklung beschreibt, gegliedert in die Gruppen Vorbereitung der Organisation, Schutz der Software, Erstellung gut abgesicherter Software und Reaktion auf Schwachstellen. Es ist herstellerneutral und technologieunabhängig und lässt sich gut als Gliederung für einen eigenen Secure Software Development Lifecycle verwenden. Für den CRA hat es keine rechtliche Bedeutung und löst keine Konformitätsvermutung aus, deckt inhaltlich aber große Teile von Anhang I Teil II ab. In der Softwarebranche ist es verbreiteter als IEC 62443-4-1, das aus der Automatisierungstechnik stammt.

Normungsmandat M/606↑

Synonyme und Abkürzungen: Standardisierungsauftrag M/606

M/606 ist der Auftrag der Europäischen Kommission an CEN, CENELEC und ETSI, harmonisierte Normen für den CRA zu erarbeiten; er umfasst rund 41 Normen, davon etwa fünfzehn produktübergreifende. Er unterscheidet horizontale Normen, die für viele Produktarten gelten, und vertikale Normen für einzelne Produktkategorien. Nach der Änderung des Auftrags im Sommer 2026 sind die ersten horizontalen Normen zum 31. Oktober 2026 und die produktspezifischen Normen zum 31. Dezember 2026 an die Kommission zu liefern; weitere horizontale Normen sind bis Ende Oktober 2027 vorgesehen, nur wenige Wochen vor dem vollständigen Geltungsbeginn. Die Lieferung an die Kommission ist nicht mit der Veröffentlichung der Fundstelle im Amtsblatt gleichzusetzen; dazwischen liegt die Bewertung durch die Kommission. Solange keine Fundstelle veröffentlicht ist, steht die Konformitätsvermutung nicht zur Verfügung, was insbesondere für Produkte der Klasse I nach Anhang III praktische Folgen für die Verfahrenswahl hat.

Notifizierende Behörde↑

Synonyme und Abkürzungen: engl. notifying authority

Die notifizierende Behörde ist die nationale Stelle, die Konformitätsbewertungsstellen bewertet, benennt, der Kommission mitteilt und anschließend überwacht. Sie ist von der Marktüberwachungsbehörde zu unterscheiden, auch wenn beide Aufgaben in Deutschland beim BSI liegen sollen. Für Hersteller ist sie nur mittelbar von Bedeutung, weil sie darüber entscheidet, welche Stellen für den CRA überhaupt tätig werden dürfen.

Notifizierte Stelle↑

Synonyme und Abkürzungen: benannte Stelle; engl. notified body

Eine notifizierte Stelle ist eine Konformitätsbewertungsstelle, die von einem Mitgliedstaat für die Bewertung nach einem bestimmten Rechtsakt benannt und der Europäischen Kommission mitgeteilt wurde. Im CRA wird sie in den Verfahren nach Modul B und Modul H tätig und ist damit für alle Produkte erforderlich, die nach Anhang III eingestuft sind und für die keine Konformitätsvermutung zur Verfügung steht. Sie ist unabhängig vom Hersteller und wird von diesem beauftragt und bezahlt; die Verantwortung für die Konformität bleibt beim Hersteller. Weil die Zahl der für den CRA notifizierten Stellen zunächst gering ist, sind Kapazität und Vorlaufzeit ein reales Terminrisiko für die Produkteinführung.

Notifizierung↑

Synonyme und Abkürzungen: Benennung; engl. notification

Die Notifizierung ist der Vorgang, mit dem ein Mitgliedstaat eine Konformitätsbewertungsstelle für einen bestimmten Rechtsakt benennt und der Europäischen Kommission mitteilt. Erst damit wird die Stelle zur notifizierten Stelle und darf Bewertungen nach diesem Rechtsakt durchführen. Vorausgesetzt wird der Nachweis der fachlichen Eignung, üblicherweise über eine Akkreditierung, sowie Unabhängigkeit und ausreichende Haftungsabsicherung. Die Vorschriften des CRA über die Notifizierung gelten bereits seit dem 11. Juni 2026, damit die Stellen rechtzeitig vor dem vollständigen Geltungsbeginn verfügbar sind.

ODM↑

Synonyme und Abkürzungen: Original Design Manufacturer

Ein ODM entwirft und fertigt ein Produkt eigenständig und bietet es anderen Unternehmen an, die es unter ihrer eigenen Marke vertreiben. Anders als beim reinen Auftragsfertiger stammt der Entwurf vom ODM selbst. Nach dem CRA ist Hersteller gleichwohl derjenige, der das Produkt unter seinem Namen oder seiner Marke vermarktet; der ODM ist es nur, soweit er selbst unter eigenem Namen in Verkehr bringt. Wer ein ODM-Produkt umetikettiert übernimmt damit den vollen Pflichtenkreis, ohne über die Entwicklungsunterlagen zu verfügen, weshalb der Zugang zu technischer Dokumentation und Software-Stückliste vertraglich abzusichern ist.

OEM↑

Synonyme und Abkürzungen: Original Equipment Manufacturer; Erstausrüster

Der Begriff OEM wird in zwei gegenläufigen Bedeutungen verwendet, was bei der Rollenzuordnung nach dem CRA regelmäßig zu Missverständnissen führt. Im Maschinen- und Fahrzeugbau bezeichnet OEM üblicherweise den Hersteller des Endprodukts, der Teile zukauft; in der IT-Branche bezeichnet eine OEM-Version umgekehrt Software oder Hardware, die ein Zulieferer beisteuert und die ein anderes Unternehmen unter eigener Marke weitergibt. Für den CRA ist die Bezeichnung unerheblich; maßgeblich ist allein, wer das Produkt unter seinem Namen oder seiner Marke auf dem Unionsmarkt vermarktet. Vor jeder Rollenzuordnung sollte deshalb geklärt werden, welche der beiden Bedeutungen im konkreten Vertragsverhältnis gemeint ist.

On-Premises↑

Synonyme und Abkürzungen: On-Prem; Betrieb beim Kunden

On-Premises bezeichnet den Betrieb von Software in der Infrastruktur des Kunden statt beim Anbieter. Für den CRA ist das der klassische Fall: Die Software wird ausgeliefert und damit in Verkehr gebracht, der Hersteller trägt den vollen Pflichtenkreis. Die Abgrenzung zu SaaS ist selten trennscharf, weil viele Produkte lokal installiert werden und zugleich serverseitige Anteile des Herstellers benötigen; diese Anteile können als Datenfernverarbeitung erfasst sein. Maßgeblich ist deshalb nicht das Betriebsmodell als Etikett, sondern die Frage, was ausgeliefert wird und welche entfernten Funktionen zum Produkt gehören.

Open-Source-Beitragender↑

Synonyme und Abkürzungen: Contributor; Mitwirkender

Wer zu einem quelloffenen Projekt beiträgt, ohne das Produkt selbst im Rahmen einer Geschäftstätigkeit bereitzustellen, ist nach dem CRA kein Wirtschaftsakteur und trifft keine Herstellerpflichten. Das gilt auch für Beiträge, die später in kommerzielle Produkte einfließen; verantwortlich ist dann derjenige, der das Produkt vermarktet. Etwas anderes kann gelten, wenn ein Unternehmen Mitarbeiter gezielt zur Entwicklung einer Software einsetzt, die es selbst vertreibt. Die Sorge, jeder Beitrag zu einem Open-Source-Projekt löse CRA-Pflichten aus, ist in dieser Allgemeinheit unbegründet.

OSCAL↑

Synonyme und Abkürzungen: Open Security Controls Assessment Language

OSCAL ist ein vom NIST entwickeltes maschinenlesbares Format, mit dem sich Sicherheitsanforderungen, umgesetzte Maßnahmen, Bewertungspläne und Bewertungsergebnisse strukturiert beschreiben lassen. Es zielt darauf, Nachweise einmal zu erfassen und für verschiedene Regelwerke wiederzuverwenden, statt sie für jedes Audit neu zusammenzustellen. Für den CRA ist es nicht vorgeschrieben, kann aber die Nachweisführung erleichtern, wenn ein Unternehmen ohnehin mehrere Regelwerke bedienen muss. Der Aufwand für die Einführung lohnt sich erst ab einer gewissen Zahl paralleler Anforderungen.

OWASP Top 10↑

Synonyme und Abkürzungen: keine

Die OWASP Top 10 sind eine regelmäßig aktualisierte Liste der häufigsten und folgenreichsten Schwachstellenkategorien in Webanwendungen, veröffentlicht von der Open Worldwide Application Security Project Foundation. Sie sind keine Norm und kein vollständiger Anforderungskatalog, eignen sich aber als Einstieg und als Prüfliste in der Entwicklung. Für den CRA haben sie keine rechtliche Bedeutung; für die Begründung, welche Fehlerklassen ein Hersteller systematisch ausschließt, sind sie eine brauchbare Referenz. Umfassendere Kataloge derselben Organisation sind der Application Security Verification Standard und die Liste der CWE-Typen.

Patch-Management↑

Synonyme und Abkürzungen: Update-Management; Schwachstellenbehebung

Patch-Management bezeichnet den Prozess, mit dem ein Hersteller Schwachstellen in eigenen und fremden Bestandteilen seines Produkts erfasst, bewertet, behebt und die Korrekturen an die Nutzer ausliefert. Der CRA verlangt in Anhang I Teil II, dass Schwachstellen unverzüglich behandelt und Sicherheitsaktualisierungen über den gesamten Unterstützungszeitraum bereitgestellt werden, und zwar getrennt von Funktionsänderungen. Das setzt voraus, dass für jede ausgelieferte Version bekannt ist, welche Komponenten sie enthält, wofür die Software-Stückliste die Grundlage liefert. Für Produkte mit langer Lebensdauer ist die Pflege älterer Versionszweige der aufwendigste Teil dieses Prozesses.

Penetrationstest↑

Synonyme und Abkürzungen: Pentest; Sicherheitsüberprüfung

Ein Penetrationstest ist eine zeitlich begrenzte, manuell geprägte Untersuchung, bei der Prüfer versuchen, ein Produkt oder System mit den Mitteln eines Angreifers zu kompromittieren. Er liefert wertvolle Hinweise auf Schwachstellen, ist aber keine Konformitätsbewertung und ersetzt weder die Cybersicherheitsrisikobewertung noch die Beteiligung einer notifizierten Stelle. Für den CRA ist er ein Baustein der nach Anhang I Teil II geforderten regelmäßigen Tests, dessen Ergebnisse in die technische Dokumentation gehören. Die verbreitete Vorstellung, ein bestandener Penetrationstest belege die Konformität, trifft nicht zu.

Produkthaftungsrichtlinie↑

Synonyme und Abkürzungen: Richtlinie (EU) 2024/2853; engl. Product Liability Directive

Die neue Produkthaftungsrichtlinie erfasst Software ausdrücklich als Produkt und erstreckt die verschuldensunabhängige Haftung damit auch auf Softwarehersteller. Als Fehler kann dabei auch ein Mangel an Cybersicherheit oder das Ausbleiben erforderlicher Sicherheitsaktualisierungen in Betracht kommen. Sie ist als Richtlinie bis zum 9. Dezember 2026 national umzusetzen und wirkt neben dem CRA: Der CRA regelt den Marktzugang gegenüber Behörden, die Produkthaftungsrichtlinie die zivilrechtliche Haftung gegenüber Geschädigten. Zusammen erhöhen beide Rechtsakte das wirtschaftliche Gewicht von Versäumnissen bei der Produktsicherheit erheblich, und die Dokumentation aus dem CRA kann im Haftungsfall zum Beweismittel werden.

Produkt mit digitalen Elementen↑

Synonyme und Abkürzungen: PwDE; engl. product with digital elements

Ein Produkt mit digitalen Elementen ist ein Software- oder Hardwareprodukt einschließlich der zugehörigen Datenfernverarbeitung sowie getrennt in Verkehr gebrachter Software- oder Hardwarekomponenten. Der Begriff bestimmt den Anwendungsbereich des CRA und ist bewusst weit gefasst: Er erfasst neben vernetzten Geräten auch reine Software ohne eigene Netzverbindung. Eingegrenzt wird er nicht über die Produktart, sondern über die Bereichsausschlüsse und über die Frage, ob eine Bereitstellung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit vorliegt. Wie viele Produkte in einem Angebot stecken, ist gesondert zu bestimmen, weil getrennt vermarktete Komponenten jeweils eigene Produkte sind.

Protokollierung↑

Synonyme und Abkürzungen: Logging; Aufzeichnung; Überwachung

Der CRA verlangt in Anhang I Teil I, dass ein Produkt sicherheitsrelevante Ereignisse aufzeichnen und überwachen kann, damit Angriffe erkannt und im Nachhinein nachvollzogen werden können. Dazu gehören Anmeldeversuche, Rechteänderungen, Konfigurationsänderungen und Fehlerzustände, jeweils mit verlässlichem Zeitbezug. Die Aufzeichnung muss zugleich vor Manipulation geschützt sein und darf nicht mehr personenbezogene Daten enthalten als erforderlich, weshalb hier die Anforderungen des CRA und der Datenschutz-Grundverordnung aufeinandertreffen. Vorgeschrieben ist außerdem ein Opt-out-Mechanismus, mit dem Nutzer die Aufzeichnung abschalten können.

Prüfsiegel↑

Synonyme und Abkürzungen: Gütezeichen; Sicherheitslabel

Prüfsiegel und Gütezeichen privater Anbieter oder das IT-Sicherheitskennzeichen des BSI sind freiwillige Kennzeichnungen und von der CE-Kennzeichnung zu unterscheiden. Sie bescheinigen die Einhaltung der Kriterien des jeweiligen Anbieters und haben im Konformitätsverfahren nach dem CRA keine unmittelbare Wirkung. Rechtlich relevant sind allein Zertifikate aus einem europäischen Schema für die Cybersicherheitszertifizierung, weil der CRA ausdrücklich auf sie verweist. Für den Vertrieb können Prüfsiegel dennoch nützlich sein, sollten aber nicht als Konformitätsnachweis dargestellt werden.

PwDE↑

Synonyme und Abkürzungen: Produkt mit digitalen Elementen; engl. PDE, product with digital elements

PwDE ist die im deutschsprachigen Fachgebrauch verbreitete Abkürzung für „Produkt mit digitalen Elementen". Sie ist keine amtliche Abkürzung und kommt im Verordnungstext nicht vor, begegnet aber in Fachbeiträgen, Schulungsunterlagen und Projektdokumenten. Im Englischen wird stattdessen meist PDE verwendet. Inhaltlich ist auf den Eintrag zum Produkt mit digitalen Elementen zu verweisen.

Qualitätsmanagementsystem↑

Synonyme und Abkürzungen: QMS; engl. quality management system

Ein Qualitätsmanagementsystem ist das dokumentierte Zusammenspiel aus Prozessen, Verantwortlichkeiten und Nachweisen, mit dem ein Unternehmen die gleichbleibende Qualität seiner Produkte sicherstellt. Im CRA ist es Voraussetzung für Modul H: Dort bewertet und überwacht die notifizierte Stelle nicht einzelne Produkte, sondern dieses System. Verlangt wird, dass Entwicklung, Prüfung, Freigabe, Schwachstellenbehandlung und Auslieferung geregelt, gelebt und belegbar sind. Ein bestehendes System nach ISO 9001 oder ein ISMS nach ISO/IEC 27001 ist eine gute Ausgangsbasis, muss aber um die produktbezogenen Cybersicherheitsanforderungen ergänzt werden.

Reallabor für Cyberresilienz↑

Synonyme und Abkürzungen: Regulatory Sandbox; Cyberresilienz-Reallabor

Der CRA erlaubt den Mitgliedstaaten, Reallabore einzurichten, in denen innovative Produkte mit digitalen Elementen unter behördlicher Aufsicht für einen begrenzten Zeitraum in einer kontrollierten Umgebung entwickelt, geprüft und erprobt werden können. Ziel ist, Rechtssicherheit für neuartige Produkte zu schaffen und insbesondere kleinen und mittleren Unternehmen den Zugang zur Regulierung zu erleichtern. Die Teilnahme befreit nicht von den Anforderungen des CRA, kann aber die Zusammenarbeit mit der Aufsicht und die spätere Konformitätsbewertung vereinfachen. Ob und in welcher Form Deutschland solche Reallabore einrichtet, ergibt sich aus der nationalen Ausgestaltung.

Rebranding↑

Synonyme und Abkürzungen: Umetikettierung; Umfirmierung eines Produkts

Rebranding bezeichnet die Weitergabe eines fremden Produkts unter eigenem Namen oder eigener Marke. Nach dem CRA wird derjenige, der dies tut, selbst Hersteller und übernimmt den vollständigen Pflichtenkreis einschließlich Konformitätsbewertung, technischer Dokumentation, Unterstützungszeitraum und Meldepflichten. Das gilt unabhängig davon, ob am Produkt technisch etwas verändert wurde. Wer ein solches Modell betreibt, sollte vertraglich sicherstellen, Zugang zur technischen Dokumentation, zur Software-Stückliste und zu Sicherheitsaktualisierungen des ursprünglichen Herstellers zu erhalten.

Release- und Versionsverwaltung↑

Synonyme und Abkürzungen: Versionierung; Release-Management

Die Release- und Versionsverwaltung stellt sicher, dass jeder ausgelieferte Produktstand eindeutig bezeichnet ist und nachvollzogen werden kann, welche Bestandteile er enthält. Für den CRA ist sie an mehreren Stellen Voraussetzung: Die Software-Stückliste bezieht sich auf eine Version, Schwachstellen müssen Versionen zugeordnet werden, und im Modul C ist zu belegen, dass das ausgelieferte Produkt dem geprüften Baumuster entspricht. Ohne belastbare Versionsverwaltung lässt sich weder die Betroffenheit von einer Schwachstelle noch der Umfang einer wesentlichen Änderung zuverlässig bestimmen.

Reproduzierbarer Build↑

Synonyme und Abkürzungen: Reproducible Build

Ein reproduzierbarer Build liegt vor, wenn derselbe Quellcode mit derselben Werkzeugkette wiederholt zu einem bitgenau identischen Ergebnis führt. Damit lässt sich nachweisen, dass ein ausgeliefertes Artefakt tatsächlich aus dem geprüften Quellcode entstanden ist und auf dem Weg dorthin nicht verändert wurde. Der CRA verlangt dies nicht ausdrücklich, doch als Nachweis im Rahmen der Lieferkettensicherheit und für die Übereinstimmung mit dem EU-Baumuster ist es ein wirksames Mittel. Die Umstellung ist technisch aufwendig und lohnt vor allem bei Produkten mit hohen Anforderungen.

Reseller↑

Synonyme und Abkürzungen: Wiederverkäufer; Value Added Reseller, VAR

Ein Reseller verkauft Produkte weiter, die er nicht selbst hergestellt hat. Bleibt das Produkt unverändert und wird es unter dem Namen des ursprünglichen Herstellers vertrieben, ist er Händler mit dem entsprechend begrenzten Pflichtenkreis. Der Zusatz „Value Added" beschreibt dagegen häufig genau die Tätigkeiten, die zum Rollenwechsel führen: Anpassungen am Produkt, Bündelung mit eigenen Komponenten oder Vertrieb unter eigener Marke machen den Reseller zum Hersteller. Die Einordnung richtet sich nach dem tatsächlichen Vorgehen und nicht nach der Bezeichnung im Vertriebsvertrag.

Responsible Disclosure↑

Synonyme und Abkürzungen: verantwortungsvolle Offenlegung

Responsible Disclosure ist der ältere Begriff für das abgestimmte Vorgehen zwischen dem Melder einer Schwachstelle und dem betroffenen Hersteller bis zur Veröffentlichung. Er gilt heute als ungenau, weil er die Verantwortung sprachlich beim Melder verortet, obwohl sie überwiegend beim Hersteller liegt; gebräuchlich ist deshalb die koordinierte Schwachstellenoffenlegung. Inhaltlich ist dasselbe Verfahren gemeint. Der CRA verwendet den Begriff nicht, verlangt aber ein entsprechendes Verfahren.

Rücknahme vom Markt↑

Synonyme und Abkürzungen: engl. withdrawal

Die Rücknahme vom Markt ist jede Maßnahme, mit der verhindert wird, dass ein Produkt weiterhin auf dem Markt bereitgestellt wird. Sie wirkt in die Lieferkette hinein und betrifft Bestände, die noch nicht an Endnutzer gelangt sind. Vom Rückruf unterscheidet sie sich dadurch, dass sie Produkte bei Endnutzern nicht erfasst. Marktüberwachungsbehörden können sie anordnen, wenn ein Produkt nicht konform ist oder ein erhebliches Cybersicherheitsrisiko besteht; der Hersteller kann sie auch von sich aus ergreifen.

Rückruf↑

Synonyme und Abkürzungen: engl. recall

Der Rückruf ist jede Maßnahme, die auf die Rückgabe eines Produkts abzielt, das Endnutzern bereits zur Verfügung gestellt wurde. Er ist der weitergehende Eingriff gegenüber der Rücknahme vom Markt und wirtschaftlich meist erheblich folgenreicher. Bei Software kann ein Rückruf auch die Aufforderung bedeuten, eine Version nicht weiter zu verwenden oder zu deinstallieren. Behörden können ihn anordnen; häufiger ist, dass Hersteller ihn von sich aus durchführen, um eine behördliche Anordnung zu vermeiden.

SaaS↑

Synonyme und Abkürzungen: Software as a Service; Software als Dienstleistung

SaaS bezeichnet ein Modell, bei dem Software nicht ausgeliefert, sondern als Dienst über das Netz bereitgestellt wird. Ein reiner Dienst ohne ausgeliefertes Produkt fällt nicht unter den CRA, weil es an einem Inverkehrbringen fehlt; er kann jedoch als Betrieb unter die NIS-2-Richtlinie fallen. Sobald aber ein Bestandteil ausgeliefert wird, etwa eine App, ein Client, ein Agent oder ein Gerät, ist dieser Bestandteil ein Produkt mit digitalen Elementen, und die serverseitigen Anteile können als Datenfernverarbeitung mit erfasst sein. Die Einordnung eines SaaS-Angebots ist deshalb selten pauschal möglich und gehört zu den Fragen, die im Einzelfall sorgfältig geprüft und dokumentiert werden sollten.

SAST↑

Synonyme und Abkürzungen: Static Application Security Testing; statische Codeanalyse

SAST bezeichnet Werkzeuge, die Quellcode oder kompilierte Zwischenformate ohne Ausführung auf Fehlermuster untersuchen, etwa fehlende Eingabevalidierung, unsichere Funktionsaufrufe oder unbehandelte Fehlerfälle. Befunde werden üblicherweise mit Bezug auf CWE-Typen gemeldet. Für den CRA sind SAST-Ergebnisse ein Baustein der nach Anhang I Teil II geforderten regelmäßigen Tests und gehören in die technische Dokumentation. Weil solche Werkzeuge Fehlalarme erzeugen, ist neben dem Werkzeugeinsatz auch ein dokumentierter Umgang mit den Befunden erforderlich.

SCA↑

Synonyme und Abkürzungen: Software Composition Analysis; Abhängigkeitsanalyse

SCA bezeichnet Werkzeuge, die ermitteln, welche fremden Komponenten und Bibliotheken in einem Produkt enthalten sind, in welchen Versionen und unter welchen Lizenzen, und die diese Liste gegen Schwachstellendatenbanken abgleichen. Sie sind die übliche Grundlage für die Erzeugung einer Software-Stückliste und für die laufende Überwachung bekannter Schwachstellen in Fremdbestandteilen. Für den CRA sind sie praktisch unverzichtbar, weil die Sorgfaltspflicht bei Komponenten Dritter ohne vollständige Kenntnis der eingebundenen Bestandteile nicht erfüllbar ist. Die Qualität der Ergebnisse hängt davon ab, ob das Werkzeug die verwendeten Paketformate und Build-Verfahren zuverlässig abdeckt.

Schutzklauselverfahren↑

Synonyme und Abkürzungen: engl. safeguard procedure

Das Schutzklauselverfahren ist das Verfahren, das greift, wenn eine Marktüberwachungsbehörde Maßnahmen gegen ein Produkt ergreift und andere Mitgliedstaaten oder die Kommission dem widersprechen. Es soll verhindern, dass ein Produkt in einem Mitgliedstaat vom Markt genommen wird, während es in einem anderen unbeanstandet bleibt. Für Hersteller ist es dann bedeutsam, wenn eine nationale Maßnahme wirtschaftlich einschneidend ist, denn über das Verfahren kann eine unionsweit einheitliche Bewertung herbeigeführt werden.

Schutzprofil↑

Synonyme und Abkürzungen: Protection Profile, PP

Ein Schutzprofil ist ein standardisiertes Dokument der Common Criteria, das die Sicherheitsanforderungen für eine ganze Produktklasse beschreibt, unabhängig von einem konkreten Produkt. Hersteller können sich in ihren Sicherheitsvorgaben darauf beziehen, statt die Anforderungen selbst zu formulieren, was Prüfungen vergleichbar macht und den Aufwand senkt. Im Rahmen von EUCC sind Schutzprofile für bestimmte Produktkategorien vorgesehen. Existiert für ein Produkt kein passendes Schutzprofil, ist der Aufwand für eine Zertifizierung deutlich höher.

Schwachstelle↑

Synonyme und Abkürzungen: Sicherheitslücke; engl. vulnerability

Eine Schwachstelle ist eine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die bei einer Cyberbedrohung ausgenutzt werden kann. Der Begriff ist weiter als das umgangssprachliche Verständnis von Sicherheitslücke, denn er erfasst auch Konfigurations- und Entwurfsfehler. Der CRA unterscheidet weiter zwischen der ausnutzbaren und der aktiv ausgenutzten Schwachstelle; an diese Abstufung knüpfen unterschiedliche Rechtsfolgen an, von der Auslieferungsvoraussetzung bis zur Meldepflicht. Von der Cyberbedrohung unterscheidet sich die Schwachstelle dadurch, dass sie im Produkt liegt und nicht in der Umwelt.

Secure Boot↑

Synonyme und Abkürzungen: sicherer Startvorgang

Secure Boot bezeichnet ein Verfahren, bei dem beim Start eines Geräts jede Stufe der Startkette die Signatur der nächsten prüft, verankert in einem unveränderlichen Vertrauensanker in der Hardware. Damit wird verhindert, dass manipulierte Firmware oder Betriebssystemkomponenten ausgeführt werden. Der CRA nennt Secure Boot nicht ausdrücklich, doch bei Hardwareprodukten ist es der übliche Weg, die geforderte Integrität von Programmen und Konfiguration umzusetzen. Die Entscheidung dafür muss früh in der Hardwareauswahl fallen, weil sie sich nachträglich kaum ergänzen lässt.

Secure by Default↑

Synonyme und Abkürzungen: sichere Voreinstellung

Secure by Default bedeutet, dass ein Produkt im Auslieferungszustand sicher konfiguriert ist und der Nutzer nichts tun muss, um dieses Niveau zu erreichen. Der CRA verlangt dies ausdrücklich: Produkte müssen mit einer sicheren Standardkonfiguration bereitgestellt werden, einschließlich der Möglichkeit, diesen Zustand wiederherzustellen. Typische Anwendungsfälle sind das Fehlen vorgegebener Standardpasswörter, abgeschaltete nicht benötigte Dienste und voreingestellte automatische Sicherheitsaktualisierungen. Abweichungen zugunsten der Benutzerfreundlichkeit sind zulässig, müssen aber begründet und dokumentiert sein.

Secure by Design↑

Synonyme und Abkürzungen: Sicherheit durch Entwurf

Secure by Design bezeichnet das Prinzip, Sicherheitsanforderungen von Beginn der Entwicklung an zu berücksichtigen, statt sie nachträglich zu ergänzen. Der CRA setzt dieses Prinzip voraus, indem er verlangt, dass Produkte auf Grundlage einer Cybersicherheitsrisikobewertung entworfen, entwickelt und hergestellt werden. Praktisch bedeutet es, dass Bedrohungsmodellierung, Architekturentscheidungen und Prüfkriterien vor der Implementierung feststehen. Nachträglich ergänzte Sicherheit ist regelmäßig teurer und weniger wirksam, weil sich grundlegende Entwurfsentscheidungen später kaum noch ändern lassen.

Secure Coding↑

Synonyme und Abkürzungen: sichere Programmierung

Secure Coding umfasst Programmierpraktiken, die typische Fehlerklassen von vornherein vermeiden, etwa konsequente Eingabevalidierung, sichere Speicherverwaltung, Vermeidung unsicherer Funktionen und sorgfältige Fehlerbehandlung. Grundlage sind meist sprachspezifische Codierrichtlinien, die sich an Katalogen wie CWE oder den Veröffentlichungen von OWASP orientieren. Der CRA schreibt keine bestimmte Praxis vor, verlangt aber, dass Produkte ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden. Codierrichtlinien, Schulungsnachweise und Prüfungen im Entwicklungsprozess sind geeignete Belege dafür, dass dies systematisch verfolgt wird.

Security Advisory↑

Synonyme und Abkürzungen: Sicherheitshinweis; Sicherheitsmeldung

Ein Security Advisory ist die Veröffentlichung eines Herstellers zu einer behobenen oder bekannten Schwachstelle, üblicherweise mit Angabe der betroffenen Versionen, einer Beschreibung, einer Bewertung des Schweregrads und Hinweisen auf verfügbare Korrekturen oder Abhilfen. Der CRA verlangt, Nutzer über behobene Schwachstellen zu informieren, und das Advisory ist das gebräuchliche Format dafür. Maschinenlesbare Formate wie CSAF erleichtern Kunden die automatisierte Auswertung. Das Advisory ist von der behördlichen Meldung nach Art. 14 zu unterscheiden, die andere Adressaten und andere Fristen hat.

Sicherheitsaktualisierung↑

Synonyme und Abkürzungen: Sicherheitsupdate; engl. security update

Eine Sicherheitsaktualisierung ist eine Änderung am Produkt, die eine Schwachstelle behebt. Der CRA verlangt, solche Aktualisierungen über den gesamten Unterstützungszeitraum unentgeltlich bereitzustellen, sie, soweit technisch machbar, von reinen Funktionsänderungen zu trennen und sie mit Hinweisen sowie mit Angaben zu den behobenen Schwachstellen zu versehen. Die Trennung von Funktionsupdates ist praktisch bedeutsam, weil Nutzer sonst gezwungen wären, funktionale Änderungen zu übernehmen, um sicher zu bleiben. Für Produkte mit mehreren gepflegten Versionszweigen ist dies der aufwendigste Teil der Update-Pflicht.

Sicherheitsanforderung↑

Synonyme und Abkürzungen: engl. security requirement

Eine Sicherheitsanforderung beschreibt, welche Eigenschaft ein Produkt haben muss, etwa dass Zugriffe authentifiziert erfolgen oder dass gespeicherte Zugangsdaten nicht im Klartext vorliegen. Sie ist von der Sicherheitsmaßnahme zu unterscheiden, die beschreibt, wie diese Eigenschaft erreicht wird. Die grundlegenden Cybersicherheitsanforderungen des CRA sind Anforderungen in diesem Sinn: Sie legen Ziele fest und nicht Techniken. Werden beide Ebenen vermischt, entsteht eine Dokumentation, in der sich nicht mehr prüfen lässt, ob ein Ziel erreicht wurde oder nur eine bestimmte Maßnahme umgesetzt.

Sicherheitsbauteil↑

Synonyme und Abkürzungen: engl. safety component

Ein Sicherheitsbauteil ist ein Bestandteil, dessen Versagen die Sicherheit von Personen gefährdet; der Begriff stammt aus Rechtsakten wie der Maschinenverordnung. Im CRA taucht er als Rückausnahme auf: Die Erleichterung, unfertige Software zu Testzwecken bereitstellen zu dürfen, gilt für Sicherheitsbauteile im Sinne anderer Harmonisierungsrechtsvorschriften nicht. Für Hersteller im Maschinen- und Anlagenbau ist deshalb zu prüfen, ob ein Softwarebestandteil eine solche Funktion erfüllt, bevor Testversionen bereitgestellt werden.

Sicherheitsmaßnahme↑

Synonyme und Abkürzungen: Schutzmaßnahme; Control; engl. security control

Eine Sicherheitsmaßnahme ist die konkrete technische oder organisatorische Vorkehrung, mit der eine Sicherheitsanforderung erfüllt wird, etwa eine Zwei-Faktor-Authentifizierung, eine Verschlüsselung oder eine Freigaberegelung. Der CRA schreibt Maßnahmen nicht vor, sondern überlässt ihre Auswahl dem Hersteller auf Grundlage der Cybersicherheitsrisikobewertung. Für die Nachweisführung ist wesentlich, die Verbindung zwischen Anforderung, gewählter Maßnahme und Prüfergebnis nachvollziehbar zu dokumentieren. Kataloge wie ISO/IEC 27002 oder die BSI-Bausteine liefern Formulierungen, ersetzen die produktbezogene Auswahl aber nicht.

Sicherheitsvorfall↑

Synonyme und Abkürzungen: Incident; engl. security incident

Ein Sicherheitsvorfall ist ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der darüber angebotenen Dienste beeinträchtigt; der CRA übernimmt die Definition aus der NIS-2-Richtlinie. Meldepflichtig nach Art. 14 sind nur schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit des Produkts, also insbesondere solche, die den Schutz sensibler Daten oder Funktionen beeinträchtigen oder zur Ausführung von Schadcode führen können. Vom Beinahe-Vorfall unterscheidet er sich dadurch, dass die Beeinträchtigung tatsächlich eingetreten ist. Die Abgrenzung sollte vorab im Meldeprozess festgelegt werden, weil sie unter Zeitdruck getroffen werden muss.

Signierung↑

Synonyme und Abkürzungen: Codesignatur; digitale Signatur; engl. code signing

Signierung bezeichnet das kryptografische Versehen von Programmen, Paketen und Aktualisierungen mit einer Signatur, die der Empfänger vor der Installation prüft. Sie belegt Herkunft und Unverfälschtheit und ist der übliche Weg, die vom CRA geforderten sicheren Aktualisierungsmechanismen und den Integritätsschutz umzusetzen. Wirksam ist sie nur, wenn auch die Prüfung im Produkt erzwungen wird und die verwendeten Schlüssel angemessen geschützt und erneuerbar sind. Die Verwaltung der Signaturschlüssel über den gesamten Unterstützungszeitraum ist Teil der Lieferkettensicherheit.

Software-Stückliste↑

Synonyme und Abkürzungen: SBOM; Software Bill of Materials

Die Software-Stückliste ist eine formale Aufzeichnung der Bestandteile eines Produkts und ihrer Lieferkettenbeziehungen. Der CRA verlangt sie in einem gängigen maschinenlesbaren Format und mit mindestens den obersten Abhängigkeiten des Produkts; sie ist über den Unterstützungszeitraum aktuell zu halten und gehört zur technischen Dokumentation, muss aber nicht allgemein veröffentlicht werden. Ihr praktischer Nutzen liegt darin, dass sich beim Bekanntwerden einer Schwachstelle in einer Bibliothek unmittelbar feststellen lässt, welche eigenen Produkte und Versionen betroffen sind. Gebräuchliche Formate sind CycloneDX und SPDX; erzeugt wird sie üblicherweise automatisiert im Build mit Werkzeugen der Software Composition Analysis.

Sonderweg für quelloffene Software↑

Synonyme und Abkürzungen: Erleichterung nach Art. 32 Abs. 5

Hersteller von Produkten, die als freie und quelloffene Software gelten und unter Anhang III oder Anhang IV fallen, dürfen die Konformität abweichend von der allgemeinen Systematik im Modul A nachweisen, also ohne Beteiligung einer notifizierten Stelle. Die Erleichterung betrifft nur die Wahl des Verfahrens; die grundlegenden Cybersicherheitsanforderungen und die Dokumentationspflichten gelten unverändert. Sie setzt voraus, dass die Software die enge CRA-Definition freier und quelloffener Software tatsächlich erfüllt. Für Unternehmen mit Open-Source-Geschäftsmodellen ist dies eine der wirtschaftlich bedeutsamsten Regelungen des CRA.

Sorgfaltspflicht bei Komponenten Dritter↑

Synonyme und Abkürzungen: Due Diligence; Lieferantenprüfung

Der CRA verpflichtet Hersteller, bei der Einbindung von Komponenten Dritter sorgfältig zu prüfen, ob diese die Cybersicherheit des eigenen Produkts gefährden. Das gilt für kommerzielle Zulieferungen ebenso wie für Open-Source-Bestandteile. Praktisch umfasst die Pflicht die Auswahl nach nachvollziehbaren Kriterien, die Erfassung in der Software-Stückliste, die laufende Überwachung auf bekannte Schwachstellen und die Rückmeldung gefundener Schwachstellen an den Komponentenhersteller. Die Verantwortung für das Gesamtprodukt bleibt beim Hersteller, auch wenn der Fehler in einer fremden Komponente liegt.

SPDX↑

Synonyme und Abkürzungen: Software Package Data Exchange; ISO/IEC 5962

SPDX ist ein offenes Format für Software-Stücklisten, das bei der Linux Foundation gepflegt und als internationale Norm veröffentlicht wurde. Sein Schwerpunkt liegt traditionell auf Lizenzinformationen, umfasst inzwischen aber auch Sicherheits- und Herkunftsangaben. Es ist neben CycloneDX das gebräuchlichste Format; welches verwendet wird, richtet sich meist nach der vorhandenen Werkzeugkette und nach Kundenanforderungen. Ob die Kommission zum Format der Software-Stückliste eine verbindliche Festlegung getroffen hat, sollte vor einer endgültigen Entscheidung geprüft werden.

SSDL↑

Synonyme und Abkürzungen: Secure Software Development Lifecycle; sicherer Softwareentwicklungszyklus; SSDLC

Der SSDL ist der durchgängig abgesicherte Entwicklungszyklus eines Produkts, von der Anforderungsanalyse über Entwurf, Implementierung und Prüfung bis zu Betrieb, Pflege und Außerbetriebnahme. Sicherheitsaktivitäten sind dabei nicht eine zusätzliche Phase, sondern in jede Phase eingebettet, mit definierten Rollen, Ergebnissen und Freigabekriterien. Der CRA verlangt keinen SSDL unter diesem Namen, doch die Anforderungen aus Anhang I Teil II lassen sich ohne einen solchen Zyklus kaum dauerhaft erfüllen. Als Referenzrahmen kommen insbesondere IEC 62443-4-1 und das NIST SSDF in Betracht.

Systemintegrator↑

Synonyme und Abkürzungen: Integrator; Lösungsanbieter

Ein Systemintegrator stellt aus Produkten verschiedener Hersteller eine Gesamtlösung für einen Kunden zusammen und passt sie an. Nach dem CRA hängt seine Rolle davon ab, was er tut: Werden die eingesetzten Produkte unverändert weitergegeben, ist er Händler; entsteht durch Zusammenstellung, Anpassung oder eigene Softwareanteile ein neues Produkt, das er unter eigenem Namen liefert, ist er Hersteller dieses Produkts. Die Konformität der eingesetzten Einzelprodukte überträgt sich nicht auf die Gesamtlösung. Für Integratoren ist deshalb früh zu klären, welche Teile ihres Angebots eigene Produkte im Sinne des CRA sind.

Technische Dokumentation↑

Synonyme und Abkürzungen: engl. technical documentation

Die technische Dokumentation ist der Bestand an Unterlagen, mit dem ein Hersteller belegt, dass sein Produkt die grundlegenden Cybersicherheitsanforderungen erfüllt. Ihr Mindestinhalt ergibt sich aus Anhang VII und umfasst unter anderem Produktbeschreibung und Zweckbestimmung, Cybersicherheitsrisikobewertung, Angaben zum Unterstützungszeitraum, Entwurfs- und Entwicklungsunterlagen einschließlich der Software-Stückliste, Testberichte und die Beschreibung der Schwachstellenbehandlung. Sie ist vor dem Inverkehrbringen zu erstellen, aktuell zu halten und den Marktüberwachungsbehörden auf Verlangen vorzulegen. Für Kleinstunternehmen sowie kleine und mittlere Unternehmen sind vereinfachte Formate vorgesehen; der Umfang der zu belegenden Sachverhalte ändert sich dadurch nicht.

Übergang der Herstellerpflichten↑

Synonyme und Abkürzungen: Rollenwechsel

Ein Händler, Einführer oder sonstiger Wirtschaftsakteur wird selbst zum Hersteller und übernimmt dessen vollständigen Pflichtenkreis, wenn er ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder es so wesentlich ändert, dass die Konformität berührt sein kann. Das ist die wirtschaftlich folgenreichste Regelung der Rollenzuordnung, weil der neue Hersteller die technische Dokumentation vorhalten, den Unterstützungszeitraum sicherstellen und die Meldepflichten erfüllen muss, ohne notwendig über die Entwicklungsunterlagen zu verfügen. Betroffen sind insbesondere White-Label-Vertrieb, Rebranding und Systemintegration. Wer solche Modelle betreibt, sollte den Zugang zu Dokumentation, Software-Stückliste und Sicherheitsaktualisierungen vertraglich absichern.

Übergangsregelung nach Art. 69↑

Synonyme und Abkürzungen: Übergangsbestimmungen

Art. 69 regelt, wie mit Produkten umzugehen ist, die vor dem Geltungsbeginn des CRA in Verkehr gebracht wurden. Der Grundsatz ist, dass solche Bestandsprodukte nicht nachträglich erfasst werden, sofern sie nach dem 11. Dezember 2027 nicht wesentlich geändert werden. Davon ausgenommen sind die Meldepflichten nach Art. 14: Sie gelten für alle erfassten Produkte, auch für solche, die vor diesem Zeitpunkt in Verkehr gebracht wurden. Für Bescheinigungen und Zulassungen aus anderen Harmonisierungsrechtsvorschriften bestimmt der Artikel, dass sie grundsätzlich bis zum 11. Juni 2028 gültig bleiben. Weil sich der Umfang eines CRA-Projekts wesentlich danach bemisst, welche Produkte überhaupt erfasst sind, ist die genaue Prüfung dieser Regelung meist einer der ersten Schritte.

Unfertige Software↑

Synonyme und Abkürzungen: Testversion; Beta-Version; engl. unfinished software

Der CRA erlaubt, unfertige Software, die noch nicht konform ist, für einen begrenzten Zeitraum zu Testzwecken bereitzustellen. Voraussetzung ist eine sichtbare Kennzeichnung, aus der hervorgeht, dass die Software nicht konform ist und außer zu Testzwecken nicht auf dem Markt verfügbar sein wird. Für Beta-Programme und öffentliche Vorabversionen ist diese Kennzeichnung der entscheidende Punkt. Die Erleichterung gilt nicht für Sicherheitsbauteile im Sinne anderer Harmonisierungsrechtsvorschriften.

Unionsmarkt↑

Synonyme und Abkürzungen: EU-Binnenmarkt

Der Unionsmarkt ist der räumliche Bezugspunkt des CRA: Erfasst sind Produkte, die auf ihm bereitgestellt werden, unabhängig davon, wo der Hersteller ansässig ist. Ein Anbieter aus einem Drittstaat, der Software an Kunden in der Union abgibt, unterliegt damit dem CRA und benötigt regelmäßig einen Bevollmächtigten oder einen Einführer. Über das EWR-Abkommen wird der Anwendungsbereich in der Regel auf Island, Liechtenstein und Norwegen erstreckt, was im Einzelfall zu prüfen ist. Für rein außerhalb der Union vertriebene Produkte gilt der CRA nicht.

Unterstützungszeitraum↑

Synonyme und Abkürzungen: Support-Zeitraum; engl. support period

Der Unterstützungszeitraum ist der Zeitraum, in dem der Hersteller sicherstellen muss, dass Schwachstellen des Produkts wirksam behandelt und Sicherheitsaktualisierungen bereitgestellt werden. Er ist so festzulegen, dass er die voraussichtliche Nutzungsdauer widerspiegelt, und beträgt mindestens fünf Jahre; ist die Nutzungsdauer erkennbar kürzer, darf er entsprechend kürzer sein. Sein Ende ist den Nutzern vor dem Kauf mitzuteilen und gehört zu den Angaben nach Anhang II. Er ist der am häufigsten unterschätzte Kostenfaktor des CRA, weil er Pflege- und Prüfaufwand für alte Versionszweige über Jahre festschreibt, und die Kommission kann für einzelne Produktkategorien Mindestzeiträume festlegen.

Vereinfachte EU-Konformitätserklärung↑

Synonyme und Abkürzungen: engl. simplified EU declaration of conformity

Die vereinfachte EU-Konformitätserklärung ist eine Kurzform, die aus einer knappen Konformitätsaussage und der Angabe einer Internetadresse besteht, unter der die vollständige Erklärung abrufbar ist. Ihr Wortlaut ist in Anhang VI vorgegeben. Sie erlaubt, dem Produkt nur einen kurzen Text beizulegen, entbindet aber nicht davon, die vollständige Erklärung nach Anhang V zu erstellen und dauerhaft unter der genannten Adresse bereitzuhalten.

Vernünftigerweise vorhersehbare Fehlanwendung↑

Synonyme und Abkürzungen: engl. reasonably foreseeable misuse

Damit ist die Verwendung eines Produkts in einer Weise gemeint, die nicht seiner Zweckbestimmung entspricht, sich aber aus vorhersehbarem menschlichem Verhalten oder aus der Wechselwirkung mit anderen Systemen ergeben kann. Der Hersteller muss sie bei der Cybersicherheitsrisikobewertung berücksichtigen und kann sich nicht darauf zurückziehen, dass eine Nutzung nicht vorgesehen war. Typische Beispiele sind das Betreiben eines für ein internes Netz gedachten Produkts am offenen Internet oder die Weiterverwendung von Standardzugangsdaten. Von der vernünftigerweise vorhersehbaren Verwendung unterscheidet sie sich dadurch, dass sie der Zweckbestimmung widerspricht.

Vernünftigerweise vorhersehbare Verwendung↑

Synonyme und Abkürzungen: engl. reasonably foreseeable use

Gemeint ist eine Verwendung, die nicht ausdrücklich in der Zweckbestimmung beschrieben ist, sich aber aus vorhersehbarem menschlichem Verhalten oder aus technischen Vorgängen wahrscheinlich ergibt. Sie erweitert den Betrachtungsraum der Cybersicherheitsrisikobewertung über das hinaus, was der Hersteller in Anleitungen und Werbematerial beschrieben hat. Praktisch zwingt sie dazu, reale Einsatzszenarien bei Kunden zu erheben, statt nur die eigene Produktvorstellung zugrunde zu legen.

Verordnung↑

Synonyme und Abkürzungen: engl. regulation

Eine EU-Verordnung gilt unmittelbar in allen Mitgliedstaaten und muss nicht in nationales Recht umgesetzt werden; sie schafft damit einheitliche Regeln ohne nationale Abweichungen. Eine Richtlinie dagegen richtet sich an die Mitgliedstaaten und verlangt eine Umsetzung, weshalb sich die Vorschriften zwischen den Staaten unterscheiden können. Der CRA ist eine Verordnung, die NIS-2 eine Richtlinie; daraus erklärt sich, warum der CRA überall gleich gilt, während die NIS-2-Anforderungen national unterschiedlich ausgestaltet sind. Dass der CRA gleichwohl ein nationales Durchführungsgesetz benötigt, betrifft nur die Organisation des Vollzugs, nicht die Geltung der materiellen Anforderungen.

Verordnung (EG) 765/2008↑

Synonyme und Abkürzungen: Akkreditierungsverordnung

Diese Verordnung regelt die Akkreditierung von Konformitätsbewertungsstellen und enthält die allgemeinen Grundsätze für die CE-Kennzeichnung. Sie ist neben dem Beschluss 768/2008/EG eine der Grundlagen des Neuen Rechtsrahmens, auf den der CRA aufsetzt. Teile der ursprünglich dort geregelten Marktüberwachung sind inzwischen in die Marktüberwachungsverordnung überführt worden. Für Hersteller ist sie vor allem als Hintergrund der Regeln zur CE-Kennzeichnung von Bedeutung.

Verordnung (EU) 1025/2012↑

Synonyme und Abkürzungen: Normungsverordnung

Diese Verordnung regelt die europäische Normung, insbesondere wie die Kommission Normungsaufträge erteilt, wie europäische Normen entstehen und wann eine Norm als harmonisierte Norm gilt. Der CRA verweist für die Begriffe internationale, europäische und harmonisierte Norm auf sie. Praktische Bedeutung hat sie als Grundlage des Normungsmandats M/606 und des Verfahrens, mit dem Fundstellen im Amtsblatt veröffentlicht werden.

Vertikale Norm↑

Synonyme und Abkürzungen: produktspezifische Norm; in der europäischen Normung auch Typ-C-Norm

Eine vertikale Norm gilt für eine bestimmte Produktkategorie und konkretisiert die Anforderungen für genau diese Produkte. Im Normungsmandat M/606 beziehen sich diese Normen auf die Produktkategorien der Anhänge III und IV. Ihr Vorteil liegt darin, dass sie unmittelbar anwendbar ist, ohne dass der Hersteller allgemeine Anforderungen selbst auf sein Produkt übertragen muss. Da vertikale Normen nur einen Teil der Produktlandschaft abdecken können, bleibt für viele Produkte die Kombination horizontaler Normen der einzige Weg zur Konformitätsvermutung.

Vertrauenswürdigkeitsstufe↑

Synonyme und Abkürzungen: Assurance Level; Stufen „niedrig", „mittel", „hoch"

Der Cybersecurity Act sieht für europäische Zertifizierungsschemata drei Vertrauenswürdigkeitsstufen vor: „niedrig", „mittel" und „hoch". Sie beschreiben die Prüftiefe und die Widerstandsfähigkeit gegen unterstellte Angreifer, nicht die Qualität eines Produkts im Vergleich zu anderen. Der CRA knüpft an die Stufe „mittel" an: Ein Zertifikat mindestens dieser Stufe kann bei wichtigen Produkten den Nachweis der Konformität erbringen oder die Wahl des Verfahrens beeinflussen. Im Schema EUCC werden die Stufen „substantiell" und „hoch" über die Prüftiefe nach AVA_VAN konkretisiert.

Verwalter quelloffener Software↑

Synonyme und Abkürzungen: Open-Source-Software-Verwalter; engl. open-source software steward

Der Verwalter quelloffener Software ist eine im CRA neu geschaffene Rolle für juristische Personen, die kein Hersteller sind, aber die Entwicklung bestimmter quelloffener Produkte systematisch und nachhaltig unterstützen und deren Brauchbarkeit sicherstellen. Gemeint sind vor allem Stiftungen und Foundations, die Open-Source-Projekte tragen. Ihre Pflichten sind deutlich abgeschwächt: Sie müssen eine Cybersicherheitsstrategie dokumentieren, mit Marktüberwachungsbehörden zusammenarbeiten und bestimmte Schwachstellen und Vorfälle melden, unterliegen aber weder der Konformitätsbewertung noch der CE-Kennzeichnung und sind von den Geldbußen des Art. 64 vollständig ausgenommen. Die Abgrenzung zum Hersteller ist im Einzelfall sorgfältig zu prüfen, weil sie über den gesamten Pflichtenumfang entscheidet.

VEX↑

Synonyme und Abkürzungen: Vulnerability Exploitability eXchange

VEX ist ein Format, mit dem ein Hersteller zu einer bekannten Schwachstelle in einer eingebundenen Komponente erklärt, ob sein Produkt tatsächlich betroffen ist. Der Hintergrund ist praktisch: Eine Software-Stückliste erzeugt viele Treffer in Schwachstellendatenbanken, von denen ein erheblicher Teil im konkreten Produkt nicht ausnutzbar ist, etwa weil der betroffene Codepfad nicht verwendet wird. Mit VEX lässt sich diese Bewertung maschinenlesbar weitergeben, statt sie in jedem Kundengespräch neu zu erklären. Vorgeschrieben ist VEX im CRA nicht, es senkt aber den Aufwand bei der Information der Nutzer erheblich.

Wesentliche Änderung↑

Synonyme und Abkürzungen: engl. substantial modification

Eine wesentliche Änderung ist eine Änderung des Produkts nach dem Inverkehrbringen, die sich auf die Erfüllung der grundlegenden Cybersicherheitsanforderungen auswirkt oder die den bestimmungsgemäßen Zweck ändert, für den das Produkt geprüft wurde. Liegt sie vor, gilt das Produkt als neu in Verkehr gebracht: Die Konformitätsbewertung ist zu wiederholen, die technische Dokumentation fortzuschreiben und die Konformitätserklärung neu abzugeben. Reine Sicherheitsaktualisierungen, die keine Funktion ändern, sind keine wesentliche Änderung; bei Funktionserweiterungen ist im Einzelfall zu bewerten. Für Software mit häufigen Releases ist eine dokumentierte Regel, wann eine Änderung als wesentlich gilt, eine der wichtigsten organisatorischen Festlegungen.

White-Label-Vertrieb↑

Synonyme und Abkürzungen: Handelsmarkenvertrieb; Private Label

Beim White-Label-Vertrieb wird ein fremdes Produkt unter der Marke des Vertriebspartners angeboten. Nach dem CRA ist damit der Vertriebspartner Hersteller, weil er das Produkt unter seinem Namen vermarktet, und trägt den vollständigen Pflichtenkreis einschließlich Konformitätsbewertung, Unterstützungszeitraum und Meldepflichten. Das gilt auch dann, wenn er auf Entwicklung und Pflege keinen Einfluss hat, was das wirtschaftliche Risiko dieses Modells erheblich erhöht. Erforderlich ist deshalb eine vertragliche Regelung über Zugang zur technischen Dokumentation, zur Software-Stückliste, zu Sicherheitsaktualisierungen und zu Informationen über Schwachstellen.

Wichtiges Produkt der Klasse I↑

Synonyme und Abkürzungen: Anhang III Klasse I

Produkte der Klasse I nach Anhang III sind wichtige Produkte mit erhöhtem Risiko, darunter Identitätsmanagementsysteme, Passwort-Manager, Browser, Betriebssysteme, Netzmanagementsysteme sowie Router, Modems für die Internetanbindung und Switches. Für sie genügt das interne Verfahren nach Modul A nur, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel" vollständig anwendet. Stehen diese nicht zur Verfügung, ist die Beteiligung einer notifizierten Stelle über Modul B mit Modul C oder über Modul H erforderlich. Weil bislang keine harmonisierte Norm veröffentlicht ist, ist die Drittbewertung für Klasse-I-Produkte derzeit faktisch kaum vermeidbar, sofern nicht der Sonderweg für quelloffene Software greift.

Wichtiges Produkt der Klasse II↑

Synonyme und Abkürzungen: Anhang III Klasse II

Produkte der Klasse II nach Anhang III sind wichtige Produkte mit dem höchsten Risiko innerhalb dieses Anhangs, darunter Hypervisoren, Container-Laufzeitumgebungen, Firewalls und Systeme zur Angriffserkennung und -abwehr sowie manipulationssichere Mikroprozessoren und Mikrocontroller. Für sie ist das interne Verfahren nach Modul A unabhängig von der Verfügbarkeit harmonisierter Normen ausgeschlossen, sofern nicht der Sonderweg für quelloffene Software greift. Zulässig sind die Kombination aus Modul B und Modul C, das Modul H oder ein europäisches Cybersicherheitszertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel". Hersteller solcher Produkte sollten den Vorlauf für die Beauftragung einer notifizierten Stelle früh einplanen.

Wirtschaftsakteur↑

Synonyme und Abkürzungen: engl. economic operator

Wirtschaftsakteur ist der Sammelbegriff für alle Rollen, die nach dem CRA Pflichten treffen: Hersteller, Bevollmächtigter, Einführer, Händler sowie jede weitere Person, die Verpflichtungen im Zusammenhang mit der Herstellung oder der Bereitstellung von Produkten mit digitalen Elementen unterliegt. Welche Pflichten im Einzelnen gelten, hängt von der jeweiligen Rolle ab und nicht von der Bezeichnung im Vertrag. Ein Unternehmen kann zugleich mehrere Rollen einnehmen, etwa Hersteller eigener und Händler fremder Produkte. Die Bestimmung der Rolle ist deshalb produktbezogen und nicht unternehmensbezogen vorzunehmen.

Zero-Day↑

Synonyme und Abkürzungen: Zero-Day-Schwachstelle; 0-Day

Als Zero-Day wird eine Schwachstelle bezeichnet, für die zum Zeitpunkt ihrer Ausnutzung noch keine Korrektur des Herstellers verfügbar ist. Der Begriff kommt im CRA nicht vor; maßgeblich sind dort die Kategorien der ausnutzbaren und der aktiv ausgenutzten Schwachstelle. Ein ausgenutzter Zero-Day ist regelmäßig eine aktiv ausgenutzte Schwachstelle und löst damit die Meldepflicht nach Art. 14 aus. Für die Vorbereitung bedeutet das, dass der Meldeprozess auch dann funktionieren muss, wenn noch keine Abhilfe bereitsteht.

Zweckbestimmung↑

Synonyme und Abkürzungen: bestimmungsgemäße Verwendung; engl. intended purpose

Die Zweckbestimmung ist die vom Hersteller festgelegte Verwendung eines Produkts einschließlich der besonderen Nutzungsumstände und -bedingungen, wie sie sich aus Gebrauchsanleitung, Werbe- und Verkaufsmaterial und technischer Dokumentation ergeben. Sie ist der Ausgangspunkt für die Einstufung nach Anhang III und Anhang IV, für die Cybersicherheitsrisikobewertung und für die Bestimmung des Unterstützungszeitraums. Weil der Hersteller sie selbst festlegt, gestaltet er damit zugleich seinen eigenen Pflichtenumfang, allerdings begrenzt durch die vernünftigerweise vorhersehbare Verwendung und Fehlanwendung. Eine unzutreffend enge Zweckbestimmung schützt deshalb nicht vor Anforderungen, sondern erzeugt einen Widerspruch zur tatsächlichen Vermarktung.