Navigation in der EU zur Einhaltung von Cybersicherheits-Standards für vernetzte Produkte: Expertenantworten auf Ihre RED- und CRA-Fragen
17. Juli 2026
Während unseres Webinars durch die EU für Cybersicherheits-Compliance für verbundene Produkte, Teilnehmer stellten detaillierte Fragen zum Cyber-Widerstandsgesetz (CRA), RED Cyber-Security-Anforderungen, Produktklassifizierung, Konformitätsbewertung, Störungsmeldungen, Cloud-Systeme und Sicherheitsunterstützungszeiträume.
Wir haben während der Live-Session mehrere Fragen beantwortet. Für die wichtigsten Webinar-Übernahmewege, einschließlich RED scoping, EN 18031 Risikobewertung, Dokumentation, Beweisvorbereitung, und CRA Reporting Readiness, lesen Sie unser RED, EN 18031 und CRA Readiness Guide: Practical Answers vom QIMA Webinar.
Wir konnten nicht alle Fragen während der Sitzung abdecken, so dass unsere Experten für Cybersicherheit die folgenden zusätzlichen Antworten vorbereitet haben.
Dieser Artikel spiegelt den Status der Regulierung und Standardisierung ab Juli 2026 wider. Die CRA-Meldepflichten gelten ab dem 11. September 2026, die wichtigsten CRA-Anforderungen gelten ab dem 11. Dezember 2027.
Diese Antworten bieten eine allgemeine technische Anleitung. Die richtige Klassifizierungs- und Konformitätsbewertungsroute für ein bestimmtes Produkt muss anhand der vollständigen technischen Dokumentation ermittelt werden beabsichtigte Zwecke, vernünftigerweise vorhersehbare Verwendung, Konnektivität und Sicherheitsarchitektur.
Frage 1: Wir haben eine kälte Krypto-Brieftasche in Form einer NFC-Karte. Seine Kernfunktionen werden ohne KYC gespeichert, gesendet und empfangen. Es funktioniert über eine mobile Applikation mit NFC. Welche harmonisierten Standards und Einschränkungen können anwendbar sein?
Die nächste Übereinstimmung unter Durchführungsverordnung (EU) 2025/2392 ist wahrscheinlich „Smartcards oder ähnliche Geräte, einschließlich sicherer Elemente“, die eine entscheidende Produktkategorie ist.
Der Grund dafür ist, dass die Kernfunktionalität der Karte eine sichere kryptographische Speicherung und Transaktionssignierung in einem Kartenform-Faktor ist. Eine genaue Klassifizierung erfordert jedoch eine sorgfältige Bewertung.
Welcher Chip ist in der Karte?
Die technische Beschreibung von Anhang IV verlangt, dass das sichere Element zumindest bei AVA_VAN.4 nach den gemeinsamen Kriterien Widerstand gegen Angriffe leistet.
Je nach Chip kann das Produkt wie folgt klassifiziert werden:
Ein sicheres JavaCard-Element bei AVA_VAN.4 kann als kritisch eingestuft werden.
Ein manipulierbarer Chip bei AVA_VAN.2 oder AVA_VAN.3 kann als wichtige Klasse II eingestuft werden.
Ein Sicherheitsmikrocontroller unterhalb von AVA_VAN.2 kann als wichtige Klasse I eingestuft werden.
Ein einfacher NFC-Speicherchip mit kryptographischer Verarbeitung in anderen Softwarebereichen wird wahrscheinlich in der Standardkategorie verbleiben.
Was ist die eigentliche Kernfunktionalität des Produktes?
Gemäß dem Entwurf der CRA-Anleitung basiert die Klassifizierung auf der einzelnen Kernfunktionalität des Produkts als Ganzes.
In diesem Fall wird die Kernfunktionalität genauer als sichere Schlüsselspeicherung und Transaktionssignierung beschrieben, anstatt Krypto-Assets zu senden und zu empfangen. Die Übertragung der Transaktion an die Blockchain erfolgt normalerweise durch die mobile Anwendung, nicht durch die Karte.
Diese Unterscheidung spielt eine Rolle beim Vergleich des Produkts mit den technischen Beschreibungen in der Durchführungsverordnung.
Wie sieht der Konformitätsbewertungsweg aus, wenn das Produkt als kritisch eingestuft wird?
Der CRA-Artikel 32 Absatz 4 verlangt eine europäische Zertifizierung der Cybersicherheit für kritische Produkte. Es wird erwartet, dass das betreffende System EUCC sein wird, das auf gemeinsamen Kriterien und dem anwendbaren Schutzprofil für sichere Elemente basiert.
Harmonisierte Standards und EUCC-Zertifizierung können beide die Konformität mit den grundlegenden Anforderungen der CRA an Cybersicherheit voraussetzen, aber ihre Verwendung hängt von der Produktkategorie und den anwendbaren Bedingungen ab.
Zwei Punkte müssen überprüft werden, bevor man sich auf ein EUCC-Zertifikat für CRA-Konformität stützt.
1. Ausrichtung zwischen der Produktgrenze und dem Bewertungsziel
Ein EUCC-Zertifikat deckt nur das ab, was in seinem definierten Bewertungsziel enthalten ist, also TOE.
Der Hersteller muss überprüfen, ob die TOE-Grenze alles abdeckt, was im CRA-Konformitätsanspruch enthalten ist. Abhängig vom Produktdesign kann dies Folgendes beinhalten:
Das sichere Element
Firmware
Die Wallet-Anwendung, die auf dem sicheren Element läuft
Die NFC-Schnittstelle
Die mobile Anwendung, wo sie Teil des Produkts ist
Jede Backend-Verarbeitung, die sich als Remote Data Processing Lösung qualifiziert
2. Der erforderliche delegierte CRA-Rechtsakt ist noch nicht erlassen worden
Der delegierte Rechtsakt, der die Bedingungen definiert, unter denen die EUCC die Konformität mit dem CRA voraussetzt, ist noch nicht angenommen worden.
Bis es zur Anwendung kommt, müssen kritische Produkte das Fallback-Verfahren für wichtige Produkte der Klasse II anwenden. Dies erfordert eine obligatorische Drittanbieterbewertung mit Modul B plus Modul C oder Modul H mit einer mitgeteilten Stelle.
Der delegierte Rechtsakt wird auch das erforderliche Niveau der EUCC-Sicherheit definieren. die mindestens „erheblich“ sein muss und je nach identifiziertem Risiko „hoch“ sein kann.
Welche geplanten Standards könnten relevant sein?
Sowohl die Plattform- als auch die Anwendungs-Level-Standards könnten relevant sein:
prEN 50764, Cybersicherheitsanforderungen für Plattformen von Smartcards und ähnlichen Geräten, einschließlich sicherer Elemente. Dies umfasst die sichere Hardware- und Firmware-Plattform. Er wird normalerweise für den Chiphersteller relevant sein, kann aber auch dort gelten, wo der Brieftaschenhersteller seinen eigenen Chip entwirft.
prEN 18330, Cybersicherheitsanforderungen für Smartcards oder ähnliche Geräte, einschließlich sicherer Elemente, Anwendungsschicht. Dies deckt die Wallet-Anwendung ab, die auf dem sicheren Element läuft und ist für den Wallet-Hersteller direkter relevant.
prEN 40000-1-2, prEN 40000-1-3 und prEN 40000-1-4horizontale Standards für Cyber-Widerstandskriterien, risikobasierte Konformität, Handhabung von Sicherheitslücken und generische Cyber-Sicherheitsanforderungen.
Zum Zeitpunkt des Schreibens wurden diese Standards im Amtsblatt der Europäischen Union nicht als harmonisierte Standards des CRA genannt. Sie stellen daher noch keine Konformitätsvermutung dar.
Der nächste Schritt besteht darin, den Chip und die Zertifizierungsstufe der gemeinsamen Kriterien zu identifizieren, die genaue Produktgrenze zu definieren, die Rolle der mobilen Anwendung zu dokumentieren. und die Kernfunktionalität des Produkts mit den technischen Beschreibungen in der Durchführungsverordnung (EU) 2025/2392 vergleichen.
Sobald prEN 50764 und prEN 18330 veröffentlicht werden, ihre Anwendungsbereiche sollten sorgfältig überprüft werden, um zu bestimmen, wie sie auf das jeweilige Produkt angewendet werden und wie die Verantwortlichkeiten zwischen der sicheren Elementplattform und der darauf laufenden Applikation aufgeteilt werden.
Wo die Klassifizierung unsicher bleibt, sollte der Hersteller vor der Auswahl eines Konformitätsbewertungsweges die entsprechende Marktaufsichtsbehörde oder Konformitätsbewertungsstelle konsultieren.
Anfrage 2: Wird EN 18031 durch EN 40000 ersetzt?
Die EN 18031 sollte nicht als direkt durch die EN 400 ersetzt werden.
Gemäß der Richtlinie über die Funkausrüstung ist der bevorzugte Ansatz zur Nachweis der Einhaltung der Anforderungen an die Cybersicherheit in Artikel 3 Absatz 3 Buchstabe d) 3(3)(e) und 3(3)(f) werden die harmonisierten EN 18031 Reihen unter Berücksichtigung der in der Zitation des Amtsblatts enthaltenen Beschränkungen anwenden.
Ab dem 11. Dezember 2027 Produkte, die von der CRA abgedeckt werden, müssen den CRA Essential Cybersecurity Anforderungen entsprechen und Nutzungsstandards entsprechen, die mit dem CRA abgestimmt oder harmonisiert sind.
EN 40000 ist eine breitere CRA-basierte Standardserie mit mehreren Teilen. Beispielsweise konzentriert sich die EN 40000-1-3 auf die Handhabung von Sicherheitslücken, während andere Teile risikobasierte Compliance-Prozesse und generische Anforderungen an die Cybersicherheit ansprechen.
Produktspezifische Sicherheitsanforderungen müssen weiterhin auf der Grundlage der Risikobewertung und Klassifizierung des Produkts ausgewählt werden.
Die EN 18031 kann daher für relevante Anforderungen nützliche technische Beweise bleiben. Die CRA-Konformität erfordert jedoch, dass der Hersteller die Risiken des Produkts und die CRA Essential Cybersecurity Anforderungen an die anwendbaren EN 40000 Teile abbildet. B. produktspezifische Normen oder andere gerechtfertigte technische Spezifikationen.
Frage 3: Wenn wir mehrere Geräte mit der gleichen Funktionalität, aber unterschiedliche Formfaktoren haben, Müssen wir die Compliance-Prüfungen zweimal durchführen?
Jeder einzelne Produkttyp, einschließlich jedes Formfaktors, muss durch die Konformitätsbewertung und die EU-Konformitätserklärung abgedeckt werden. Für eine Karte und einen Ring bedeutet dies in der Regel die Bewertung beider Produkttypen.
Der praktische Umfang der wiederholten Arbeit hängt jedoch vom gewählten Konformitätsbewertungsmodul ab.
Modul H, volle Qualitätssicherung
Modul H kann die effizienteste Route in dieser Situation.
Die gemeldete Stelle bewertet und zertifiziert das Qualitätsmanagementsystem des Herstellers für die jeweiligen Produkttypen. Das Hinzufügen eines neuen Formularfaktors kann dann als Erweiterung des bestehenden Qualitätssystems behandelt werden statt einer vollständigen Neubewertung von Anfang an.
Modul B plus Modul C
Unter Modul B plus Modul C kann für jeden Produkttyp eine eigene EU-Prüfungsbescheinigung verlangt werden.
Allerdings können Testresultate, technische Dokumentation und andere Belege aus der ersten Bewertung dort wiederverwendet werden, wo die zugrunde liegende Technologie identisch ist, einschließlich:
Das sichere Element
Firmware
Kryptographische Funktionen
Sicherheitsarchitektur
Mechanismen aktualisieren
Wo die Kernfunktionalität und die Sicherheitsarchitektur gleich sind, sollte sich die zusätzliche Bewertung auf die vom Formfaktor eingeführten Unterschiede konzentrieren. B. physikalische Schnittstelle, Hardware-Integration, Tamper-Widerstand und Angriffsfläche.
Modul H kann der effizientere Weg für Hersteller sein, um mehrere verwandte Produktvarianten auf den Markt zu bringen. Die Behandlung von einzelnen Modellen und Produkttypen sollte mit der ausgewählten benannten Stelle bestätigt werden.
Frage 4: Würde ein Gateway, wie ein Gateway, das verwendet wird, um ZigBee Lichter zu steuern, als Standard oder wichtiges Produkt angesehen werden?
Die Klassifizierung erfordert eine gründliche Analyse der Kernfunktionalität des Produkts basierend auf seiner vollständigen Dokumentation.
Dazu gehören:
Zielzweck
Technische Dokumentation
Gebrauchsanweisungen
Werbematerialien
Tatsächliche technische Umsetzung
Der Hersteller muss diese Bestimmung treffen, eine Klassifizierung kann nicht allein vom Wort „Gateway“ ausgegangen werden.
Laut dem im Entwurf der CRA-Anleitung beschriebenen „voll aufeinander abgestimmten“ Test Die Kernfunktionalität des Produkts muss vollständig mit der technischen Beschreibung eines Anhangs III oder Anhangs IV übereinstimmen, der als wichtig oder kritisch zu qualifizieren ist.
Für ein ZigBee Gateway, dessen dokumentierte Kernfunktionalität die lokale Smart Home Geräte-Steuerung ist wie zum Beispiel Schalten oder Dimmen von Lichtern, können zwei Kategorien zunächst relevant erscheinen.
Router
Die technische Beschreibung für Router erfordert, dass das Produkt den Datenfluss zwischen verschiedenen Netzen mittels Routing-Protokollmechanismen und Algorithmen auf der Netzwerkschicht einstellt und kontrolliert.
Eine Protokollbrücke, die für die Gerätesteuerung verwendet wird, kann dieser Definition nicht entsprechen, aber das Ergebnis muss an der tatsächlichen technischen Umsetzung überprüft werden.
Intelligente Heimprodukte mit Sicherheitsfunktionen
Diese Kategorie gilt für Smart Home Produkte, deren Kernfunktionalität mit der physischen Sicherheit der Verbraucher zusammenhängt. B. angeschlossene Türschlösser, Kameras und Alarmsysteme.
Die Lichtsteuerung stimmt normalerweise nicht vollständig mit dieser Beschreibung überein.
Wenn die Kernfunktionalität des Produkts nicht vollständig mit einer technischen Beschreibung von Anhang III oder Anhang IV übereinstimmt, bleibt sie in der Regel in der Standardkategorie.
Allerdings, Das Ergebnis kann anders aussehen, wenn in der kompletten Produktdokumentation nachgewiesen wird, dass internetorientiertes Routing oder eine explizite Sicherheitsfunktion Teil der Kernfunktionalität ist.
Frage 5: Wer soll Vorfälle über die Single Reporting Platform melden, wenn ein Unternehmen aus mehreren Fabriken besteht, die unter derselben Marke tätig sind?
Der Bericht sollte nicht von jeder Fabrik separat vorgelegt werden.
Sie sollte vom Unternehmen oder vom legalen Hersteller, der für das Inverkehrbringen des Produkts auf den EU-Markt verantwortlich ist, eingereicht werden.
In der Praxis sollten alle Fabriken intern relevante Fragen an eine zentrale Produktsicherheit oder ein verantwortliches CRA-Team melden.
Dieses zentrale Team sollte:
Entscheiden Sie, ob der Fall die CRA-Berichtsanforderungen erfüllt
Erfassen Sie die erforderlichen Informationen
Benachrichtigung vorbereiten
Übermitteln Sie es über die Single Reporting Plattform
Jede benötigte Kommunikation mit Benutzern koordinieren
Für Berichtszwecke ist der jeweilige Standort in der Regel der Hauptsitz des Herstellers in der EU.
Dies bedeutet in der Regel die Einrichtung, bei der die wichtigsten Entscheidungen zur Cybersicherheit bezüglich des Produkts getroffen werden. Wenn dies nicht festgestellt werden kann, kann es mit der EU-Niederlassung mit der höchsten Anzahl von Arbeitnehmern verbunden sein.
Das Unternehmen sollte daher einen zentralen Berichtsinhaber und einen klaren internen Eskalationsprozess haben, der alle Fabriken und Standorte abdeckt.
Frage 6: EN 18031 beschreibt nicht, wie die Risikobewertung durchgeführt oder eine Vorlage vorgelegt werden kann, ob EN 40000 diese Lücke schließt?
Das CRA verlangt von den Herstellern nicht, eine bestimmte Methode zur Risikobewertung des Cybersicherheitsrisikos anzuwenden.
Hersteller können ihren eigenen Ansatz wählen, vorausgesetzt, er ermöglicht ihnen, zu dokumentieren:
Risiko-Identifikation
Risikoanalyse und -bewertung
Risikobehandlung
Die Beziehung zwischen den identifizierten Risiken und den grundlegenden Anforderungen der CRA an die Sicherheit im Bereich der Sicherheit
Die Entscheidungen, die während der Bewertung getroffen wurden
Die Risikobewertung muss die in Artikel 13 der CRA festgelegten Verpflichtungen und die Anforderungen an die technische Dokumentation in Anhang VII unterstützen.
Aktuelle Quellen der Anleitung sind:
Die FAQs zur Umsetzung der CRA der Europäischen Kommission, insbesondere der Abschnitt zur Erläuterung des erforderlichen Umfangs, der Ausgaben und der Dokumentation
Die Rating-Leitlinien der Kommission zur Risikobewertung und Risikobehandlung im Bereich der Cybersicherheit
BSI TR-03183-1, die eine detaillierte, schrittweise Risikobewertungsmethode bietet, die um die Anforderungen des CRA Anhang I herum strukturiert ist
Die Entwicklung der prEN 40000-1-2-Norm soll einen strukturierten risikobasierten Compliance-Prozess bieten. Es sollte jedoch nicht als eine obligatorische Vorlage behandelt werden, die unverändert auf jedes Produkt angewendet werden kann.
Frage 7: Gilt das CRA für Produkte, die miteinander verbunden sind wie verlinkte Rauchmelder, auch wenn sie keine Verbindung zum Internet oder eine Anwendung?
Ja, sie können in den CRA-Bereich fallen.
Das CRA definiert ein Produkt mit digitalen Elementen als ein Produkt, dessen Verwendungszweck oder vernünftigerweise voraussehbare Verwendung eine direkte oder indirekte beinhaltet logische oder physikalische Datenverbindung zu einem Gerät oder Netzwerk.
Eine Internetverbindung oder mobile Applikation ist daher nicht erforderlich.
Verknüpfte Rauchmelder, die Daten direkt miteinander austauschen, können diese Definition erfüllen, da sie eine direkte Verbindung zu einem anderen Gerät oder Netzwerk haben.
Ob das Produkt standardmäßig, wichtig oder kritisch ist, muss dann separat anhand seiner Kernfunktionalität bewertet werden.
Frage 8. Wie wirkt sich das CRA auf Distributoren aus, die durch die Installation eines benutzerdefinierten Windows- oder Linux-Betriebssystem-Images einen Mehrwert erzeugen?
Um ein benutzerdefiniertes Betriebssystem zu installieren, muss der Distributor höchstwahrscheinlich beurteilen, ob er die Herstellerverpflichtungen im Rahmen der CRA übernommen hat.
Es gibt zwei Hauptsituationen, in denen ein Distributor gemäß CRA-Artikel 21 zum Hersteller wird:
Der Distributor stellt das Produkt unter seinem eigenen Namen oder Warenzeichen auf den Markt.
Der Distributor führt eine wesentliche Änderung des Produktes durch.
Eine wesentliche Änderung ist eine Änderung:
Beeinflusst die Einhaltung der CRA essenziellen Cybersicherheitsanforderungen oder
Ändert den beabsichtigten Zweck, für den das Produkt ursprünglich bewertet wurde
Ein benutzerdefiniertes Betriebssystem Bild kann sich ändern:
Sicherheitskonfigurationen
Installierte oder entfernte Softwarekomponenten
Standard Sicherheitseinstellungen
Netzwerkdienste
Mechanismen aktualisieren
Berechtigungen
Protokollierung
Die gesamte Angriffsfläche
Diese Änderungen beeinträchtigen wahrscheinlich die Einhaltung der CRA Essential Cybersecurity Requirements und können daher als wesentliche Änderung qualifiziert werden.
Ist die Änderung erheblich, wird der Distributor zum Hersteller des modifizierten Produkts und übernimmt die entsprechenden CRA-Verpflichtungen.
Diese können beinhalten:
Cyber-Security-Risikobewertung
Technische Dokumentation
Konformitätsbewertung
CE-Kennzeichnung
Schwachstellen-Behandlung
Sicherheitsupdates
Meldung von Störungen und Schwachstellen
Der Distributor kann sich nicht nur auf die CRA-Compliance von Microsoft, einem Linux-Distributor oder dem ursprünglichen Gerätehersteller verlassen. Die Compliance muss für das fertig konfigurierte Produkt geprüft und nachgewiesen werden.
Frage 9. Wie werden Cloud-Systeme im Rahmen des CRA bewertet, wenn wir keine AWS, Azure oder Google Cloud Infrastruktur verwenden?
Der Cloud-Anbieter ist nicht der entscheidende Faktor.
Wichtig ist, ob die Cloud- oder Backend-Verarbeitung als Remote Data Processing Solutionoder RDPS qualifiziert ist.
Das CRA enthält einen RDPS innerhalb der Definition eines Produkts mit digitalen Elementen, wenn die folgenden Bedingungen erfüllt sind:
Die Daten werden in einer Entfernung verarbeitet, außerhalb des Gerätes des Benutzers oder der lokalen Umgebung.
Die Verarbeitungslösung wurde von oder unter der Verantwortung des Herstellers konzipiert oder entwickelt.
Ohne diese Verarbeitung konnte das Produkt keine seiner Funktionen erfüllen.
Wenn diese Bedingungen erfüllt sind, ist das Backend Teil des Produkts mit digitalen Elementen und muss den geltenden Anforderungen des CRA-Anhangs I entsprechen.
Ein RDPS muss nicht auf einer öffentlichen Cloud-Infrastruktur Dritter laufen.
Remote-Verarbeitung kann sich als RDPS qualifizieren, wenn sie ausgeführt wird:
Die eigenen Server des Herstellers
Eine private Cloud
Infrastruktur vor Ort
Infrastruktur von einem anderen Anbieter betrieben
Die Nichtverwendung von AWS, Azure oder Google Cloud schafft keine Ausnahme.
Alleinstehende SaaS, PaaS oder IaaS Dienstleistungen, die unabhängig von einem bestimmten Produkt entwickelt und entwickelt wurden, fallen in der Regel außerhalb der CRA Produktdefinition. Andere Rechtsvorschriften, einschließlich NIS2, gelten möglicherweise immer noch für diese Dienste.
Hersteller müssen ihre Backend-Systeme nach den RDPS-Kriterien von Fall zu Fall bewerten. Wo sie qualifiziert sind, müssen sie in die Produktgrenze, Risikobewertung, technische Dokumentation und Konformitätsbewertung einbezogen werden.
Frage 10. Multimedia-Controller in der Unterhaltungsindustrie nutzen Wi-Fi- und Ethernet-Ports, um Produkte zu steuern. Das verwendete Protokoll Art-Net unterscheidet sich vom Internet.
Für die CRA ist der relevante Punkt die Definition eines Produkts mit digitalen Elementen.
Ein Produkt fällt in den allgemeinen CRA-Bereich, wenn sein beabsichtigter Zweck oder vernünftigerweise vorhersehbarer Gebrauch eine direkte oder indirekte Verwendung beinhaltet, logische oder physikalische Datenverbindung zu einem Gerät oder Netzwerk.
Ein Multimedia-Controller, der über Wi-Fi oder Ethernet kommuniziert, kann daher in den CRA-Bereich fallen, auch wenn das Anwendungsprotokoll Art-Net ist.
Der spezifische Protokollname bestimmt nicht, ob das Produkt im Anwendungsbereich ist.
Für die RED-Cybersicherheit ist eine genauere Bewertung erforderlich.
Der Hersteller muss beurteilen, ob die Funkgeräte über das Internet kommunizieren können, entweder direkt oder über andere Geräte.
Mit der Verwendung von Art-Net wird das Produkt nicht automatisch außerhalb von RED Cybersicherheitsbereich platziert. Der Hersteller sollte die komplette Konnektivitätsarchitektur überprüfen, einschließlich Gateways, Router, Fernbedienungssysteme und jeden möglichen Internetzugang.
Frage 11. Können Sie Ratschläge zur Auswahl des richtigen Sicherheits-Unterstützungszeitraums geben?
Die Standardunterstützungsfrist unter dem CRA beträgt mindestens fünf Jahre.
Der Hersteller muss jedoch auch die absehbare Lebensdauer des Produkts berücksichtigen.
Eine kürzere Frist kann gerechtfertigt sein, wenn das Produkt vernünftigerweise für weniger als fünf Jahre verwendet wird. Ein längerer Zeitraum wird benötigt, wenn das Produkt länger im Einsatz bleiben soll.
Der Förderzeitraum sollte folgende Überlegungen anstellen:
Der beabsichtigte Zweck des Produkts
Die erwartete Betriebsdauer
Benutzererwartungen
Die Umgebung, in der sie verwendet wird
Die Verfügbarkeit von Ersatzprodukten
Die Unterstützungsfristen der integrierten Komponenten
Abhängigkeiten von Betriebssystemen, Anwendungen oder externen Diensten
Relevante rechtliche und vertragliche Anforderungen
Produkte, die in der Betriebstechnik, industriellen Systemen, Gebäudeinfrastruktur oder in anderen langlebigen Umgebungen verwendet werden, können eine Unterstützungszeit von deutlich mehr als fünf Jahren erfordern.
Der ausgewählte Unterstützungszeitraum sollte in der Risikobewertung, die in der technischen Dokumentation dokumentiert und den Nutzern mitgeteilt wird, begründet sein.
Anfrage 12. Benötigt das CRA eine getrennte Berichterstattung über die gleiche Verwundbarkeit für verschiedene Geräte, wie eine Karte und einen in mehreren Farben erhältlichen Ring?
Ein Bericht kann die gleiche Verwundbarkeit aller betroffenen Produktvarianten abdecken.
CRA Artikel 14 verpflichtet Hersteller, aktiv ausgenutzte Schwachstellen eines Produkts mit digitalen Elementen zu melden. Die Mitteilung muss allgemeine Informationen über die betreffenden Produkte enthalten.
Das CRA benötigt keine gesonderten Berichte für alle:
Farbe
SKU
Formfaktor
Kommerzielle Variante
Wenn die gleiche Verwundbarkeit sowohl die Karte als auch den Ring betrifft, weil sie die gleiche Firmware, Software teilen sichere Elemente oder andere verwundbare Komponenten, ist eine Benachrichtigung über alle betroffenen Varianten angemessen.
Die Mitteilung sollte alle Betroffenen klar benennen:
Produkttypen
Modelle
Hardware-Versionen
Firmware- oder Software-Versionen
Wenn die Karte und der Ring verschiedene Firmware- oder Sicherheits-Implementierungen verwenden und nur eine davon betroffen ist, Eine gesonderte Berichterstattung kann angemessen sein, da die Produkte technisch verschieden sind.
Der Hersteller sollte alle betroffenen Varianten explizit in der Benachrichtigung auflisten. Damit kann derselbe Bericht die vollständig betroffene Produktfamilie ohne unnötige doppelte Einreichungen abdecken.
Frage 13. Ist Cyberexpert eine Cloud-basierte Plattform? Verwendet sie eine öffentliche API, und wie wird die Konsistenz ihrer Ergebnisse sichergestellt?
Ja. Cyberexpert ist eine Cloud-basierte SaaS-Plattform.
Benutzer greifen über eine sichere Web-Schnittstelle darauf zu, wo Produktinformationen, Bewertungen, Anforderungen und Belege zentral verwaltet werden.
Dies erlaubt Teams zu:
An Compliance-Aktivitäten zusammenarbeiten
Trackfortschritt
Produktnachweise verwalten
Halten Sie einen konsistenten Prüfpfad
Cyberexpert ist eher als erweiterbare Plattform als eigenständige KI-Applikation konzipiert.
Es kann sich in externe Dienste integrieren wie:
Identitätsanbieter
Schwachstellen-Management-Systeme
Dokumenten-Repositories
Compliance-Plattformen für Unternehmen
Die Expertenantwort bestätigt, dass externe Integrationen unterstützt werden. Die Verfügbarkeit einer öffentlichen API und spezifischer Integrationsoptionen sollte direkt mit dem Cyberexpert-Team bestätigt werden.
Konsistenz der Ausgaben wird durch mehrere Ebenen unterstützt:
Strukturierte Workflows
Deterministische Bewertungslogik
Menschliche Expertenprüfung erforderlichenfalls
Eine kuratierte und kontrollierte Wissensbasis
Standardisierte KI-Orchestrierung
Erweiterte Erzeugung mit kontrollierten Quellen abrufen
Cyberexperts Kernwert ergibt sich aus der Compliance-Logik und dem strukturierten Workflow. Die KI unterstützt den Prozess, aber die Ausgaben basieren auf kontrollierten Quellen, Produktinformationen und definierten Bewertungsregeln.
Frage 14. Ist ein intelligenter Radio, der hauptsächlich für Internet-Radio, Spotify und Medienwiedergabe genutzt wird, in der CRA?
Ja.
Ein Smart Radio fällt in den CRA-Bereich, da sein beabsichtigter Zweck eine direkte Verbindung zu einem Netzwerk beinhaltet.
Das Gerät initiiert und unterhält bidirektionale IP-Kommunikation, zum Beispiel sendet es Verbindungs- und Sitzungsanfragen und empfängt Audio-Stream-Daten.
Dies stellt eine direkte logische Verbindung zu einem Netzwerk dar.
Die Tatsache, dass der Hauptzweck des Produkts Radiohör- oder Medienwiedergabe ist, entfernt es nicht aus dem allgemeinen Anwendungsbereich der CRA.
Seine Einstufung als Standardwert, wichtig, oder Kritisches Produkt muss separat anhand seiner Kernfunktionalität und der technischen Beschreibungen in der Durchführungsverordnung (EU) 2025/2392 bewertet werden.
Wo das Produkt WLAN, Bluetooth oder eine andere Funktechnologie nutzt Es kann auch unter die Funkausrüstungsrichtlinie fallen und eine gesonderte Bewertung der Internetsicherheit durch RED erfordern.
Vorbereitung auf RED- und CRA-Konformität
Produktnamen und Konnektivitätsbezeichnungen reichen nicht aus, um RED- oder CRA-Verpflichtungen zu ermitteln.
Hersteller müssen die Produktgrenze definieren, die Kernfunktionalität des Produkts dokumentieren, jeden Verbindungsweg identifizieren, bestimmen Sie die anwendbare Produktkategorie und verbinden Sie jede Compliance-Schlussfolgerung mit technischen Beweisen.
Cyberexpert hilft Herstellern, diese Arbeiten zu strukturieren, anwendbare Anforderungen zu identifizieren, Beweise vorzubereiten und festzustellen, wo eine Überprüfung der Experten oder eine formelle Konformitätsbewertung erforderlich sind.
Diesen Beitrag teilen
