normakte / CRA-Risikobewertung
Die Risikobewertung ist das Fundament aller CRA-Pflichten: Aus ihr folgt, welche Anforderungen aus Anhang I wie umgesetzt werden – und sie wird über den gesamten Unterstützungszeitraum fortgeschrieben.
| Schritt | Inhalt |
|---|---|
| 1. Zweck und Umgebung | bestimmungsgemäße und vernünftigerweise vorhersehbare Verwendung, Einsatzumgebung, Nutzer |
| 2. Schutzgüter | Funktionen, Daten, Schnittstellen |
| 3. Bedrohungen und Angriffsflächen | wer angreifen könnte, über welche Wege |
| 4. Risikoeinschätzung | Wahrscheinlichkeit und Auswirkung |
| 5. Maßnahmen | Zuordnung zu den Anforderungen aus Anhang I, Begründung bei Nichtanwendbarkeit |
| 6. Restrisiko und Fortschreibung | verbleibende Risiken, Aktualisierung bei Änderungen und neuen Schwachstellen |
Der Hersteller bewertet die Cybersicherheitsrisiken seines Produkts und berücksichtigt das Ergebnis bei Planung, Entwurf, Entwicklung, Herstellung, Lieferung und Wartung. Die Bewertung gibt an, ob und wie die Anforderungen aus Anhang I anwendbar sind und umgesetzt werden; sie wird dokumentiert, während des Unterstützungszeitraums aktualisiert und Teil der technischen Dokumentation.
Harmonisierte Normen zum CRA werden derzeit erarbeitet. Bis dahin bieten bestehende Normen Orientierung, etwa EN 18031 für Funkanlagen, IEC 62443-4-1 und 4-2 für industrielle Komponenten und ETSI EN 303 645 für vernetzte Verbraucherprodukte.
Bei Maschinen mit digitalen Elementen gehören beide Bewertungen zusammen: Die Maschinenverordnung verlangt Schutz gegen Korruption und sichere Steuerungen, der CRA die Cybersicherheit des Produkts. Eine gemeinsame Bewertung vermeidet Doppelarbeit und zeigt die Synergien, die Erwägungsgrund 53 CRA verlangt.
Register, Einstufung, SBOM, Meldungen mit Fristen und Zielseite für die Nutzer – eine Testakte kostenlos bis 20.01.2027.
Quelle. Verordnung (EU) 2024/2847, ABl. L, 2024/2847 vom 20.11.2024. Sinngemäß wiedergegeben; maßgeblich ist der amtliche Wortlaut. normakte ersetzt keine Rechtsberatung.