Sichere Software- und Produktentwicklung

Nein. Produkte, die unter die MDR oder die IVDR fallen, sind vom Cyber Resilience Act ausgenommen. Ihre Cybersicherheit regeln die beiden Medizinprodukte-Verordnungen; als Bezugspunkte dienen die Leitlinie MDCG 2019-16 Rev. 1 und die Norm IEC 81001-5-1, die bislang nicht harmonisiert ist. Software und Geräte ohne medizinische Zweckbestimmung – etwa allgemeine Klinik-IT – können dagegen sehr wohl unter den CRA fallen.

Für typgenehmigte Pkw, Busse, Lkw und Anhänger nicht: Sie fallen unter die EU-Typgenehmigung, die Cybersicherheit über UN R155 und Software-Updates über UN R156 regelt. Die Ausnahme erfasst in der Regel auch Systeme und Bauteile, die für solche Fahrzeuge typgenehmigt werden. Seit 2025 sind per delegiertem Rechtsakt zudem Zwei- und Dreiräder sowie Quads ausgenommen; für neue Typen dieser Klasse gilt UN R155 ab dem 11. Dezember 2027. Nachrüstprodukte, Ladetechnik oder Apps außerhalb der Typgenehmigung können dagegen unter den CRA fallen. Ebenfalls im CRA bleiben Fahrräder mit Pedalantrieb der Klasse L1e.

Nein, IEC 62443 ist eine internationale Normenreihe und kein Gesetz. Sie gilt jedoch als Stand der Technik für industrielle Komponenten und wird derzeit für den CRA aufbereitet – unter anderem durch Anpassungen von EN IEC 62443-4-1 und -4-2 sowie produktspezifische Profile. Die Vermutung, die gesetzlichen Anforderungen zu erfüllen (Konformitätsvermutung), entsteht erst, wenn eine harmonisierte Fassung im Amtsblatt der EU zitiert ist; Stand Oktober 2026 ist das nicht der Fall.

Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Meldeplattform der ENISA (Single Reporting Platform) an das zuständige nationale CSIRT melden. Die Fristen: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Korrektur, bei Vorfällen binnen eines Monats nach der Meldung. Die Pflicht gilt auch für Produkte, die schon vor dem Stichtag in Verkehr gebracht wurden.

UN R155 ist eine verbindliche Typgenehmigungsvorschrift: Ohne zertifiziertes Cybersecurity-Managementsystem (CSMS) erhält ein Fahrzeugtyp keine Genehmigung. ISO/SAE 21434 ist dagegen der Engineering-Standard, mit dem Hersteller und Zulieferer die geforderten Prozesse umsetzen, etwa die Bedrohungs- und Risikoanalyse (Threat Analysis and Risk Assessment, TARA). Die Norm ist nicht gesetzlich vorgeschrieben, aber der übliche Nachweisweg; Lücken wie den Bedrohungskatalog der R155 decken Hersteller gesondert ab.

Noch nicht. Der Normungsauftrag der Kommission umfasst 41 horizontale und produktspezifische Normen. Nach einem Änderungsentwurf, der Stand Oktober 2026 nicht angenommen ist, sollen erste horizontale Normen bis Ende Oktober 2026 und produktspezifische bis Ende Dezember 2026 vorliegen. Solange keine Fassung im Amtsblatt zitiert ist, gibt es keine Konformitätsvermutung: Hersteller begründen die Erfüllung der Anforderungen eigenständig, und wichtige Produkte der Klasse I benötigen dann eine Benannte Stelle.