# CRA im OEM-Umfeld - Link: https://smartnuts.com/2025/04/18/cra-im-oem-umfeld/ - Veröffentlicht: 2025-04-18T16:19:28+02:00 - Autor: Michael Bunzel _Der [Cyber Resilience Act](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R2847)( Regulation EU 2024/2847), der am 10. Dezember 2024 in Kraft getreten ist, findet seinen Ankerpunkt in der [EU Security Union Strategy](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act#:~:text=EU%20Security%20Union%20Strategy) und der [EU Cybersecurity Strategy](https://digital-strategy.ec.europa.eu/en/policies/cybersecurity-strategy) von 2020 und ergänzt insoweit die [NIS2 Direktive](https://digital-strategy.ec.europa.eu/en/policies/nis-directive). Der CRA reguliert Produkte oder Services (d.h. Hardware und Software) mit digitalen Elementen. CRA-relevante Produkte oder Service demonstrieren ihre Compliance zum CRA mit einem [CE-Label](https://single-market-economy.ec.europa.eu/single-market/ce-marking_en)._ ## AnwendungBarkeit im Kontext OEM * **CRA nicht anwendbar für das Produkt “Automobil” (Fahrzeugklasse M, N und O)** gem. Art. 2 Abs. 2 c), da diese über die spezialgesetzliche [Verordnung (EU) 2019/2144](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=celex%3A32019R2144) reguliert sind (insbesondere die für den CRA relevanten Prozessstrukturen werden über die [UN-R155](https://unece.org/sites/default/files/2023-02/R155e%20%282%29.pdf) adressiert, die im Rahmen der [Ergänzung](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02019R2144-20220905) der ursprünglichen VO 2019/2144 vom 05.09.2022 über Art. 4 Abs. 2 Eingang in den Annex I gefunden haben). * **CRA perspektivisch ebenfalls nicht anwendbar für das Produkt “Motorrad” (Fahrzeugklasse L)** gem. Art. 2 Abs. 2 c), da mit der geplanten Aufnahme der Fahrzeugklasse L in den Geltungsbereich der UN-R155 der Eintrittszeitpunkt für New Types der Fahrzeugklasse L mit den operativen Eintrittsdaten der CRA harmonisiert werden soll. Hierbei handelt es sich um ein Ergebnis aus der Abstimmung der UN Working Group Cybersecurity (WG-CS) und der Working Group Whole Vehicle Type Approval( WG-WVTA) mit der Europäischen Kommission, [DG CONNECT](https://commission.europa.eu/about/departments-and-executive-agencies/communications-networks-content-and-technology_en) und [DG GROW](https://commission.europa.eu/about/departments-and-executive-agencies/internal-market-industry-entrepreneurship-and-smes_en),( Stand 01/2025) * **CRA nicht anwendbar für fahrzeugnahe Backendsysteme**, selbst wenn diese Grundlage der Erbringung von (digitalen) Services gegenüber dem Kunden sind. Backendsysteme sind explizit im Bedrohungskatalog unter Annex V, Teil C1, Ziff. der UN-R155 benannt, d.h. entsprechend Bedrohungsvektoren sind verpflichtend im Rahmen von Risikobetrachtungen im Rahmen des Cybersecurity-Managementsystems (CSMS) eines OEMs mit zu berücksichtigen und werden damit zugleich Teil der Konformitätsbescheinigung für das vom OEM betriebene CSMS, welches wiederum Voraussetzung für die Erteilung der Cybersecurity-Typgenehmigung nach UN-R155 (via VO 2019/2144) ist. * **CRA nicht anwendbar für Ersatzteile**, die auf dem Markt bereitgestellt werden, um identische Komponenten in Produkten mit digitalen Elementen zu ersetzen, und die nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen * **CRA anwendbar für sog. Aftermarket-Produkte mit digitalen Elementen** der OEMs, da diese nicht Gegenstand der Typzulassung des Fahrzeugs sind * **CRA ebenfalls anwendbar für Softwareprodukte** der OEMs, soweit diese der Erbringung eines Services gegenüber dem Kunden zu dienen bestimmt sind (bspw. Mobile Apps) ## Anforderungen * Erfüllung grundlegender Sicherheitsanforderungen nach [Anhang I, Teil 1 CRA](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202402847#:~:text=Teil%C2%A0I%C2%A0Cybersicherheitsanforderungen%20in%20Bezug%20auf%20die%20Eigenschaften%20von%20Produkten%20mit%20digitalen%20Elementen) - Security-architekturelle Anforderungen in der Design-/Entwicklungsphase: * **Security-by-Design** * **Security-by-Default** - Prozesshafte Anforderungen in der Entwicklungs-, Implementierungs- und Feldphase: * Durchführung von **Risikoanalysen** sowie deren Pflege während des Produktlebenszyklus( im zeitlichen Rahmen des CRA) * Herstellung in einer Art und Weise, dass Produkte mit digitalen Elementen** ohne bekannte ausnutzbare Schwachstellen** auf dem Markt bereitgestellt werden können (u.a. Durchlaufen eines **Vulnerability Management **Prozesses unter Einbeziehung SBOM, vgl. hierzu auch Anhang I, Teil II CRA) * **Bereitstellung** auf dem Markt **mit einer Standardkonfiguration**, welche der Kunde zu jedem Zeitpunkt wieder herstellen kann * Implementierung von Kontrollmechanismen zum **Schutz vor unberechtigten Zugriff** * Maßnahmen zum **Schutz personenbezogener Informationen**, die durch das Produkt verarbeitet werden * **Produktmonitoring** im Feld sowie **Incident Management,** um auf potentielle sicherheitsrelevante Ereignisse reagieren zu können * **Bereitstellung von Sicherheitsupdates** über einen (ggf. automatisierten) Updatemechanisamus über einen **angemessenen Zeitraum** (im Fall der Automatisierung des Updatemechanismus muss dieser über Möglichkeit verfügen, dass der Kunde mittels Opt-out * Verankerung von **Cybersecurity-Anforderungen in der Supply Chain** (u. a. Bereitstellung einer SBOM durch TierX als Grundlage einer Schwachstellenanalyse) * **Erstellung technischer Dokumentationen** des Produkts oder des Services sowie weitergehender Herstellerinformation (Anlage I, Teil II CRA) * Aufbau von Meldelinien zur Erfüllung der **Reportingpflichten** gegenüber ENISA oder nationalen Meldestellen (CSIRT) innerhalb der Meldefristen des Art. 14 Abs. 2 a) – c) für aktiv ausgenutzte Schwachstellen sowie gem. Art. 14 Abs. 4 a) – c) für schwerwiegende Sicherheitsvorfälle * **Einrichtung einer Kontaktstelle** für Kunden zur Meldung von sicherheitsrekevanten Ereignissen * **Bereitstellung der EU-Konformitätserklärung** für das Produkt (sog. CE- Kennzeichnung) ## Relevanten Zielgruppen * der **Hersteller** (Art. 3 Ziff. 13 CRA), * **Verwalter quelloffener Software** (Art. 3 Ziff. 14 CRA) * **Bevollmächtigte des Herstellers** (Art. 3 Ziff. 15 CRA) * den **Einführer** (Art. 3 Ziff. 16 CRA) * den **Händler **(Art. 3 Ziff. 17 CRA) * jede andere **natürliche oder juristische Person**, die **Verpflichtungen im Zusammenhang mit der Herstellung von Produkten mit digitalen Elementen unterliegen** oder die die **Bereitstellung auf dem Markt von Produkten mit digitalen Elementen unternehmen** ## Konformitätsbewertung * Die Art des durchzuführenden Konformitätsbewertungsverfahrens hängt von der Art des Produkts mit digitalen Elementen * **Wichtige Produkte mit digitalen Elementen** nach Art. 7 CRA i.V.m. der in Anlage III CRA genannten **Klasse I** unterliegen der Konformitätsbewertung nach Art. 32 Abs. 2 CRA (Bewertung der Konformität nach den Modulen B, C und H gem. Anlage VIII CRA) * **Wichtige Produkte mit digitalen Elementen** nach Art. 7 CRA i.V.m. den in Anlage III CRA genannten **Klasse II **unterliegen der Konformitätsbewertung nach Art. 32 Abs. 3 CRA (Bewertung der Konformität nach den Modulen B, C und H gem. Anlage VIII CRA oder gem. EUCC mit Vertrauensstufe “mittel”)) * **Kritische Produkte mit digitalen Elementen** nach Art. 8 CRA i.V.m. Anlage IV CRA werden ge. Art. 32 Abs. 4 CRA nach dem EU Cybersecurity Certification Scheme gem. Verordnung (EU) 2019/881 zertifiziert (basierend auf der festgestellten Vertrauenswürdigkeitsstufe des Produkts, welche wiederum in angemessener Weise dessen Cybersicherheitsrisiko widerspiegeln muss; die Konkretisierung der kritischen Produkte mit digitalen Elementen erfolgt mittels delegierter Rechtsverordnung der Europäischen Kommission * **Sonstige Produkte mit digitalen Elementen** nach Art. 7 CRA i.V.m. der in Anlage III CRA genannten Klasse I unterliegen der Konformitätsbewertung nach Art. 32 Abs. 1 CRA (Bewertung der Konformität nach den Modulen A, B, C und H gem. Anlage VIII CRA) ## Umsetzungszeitpunkte * **11. September 2026** für den Aufbau der Meldelinien und die Erfüllung der ** Meldepflichten** nach Art. 14 CRA * **11. Dezember 2027** für aller **sonstigen Anforderungen**