Gilt der CRA bei USB, Ethernet, RS-485, CAN, Funk, JTAG oder SD-Slot?
Die Tabelle hält jede Schnittstelle gegen den Wortlaut von Art. 3 Nr. 9 und gegen das, was die Kommission in FAQ und Leitlinien dazu geschrieben hat. Wo die Kommission nichts sagt, steht das so da.
| Schnittstelle | Begründung |
|---|---|
| USBJa | Wenn über die Buchse Daten laufen. USB ist eine elektrische Schnittstelle mit Kabel (Art. 3 Nr. 9). Die FAQ nennen USB ausdrücklich als direkte physische Verbindung (FAQ 1.3). Ein Firmware-Update per USB ist eine Datenverbindung mit einem anderen Gerät.Art. 3 Nr. 9FAQ 1.3 |
| Ethernet, RJ45Ja | Elektrische Schnittstelle und Drähte (Art. 3 Nr. 9). Die FAQ nennen das Ethernet-Kabel als Beispiel (FAQ 1.3).Art. 3 Nr. 9FAQ 1.3 |
| RS-485, RS-232 (Modbus RTU)Ja | Eine serielle Leitung ist eine elektrische Schnittstelle mit Drähten (Art. 3 Nr. 9). Modbus RTU überträgt codierte Daten von einem Sender an einen Empfänger, und genau das ist der Maßstab der Leitlinien für eine Datenverbindung (Rn. 28). Die FAQ nennen einen Feldbus über Kupferkabel zwischen Sensor und Steuerung als direkte physische Verbindung (FAQ 1.3, Beispiel PROFIBUS).Art. 3 Nr. 9Rn. 28FAQ 1.3 |
| CANJa | Auch CAN ist ein Feldbus über Drähte (Art. 3 Nr. 9; die FAQ 1.3 nennen als Beispiel PROFIBUS, CAN steht dort nicht). Ausgenommen sind zwei- und dreirädrige Fahrzeuge und Quads nach Verordnung (EU) Nr. 168/2013 (Art. 2 Abs. 5 mit Delegierter Verordnung (EU) 2025/1535), und das Steuergerät, wenn die Verordnung (EU) 2019/2144 zur Typgenehmigung von Kraftfahrzeugen darauf Anwendung findet (Art. 2 Abs. 2 Buchst. c).Art. 3 Nr. 9Art. 2 Abs. 2 cArt. 2 Abs. 5 |
| Funk: Bluetooth, WLAN, LoRaJa | Art. 3 Nr. 9 nennt Funkwellen wörtlich. Die FAQ nennen WLAN, Bluetooth und NFC als Beispiele (FAQ 1.3). LoRa steht dort nicht, der Wortlaut „Funkwellen“ erfasst es.Art. 3 Nr. 9FAQ 1.3 |
| JTAG oder SWD, nur im GehäusePrüfen | Die Verordnung nennt Debug-Ports nicht. Prüfstein ist der Wortlaut: eine elektrische Schnittstelle zwischen Komponenten ist eine physische Verbindung (Art. 3 Nr. 9), Art. 2 Abs. 1 fragt, ob die bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung sie einschließt. Die FAQ behandeln eine aktive Debug-Schnittstelle auf der Hauptplatine eines Druckers als Schwachstelle für die Risikobewertung (FAQ 4.3.1). Ob der Port allein ein Gerät in den CRA bringt, sagen weder FAQ noch Leitlinien.Art. 3 Nr. 9Art. 2 Abs. 1FAQ 4.3.1 |
| SD-KartenslotPrüfen | Die Verordnung nennt Speicherkarten nicht, FAQ und Leitlinien auch nicht. Der Slot ist eine elektrische Schnittstelle (Art. 3 Nr. 9), und Erwägungsgrund 9 zählt Dateien zu den Wegen einer logischen Verbindung. Prüfstein bleibt Art. 2 Abs. 1: Schließt die Verwendung ein, Daten von einem anderen Gerät ins Gerät zu bringen, etwa Firmware oder Konfiguration?Art. 3 Nr. 9EG 9Art. 2 Abs. 1 |
| Keine SchnittstelleNein | Wenn die Verwendung keine Verbindung zu anderen Geräten oder Netzen einschließt (FAQ 1.3, Beispiele Geschirrspüler und Taschenrechner). Wird die Firmware eines solchen Geräts getrennt in Verkehr gebracht, kann sie selbst darunter fallen (FAQ 1.3, Fußnote 1).FAQ 1.3Fn. 1 |
Welche Geräte nimmt Art. 2 aus?
Eine Schnittstelle reicht nicht, wenn eine dieser Ausnahmen greift. Keine davon nimmt eine Industriesteuerung, ein Gateway oder einen Sensor als solche heraus.
- Abs. 2 Buchst. a und b
- Produkte, auf die die Verordnung (EU) 2017/745 über Medizinprodukte oder die Verordnung (EU) 2017/746 über In-vitro-Diagnostika Anwendung findet.
- Abs. 2 Buchst. c
- Produkte, auf die die Verordnung (EU) 2019/2144 über die Typgenehmigung von Kraftfahrzeugen Anwendung findet.
- Abs. 3
- Produkte mit einer Zertifizierung nach der Verordnung (EU) 2018/1139 für die Zivilluftfahrt.
- Abs. 4
- Geräte im Anwendungsbereich der Richtlinie 2014/90/EU über Schiffsausrüstung.
- Abs. 5 mit Delegierter Verordnung (EU) 2025/1535
- Produkte im Anwendungsbereich der Verordnung (EU) Nr. 168/2013 (zwei- und dreirädrige Fahrzeuge, Quads), außer L1e-Fahrzeuge mit Tretantrieb (FAQ 1.9).
- Abs. 6
- Ersatzteile, die identische Komponenten ersetzen und nach denselben Spezifikationen hergestellt werden.
- Abs. 7
- Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder der Verteidigung entwickelt oder geändert wurden, und Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind.
Was folgt daraus für den Hersteller?
Fällt das Gerät unter den CRA, muss es nach Anhang I Teil I konzipiert, entwickelt und hergestellt sein (Art. 13 Abs. 1). Für Schnittstellen steht dort eine eigene Anforderung: möglichst geringe Angriffsflächen, ausdrücklich auch bei externen Schnittstellen (Anhang I Teil I Nr. 2 Buchst. j).
Dazu kommt die Stückliste. Hersteller müssen „Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“ (Anhang I Teil II Nr. 1). Die technische Dokumentation enthält die Software-Stückliste (Art. 31 Abs. 1, Anhang VII Nr. 2 Buchst. b).
Die Fristen stehen in Art. 71 Abs. 2: Die Verordnung gilt ab dem 11.12.2027, Art. 14 schon ab dem 11.09.2026. Seitdem meldet der Hersteller jede aktiv ausgenutzte Schwachstelle, von der er Kenntnis erlangt, und jeden schwerwiegenden Sicherheitsvorfall, die Frühwarnung binnen 24 Stunden (Art. 14 Abs. 1 bis 4). Die Meldepflicht gilt auch für Geräte, die vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3).
- 1
Schnittstellen auflisten
jede Buchse, jeden Bus, jedes Funkmodul, auch Debug-Ports und Kartenslots.
- 2
Je Schnittstelle prüfen
Laufen darüber Daten mit einem anderen Gerät oder Netz, direkt oder als Teil eines größeren Systems?
- 3
Ausnahmen prüfen
Medizinprodukt, typgenehmigtes Fahrzeug, Zweirad oder anderes L-Fahrzeug, Luftfahrtprodukt mit Zertifizierung nach 2018/1139, Schiffsausrüstung, Ersatzteil, Verteidigung.
- 4
Firmware erfassen
Komponenten mit Version und bekannte Schwachstellen je Release, als Grundlage für Stückliste und Meldeweg.
Was regelt Art. 2 Abs. 1?
Der Anwendungsbereich steht in einem Satz: „Diese Verordnung gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“
Die Kommission liest daraus drei Prüfpunkte, die alle zutreffen müssen (FAQ 1.1): Das Gerät ist ein Produkt mit digitalen Elementen. Es wird auf dem Markt bereitgestellt. Und seine Verwendung schließt eine Datenverbindung ein. Für eine Steuerung, ein Gateway oder einen Sensor mit Firmware treffen die ersten beiden fast immer zu. Die Schnittstelle entscheidet über den dritten.
Ein Netz braucht es dafür nicht. Art. 2 Abs. 1 sagt „mit einem Gerät oder Netz“. Ein Sensor, der nur an einer Steuerung hängt und nie das Internet sieht, hat eine Datenverbindung mit einem Gerät.
Welche Begriffe aus Art. 3 zählen?
Was eine Verbindung ist, definiert Art. 3 selbst. Die fünf Begriffe, auf die es ankommt, im Wortlaut:
| Begriff | Art. 3, Wortlaut |
|---|---|
| Nr. 1, Produkt mit digitalen Elementen | „ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“ |
| Nr. 2, Datenfernverarbeitung | „entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“ |
| Nr. 8, logische Verbindung | „eine virtuelle Darstellung einer Datenverbindung, die über eine Softwareschnittstelle hergestellt wird“ |
| Nr. 9, physische Verbindung | „eine Verbindung zwischen elektronischen Informationssystemen oder Komponenten, die mit physikalischen Mitteln wie elektrischen, optischen oder mechanischen Schnittstellen, Drähten oder Funkwellen hergestellt wird“ |
| Nr. 10, indirekte Verbindung | „eine Verbindung zu einem Gerät oder Netz, die nicht direkt erfolgt, sondern als Teil eines größeren Systems, das seinerseits direkt mit diesem Gerät oder Netz verbunden werden kann“ |
Was ist eine Datenverbindung im Sinne des CRA?
Den Begriff „Datenverbindung“ selbst definiert die Verordnung nicht. Die Leitlinien der Kommission vom 27.07.2026 füllen die Lücke (Rn. 27 und 28): Eine Datenverbindung überträgt Information in binärer Form. Ein Sender codiert sie bewusst, ein Empfänger kann sie als Daten lesen.
Ein Ausgang, der nur ein- und ausschaltet, ist danach für sich keine Datenverbindung. Signale, die eine Funktion nur auslösen oder mit Strom versorgen, ebenfalls nicht. Die FAQ nennen Beispiele außerhalb des CRA: einen Geschirrspüler, einen Taschenrechner oder eine Kaffeemaschine mit Firmware, die sich mit keinem anderen Gerät und keinem Netz verbinden können (FAQ 1.3).
Erwägungsgrund 9 nennt den Grund für die weite Fassung. Auch weniger kritische Hardware kann der erste Schritt in ein Netz sein. Die Pflicht gilt deshalb für Produkte, „die physisch über Hardware-Schnittstellen verbunden werden können“, und für Produkte, die nur indirekt verbunden sind. Zum Produkt gehört auch seine Datenfernverarbeitung (Art. 3 Nr. 1, FAQ 1.2): Ein Cloud-Backend, ohne das eine Gerätefunktion ausfällt, fällt mit unter den CRA.
Häufige Fragen
Reicht ein USB-Port für Firmware-Updates, damit der CRA greift?
Über den Port laufen Daten von einem anderen Gerät ins Gerät. USB ist eine elektrische Schnittstelle (Art. 3 Nr. 9), und die FAQ der Kommission nennen USB als Beispiel einer physischen Verbindung (FAQ 1.3). Damit trifft Art. 2 Abs. 1 zu, außer eine Ausnahme aus Art. 2 greift.
Mein Gerät hängt nur an einer Steuerung, nie am Internet. Fällt es darunter?
Ja. Art. 2 Abs. 1 verlangt eine Datenverbindung mit einem Gerät oder Netz, das Internet ist keine Voraussetzung. Auch eine indirekte Verbindung über ein größeres System zählt (Art. 3 Nr. 10).
Mein Funkgerät fällt schon unter die Funkanlagenrichtlinie. Gilt der CRA trotzdem?
Die FAQ der Kommission sagen: Der CRA gilt für die Funkanlagen aus der Delegierten Verordnung (EU) 2022/30. Die Kommission will diese Delegierte Verordnung zum 11.12.2027 aufheben. Geschieht das, unterliegen Funkanlagen der Kategorien aus 2022/30, die zwischen dem 01.08.2025 und dem 10.12.2027 in Verkehr kommen, den Cybersicherheitsanforderungen der Funkanlagenrichtlinie, ab dem 11.12.2027 denen des CRA (FAQ 2.6.1).
Gilt der CRA für Geräte, die ich heute schon verkaufe?
Die Meldepflicht nach Art. 14 gilt seit dem 11.09.2026 auch für sie (Art. 69 Abs. 3). Die übrigen Anforderungen gelten für vor dem 11.12.2027 in Verkehr gebrachte Produkte nur, wenn sie ab dann wesentlich geändert werden (Art. 69 Abs. 2).
Ändert die Schnittstelle etwas an der Produktklasse?
Die Schnittstelle entscheidet, ob der CRA gilt. Ob das Gerät ein wichtiges Produkt ist, hängt an seiner Kernfunktion nach Anhang III (Art. 7 Abs. 1).