Cyber Resilience Act
Harmonisierte Norm
Legaldefinition Art. 3 Nr. 36 CRA
„eine harmonisierte Norm gemäß der Begriffsbestimmung in Artikel 2 Nummer 1 Buchstabe c der Verordnung (EU) Nr. 1025/2012“
Den Begriff der harmonisierten Norm definiert der Cyber Resilience Act (CRA) nicht selbst, sondern verweist auf die europäische Normungsverordnung. Dort ist eine harmonisierte Norm eine europäische Norm, die auf der Grundlage eines Auftrags der Kommission zur Durchführung von Harmonisierungsrechtsvorschriften der Union angenommen wurde.
Drei Merkmale unterscheiden sie damit von einer gewöhnlichen Norm: Sie entsteht auf einen förmlichen Normungsauftrag hin, sie bezieht sich auf einen konkreten Rechtsakt, und ihre Fundstelle wird im Amtsblatt der EU veröffentlicht. Erst diese Veröffentlichung löst die Rechtswirkung aus.
Die Konformitätsvermutung
Der praktische Wert liegt in Artikel 27: Produkte, die harmonisierten Normen oder Teilen davon entsprechen, deren Fundstellen im Amtsblatt veröffentlicht wurden, gelten als konform mit den Anforderungen, die von diesen Normen abgedeckt sind.
Das kehrt die Beweislage um. Ohne Norm müssen Sie darlegen, warum Ihre Umsetzung eine Anforderung erfüllt. Mit Norm genügt der Nachweis, dass Sie die Norm eingehalten haben.
Zwei Einschränkungen sind wichtig: Die Vermutung gilt nur insoweit, wie die Norm die Anforderungen abdeckt. Für Lücken bleibt die Nachweispflicht bestehen. Und sie ist widerlegbar; sie ist eine Vermutung, keine Garantie.
Der Stand beim CRA
Die harmonisierten Normen zum CRA werden derzeit erarbeitet. Für Hersteller heißt das: Der bequeme Weg steht noch nicht durchgängig zur Verfügung, während die Fristen der Verordnung unverändert laufen.
Praktisch bewährt sich in dieser Lage ein zweistufiges Vorgehen. Man dokumentiert die Erfüllung jeder Anforderung aus Anhang I eigenständig und hält dabei fest, an welchen etablierten Normen man sich orientiert hat. Erscheint später eine passende harmonisierte Norm, lässt sich die Dokumentation darauf umstellen, statt bei null zu beginnen.
Abgrenzung zur Zertifizierung
Eine Norm anzuwenden ist nicht dasselbe wie zertifiziert zu sein. Die Konformitätsbewertung kann sich auf eine Norm stützen, bleibt aber ein eigener Vorgang, den bei den meisten Produkten der Hersteller selbst durchführt. Eine Zertifizierung durch Dritte verlangt der CRA nur für besonders eingestufte Produktkategorien.
Fragen aus der Praxis
-
Nein. Normen sind freiwillig. Verpflichtend sind allein die grundlegenden Cybersicherheitsanforderungen aus Anhang I. Wer eine harmonisierte Norm anwendet, bekommt jedoch die Konformitätsvermutung und muss die Erfüllung nicht einzeln herleiten. Wer sie nicht anwendet, muss denselben Nachweis auf anderem Weg führen. Zulässig ist das, aber aufwendiger.
-
Die Anforderungen gelten trotzdem. Die Konformitätsvermutung ist eine Erleichterung, keine Voraussetzung. In der Zwischenzeit stützt man sich auf anerkannte internationale Normen oder europäische Normen ohne Harmonisierungsstatus und auf eine sauber dokumentierte eigene Herleitung. Entscheidend ist, dass die Bewertung nachvollziehbar ist.
-
Die Vermutung reicht nur so weit wie die angewandten Teile der Norm und nur für die Anforderungen, die sie abdeckt. Wer eine Norm auszugsweise anwendet, muss für alles Übrige den Nachweis selbst führen. In der technischen Dokumentation sollte dabei genau festgehalten sein, welche Abschnitte angewendet wurden und welche nicht.
Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.