„Unsere Steuerungen sind nach IEC 62443 zertifiziert, damit sind wir CRA-ready." Von allen Irrtümern dieser Serie ist das der sympathischste, denn wer ihn äußert, hat meistens tatsächlich in Produktsicherheit investiert. Umso wichtiger ist die Präzisierung: Die Vorarbeit ist wertvoll, die Schlussfolgerung ist falsch.
Was bedeutet IEC 62443 und was leistet sie?
Die IEC-62443-Reihe ist der international etablierte Normenrahmen für Cybersicherheit in der industriellen Automatisierung. Für Produkthersteller sind vor allem zwei Teile relevant: 62443-4-1 beschreibt einen sicheren Entwicklungsprozess, 62443-4-2 definiert technische Sicherheitsanforderungen an Komponenten wie Steuerungen, Sensoren oder Gateways.
Wer seine Produkte nach diesen Teilen entwickelt und zertifizieren lässt, hat einen erheblichen Teil dessen umgesetzt, was der Cyber Resilience Act unter Security by Design versteht, also Sicherheit, die von Anfang an im Entwicklungsprozess verankert ist. Gerade im Maschinen- und Anlagenbau ist die Norm der Standard, auf den sich Hersteller und Betreiber verständigt haben.
Warum das Zertifikat trotzdem keine CRA-Konformität erzeugt
Der CRA folgt dem New Legislative Framework, dem EU-Rechtsrahmen für Produktsicherheit. In diesem System gibt es einen präzisen Mechanismus: die harmonisierte Norm. Nur Normen, die im Auftrag der EU-Kommission erarbeitet und im EU-Amtsblatt gelistet sind, erzeugen eine Konformitätsvermutung. Wer nach ihnen entwickelt und bewertet, darf annehmen, die entsprechenden Anforderungen zu erfüllen.
Genau hier liegt der formale Haken: Die 62443-Reihe ist derzeit keine gelistete harmonisierte Norm unter dem CRA. Die europäischen Normungsorganisationen, federführend CENELEC, arbeiten daran, Teile der Reihe in harmonisierte europäische Normen zu überführen. Bis diese Arbeiten abgeschlossen und die Normen gelistet sind, erzeugt ein 62443-Zertifikat keine automatische Vermutungswirkung. Der Stand kann sich ändern, deshalb gehört die Harmonisierung auf Ihre Beobachtungsliste. Ich kennzeichne das bewusst als bewegliches Ziel.
Dazu kommt der inhaltliche Teil: Selbst bei vollständiger 62443-Umsetzung bleiben CRA-Pflichten offen, die die Norm nicht adressiert:
- SBOM: Der CRA verlangt eine SBOM (Software Bill of Materials), also ein vollständiges Verzeichnis aller Softwarekomponenten, als Teil der technischen Dokumentation je Produkt. Wie Sie diese aufbauen, zeigt der SBOM-Guide.
- Meldepflichten: Ab dem 11. September 2026 müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden über die Single Reporting Platform der ENISA gemeldet werden. Die Norm kennt Prozesse für den Umgang mit Schwachstellen, aber keine Behördenmeldung mit EU-Fristen. Details im Beitrag zur 24-Stunden-Frist.
- Support-Zeitraum: Der CRA verpflichtet Hersteller, über einen festgelegten Zeitraum kostenlose Sicherheitsupdates bereitzustellen, pro in Verkehr gebrachtem Produkt.
- Konformitätsbewertung und CE-Kennzeichnung: Der CRA verlangt ein formales Bewertungsverfahren mit EU-Konformitätserklärung. Für viele Industrieprodukte, die als wichtige Produkte der Klasse I oder Klasse II eingestuft sind, gelten dabei verschärfte Verfahren, teils mit Beteiligung notifizierter Stellen. Mehr dazu im Artikel zur CE-Kennzeichnung unter dem CRA.
Ein Beispiel aus der Praxis: Ein SPS-Hersteller gibt seinem Vertrieb das 62443-4-2-Zertifikat als „CRA-konform" mit. Im nächsten Lieferantenaudit fragt ein Großkunde nach der EU-Konformitätserklärung und der SBOM für die Produktfamilie. Beides existiert nicht. Das Ärgerliche daran: Das Unternehmen ist 80 Prozent des Weges gegangen und scheitert kommunikativ an den fehlenden 20 Prozent.
Mythos vs. Fakt
Mythos: Eine Zertifizierung nach IEC 62443 bedeutet CRA-Konformität.
Fakt: Die 62443-Reihe ist derzeit nicht als harmonisierte Norm unter dem CRA gelistet und erzeugt keine Konformitätsvermutung. Zudem deckt sie SBOM-Pflicht, ENISA-Meldepflichten, Support-Zeitraum und das formale Konformitätsbewertungsverfahren nicht ab. Sie ist die beste Vorarbeit, aber kein Ersatz.
Konkrete Konsequenzen für Industriehersteller
1. Mappen Sie Ihre 62443-Nachweise gegen Anhang I des CRA. Ein strukturiertes Mapping zeigt, welche der grundlegenden Anforderungen Sie mit vorhandenen Nachweisen aus 62443-4-1 und 62443-4-2 bereits belegen können. Erfahrungsgemäß deckt das einen großen Teil der technischen Anforderungen ab. Der Rest wird zur konkreten Arbeitsliste statt zum diffusen Großprojekt.
2. Schließen Sie die vier strukturellen Lücken als eigene Arbeitspakete. SBOM-Erstellung je Produktlinie, Meldeprozess mit 24-Stunden-Fähigkeit, Definition und Absicherung des Support-Zeitraums, Vorbereitung des Konformitätsbewertungsverfahrens. Diese vier Punkte entstehen nicht als Nebenprodukt der Normarbeit, sie brauchen eigene Verantwortliche und Termine.
3. Beobachten Sie die Harmonisierung aktiv. Sobald Teile der 62443-Reihe als harmonisierte Normen gelistet sind, steigt der Wert Ihrer Zertifikate erheblich, bis hin zur Konformitätsvermutung für die abgedeckten Anforderungen. Wer die Entwicklung verfolgt, kann sein Konformitätsbewertungsverfahren darauf ausrichten und Doppelarbeit vermeiden. Bis dahin gilt: Werben Sie mit 62443 als Qualitätsnachweis, nicht als CRA-Konformität.
Was bedeutet das für Ihre CRA-Roadmap?
Am 11. September 2026 treten die Meldepflichten in Kraft, unabhängig von jedem Zertifizierungsstatus. Ihr 62443-Schwachstellenprozess ist die Basis, der ENISA-Meldeweg kommt obendrauf.
Am 11. Dezember 2027 folgt die volle CRA-Anwendbarkeit. Für neu in Verkehr gebrachte Produkte, also Produkte, die erstmals tatsächlich auf dem EU-Markt bereitgestellt werden, braucht es dann die vollständige Konformität inklusive CE-Kennzeichnung.
Wie Sie von der Normbasis zur vollständigen Konformität kommen, zeigt die CRA Compliance-Roadmap 2026/2027. Was bei Verstößen droht, behandelt der Artikel zu CRA-Bußgeldern und Sanktionen.
Häufig gestellte Fragen
Lohnt sich eine 62443-Zertifizierung dann überhaupt noch? Ja, mehr denn je. Die Norm ist die wahrscheinlichste Grundlage der kommenden harmonisierten Normen für Industrieprodukte. Wer heute nach 62443 arbeitet, investiert in genau die Nachweise, die morgen die Konformitätsvermutung tragen dürften.
Unser Zertifikat stammt von einer akkreditierten Stelle. Ändert das etwas? Für die Qualität des Nachweises ja, für die CRA-Rechtswirkung nein. Solange die Norm nicht als harmonisierte Norm gelistet ist, erzeugt auch das beste Zertifikat keine Konformitätsvermutung.
Gilt das auch für andere Normen, etwa ETSI EN 303 645 für Consumer-IoT? Die Logik ist dieselbe: Entscheidend ist, ob eine Norm als harmonisierte Norm unter dem CRA gelistet ist. Bestehende Sicherheitsnormen sind wertvolle Vorarbeit, aber erst die Listung im EU-Amtsblatt erzeugt die Vermutungswirkung.
Unsere Komponenten sind nach 62443 zertifiziert, die Maschine insgesamt aber nicht. Was gilt? Der CRA knüpft an das Produkt mit digitalen Elementen an, das Sie in Verkehr bringen. Zertifizierte Zukaufkomponenten helfen Ihnen in der Lieferkette, entbinden Sie aber nicht von der Konformität des Gesamtprodukts. Beachten Sie zusätzlich die Maschinenverordnung, die parallel gilt.
Wann werden die harmonisierten CRA-Normen verfügbar sein? Die Normungsarbeiten laufen unter Hochdruck, gestaffelt nach Produktkategorien. Verlassen Sie sich nicht auf einen bestimmten Termin: Planen Sie Ihre Konformitätsbewertung so, dass sie auch ohne Vermutungswirkung funktioniert, und nutzen Sie die Normen, sobald sie gelistet sind.
Fazit
IEC 62443 ist die beste Vorarbeit, die ein Industriehersteller für den CRA leisten kann, und gleichzeitig kein Freifahrtschein. Ohne Listung als harmonisierte Norm gibt es keine Konformitätsvermutung, und SBOM, Meldepflichten, Support-Zeitraum und CE-Prozess bleiben in jedem Fall Ihre Aufgabe.
Eine SBOM-Analyse und ein strukturiertes Gap-Mapping mit einer Plattform wie Kunnus helfen dabei, die vorhandene Normbasis systematisch in CRA-Konformität zu überführen, bevor der Stichtag aus der Theorie in die Praxis kippt. Den Einstieg bietet unser kostenloser CRA-Compliance-Check.
Jeden Freitag räume ich hier mit einem CRA-Mythos auf.