EU CRA für vernetzte Hausgeräte
Ihr Hausgerät ist Standardklasse. Auch mit App, Cloud und Sprachsteuerung.
Eine Waschmaschine, ein Backofen oder ein Kaffeevollautomat mit WLAN und App fällt unter den Cyber Resilience Act. Eine notifizierte Stelle braucht das Gerät nicht.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
Fällt ein Hausgerät mit App unter den Cyber Resilience Act?
Ja. Ein Hausgerät mit WLAN, Bluetooth oder App verbindet sich mit einem Gerät oder Netz und fällt damit unter den EU CRA (Art. 2 Abs. 1). Waschmaschinen, Backöfen oder Kühlschränke stehen nicht in Anhang III oder IV und gehören zur Standardklasse. Der Hersteller bewertet die Konformität selbst nach Modul A (interne Kontrolle, ohne notifizierte Stelle).
Produktklassen
Wann fällt ein Hausgerät unter den EU CRA?
Drei Fragen entscheiden. Hat das Gerät eine Datenverbindung, direkt oder indirekt, auch über Bluetooth, eine Servicebuchse oder das Diagnosegerät des Kundendienstes? Wird es in der EU in Verkehr gebracht? Greift keine Ausnahme aus Art. 2 EU CRA? Dann fällt das Hausgerät unter den EU CRA. Die App gehört als Software zum Produkt. Die Hersteller-Cloud gehört dazu, wenn das Gerät sie für eine Funktion braucht, etwa für den Fernstart (Datenfernverarbeitung, Art. 3 Nr. 2 EU CRA).
Verteilung in dieser Branche
Produkt auswählen
Waschmaschine, Trockner oder Geschirrspüler mit WLAN und App
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Waschmaschine, Trockner oder Geschirrspüler mit WLAN und App | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA. |
| Backofen, Kochfeld oder Dunstabzug mit Fernsteuerung per App | Standardprodukt | Kochen bzw. Abluft ist die Kernfunktion; die Fernsteuerung ist eine Zusatzfunktion des Geräts. |
| Kaffeevollautomat oder Küchenmaschine mit Rezept-App | Standardprodukt | Kernfunktion Kaffee zubereiten; keine Kategorie in Anhang III oder IV. |
| Kühlschrank mit Innenkamera für Lebensmittel | Standardprodukt | Nach unserer Einschätzung keine Sicherheitskamera nach Anhang III Nr. 17: Die Kamera schützt nicht die physische Sicherheit der Bewohner. |
| Saugroboter oder Mähroboter mit App und Raumkarte | Standardprodukt | Nach unserer Einschätzung Standardklasse, solange er nicht als Überwachungskamera vermarktet wird; Kernfunktion ist Reinigen bzw. Mähen. |
| Hausgerät mit eingebautem Sprachassistenten | Standardprodukt | Die Kernfunktion bleibt Waschen, Kochen oder Kühlen (Art. 7 Abs. 1 EU CRA). |
| Smarter Lautsprecher mit Assistent als Küchenzentrale, separat verkauft | Wichtiges Produkt, Klasse I (Anhang III) | virtueller Assistent mit allgemeinem Zweck nach Anhang III Klasse I Nr. 16 EU CRA, wenn der Assistent die Kernfunktion ist. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Nicht unter den EU CRA fallen Hausgeräte ohne jede Datenverbindung, etwa ein Toaster mit Elektronik, aber ohne Daten- oder Serviceschnittstelle. Das Inverkehrbringen gilt je Einzelgerät: Geräte einer Baureihe, die ab dem 11. Dezember 2027 erstmals an Händler oder Kunden abgegeben werden, müssen die Anforderungen erfüllen. Geräte, die vorher in Verkehr gebracht wurden, unterliegen ihnen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2 EU CRA). Art. 14 gilt nach Art. 69 Abs. 3 auch für sie.
Standardklasse
Was bedeutet Standardklasse für den Hersteller eines Hausgeräts?
Standardklasse heißt: Der Hersteller darf die Konformität selbst bewerten. An den Anforderungen aus Anhang I EU CRA ändert die Klasse nichts. Welche Produktanforderungen aus Anhang I Teil I Nr. 2 für Gerät, App und Cloud greifen, entscheidet die Risikobewertung (Art. 13 Abs. 3); die Schwachstellenbehandlung nach Teil II gilt immer.
Konformitätsbewertung nach Modul A
Modul A ist die interne Kontrolle ohne notifizierte Stelle: Der Hersteller prüft selbst, ob Gerät und Schwachstellenprozess die Anforderungen erfüllen (Anhang VIII Teil I EU CRA).
Art. 32 Abs. 1 Buchst. a EU CRA
Technische Dokumentation je Modell
Risikobewertung, Beschreibung der Sicherheitsfunktionen, Software-Stückliste und Supportzeitraum mit Begründung gehören in die technische Dokumentation. Sie bleibt zehn Jahre verfügbar oder für den Supportzeitraum, je nachdem, was länger ist.
Art. 31, Art. 13 Abs. 13, Anhang VII EU CRA
Eine EU-Konformitätserklärung und CE-Kennzeichnung
Gelten für das Gerät mehrere EU-Rechtsakte, die eine Konformitätserklärung verlangen, etwa auch die Funkanlagenrichtlinie, muss der Hersteller eine einzige Erklärung für alle ausstellen, die auch den EU CRA nennt. Eine Kopie oder die vereinfachte Erklärung liegt dem Gerät bei, das das CE-Zeichen trägt.
Art. 13 Abs. 20, Art. 28 Abs. 3 und Art. 30 EU CRA
Ausnahmen
Wann wird ein Hausgerät oder ein Teil davon doch Klasse I?
Die Klasse folgt aus der Kernfunktion des Produkts (Art. 7 Abs. 1 EU CRA), die technischen Beschreibungen stehen in der Durchführungsverordnung (EU) 2025/2392. Für das Hausgerät selbst kommen vor allem zwei Kategorien in Betracht, Nr. 16 und Nr. 17, und beide greifen nur, wenn sie die Kernfunktion beschreiben. Dazu kommen Teile, die als eigenes Produkt verkauft werden.
Integration ändert die Klasse nicht
Ein Sprachassistent im Backofen macht den Backofen nicht zum Produkt der Klasse I. Art. 7 Abs. 1 Satz 2 EU CRA schließt das für integrierte Produkte aus. Die EU-Kommissions-Guidance zeigt die Logik am Smartphone mit Betriebssystem (Abschn. 6.1, Beispiel 58).
Art. 7 Abs. 1 EU CRA
Assistent oder Sicherheitszentrale als eigenes Produkt
Ein smarter Lautsprecher, der vor allem als Assistent verkauft wird und Geräte im Haushalt steuert, ist ein virtueller Assistent mit allgemeinem Zweck nach Anhang III Klasse I Nr. 16. Eine Zentrale, die Sicherheitsprodukte wie Kameras oder Alarmanlagen steuert, fällt unter Nr. 17. Selbst bewerten darf der Hersteller dann nur bei vollständig angewandter harmonisierter Norm, gemeinsamer Spezifikation oder Zertifizierung mindestens der Stufe „mittel“; sonst prüft eine notifizierte Stelle.
Anhang III Klasse I Nr. 16 und 17, Art. 32 Abs. 2 EU CRA
Funkmodul vom Zulieferer
Ein WLAN- oder Funkmodul, das der Zulieferer als eigenes Produkt in Verkehr bringt, ist eine physische Netzschnittstelle nach Anhang III Klasse I Nr. 10. Das betrifft den Modulhersteller. Für das Hausgerät, in dem es steckt, gilt der erste Punkt oben.
Anhang III Klasse I Nr. 10 EU CRA
Werbung, Anleitung und Doku stimmig halten
Die Kernfunktion muss in Werbung, Bedienungsanleitung und technischer Dokumentation übereinstimmend beschrieben sein (EU-Kommissions-Guidance Abschn. 6.1). Wer ein Gerät in der Werbung als Sicherheitszentrale anpreist, kann die Einstufung verschieben.
Art. 7 Abs. 1 EU CRA
Pflichten
Welche Pflichten hat der Hersteller eines Hausgeräts mit App?
App und Cloud, die das Gerät für eine Funktion braucht und die für den Hersteller entwickelt werden, sind Teil seines Produkts; für sie trägt er die volle Verantwortung. Für zugekaufte Komponenten wie das Funkmodul gilt die Sorgfaltspflicht nach Art. 13 Abs. 5 EU CRA. Für ein typisches Hausgerät heißt das:
- 01
Risikobewertung vor dem Marktstart
Art. 13 Abs. 2 und 3 EU CRA
Die Cybersicherheitsrisiken werden bewertet und dokumentiert: Kopplung mit der App, Fernstart, Cloud-Konto, Servicezugang des Kundendienstes, Update-Weg. Die Bewertung zeigt, welche Anforderungen aus Anhang I zutreffen und wie sie umgesetzt sind.
- 02
Sicher ab Werk
Anhang I Teil I Nr. 2 Buchst. b und d EU CRA
Anhang I verlangt eine sichere Standardkonfiguration und Schutz vor unbefugtem Zugriff. Umgesetzt wird das etwa durch eine bestätigte Kopplung mit der App und einen Fernstart des Backofens nur nach Authentifizierung. Das Gerät meldet einen möglicherweise unbefugten Zugriff.
- 03
Sicherheitsupdates, wo möglich automatisch
Anhang I Teil I Nr. 2 Buchst. c EU CRA
Schwachstellen in Firmware, App und Cloud werden mit Sicherheitsupdates behoben. Wo es zum Gerät passt, installieren sie sich standardmäßig automatisch, mit Hinweis an den Nutzer und der Möglichkeit, das abzuschalten.
- 04
Daten löschen beim Weiterverkauf
Anhang I Teil I Nr. 2 Buchst. m EU CRA
Nutzer können alle Daten und Einstellungen dauerhaft, sicher und einfach löschen, etwa WLAN-Zugangsdaten, Kontoverknüpfung oder die Raumkarte eines Saugroboters.
- 05
Supportende beim Kauf sichtbar
Art. 13 Abs. 8 und 19 EU CRA
Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer, abgewogen mit den weiteren Faktoren aus Art. 13 Abs. 8; fünf Jahre sind die Untergrenze. Beim Kauf steht das Enddatum mit Monat und Jahr auf Gerät, Verpackung oder digital.
- 06
Meldung ausgenutzter Schwachstellen und schwerwiegender Vorfälle
Art. 14 Abs. 1 bis 4 und 8 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden an das koordinierende CSIRT und die ENISA; für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen. Die Pflicht gilt seit dem 11. September 2026, auch für Geräte, die schon in Haushalten stehen. Betroffene Nutzer erfahren, was sie selbst tun können.
Angrenzende Regulierung
Welche Regeln gelten neben dem EU CRA für vernetzte Hausgeräte?
Funkanlagenrichtlinie 2014/53/EU und Delegierte Verordnung (EU) 2022/30
Die Delegierte Verordnung (EU) 2022/30 aktiviert für bestimmte Funkanlagen die Anforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie (Netz, Datenschutz, Betrug). Nach Erwägungsgrund 30 EU CRA decken die grundlegenden Cybersicherheitsanforderungen alle Elemente dieser drei ab, und für Hersteller unter beiden Rechtsakten soll die Kommission im Übergangszeitraum Leitlinien geben.
Datenschutz-Grundverordnung (EU) 2016/679
Nutzungsdaten, Kontodaten und Kamerabilder aus dem Haushalt sind personenbezogen. Die DSGVO bleibt unberührt (Erwägungsgrund 32 EU CRA); Vertraulichkeit und Datenminimierung sind zusätzlich Produktanforderungen nach Anhang I Teil I Nr. 2 Buchst. e und g EU CRA.
Aus der Praxis
Wo Hausgerätehersteller typischerweise hängen bleiben
Ein Funkmodul in vielen Modellen
Dasselbe WLAN-Modul samt Software-Stack steckt in Waschmaschine, Trockner und Geschirrspüler mehrerer Modelljahre. Eine Schwachstelle darin trifft das halbe Sortiment, und für Meldung und Update zählt, welcher Stand in welchem Gerät läuft.
Supportzeitraum kürzer als das Gerät
Eine Waschmaschine läuft zehn Jahre und länger. Nach der EU-Kommissions-Guidance (Abschn. 5) sind fünf Jahre die Untergrenze, kein Standardwert: Wird ein Produkt länger genutzt, braucht es längeren Support (Art. 13 Abs. 8 EU CRA).
App und Cloud aus verschiedenen Händen
Das Gerät baut der Hersteller, die App eine Agentur, die Cloud läuft bei einem Plattformanbieter. Für App und Cloud, die in seinem Auftrag entstehen, ist der Hersteller selbst verantwortlich. Für zugekaufte Bausteine wie Funkmodul und SDK braucht er für die Sorgfaltspflicht nach Art. 13 Abs. 5 EU CRA Stücklisten und Schwachstellenmeldungen der Lieferanten.
Eigenmarken des Handels
Wer ein Gerät eines Auftragsfertigers unter eigenem Namen verkauft, ist Hersteller im Sinne von Art. 3 Nr. 13 EU CRA. Technische Dokumentation, Stückliste und Updates muss er sich vertraglich sichern.
Mit Kunnus
Wie Kunnus Hausgerätehersteller unterstützt
Kunnus deckt die EU-CRA-Schicht ab: Einstufung, Stücklisten, Schwachstellen und Meldungen je Modell und Modelljahr. Elektrische Sicherheit, EMV, Funk und Ökodesign bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Beispiel: eine Waschmaschinen-Plattform mit App
Ein Hersteller baut drei Waschmaschinenmodelle auf einer Plattform mit WLAN-Modul, App für Fernstart und Verbrauchsanzeige, Cloud-Konto und optionaler Sprachsteuerung über einen eingebauten Assistenten.
- 1KlasseStandardklasse (s. o.)
- 2VerfahrenModul A, interne Kontrolle; keine notifizierte Stelle
- 3Produkt umfasstWaschmaschine, Firmware, App sowie Cloud-Konto für den Fernstart (Datenfernverarbeitung)
- 4Supportzeitraum10 Jahre nach erwarteter Nutzungsdauer, Enddatum beim Kauf mit Monat und Jahr
- 5Gemeinsame KomponenteWLAN-Modul in allen drei Modellen; eine Schwachstelle darin betrifft die ganze Plattform
- 6Am Ende liegt vorRisikobewertung, technische Dokumentation, SBOM je Firmware-Stand, EU-Konformitätserklärung, CE-Kennzeichnung, Meldeprozess
Beispielhafte Annahmen. Die Einstufung eines konkreten Produkts hängt von dessen Zweckbestimmung und Aufbau ab.
Branchen und Rechtstext
Zu welchen Branchen gehört das Produkt, und wo steht es in der Verordnung?
Häufige Fragen
Gehören App und Cloud zum Hausgerät?+
Eine App, die für eine Funktion des Geräts nötig ist, gehört als Software zum Produkt, auch wenn sie aus dem App Store kommt. Die EU-Kommissions-Guidance zeigt das am Fitness-Wearable mit Companion-App (Abschn. 2.4, Beispiel 9). Die Cloud ist Datenfernverarbeitung, wenn das Gerät ohne sie eine Funktion nicht erfüllen kann; reine Telemetrie reicht dafür nicht (Abschn. 8.1).
Fällt ein Gerät nur mit Bluetooth unter den EU CRA?+
Ein Hausgerät mit Bluetooth fällt unter den EU CRA, auch ohne WLAN und ohne Internet. Art. 2 Abs. 1 erfasst jede direkte oder indirekte Datenverbindung mit einem Gerät oder Netz, also auch die Verbindung zum Smartphone. Die Klasse ändert das nicht.
Was gilt für die Servicebuchse und Updates durch den Kundendienst?+
Eine Servicebuchse ist eine physische Datenverbindung (Art. 3 Nr. 9 EU CRA) und gehört in die Risikobewertung, etwa mit der Frage, wer darüber Firmware einspielen kann. Ein Sicherheitsupdate durch den Kundendienst ist nach der EU-Kommissions-Guidance (Abschn. 4.3) grundsätzlich keine wesentliche Änderung.
Was passiert, wenn der Hersteller die Cloud abschaltet?+
Während des Supportzeitraums muss das Produkt samt Cloud, die es für seine Funktionen braucht, die Anforderungen aus Anhang I EU CRA erfüllen. Eine Pflicht, die Cloud nach dem Supportende weiterzubetreiben, enthält der EU CRA nicht. Das Supportende zeigt der Hersteller an, wo technisch machbar (Art. 13 Abs. 19).
Was gilt für Ersatzteile wie ein neues WLAN-Modul?+
Ein Ersatzteil nach denselben Spezifikationen wie das Original fällt nach Art. 2 Abs. 6 EU CRA nicht unter die Verordnung. Nach der EU-Kommissions-Guidance (Abschn. 4.1) muss der Reparaturzweck aus der Lieferung hervorgehen, etwa über den Kundendienst-Kanal. Ein Modul mit anderen Sicherheitsfunktionen ist kein identisches Ersatzteil.
Was gilt für Hersteller aus der Schweiz?+
In der Schweiz gilt der EU CRA nicht. Ein Schweizer Hersteller, der Hausgeräte in die EU liefert, hat aber dieselben Herstellerpflichten wie ein Hersteller aus der EU. Einen EU-Bevollmächtigten kann er benennen, muss es aber nicht (Art. 18 EU CRA). Wer die Geräte in die EU einführt, trägt unabhängig davon die Einführerpflichten nach Art. 19.
Gilt der Cyber Resilience Act für Medizinprodukte und Fahrzeuge?+
Nein. Medizinprodukte und In-vitro-Diagnostika nach den Verordnungen (EU) 2017/745 und 2017/746 sowie Fahrzeuge nach Verordnung (EU) 2019/2144 sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Eine Personenwaage mit App, die kein Medizinprodukt ist, fällt dagegen unter den EU CRA.
Ist Ihr Hausgerät bereit für den EU CRA?
Das EU-CRA-Assessment ordnet Ihr Gerät in wenigen Minuten ein und zeigt, was noch fehlt. Eine erste, unverbindliche Einschätzung.
Weiterlesen
Weitere Produkte
Weitere Produkte im EU CRA
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Produktart, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.