EU CRA für Wallboxen und Ladestationen
Ihre Wallbox ist Standardklasse. App, Backend und Updates gehören trotzdem dazu.
Eine Wallbox oder Ladesäule mit App, OCPP-Anbindung oder RFID-Freigabe fällt unter den Cyber Resilience Act. Eine notifizierte Stelle braucht sie nicht, weil Ladepunkte weder in Anhang III noch in Anhang IV stehen.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
Fällt eine Wallbox unter den Cyber Resilience Act?
Ja, sobald sie sich mit App, Backend, Energiemanager oder Netz verbinden lässt (Art. 2 Abs. 1 EU CRA). Ladepunkte stehen nicht in Anhang III oder IV, auch die Durchführungsverordnung (EU) 2025/2392 nennt sie nicht. Wallboxen und Ladesäulen gehören damit zur Standardklasse mit Selbstbewertung nach Modul A.
Produktklassen
Wann fällt eine Ladestation unter den EU CRA?
Drei Fragen entscheiden. Hat die Ladestation eine Datenverbindung, direkt oder indirekt, auch über LAN, WLAN, Mobilfunk, Modbus zum Energiemanager oder einen Service-Port? Wird sie in der EU in Verkehr gebracht? Greift keine Ausnahme aus Art. 2 EU CRA? Dann fällt die Ladestation unter den EU CRA. Die eigene App gehört als Software zum Produkt (EU-Kommissions-Guidance Abschn. 2.4). Ein OCPP-Backend des Herstellers gehört dazu, wenn die Wallbox es für eine Funktion braucht (Datenfernverarbeitung, Art. 3 Nr. 2 EU CRA).
Verteilung in dieser Branche
Produkt auswählen
AC-Wallbox für Eigenheim oder Firmenparkplatz
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| AC-Wallbox für Eigenheim oder Firmenparkplatz | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Art. 32 Abs. 1 EU CRA. |
| DC-Schnellladesäule für öffentliche Ladeparks | Standardprodukt | Kernfunktion Laden; keine Kategorie in Anhang III oder IV. |
| Wallbox mit RFID-Leser zur Ladefreigabe | Standardprodukt | Der Leser gibt das Laden frei, Kernfunktion bleibt das Laden (Art. 7 Abs. 1 EU CRA). |
| Wallbox mit eingebautem MID-Zähler | Standardprodukt | Ein Zähler für die Abrechnung ist kein Smart-Meter-Gateway nach Anhang IV Nr. 2. |
| Lastmanagement-Controller für mehrere Ladepunkte | Standardprodukt | Verteilt Ladeleistung; keine Sicherheits- oder Routerfunktion als Kernfunktion, nach unserer Einschätzung Standardklasse. |
| Zugekauftes Bezahlterminal in einer öffentlichen DC-Ladesäule | Kritisches Produkt (Anhang IV) | Anhang IV Nr. 1; Pflicht beim Terminalhersteller, s. u. |
| Router oder VPN-Gateway für den Fernzugriff auf Ladeparks, separat verkauft | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 12 bzw. Nr. 5 EU CRA. |
| Smart-Meter-Gateway im intelligenten Messsystem | Kritisches Produkt (Anhang IV) | Anhang IV Nr. 2 EU CRA. In Deutschland ein eigenes Gerät des Messstellenbetreibers, nicht Teil der Wallbox. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Nicht unter den EU CRA fallen Ladegeräte ohne jede Datenverbindung. Das Fahrzeug selbst ist nach Art. 2 Abs. 2 ausgenommen, die Wallbox nicht. Das Inverkehrbringen zählt je Gerät: Ladestationen einer Serie, die ab dem 11. Dezember 2027 erstmals an Händler oder Kunden abgegeben werden, müssen die Anforderungen erfüllen. Vorher in Verkehr gebrachte Geräte unterliegen ihnen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2 EU CRA); Art. 14 gilt nach Art. 69 Abs. 3 auch für sie.
Standardklasse
Was bedeutet Standardklasse für einen Wallbox-Hersteller?
Standardklasse heißt: Der Hersteller bewertet die Konformität selbst. Die Klasse verringert die Anforderungen aus Anhang I EU CRA nicht. Welche Produktanforderungen aus Anhang I Teil I Nr. 2 greifen, entscheidet die Risikobewertung für Ladestation, App und Backend (Art. 13 Abs. 3); die Schwachstellenbehandlung nach Teil II gilt immer.
Konformitätsbewertung nach Modul A
Der Hersteller prüft selbst, ob Ladestation und Schwachstellenprozess die Anforderungen erfüllen (interne Kontrolle nach Anhang VIII Teil I EU CRA). Eine notifizierte Stelle ist nicht vorgeschrieben.
Art. 32 Abs. 1 Buchst. a EU CRA
Technische Dokumentation je Gerätegeneration
Risikobewertung, Software-Stückliste, Beschreibung von App und Backend und der begründete Supportzeitraum gehören in die technische Dokumentation. Sie bleibt zehn Jahre oder für die Dauer des Supportzeitraums verfügbar, je nachdem, was länger ist.
Art. 31, Art. 13 Abs. 13, Anhang VII EU CRA
Eine EU-Konformitätserklärung und CE-Kennzeichnung
Gelten neben dem EU CRA weitere Rechtsakte, etwa Niederspannungs-, EMV- und Funkanlagenrichtlinie, stellt der Hersteller eine einzige EU-Konformitätserklärung für alle aus. Eine Kopie oder die vereinfachte Erklärung liegt dem Gerät bei, und das Gerät trägt das CE-Zeichen.
Art. 13 Abs. 20, Art. 28 Abs. 3 und Art. 30 EU CRA
Ausnahmen
Wann wird ein Teil der Ladeinfrastruktur doch Klasse I oder kritisch?
Die Klasse folgt aus der Kernfunktion des Produkts (Art. 7 Abs. 1 und Art. 8 Abs. 1 EU CRA), die technischen Beschreibungen stehen in der Durchführungsverordnung (EU) 2025/2392. Ladepunkte kommen darin nicht vor, wohl aber Geräte, die in oder neben ihnen stecken.
RFID-Leser ändert die Kernfunktion nicht
Anhang III Klasse I Nr. 1 nennt Lesegeräte für Authentifizierung und Zugangskontrolle als Teil von Identitätsmanagementsystemen. Ein RFID-Leser in der Wallbox gibt nur das Laden frei; die Kernfunktion bleibt das Laden. Nach unserer Einschätzung bleibt die Wallbox deshalb Standardklasse.
Anhang III Klasse I Nr. 1, Art. 7 Abs. 1 EU CRA
Bezahlterminal (kritisch, beim Terminalhersteller)
Die Durchführungsverordnung nennt physische Bezahlterminals, die ihre Beschreibung erfüllen, als Beispiel für Anhang IV Nr. 1 (Geräte mit Sicherheitsbox). Wer ein Terminal zukauft und in die Ladesäule einbaut, prüft es mit der Sorgfaltspflicht nach Art. 13 Abs. 5; die Ladesäule bleibt nach ihrer Kernfunktion Standardklasse (EU-Kommissions-Guidance Abschn. 6.2, Beispiel 63).
Anhang IV Nr. 1 EU CRA, Durchführungsverordnung (EU) 2025/2392
Router oder VPN als eigenes Produkt (Klasse I)
Ein separat verkaufter Router für den Ladepark ist Klasse I nach Anhang III Nr. 12, ein VPN-Gateway nach Nr. 5. Für Klasse I bleibt Modul A möglich, wenn eine harmonisierte Norm, gemeinsame Spezifikation oder Zertifizierung mindestens der Stufe „mittel“ vollständig angewendet wird; sonst prüft eine notifizierte Stelle.
Anhang III Klasse I Nr. 5 und 12, Art. 32 Abs. 2 EU CRA
Smart-Meter-Gateway (kritisch)
Ein MID-Zähler ist kein Smart-Meter-Gateway; das Gateway ist ein eigenes Gerät.
Anhang IV Nr. 2 EU CRA
Spätere Neueinstufung: gegebenenfalls mit Übergangsfrist
Die Kommission kann Anhang III per delegiertem Rechtsakt ändern. Dieser sieht gegebenenfalls eine Übergangsfrist von mindestens zwölf Monaten vor, kürzer nur aus Gründen äußerster Dringlichkeit (Art. 7 Abs. 3 EU CRA). Für Ladepunkte gibt es heute keine solche Kategorie.
Art. 7 Abs. 3 EU CRA
Pflichten
Welche Pflichten hat der Hersteller einer Wallbox?
Hersteller ist, wer die Wallbox unter eigenem Namen oder eigener Marke in Verkehr bringt, auch bei Fertigung durch einen Auftragsfertiger (Art. 3 Nr. 13 EU CRA). Für eine typische Wallbox mit App und Backend heißt das:
- 01
Risikobewertung für Ladestation, App und Backend
Art. 13 Abs. 2 und 3 EU CRA
Bewertet werden alle Steuerwege: OCPP-Verbindung, App, RFID-Freigabe, Schnittstelle zum Energiemanager, Fernzugriff des Installateurs, Update-Weg.
- 02
Sichere Standardkonfiguration und Zugriffsschutz
Anhang I Teil I Nr. 2 Buchst. b und d EU CRA
Die Wallbox kommt sicher konfiguriert in den Handel und ist gegen unbefugten Zugriff geschützt, umgesetzt etwa durch individuelle Zugangsdaten für Weboberfläche und Service-Ebene und eine authentifizierte, verschlüsselte Backend-Verbindung. Die Wallbox meldet einen möglichen unbefugten Zugriff.
- 03
Verfügbarkeit und Rücksicht auf andere Netze
Anhang I Teil I Nr. 2 Buchst. h und i EU CRA
Wesentliche Funktionen bleiben auch nach einem Sicherheitsvorfall verfügbar, und die Wallbox beeinträchtigt die Dienste anderer Geräte und Netze möglichst wenig. Hängen Tausende Ladepunkte am selben Backend, berücksichtigt die Risikobewertung auch, was ein gleichzeitiger Angriff auf alle für das Stromnetz bedeutet.
- 04
Supportzeitraum nach der Nutzungsdauer
Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer, abgewogen mit den weiteren Faktoren aus Art. 13 Abs. 8; fünf Jahre sind die Untergrenze. Bei einer Wallbox, die zehn Jahre und mehr hängt, zählt deshalb die Nutzungsdauer, nicht die Untergrenze (EU-Kommissions-Guidance Abschn. 5).
- 05
Meldung ausgenutzter Schwachstellen und schwerer Vorfälle
Art. 14 Abs. 1 bis 4 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden an das koordinierende CSIRT und die ENISA; für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen. Die Pflicht gilt seit dem 11. September 2026, auch für Wallboxen, die schon an der Wand hängen.
Angrenzende Regulierung
Welche Regeln gelten neben dem EU CRA für Wallboxen?
Funkanlagenrichtlinie (RED) 2014/53/EU und Delegierte Verordnung (EU) 2022/30
Die Delegierte Verordnung (EU) 2022/30 aktiviert für bestimmte Funkanlagen, vor allem solche mit Internetverbindung, Cybersicherheitsanforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie; Buchst. f betrifft nur Geräte, die Geldtransfers ermöglichen. Nach Erwägungsgrund 30 EU CRA enthält Anhang I alle Elemente dieser Anforderungen; bestehende EU-Baumusterprüfbescheinigungen dazu bleiben übergangsweise gültig (Art. 69 Abs. 1 EU CRA). Die RED-Nachweise sind eine Grundlage, die Prozesspflichten aus Art. 13 und 14 EU CRA kommen hinzu.
Mess- und Eichrecht
Ein eingebauter Zähler für die Abrechnung folgt der Messgeräterichtlinie und nationalem Eichrecht. Diese Regeln betreffen Messrichtigkeit und Manipulationsschutz der Messdaten, nicht die Cybersicherheit der Wallbox insgesamt.
Aus der Praxis
Wo Wallbox-Hersteller typischerweise hängen bleiben
Backend und Firmware aus verschiedenen Händen
Das OCPP-Backend entsteht oft in einer anderen Abteilung oder bei einem Dienstleister. Was der Hersteller entwickeln lässt, gehört zum Produkt, wenn die Wallbox es für eine Funktion braucht; ein fremdes Standard-Backend wird wie eine zugekaufte Komponente geprüft (EU-Kommissions-Guidance Abschn. 8.1).
Eigenmarke vom Auftragsfertiger
Eine Wallbox vom Auftragsfertiger mit eigenem Logo macht den Markeninhaber zum Hersteller (Art. 3 Nr. 13 EU CRA). Stückliste, Schwachstellenmeldungen und Updates müssen vertraglich vom Fertiger kommen.
Service-Zugänge für Installateure
Installateure richten Lastmanagement und Freigaben über eine Weboberfläche ein. Ein gemeinsames Service-Passwort für alle Geräte ist ein typischer Befund. Nach unserer Einschätzung erfüllt ein gemeinsames Passwort Anhang I Teil I Nr. 2 Buchst. b und d nicht; spätestens bei Geräten, die ab dem 11. Dezember 2027 in Verkehr kommen, muss es weg sein. Bei internetfähigen Funkgeräten greift die Delegierte Verordnung (EU) 2022/30 bereits heute.
Lange Nutzungsdauer, kurzer Plattform-Support
Eine Wallbox hängt zehn Jahre und länger, der Linux-Kernel oder das Funkmodul darin wird oft kürzer gepflegt. Das gehört in die Festlegung des Supportzeitraums und in die Einkaufsbedingungen.
Mit Kunnus
Wie Kunnus Wallbox-Hersteller unterstützt
Kunnus deckt die EU-CRA-Schicht ab: Einstufung, Stücklisten, Schwachstellen und Meldungen je Gerätegeneration und Firmware-Stand. Elektrische Sicherheit, EMV und Eichrecht bleiben in Ihren bestehenden Prüf- und Zulassungsprozessen.
Rechenbeispiel
Beispiel: AC-Wallbox mit App, RFID und OCPP
Ein Hersteller verkauft eine 11-kW-Wallbox mit WLAN und LAN, RFID-Freigabe, MID-Zähler, einer App für Privatkunden und einem eigenen OCPP-Backend für Firmenflotten.
- 1KlasseStandardklasse (s. o.)
- 2VerfahrenModul A, interne Kontrolle; keine notifizierte Stelle
- 3Produkt umfasstWallbox, App (Software des Produkts), eigenes OCPP-Backend (Datenfernverarbeitung)
- 4Nicht Teil des Produktsdas Fahrzeug (ausgenommen) und das Smart-Meter-Gateway des Messstellenbetreibers
- 5Supportzeitraumnach erwarteter Nutzungsdauer, Enddatum mit Monat und Jahr angegeben
- 6Am Ende liegt vorRisikobewertung, technische Dokumentation, SBOM je Firmware-Stand, EU-Konformitätserklärung, CE-Kennzeichnung, Meldeprozess
Beispielhafte Annahmen. Die Einstufung eines konkreten Produkts hängt von dessen Zweckbestimmung und Aufbau ab.
Branchen und Rechtstext
Zu welchen Branchen gehört das Produkt, und wo steht es in der Verordnung?
Häufige Fragen
Gehört das OCPP-Backend zur Wallbox?+
Ein Backend, das der Hersteller für seine Wallbox entwickelt und das eine Funktion trägt, etwa Freigabe, Abrechnung, Konfiguration oder Update-Verteilung, ist Datenfernverarbeitung und Teil des Produkts (Art. 3 Nr. 2 EU CRA; EU-Kommissions-Guidance Abschn. 8.1). Ein Backend, das der Betreiber eines Ladeparks bei einem Dritten einkauft, gehört nicht zum Produkt des Wallbox-Herstellers.
Was gilt für eine Wallbox mit WLAN, Bluetooth oder LTE?+
Das Funkmodul bringt die Wallbox in den Anwendungsbereich des EU CRA. Für die Wallbox als Funkanlage gelten daneben die Anforderungen nach der Delegierten Verordnung (EU) 2022/30; Anhang I EU CRA enthält alle ihre Elemente (Erwägungsgrund 30).
Fällt eine Wallbox ohne App, nur mit Modbus zum Energiemanager, unter den EU CRA?+
Eine Modbus-Verbindung zum Energiemanager ist eine Datenverbindung zu einem anderen Gerät, das reicht für den Anwendungsbereich (Art. 2 Abs. 1 EU CRA). Ein Internetanschluss ist keine Voraussetzung. Die Wallbox bleibt Standardklasse.
Ist ein Firmware-Update aus der Ferne eine wesentliche Änderung?+
Wesentlich ist eine Änderung, die sich auf die Erfüllung der Anforderungen aus Anhang I Teil I auswirkt oder die Zweckbestimmung ändert (Art. 3 Nr. 30 EU CRA). Sicherheitsupdates sind es nach der EU-Kommissions-Guidance (Abschn. 4.3) grundsätzlich nicht. Ein Update, das neue, nicht bewertete Risiken schafft, etwa bidirektionales Laden mit Netzsteuerung, kann es sein.
Gilt der EU CRA für Hersteller aus der Schweiz?+
Für Wallboxen, die nur in der Schweiz verkauft werden, gilt der EU CRA nicht. Ein Schweizer Hersteller, der Wallboxen in der EU verkauft, hat dieselben Pflichten wie ein Hersteller aus der EU. Einen EU-Bevollmächtigten kann er benennen, muss es aber nicht (Art. 18 EU CRA). Wer die Geräte in die EU einführt, trägt unabhängig davon die Einführerpflichten nach Art. 19.
Gilt der Cyber Resilience Act für Medizinprodukte und Fahrzeuge?+
Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746) und typgenehmigte Fahrzeuge (Verordnung (EU) 2019/2144) sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Das Elektroauto fällt deshalb nicht unter den EU CRA, die Wallbox schon. Ein On-Board-Lader, der ausschließlich für den Einbau ins Fahrzeug bestimmt ist, kann nach der EU-Kommissions-Guidance (Abschn. 9.3) unter die Fahrzeug-Ausnahme fallen.
Ist Ihre Wallbox bereit für den EU CRA?
Das EU-CRA-Assessment ordnet Ihre Ladestationen in wenigen Minuten ein und zeigt, was noch fehlt. Eine erste, unverbindliche Einschätzung.
Weiterlesen
Weitere Produkte
Weitere Produkte im EU CRA
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Produktart, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.