EU CRA für Wechselrichter und Batteriespeicher
Wechselrichter und Speicher sind Standardklasse. In der PV-Anlage ist typischerweise nur das Smart-Meter-Gateway kritisch.
Ein PV-Wechselrichter oder Batteriespeicher mit Monitoring-App, Cloud oder Fernsteuerung durch den Netzbetreiber fällt unter den Cyber Resilience Act. Eine notifizierte Stelle braucht er nicht.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
Fällt ein PV-Wechselrichter unter den Cyber Resilience Act?
Ja, sobald er sich mit App, Cloud, Energiemanager oder Netz verbinden lässt (Art. 2 Abs. 1 EU CRA). Wechselrichter und Batteriespeicher stehen nicht in Anhang III oder IV und gehören zur Standardklasse mit Selbstbewertung nach Modul A. In einer PV-Anlage ist typischerweise nur das Smart-Meter-Gateway kritisch (Anhang IV Nr. 2).
Produktklassen
Wann fällt ein Wechselrichter oder Speicher unter den EU CRA?
Drei Fragen entscheiden. Hat das Gerät eine Datenverbindung, direkt oder indirekt, auch über Modbus, RS485, WLAN-Stick oder Service-Schnittstelle? Wird es in der EU in Verkehr gebracht? Greift keine Ausnahme aus Art. 2 EU CRA? Dann fällt das Gerät unter den EU CRA. Die eigene App gehört als Software zum Produkt (EU-Kommissions-Guidance Abschn. 2.4). Ein Monitoring-Portal oder eine Steuer-Cloud des Herstellers gehört dazu, wenn das Gerät sie für eine Funktion braucht (Datenfernverarbeitung, Art. 3 Nr. 2 EU CRA).
Verteilung in dieser Branche
Produkt auswählen
PV-Wechselrichter für Wohnhaus oder Gewerbe
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| PV-Wechselrichter für Wohnhaus oder Gewerbe | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Art. 32 Abs. 1 EU CRA. |
| Hybridwechselrichter mit Speicheranschluss | Standardprodukt | Kernfunktion bleibt die Energiewandlung; keine Kategorie in Anhang III oder IV. |
| Batteriespeicher mit Batteriemanagementsystem und App | Standardprodukt | Keine Kategorie in Anhang III oder IV. |
| Energiemanager oder HEMS, der Wechselrichter, Speicher und Wallbox steuert | Standardprodukt | Steuert Energieflüsse, hat keine Sicherheitsfunktion und ist kein Messsystem-Gateway; nach unserer Einschätzung Standardklasse. |
| Datenlogger mit eigener Anwendung oder eigenem Portal | Standardprodukt | Sammelt und wertet Anlagendaten aus; keine Kategorie in Anhang III oder IV. |
| WLAN- oder LAN-Stick als reine Netzwerkschnittstelle, separat verkauft | Wichtiges Produkt, Klasse I (Anhang III) | Nur wenn der Stick als reine Netzwerkschnittstelle arbeitet (Treiber im Wechselrichter): Anhang III Klasse I Nr. 10. Sticks mit eigener Logik und Cloud-Anbindung sind nach unserer Einschätzung Standardklasse wie der Datenlogger. |
| Router oder LTE-Modem für den Anlagenzugang, separat verkauft | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 12 EU CRA. |
| Smart-Meter-Gateway im intelligenten Messsystem | Kritisches Produkt (Anhang IV) | Anhang IV Nr. 2 EU CRA. In Deutschland ein eigenes Gerät des Messstellenbetreibers, nicht Teil des Wechselrichters. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Nicht unter den EU CRA fallen Wechselrichter ohne jede Datenschnittstelle. Das Inverkehrbringen zählt je Gerät: Geräte einer Serie, die ab dem 11. Dezember 2027 erstmals an Händler oder Kunden abgegeben werden, müssen die Anforderungen erfüllen. Vorher in Verkehr gebrachte Geräte unterliegen ihnen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2 EU CRA); Art. 14 gilt nach Art. 69 Abs. 3 auch für sie.
Standardklasse
Was bedeutet Standardklasse für einen Wechselrichter-Hersteller?
Standardklasse heißt: Der Hersteller bewertet die Konformität selbst. Die Klasse verringert die Anforderungen aus Anhang I EU CRA nicht. Welche Produktanforderungen aus Anhang I Teil I Nr. 2 greifen, entscheidet die Risikobewertung für Gerät, App und Portal (Art. 13 Abs. 3); die Schwachstellenbehandlung nach Teil II gilt immer.
Konformitätsbewertung nach Modul A
Der Hersteller prüft selbst, ob Gerät und Schwachstellenprozess die Anforderungen erfüllen (interne Kontrolle nach Anhang VIII Teil I EU CRA). Eine notifizierte Stelle ist nicht vorgeschrieben.
Art. 32 Abs. 1 Buchst. a EU CRA
Technische Dokumentation je Gerätegeneration
Risikobewertung, Software-Stückliste, Beschreibung von Portal und Fernsteuerung und der begründete Supportzeitraum gehören in die technische Dokumentation. Sie bleibt zehn Jahre oder für die Dauer des Supportzeitraums verfügbar, je nachdem, was länger ist.
Art. 31, Art. 13 Abs. 13, Anhang VII EU CRA
Eine EU-Konformitätserklärung und CE-Kennzeichnung
Gelten neben dem EU CRA weitere Rechtsakte, etwa Niederspannungs-, EMV- und Funkanlagenrichtlinie, stellt der Hersteller eine einzige EU-Konformitätserklärung für alle aus. Eine Kopie oder die vereinfachte Erklärung liegt dem Gerät bei, und das Gerät trägt das CE-Zeichen.
Art. 13 Abs. 20, Art. 28 Abs. 3 und Art. 30 EU CRA
Ausnahmen
Wann wird ein Teil der PV-Anlage doch Klasse I oder kritisch?
Die Klasse folgt aus der Kernfunktion des Produkts (Art. 7 Abs. 1 EU CRA), die technischen Beschreibungen stehen in der Durchführungsverordnung (EU) 2025/2392. Wechselrichter und Speicher selbst kommen darin nicht vor.
Smart-Meter-Gateway (kritisch)
Kritisch ist das Gerät, das die Kommunikation zwischen den Komponenten eines intelligenten Messsystems und berechtigten Dritten wie Versorgungsunternehmen steuert. Gateways für Gas- oder Wärmezähler können dazugehören, wenn sie diese Beschreibung erfüllen. Nach unserer Einschätzung kann die Gateway-Funktion je nach Systemarchitektur auch im Zähler sitzen; ein Wechselrichter, der Messwerte nur liest, ist kein solches Gateway.
Anhang IV Nr. 2 EU CRA, Durchführungsverordnung (EU) 2025/2392
Netzwerkadapter und Router (Klasse I)
Ein separat verkaufter Stick, der als reine Netzwerkschnittstelle arbeitet (Treiber im Wechselrichter), ist eine Netzschnittstelle nach Anhang III Nr. 10; ein Router oder Internet-Modem für den Anlagenzugang fällt unter Nr. 12, ein VPN-Gateway unter Nr. 5. Für Klasse I bleibt Modul A möglich, wenn eine harmonisierte Norm, gemeinsame Spezifikation oder Zertifizierung mindestens der Stufe „mittel“ vollständig angewendet wird; sonst prüft eine notifizierte Stelle.
Anhang III Klasse I Nr. 5, 10 und 12, Art. 32 Abs. 2 EU CRA
Integration ändert die Klasse nicht
Ein eingebautes LTE-Modem oder ein Mikrocontroller mit Sicherheitsfunktionen macht den Wechselrichter nicht zum wichtigen Produkt. Nach Art. 7 Abs. 1 Satz 2 EU CRA löst die Integration allein kein strengeres Verfahren aus.
Art. 7 Abs. 1 EU CRA
Spätere Neueinstufung: gegebenenfalls mit Übergangsfrist
Die Kommission kann Anhang III per delegiertem Rechtsakt ändern. Dieser sieht gegebenenfalls eine Übergangsfrist von mindestens zwölf Monaten vor, kürzer nur aus Gründen äußerster Dringlichkeit (Art. 7 Abs. 3 EU CRA). Für Wechselrichter gibt es heute keine solche Kategorie.
Art. 7 Abs. 3 EU CRA
Pflichten
Welche Pflichten hat der Hersteller eines Wechselrichters oder Speichers?
Hersteller ist, wer das Gerät unter eigenem Namen oder eigener Marke in Verkehr bringt, auch bei Fertigung durch einen Auftragsfertiger (Art. 3 Nr. 13 EU CRA). Für ein typisches Gerät mit Portal heißt das:
- 01
Risikobewertung einschließlich Fernsteuerung
Art. 13 Abs. 2 und 3 EU CRA
Bewertet werden Gerät, App, Portal und alle Steuerwege: Leistungsvorgaben des Netzbetreibers, Fernparametrierung durch den Installateur, Firmware-Updates über die Cloud.
- 02
Sichere Standardkonfiguration und Zugriffsschutz
Anhang I Teil I Nr. 2 Buchst. b und d EU CRA
Das Gerät kommt sicher konfiguriert in den Handel und ist gegen unbefugten Zugriff geschützt, umgesetzt etwa durch individuelle Zugangsdaten für Installateur- und Service-Ebene und Fernzugriff nur nach Authentifizierung. Das Gerät meldet einen möglichen unbefugten Zugriff.
- 03
Verfügbarkeit und Rücksicht auf andere Netze
Anhang I Teil I Nr. 2 Buchst. h und i EU CRA
Wesentliche Funktionen bleiben auch nach einem Sicherheitsvorfall verfügbar, und das Gerät beeinträchtigt die Dienste anderer Geräte und Netze möglichst wenig. Hängen Tausende Wechselrichter am selben Portal, berücksichtigt die Risikobewertung auch, was ein gleichzeitiger Angriff auf alle für das Stromnetz bedeutet.
- 04
Supportzeitraum nach der Nutzungsdauer
Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer, abgewogen mit den weiteren Faktoren aus Art. 13 Abs. 8; fünf Jahre sind die Untergrenze. Bei einem Wechselrichter, der 15 Jahre und mehr läuft, zählt deshalb die Nutzungsdauer, nicht die Untergrenze (EU-Kommissions-Guidance Abschn. 5).
- 05
Meldung ausgenutzter Schwachstellen und schwerer Vorfälle
Art. 14 Abs. 1 bis 4 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden an das koordinierende CSIRT und die ENISA; für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen. Die Pflicht gilt seit dem 11. September 2026, auch für Geräte im Bestand.
Angrenzende Regulierung
Welche Regeln gelten neben dem EU CRA für Wechselrichter und Speicher?
Funkanlagenrichtlinie (RED) 2014/53/EU und Delegierte Verordnung (EU) 2022/30
Die Delegierte Verordnung (EU) 2022/30 aktiviert für bestimmte Funkanlagen, vor allem solche mit Internetverbindung, Cybersicherheitsanforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie; Buchst. f betrifft nur Geräte, die Geldtransfers ermöglichen. Nach Erwägungsgrund 30 EU CRA enthält Anhang I alle Elemente dieser Anforderungen; bestehende EU-Baumusterprüfbescheinigungen dazu bleiben übergangsweise gültig (Art. 69 Abs. 1 EU CRA).
Netzanschlussregeln und Messstellenbetrieb
Netzanschlussregeln und nationales Messstellenrecht regeln, wie Netzbetreiber Anlagen steuern und wie das Smart-Meter-Gateway eingebunden wird. Sie ersetzen die Produktpflichten des EU CRA nicht; die Steuerschnittstelle des Wechselrichters gehört in dessen Risikobewertung.
Aus der Praxis
Wo Wechselrichter-Hersteller typischerweise hängen bleiben
Portal und Firmware aus verschiedenen Teams
Das Monitoring-Portal entsteht oft in einer anderen Abteilung als die Firmware. Entwickelt der Hersteller das Portal selbst oder lässt es entwickeln und braucht das Gerät es für eine Funktion, bilden beide ein Produkt mit einer Risikobewertung und einem Meldeweg.
Bestandsflotte mit alten Firmware-Ständen
Zehntausende Geräte im Feld laufen auf verschiedenen Firmware-Ständen. Für eine Meldung muss klar sein, welche Stände betroffen sind und wie viele Geräte sie tragen.
Eigenmarke auf zugekauftem Gerät
Ein Wechselrichter vom Auftragsfertiger mit eigenem Logo macht den Markeninhaber zum Hersteller (Art. 3 Nr. 13 EU CRA). Stückliste, Schwachstellenmeldungen und Updates müssen vertraglich vom Fertiger kommen.
Installateur-Zugänge
Installateure brauchen Zugriff auf viele Anlagen. Ein gemeinsamer Service-Code für alle Geräte ist ein typischer Befund. Nach unserer Einschätzung erfüllt ein gemeinsames Passwort Anhang I Teil I Nr. 2 Buchst. b und d nicht; spätestens bei Geräten, die ab dem 11. Dezember 2027 in Verkehr kommen, muss es weg sein. Bei internetfähigen Funkgeräten greift die Delegierte Verordnung (EU) 2022/30 bereits heute.
Mit Kunnus
Wie Kunnus Hersteller von Wechselrichtern und Speichern unterstützt
Kunnus deckt die EU-CRA-Schicht ab: Einstufung, Stücklisten, Schwachstellen und Meldungen je Gerätegeneration und Firmware-Stand. Elektrische Sicherheit, EMV und Netzanschlussprüfungen bleiben in Ihren bestehenden Prüf- und Zulassungsprozessen.
Rechenbeispiel
Beispiel: Hybridwechselrichter mit Speicher und Portal
Ein Hersteller verkauft einen Hybridwechselrichter mit eigenem Batteriespeicher, eingebautem WLAN, einer App und einem Portal, über das Installateure Anlagen einrichten und Updates verteilen.
- 1KlasseStandardklasse für Wechselrichter und Speicher (s. o.)
- 2VerfahrenModul A, interne Kontrolle; keine notifizierte Stelle
- 3Produkt umfasstWechselrichter, Speicher, App (Software des Produkts), Installateur-Portal (Datenfernverarbeitung)
- 4Nicht Teil des Produktsdas Smart-Meter-Gateway des Messstellenbetreibers (kritisch, eigenes Gerät)
- 5Supportzeitraumnach erwarteter Nutzungsdauer, Enddatum mit Monat und Jahr angegeben
- 6Am Ende liegt vorRisikobewertung, technische Dokumentation, SBOM je Firmware-Stand, EU-Konformitätserklärung, CE-Kennzeichnung, Meldeprozess
Beispielhafte Annahmen. Die Einstufung eines konkreten Produkts hängt von dessen Zweckbestimmung und Aufbau ab.
Branchen und Rechtstext
Zu welchen Branchen gehört das Produkt, und wo steht es in der Verordnung?
Häufige Fragen
Gehört das Monitoring-Portal zum Wechselrichter?+
Ein Portal, das der Hersteller für seinen Wechselrichter entwickelt und das eine Gerätefunktion trägt, etwa Einrichtung, Fernparametrierung oder Update-Verteilung, ist Datenfernverarbeitung und Teil des Produkts (Art. 3 Nr. 2 EU CRA; EU-Kommissions-Guidance Abschn. 8.1). Telemetrie nur für Statistik zählt nicht dazu, gehört aber in die Risikobewertung.
Ist ein separat verkaufter WLAN-Stick für den Wechselrichter Klasse I?+
Nur wenn der Stick als reine Netzwerkschnittstelle arbeitet und der Treiber im Wechselrichter läuft: Dann ist er eine Netzschnittstelle nach Anhang III Klasse I Nr. 10 EU CRA. Sticks mit eigener Logik und Cloud-Anbindung sind nach unserer Einschätzung Standardklasse wie ein Datenlogger.
Fällt ein Wechselrichter mit Modbus-Schnittstelle und ohne Internet unter den EU CRA?+
Eine Modbus- oder RS485-Schnittstelle ist eine Datenverbindung zu einem anderen Gerät, das reicht für den Anwendungsbereich (Art. 2 Abs. 1 EU CRA). Ein Internetanschluss ist keine Voraussetzung. Der Wechselrichter bleibt Standardklasse.
Was gilt für Ersatzteile und Ersatzgeräte?+
Ein Ersatzteil, das nachweislich zur Reparatur geliefert wird und in den sicherheitsrelevanten Eigenschaften dem Original entspricht, fällt nach Art. 2 Abs. 6 EU CRA nicht unter die Verordnung. Nach der EU-Kommissions-Guidance (Abschn. 4.1, Beispiel 39) kann das auch ein ganzes Teilprodukt einer Anlage sein, etwa ein baugleicher Ersatz-Wechselrichter. Sonst ist der Ersatz ein neu in Verkehr gebrachtes Produkt.
Gilt der EU CRA für Hersteller aus der Schweiz?+
Für Geräte, die nur in der Schweiz verkauft werden, gilt der EU CRA nicht. Ein Schweizer Hersteller, der Wechselrichter oder Speicher in der EU verkauft, hat dieselben Pflichten wie ein Hersteller aus der EU. Einen EU-Bevollmächtigten kann er benennen, muss es aber nicht (Art. 18 EU CRA). Wer die Geräte in die EU einführt, trägt unabhängig davon die Einführerpflichten nach Art. 19.
Gilt der Cyber Resilience Act für Medizinprodukte und Fahrzeuge?+
Nein. Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746) und typgenehmigte Fahrzeuge (Verordnung (EU) 2019/2144) sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Ein Heimspeicher, der mit einem E-Auto zusammenarbeitet, fällt dagegen unter den EU CRA; nur das Fahrzeug selbst nicht.
Sind Ihre Wechselrichter und Speicher bereit für den EU CRA?
Das EU-CRA-Assessment ordnet Ihre Geräte in wenigen Minuten ein und zeigt, was noch fehlt. Eine erste, unverbindliche Einschätzung.
Weiterlesen
Weitere Produkte
Weitere Produkte im EU CRA
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Produktart, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.