Harmonisierte Norm
Rund 41 Normen sollen den CRA konkretisieren. Die ersten beiden sind kurz vor der Ratifizierung, keine ist im Amtsblatt. Bis dahin tragen Hersteller die volle Beweislast selbst.
Harmonisierte Norm ist eine europäische Norm, die CEN, CENELEC oder ETSI im Auftrag der EU-Kommission erarbeiten und deren Fundstelle im Amtsblatt der EU veröffentlicht wird. Erst mit dieser Veröffentlichung löst sie die Konformitätsvermutung aus.
Definition in der Verordnung
Artikel 27 Absatz 1 CRA verweist auf harmonisierte Normen, deren Fundstellen im Amtsblatt stehen. Grundlage für den CRA ist der Normungsauftrag M/606, den die Kommission im Februar 2025 mit dem Durchführungsbeschluss C(2025) 618 erteilt hat und den die Normungsorganisationen im April 2025 angenommen haben; er umfasst rund 41 Normen. Horizontal arbeitet CEN-CENELEC/JTC 13 an der Reihe EN 40000: Teil 1-1 Vokabular, Teil 1-2 Prinzipien der Cyberresilienz, Teil 1-3 Schwachstellenbehandlung, Teil 1-4 generische Sicherheitsanforderungen. Vertikal entstehen die Reihe prEN 50770 für OT-Produkte wie Firewalls, VPN, Router und SIEM sowie 17 ETSI-Entwürfe der Reihe EN 304 6xx.
Stand Oktober 2026: EN 40000-1-1 und 1-2 haben laut Sekundärquellen den Formal Vote bestanden, Ratifizierung angekündigt für den 2. November 2026; 1-3 ist in der Freigabephase, 1-4 in Entwicklung. Keine Norm ist im Amtsblatt zitiert. Ein Kommissionsentwurf vom Juli 2026 verschiebt die Lieferfristen auf den 31. Oktober 2026 (Kernnormen), 31. Dezember 2026 (Produktnormen) und 30. Oktober 2027 (übrige); formell angenommen ist er nicht.
Was das für Hersteller bedeutet
Solange keine Norm zitiert ist, gibt es keine Konformitätsvermutung. Standardhersteller bewerten nach Modul A selbst und begründen ihre Lösungen in der technischen Dokumentation. Hersteller wichtiger Produkte der Klasse I brauchen nach Artikel 32 Absatz 2 ohne Norm eine notifizierte Stelle. Die Entwürfe der EN 40000 sind trotzdem lesenswert: Sie zeigen, welche Nachweise Prüfstellen und Marktüberwachung später erwarten werden.