IEC 62443
Viele Maschinen- und Komponentenhersteller arbeiten längst nach IEC 62443. Das ist eine gute Grundlage für den CRA, aber kein Freifahrtschein: Die Reihe ist keine harmonisierte Norm.
IEC 62443 ist eine internationale Normenreihe für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme. Für Hersteller sind vor allem Teil 4-1 zum sicheren Entwicklungsprozess und Teil 4-2 zu den technischen Anforderungen an Komponenten relevant.
Definition in der Verordnung
Der CRA nennt IEC 62443 nicht. Die Verordnung knüpft die Konformitätsvermutung in Artikel 27 ausschließlich an harmonisierte Normen, deren Fundstellen im Amtsblatt der EU stehen, oder an gemeinsame Spezifikationen und europäische Zertifizierungsschemata. IEC 62443 ist eine internationale Norm ohne Normungsauftrag der Kommission und ohne Amtsblatt-Zitierung. Sie vermittelt deshalb keine Vermutung, auch nicht für Teile von Anhang I, die sie inhaltlich abdeckt.
Was das für Hersteller bedeutet
Da im Oktober 2026 keine harmonisierte CRA-Norm im Amtsblatt steht, müssen Hersteller von Standardprodukten ihre Lösungen in der technischen Dokumentation selbst beschreiben und begründen (Anhang VII Nummer 5). Dafür sind IEC 62443-4-1 und 4-2 brauchbare Orientierungshilfen, genau wie BSI TR-03183-1. Ein dokumentierter Entwicklungsprozess nach 4-1 und Komponentenanforderungen nach 4-2 decken viele Punkte aus Anhang I Teil I und Teil II ab, etwa Risikobewertung, sichere Standardkonfiguration, Update-Mechanismen und Schwachstellenbehandlung. Was fehlt, ist die Rechtswirkung: Die Marktüberwachung kann die Angemessenheit jeder Maßnahme prüfen. Für wichtige Produkte der Klasse I ersetzt IEC 62443 nicht die harmonisierte Norm, die Artikel 32 Absatz 2 für den Weg über Modul A verlangt. Hersteller, die bereits nach IEC 62443 zertifiziert sind, sollten ihre Nachweise auf Anhang I abbilden und die Lücken schließen, statt die Zertifizierung als CRA-Konformität auszugeben.
Verwandte Begriffe
- Harmonisierte Norm
- Konformitätsvermutung
- BSI TR-03183
- Anhang I (grundlegende Cybersicherheitsanforderungen)