Jede OEM-Anfrage zu Ihren Komponenten mit EU-CRA-Belegen beantworten.

Ein Frequenzumrichter ohne Netzwerkschnittstelle kann trotzdem eine Datenverbindung im Sinne des EU Cyber Resilience Act haben. Als physische Verbindung zählt jede elektrische, optische, mechanische oder Funk-Schnittstelle (Art. 3 Nr. 9 EU CRA), also auch ein Serviceport zur Parametrierung. Eine indirekte Verbindung besteht, wenn die Maschine, in die er eingebaut wird, ihrerseits an ein Netz angeschlossen werden kann (Art. 3 Nr. 10).

Eine Komponente mit neuer Firmware bleibt Ersatzteil im Sinne von Art. 2 Abs. 6 EU CRA, solange sie nach denselben Spezifikationen gefertigt ist und ihre sicherheitsrelevanten Eigenschaften denen des ersetzten Teils entsprechen. Die EU-Kommissions-Guidance Kap. 4 zieht die Grenze bei Kryptografie und Secure Boot: Wird die Krypto-Implementierung oder der Secure-Boot-Mechanismus geändert, ist das Teil nicht mehr identisch (Beispiel 37); ein neuer Chipsatz mit gleichen Protokollen und Sicherheitsmechanismen kann es bleiben (Beispiel 38). Außerdem muss der Lieferkontext den Reparaturzweck zeigen, etwa über das in der Bestellung genannte Produkt. Im regulären Vertrieb gilt ein Nachfolgetyp als eigenes Produkt.

Die Klasse einer Steuerung richtet sich nach ihrer eigenen Kernfunktionalität. Art. 7 Abs. 1 Satz 2 EU CRA bestimmt, dass die Integration eines Anhang-III-Produkts das aufnehmende Produkt für sich genommen nicht in die Verfahren nach Art. 32 Abs. 2 und 3 bringt; die EU-Kommissions-Guidance Kap. 6 spielt das an einem Router mit Firewall-Komponente durch (Beispiel 63). Der Mikrocontroller selbst wird von seinem Hersteller eingestuft, nach Anhang III Klasse I Nr. 14.

Der Komponentenhersteller meldet nach Art. 14 EU CRA aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle, und zwar gleichzeitig an das koordinierende CSIRT und die ENISA über die einheitliche Meldeplattform. Die Frühwarnung ist innerhalb von 24 Stunden nach Kenntnis fällig, die Meldung innerhalb von 72 Stunden, beides seit dem 11. September 2026; der Abschlussbericht folgt spätestens 14 Tage nach Verfügbarkeit der Korrektur (Art. 14 Abs. 2 EU CRA). Andere Schwachstellen behandelt er im eigenen Prozess nach Anhang I Teil II.

Der Unterstützungszeitraum einer Industriekomponente beträgt nach Art. 13 Abs. 8 EU CRA mindestens fünf Jahre und richtet sich nach der voraussichtlichen Nutzungsdauer. In die Schätzung der Nutzungsdauer gehen die angemessenen Erwartungen der Nutzer und die Art des Produkts ein; der Hersteller darf sich zusätzlich an vergleichbaren Produkten anderer Hersteller und an der Verfügbarkeit der Betriebsumgebung orientieren. Läuft eine Komponente erwartbar länger als fünf Jahre in Maschinen, verlängert sich der Zeitraum entsprechend. Die Kommission kann für einzelne Produktkategorien Mindestzeiträume per delegiertem Rechtsakt festlegen; die Begründung des Herstellers gehört in die technische Dokumentation nach Anhang VII.

Eine Konformitätsvermutung für den EU Cyber Resilience Act begründen nach Art. 27 Abs. 1 EU CRA harmonisierte Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Ein IEC-62443-4-2-Zertifikat bescheinigt, dass eine Automatisierungskomponente die technischen Sicherheitsanforderungen dieser Norm erfüllt. Der OEM-Kunde legt es zu den technischen Spezifikationen und der Sicherheitsdokumentation, die er für seine Sorgfaltspflicht heranzieht. Den Nachweis der EU-CRA-Konformität ersetzt es nicht; den führt die EU-Konformitätserklärung der Komponente.