EU CRA für IoT und vernetzte Konsumgüter
Vernetzte Verbraucherprodukte: Klasse und Supportzeit vor dem Launch klären.
Ob Kinderuhr oder Fitness-Armband mit Gesundheitsfunktion: Steht die Klasse nach dem Cyber Resilience Act schon vor dem Design-Freeze fest, bekommt eine externe Prüfung rechtzeitig ihren Termin.
Autor: Maximilian HeckGeprüft von: Dr. Martin McCafferyStand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Höchste Klasse in dieser Branche
- Wichtiges Produkt, Klasse I
Welche IoT- und Verbraucherprodukte gelten nach dem EU CRA als wichtige Produkte der Klasse I?
Unter den vernetzten Verbraucherprodukten nennt Anhang III EU CRA zwei Gruppen als wichtige Produkte der Klasse I. Nr. 18 erfasst mit dem Internet verbundenes Spielzeug im Sinne der Spielzeugrichtlinie 2009/48/EG, das Funktionen zur sozialen Interaktion wie Sprechen oder Filmen oder zur Ortung hat. Nr. 19 erfasst am Körper getragene Produkte zur Gesundheitsüberwachung, etwa Tracking, die nicht unter die Verordnungen (EU) 2017/745 oder 2017/746 fallen, sowie Wearables, die für die Verwendung durch und für Kinder bestimmt sind. Für beide Gruppen sieht Art. 32 Abs. 2 EU CRA eine Konformitätsbewertung mit einer notifizierten Stelle vor, sofern der Hersteller keine harmonisierte Norm, gemeinsame Spezifikation oder europäische Zertifizierung vollständig anwendet.
Produktklassen
Welche vernetzten Verbraucherprodukte fallen unter den EU CRA, und in welche Klasse?
Unter den EU CRA fallen Verbraucherprodukte, deren Zweck oder vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt (Art. 2 Abs. 1 EU CRA); dazu zählt auch die Bluetooth-Kopplung mit dem Smartphone. Über die Klasse entscheidet die Kernfunktion (Art. 7 Abs. 1 EU CRA). Ein verbauter Mikrocontroller aus Anhang III hebt das Gerät allein nicht in eine höhere Klasse. Die Zuordnungen sind eine Einschätzung anhand typischer Produktmerkmale.
Verteilung in dieser Branche
Produkt auswählen
Küchen- und Haushaltsgeräte mit App, etwa Kaffeemaschine, Waage oder Backofen
Warum diese Klasse
In keiner Liste der Anhänge III und IV zu finden.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Küchen- und Haushaltsgeräte mit App, etwa Kaffeemaschine, Waage oder Backofen | Standardprodukt | In keiner Liste der Anhänge III und IV zu finden. |
| Haustier-Tracker, Fahrradcomputer, Kopfhörer mit App | Standardprodukt | Ortung macht nach Nr. 18 nur Spielzeug zur Klasse I; für Tier- und Sportzubehör gibt es keine eigene Kategorie. |
| Smartwatch nur mit Benachrichtigungen, für Erwachsene | Standardprodukt | Einschätzung: Standardkategorie. Eine zusätzliche Gesundheitsfunktion würde die Einordnung ändern. |
| Bluetooth-Spielzeugauto ohne Sprach-, Kamera- oder Ortungsfunktion | Standardprodukt | Für Nr. 18 fehlen Internetverbindung und soziale Interaktion oder Ortung. |
| Fitness-Tracker und Smartwatch mit Herzfrequenz- oder Schlaftracking | Wichtiges Produkt, Klasse I (Anhang III) | Zweck Gesundheitsüberwachung, damit Anhang III Klasse I Nr. 19. |
| Kinder-Smartwatch, GPS-Uhr und andere Wearables für Kinder | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 19, zweite Alternative, unabhängig von Gesundheitsfunktionen. |
| Sprechende Puppe, Lernroboter mit Kamera, Spielzeug mit Ortung | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 18 für Spielzeug nach Richtlinie 2009/48/EG mit Internetverbindung. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Ersatzteile, die identische Komponenten nach denselben Spezifikationen ersetzen, fallen nicht unter den EU CRA (Art. 2 Abs. 6 EU CRA). Sprachassistenten, Türschlösser, Sicherheitskameras, Babyphone-Systeme und Alarmanlagen (Anhang III Klasse I Nr. 16 und 17) behandelt die Branchenseite Smart Home & Unterhaltungselektronik.
Pflichten
Was der EU CRA von Herstellern vernetzter Verbraucherprodukte verlangt
- 01
Supportende beim Kauf angeben
Art. 13 Abs. 19 EU CRA; Anhang II Nr. 7
Nach Art. 13 Abs. 19 EU CRA geben Hersteller das Enddatum des Unterstützungszeitraums zum Zeitpunkt des Kaufs leicht zugänglich an, auf dem Produkt, der Verpackung oder digital, mindestens mit Monat und Jahr. Wo es technisch machbar ist, meldet das Gerät selbst, wenn der Support ausläuft. In den Nutzerinformationen steht das Datum ebenfalls (Anhang II Nr. 7).
- 02
Sichere Werkseinstellung, automatische Sicherheitsupdates
Ein vernetztes Verbraucherprodukt kommt mit sicherer Standardkonfiguration in den Handel, lässt sich auf den Ursprungszustand zurücksetzen und schützt sich mit Authentifizierung gegen unbefugten Zugriff (Anhang I Teil I Nr. 2 Buchst. b und d EU CRA). Sicherheitsupdates installieren sich, soweit die Risikobewertung es vorsieht, standardmäßig automatisch, mit klarem Opt-out (Buchst. c). Verbraucher erhalten sie unverzüglich und kostenlos (Teil II Nr. 8).
- 03
Komponenten von Gerät, App und Cloud dokumentieren
Hersteller dokumentieren die Komponenten ihres Produkts unter anderem in einer Software-Stückliste (SBOM) in einem gängigen maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten zeigt (Anhang I Teil II Nr. 1 EU CRA). Die EU-Kommissions-Guidance ordnet die Begleit-App der Stückliste des Geräts zu (Abschnitt 2.4) und Backend-Dienste, die eine Produktfunktion tragen, seiner Risikobewertung und technischen Dokumentation (Abschnitt 8.2).
- 04
Ausgenutzte Schwachstellen melden, Kunden informieren
Art. 14 Abs. 2 und 8 EU CRA
Für aktiv ausgenutzte Schwachstellen gilt seit dem 11. September 2026 eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis an das koordinierende CSIRT und die ENISA, über die zentrale Meldeplattform (Art. 14 Abs. 2 Buchst. a EU CRA); die Meldung folgt nach 72 Stunden. Danach informiert der Hersteller die betroffenen Nutzer und nennt Maßnahmen, die sie selbst ergreifen können (Art. 14 Abs. 8). Bei Verbraucherprodukten braucht das einen Kanal zum Endkunden, etwa die App.
Angrenzende Regulierung
Wie verhält sich der EU CRA zur Funkanlagenrichtlinie und zu den übrigen Regeln für vernetzte Verbraucherprodukte?
Für bestimmte Funkanlagen gelten heute die Cybersicherheitsanforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie 2014/53/EU, aktiviert durch die Delegierte Verordnung (EU) 2022/30. Nach Erwägungsgrund 30 EU CRA umfassen die grundlegenden Cybersicherheitsanforderungen des EU CRA alle Elemente dieser drei Anforderungen. Die Delegierte Verordnung aufzuheben oder zu ändern bleibt der Kommission überlassen. Für die Übergangszeit soll die Kommission Herstellern, die beiden Rechtsakten unterliegen, Leitlinien für den Nachweis geben.
Funkanlagenrichtlinie 2014/53/EU, Delegierte VO (EU) 2022/30
Bestehende EU-Baumusterprüfbescheinigungen für Cybersicherheitsanforderungen aus anderem Harmonisierungsrecht gelten während der Übergangszeit nach Art. 69 Abs. 1 EU CRA weiter.
Spielzeugrichtlinie 2009/48/EG
Der EU CRA verweist in Anhang III Nr. 18 auf diese Richtlinie. Die Sicherheit des Spielzeugs selbst bleibt Gegenstand der Spielzeugrichtlinie.
Medizinprodukte, VO (EU) 2017/745 und 2017/746
Art. 2 Abs. 2 Buchst. a und b EU CRA nimmt Medizinprodukte und In-vitro-Diagnostika aus; für sie bleibt es beim Medizinprodukterecht.
Verbandsklagen-Richtlinie (EU) 2020/1828
Über Art. 67 EU CRA steht die Verordnung in Anhang I der Richtlinie. Qualifizierte Verbraucherverbände dürfen Verstöße deshalb mit einer Verbandsklage angreifen.
ETSI EN 303 645
Freiwilliger Standard für Consumer-IoT und als Umsetzungshilfe brauchbar. Die Konformitätsvermutung nach Art. 27 Abs. 1 EU CRA knüpft an harmonisierte Normen, deren Fundstelle im Amtsblatt veröffentlicht ist.
Aus der Praxis
Wo Hersteller vernetzter Verbraucherprodukte Zeit verlieren
Ältere Generationen bleiben jahrelang im Support
Nach Art. 13 Abs. 8 EU CRA richtet sich der Unterstützungszeitraum nach der voraussichtlichen Nutzungsdauer der Geräte. Bei jährlich neuen Generationen pflegt das Team deshalb Updates für mehrere ältere Modelle, während es das nächste entwickelt.
Späte Funktionsentscheidungen ändern die Klasse
Ein Mikrofon im Plüschtier oder ein Pulssensor im Armband, nach dem Design-Freeze ergänzt, hebt das Produkt in Klasse I. Für die externe Prüfung ist dann kein Vorlauf eingeplant, und der Marktstart verschiebt sich.
Firmware, App und Backend erscheinen getrennt
Firmware, Begleit-App und Backend kommen oft aus verschiedenen Teams und erscheinen über OTA, App-Store und Server-Deployment in eigenen Rhythmen. Für die Stückliste eines Produktstands muss dann feststehen, welche App-Version zu welchem Firmware-Release gehört.
Die Entwicklungsdaten liegen beim ODM
Baut ein ODM das Gerät, bleiben Quellcode, Chip-SDK und Build-Umgebung bei ihm. Der Markeninhaber ist für Stückliste, Schwachstellenstand und Fix-Zeiten der Modelle unter seinem Namen auf diese Daten angewiesen.
Mit Kunnus
Wie Kunnus Hersteller vernetzter Verbraucherprodukte unterstützt
Kunnus deckt die EU-CRA-Schicht der Konformität ab. Funk-, EMV-, Spielzeug- und Produktsicherheitsanforderungen bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Wie lange müssen Hersteller vernetzter Verbraucherprodukte Sicherheitsupdates bereitstellen?
Für vernetzte Verbraucherprodukte gilt nach Art. 13 Abs. 8 EU CRA ein Unterstützungszeitraum von mindestens fünf Jahren, den der Hersteller an der voraussichtlichen Nutzungsdauer und an den angemessenen Erwartungen der Käufer ausrichtet. Die EU-Kommissions-Guidance (C(2026) 5252) behandelt die fünf Jahre als Untergrenze: Wird ein Produkt erkennbar länger genutzt, braucht es einen längeren Zeitraum. Sicherheitsaktualisierungen bleiben nach Art. 13 Abs. 9 EU CRA mindestens zehn Jahre nach ihrer Bereitstellung verfügbar oder bis zum Ende des Unterstützungszeitraums, falls das später ist.
- 1Portfolio4 Produktfamilien: Fitness-Armband, Kinderuhr, Küchenwaage mit App, Mähroboter; pro Familie 1 neue Generation im Jahr
- 2KlassenArmband und Kinderuhr Klasse I (Anhang III Nr. 19), Waage und Mähroboter Standardkategorie
- 3UnterstützungszeitraumAngenommene Nutzung 6 Jahre, also 6 Jahre Support pro Generation statt der Untergrenze von 5 Jahren (Art. 13 Abs. 8 EU CRA)
- 4Gleichzeitig im Supportbis zu 6 Generationen pro Familie, 24 im Portfolio
- 5Release-Takt4 Firmware-Releases pro Generation und Jahr
- 6Firmware-Stände pro Jahr24 × 4 = 96 Stände mit eigener Stückliste; Sicherheitsfixes bleiben mindestens 10 Jahre abrufbar (Art. 13 Abs. 9 EU CRA)
Beispiel mit angenommenen Zahlen, keine Marktdaten.
Häufige Fragen
Was muss der Hersteller eines vernetzten Haushaltsgeräts ohne Sicherheitsfunktion für die Konformität vorlegen?+
Ein vernetztes Haushaltsgerät ohne Sicherheitsfunktion durchläuft das interne Kontrollverfahren nach Art. 32 Abs. 1 Buchst. a EU CRA (Modul A), ohne notifizierte Stelle. Der Hersteller erstellt die technische Dokumentation nach Anhang VII, stellt die EU-Konformitätserklärung nach Art. 28 aus und bringt die CE-Kennzeichnung nach Art. 30 an. Die grundlegenden Anforderungen aus Anhang I gelten für das Gerät in vollem Umfang.
Gehört die Cloud-Fernsteuerung eines Geräts zum Produkt im Sinne des EU CRA?+
Die Cloud-Fernsteuerung gehört zum Produkt, wenn sie eine Datenfernverarbeitung nach Art. 3 Nr. 2 EU CRA ist: Der Hersteller hat die Software selbst oder unter seiner Verantwortung entwickelt, und ohne sie könnte das Gerät eine seiner Funktionen nicht erfüllen. Erwägungsgrund 12 nennt genau dieses Beispiel für Haushaltsgeräte. Laut EU-Kommissions-Guidance zählen auch Onboarding, Konfiguration und Update-Verteilung als Funktionen; Telemetrie, die nur der Statistik dient, ist keine Datenfernverarbeitung.
Welche Wearables fallen nach Anhang III des EU CRA in Klasse I?+
Bei Wearables für Erwachsene hängt Klasse I nach Anhang III Nr. 19 EU CRA an der Gesundheitsüberwachung. Ob ein Wearable diesem Zweck dient, ergibt sich nach unserer Lesart aus der Zweckbestimmung, die der Hersteller nach Anhang II Nr. 4 in den Nutzerinformationen angibt. Ein Armband, das mit Puls-, Schlaf- oder Stressanalyse beworben wird, spricht für Klasse I. Produktseite, App-Texte und Verpackung sollten deshalb dieselbe Zweckbestimmung tragen wie die technische Dokumentation.
Wer ist Hersteller nach dem EU CRA, wenn ein ODM das Gerät baut und wir es unter eigener Marke verkaufen?+
Nach Art. 3 Nr. 13 EU CRA ist Hersteller, wer ein Produkt herstellen lässt und unter eigenem Namen oder eigener Marke vermarktet. Ein Markeninhaber, der ODM-Geräte verkauft, trägt damit die Pflichten aus Art. 13 und 14. Die Komponenten des ODM fallen unter die Sorgfaltspflicht des Markeninhabers nach Art. 13 Abs. 5. Den Zugang zu Stückliste und Fixes regelt deshalb am besten der Liefervertrag.
Gelten die Meldepflichten nach Art. 14 EU CRA auch für bereits verkaufte IoT-Geräte?+
Die Meldepflichten nach Art. 14 EU CRA gelten seit dem 11. September 2026 auch für Geräte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Die übrigen Anforderungen treffen solche Bestandsgeräte nur nach einer wesentlichen Änderung (Art. 69 Abs. 2). Laut EU-Kommissions-Guidance laufen die Meldepflichten auch nach dem Ende des Unterstützungszeitraums weiter.
Welches Konformitätsbewertungsverfahren gilt für ein Klasse-I-Spielzeug, wenn keine harmonisierte Norm vorliegt?+
Ohne vollständig angewandte harmonisierte Norm lässt Art. 32 Abs. 2 EU CRA für vernetztes Spielzeug nach Anhang III Nr. 18 zwei Verfahren zu: die EU-Baumusterprüfung (Modul B) mit anschließender interner Fertigungskontrolle (Modul C) oder die umfassende Qualitätssicherung (Modul H). In beiden Verfahren prüft eine notifizierte Stelle; die Vorschriften zu notifizierten Stellen in Kapitel IV EU CRA gelten seit dem 11. Juni 2026.
Standardkategorie oder Klasse I: Wo landen Ihre Produkte?
Mit dem EU-CRA-Assessment erhalten Sie in wenigen Minuten eine erste Einschätzung zu Klasse, Pflichten und nächsten Schritten für Ihre vernetzten Produkte.
Weiterlesen
Weitere Branchen
EU-CRA-Compliance in anderen Branchen
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Branche, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.