EU CRA für Smart Home und Unterhaltungselektronik
Smart-Home-Geräte mit begründeter Klasse, und einem Supportende, das Käufer kennen.
Sprachassistenten und Sicherheitskameras zählen nach dem EU Cyber Resilience Act zur Klasse I, Smart-TVs und Thermostate in der Regel nicht.
Autor: Maximilian HeckGeprüft von: Dr. Martin McCafferyStand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Höchste Klasse in dieser Branche
- Wichtiges Produkt, Klasse I
Welches Konformitätsbewertungsverfahren gilt für Smart Locks, Kameras und Babyphones?
Intelligente Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen sind nach Anhang III Klasse I Nr. 17 EU CRA wichtige Produkte, ebenso Sprachassistenten für das Zuhause nach Nr. 16. Für diese Geräte gilt Art. 32 Abs. 2 EU CRA: Der Hersteller darf die Konformität nur dann selbst nach Modul A bewerten, wenn er eine harmonisierte Norm, eine gemeinsame Spezifikation oder ein europäisches Zertifizierungsschema mindestens der Vertrauenswürdigkeitsstufe mittel vollständig anwendet. Andernfalls prüft eine benannte Stelle nach Modul B und C oder nach Modul H aus Anhang VIII EU CRA. Benannte Stellen können nach Kapitel IV EU CRA seit dem 11. Juni 2026 notifiziert werden; ab dem 11. Dezember 2027 kommt ein neues Gerät der Klasse I nur mit abgeschlossener Konformitätsbewertung in Verkehr.
Produktklassen
Welche Smart-Home-Produkte sind nach dem EU CRA wichtige Produkte der Klasse I?
Unter den EU Cyber Resilience Act fällt jedes Smart-Home-Gerät und jedes Produkt der Unterhaltungselektronik mit Datenverbindung zu einem Gerät oder Netz (Art. 2 Abs. 1 EU CRA). Ob es zusätzlich ein wichtiges Produkt der Klasse I ist, entscheidet nach Art. 7 Abs. 1 EU CRA seine Kernfunktion; für diese Produktwelt kommen in Anhang III die Nummern 12, 16 und 17 in Betracht.
Verteilung in dieser Branche
Produkt auswählen
Smart-TV, Streaming-Stick oder Soundbar
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Sprachassistent für das Zuhause, als Lautsprecher oder Display | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 16; die Kategorie verlangt einen Assistenten mit allgemeinem Zweck. |
| Intelligentes Türschloss | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17; die Cloud-Funktion zum Öffnen aus der Ferne zählt nach Erwägungsgrund 12 EU CRA zum Produkt. |
| Sicherheitskamera für innen oder außen | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17. |
| Babyphone mit Video- oder App-Funktion | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17; Erwägungsgrund 10 zählt Babyphones zu den Produkten für schutzbedürftige Verbraucher. |
| Alarmanlage mit Zentrale, Sensoren und App | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17. |
| WLAN-Router, Mesh-System oder Kabelmodem für den Internetanschluss | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 12: Router, Modems für die Internetanbindung und Switches. |
| Smart-TV, Streaming-Stick oder Soundbar | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA. |
| Heizkörperthermostat, smarte Leuchte oder Zwischenstecker | Standardprodukt | Komfortfunktion ohne Sicherheitsfunktion, für die Anhang III keine Kategorie vorsieht. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Klasse II (Anhang III Klasse II Nr. 1–4, etwa Firewalls) und die kritischen Produkte nach Anhang IV EU CRA beschreiben keine Smart-Home-Endgeräte; das Smart-Meter-Gateway nach Anhang IV Nr. 2 behandelt die Branchenseite Energie- & Gebäudetechnik. Smart-Home-Geräte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen nach Art. 69 Abs. 2 EU CRA erst, wenn sie danach wesentlich geändert werden. Vernetztes Spielzeug (Nr. 18), Wearables (Nr. 19) und vernetzte Haushaltsgeräte behandelt die Branchenseite IoT & Consumer-Produkte.
Pflichten
Wie lange müssen Hersteller von Unterhaltungselektronik Sicherheitsupdates liefern?
Hersteller von Unterhaltungselektronik liefern Sicherheitsupdates für den Supportzeitraum (im Verordnungstext: Unterstützungszeitraum), den sie selbst festlegen: nach Art. 13 Abs. 8 EU CRA mindestens fünf Jahre, kürzer nur bei einer voraussichtlichen Nutzungsdauer unter fünf Jahren. Maßstab ist die erwartete Nutzungsdauer. Bleibt ein Fernseher oder ein Türschloss erkennbar länger in Gebrauch, ist ein pauschal gesetzter Zeitraum nach der EU-Kommissions-Guidance Kap. 5 angreifbar. Die Begründung gehört in die technische Dokumentation nach Anhang VII.
- 01
Enddatum schon beim Kauf sichtbar
Beim Kauf steht das Ende des Supportzeitraums leicht zugänglich da, mindestens mit Monat und Jahr, auf dem Gerät, der Verpackung oder digital (Art. 13 Abs. 19 EU CRA). Die Nutzerinformationen nennen zusätzlich die Art der Sicherheitsunterstützung (Anhang II Nr. 7).
- 02
Sicher ab Werk und nach dem Zurücksetzen
Anhang I Teil I Nr. 2 Buchst. b und d EU CRA
Ein Türschloss oder eine Alarmzentrale kommt sicher konfiguriert in den Handel und lässt sich auf den Ursprungszustand zurücksetzen (Anhang I Teil I Nr. 2 Buchst. b EU CRA). Authentifizierung oder Zugangsverwaltung schützt vor unbefugtem Zugriff, und ein möglicher unbefugter Zugriff wird gemeldet (Buchst. d).
- 03
Sicherheitsupdates, die sich selbst installieren
Wo es zum Gerät passt, installieren sich Sicherheitsupdates standardmäßig automatisch (Anhang I Teil I Nr. 2 Buchst. c EU CRA); Nutzer erfahren davon, können aufschieben und haben einen klaren Opt-out. Soweit technisch machbar, kommen Sicherheitsupdates getrennt von Funktionsupdates (Anhang I Teil II Nr. 2).
- 04
Persönliche Daten weg, wenn das Gerät den Besitzer wechselt
Nutzer können alle Daten und Einstellungen dauerhaft, sicher und einfach löschen (Anhang I Teil I Nr. 2 Buchst. m EU CRA). Gemeint sind etwa Kameraaufnahmen, Zugangscodes eines Türschlosses oder Profile auf einem Smart-TV.
- 05
Behörden und Nutzer rechtzeitig informiert
Art. 14 Abs. 2 und 8 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis und eine Meldung innerhalb von 72 Stunden; die Pflicht gilt seit dem 11. September 2026 und läuft über die einheitliche Meldeplattform an das koordinierende CSIRT und die ENISA (Art. 14 Abs. 2 EU CRA). Danach erfahren die betroffenen Nutzer, was sie selbst tun können (Art. 14 Abs. 8).
Angrenzende Regulierung
Welche Regeln gelten für Smart-Home-Geräte neben dem EU CRA?
Funkanlagenrichtlinie 2014/53/EU und Delegierte Verordnung (EU) 2022/30
Die Delegierte Verordnung (EU) 2022/30 aktiviert für bestimmte Funkanlagen die Anforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie (Netz, Datenschutz, Betrug). Nach Erwägungsgrund 30 EU CRA decken die grundlegenden Cybersicherheitsanforderungen alle Elemente dieser drei ab, und für Hersteller unter beiden Rechtsakten soll die Kommission im Übergangszeitraum Leitlinien geben.
Datenschutz-Grundverordnung (EU) 2016/679
Die DSGVO bleibt unberührt (Erwägungsgrund 32 EU CRA). Vertraulichkeit und Datenminimierung sind zusätzlich Produktanforderungen (Anhang I Teil I Nr. 2 Buchst. e und g EU CRA), etwa für Video und Ton aus der Wohnung.
Aus der Praxis
Wo es für Smart-Home-Hersteller schwierig wird
Ein Chipsatz unter vielen Produktlinien
Kamera, Video-Türklingel und Babyphone teilen oft Chipsatz und Hersteller-SDK. Eine Schwachstelle im SDK erreicht damit mehrere Linien und Modelljahre, und für Meldung wie Update zählt, welcher Firmwarestand in welchem Gerät steckt.
Modelljahre mit eigenen Enddaten
Ein Vorjahresmodell aus dem Lagerbestand des Handels zeigt ein früheres Supportende als sein Nachfolger im selben Regal. Verpackung, Produktseite und App müssen für diese Generation dasselbe Datum nennen.
Firmware, App und Cloud aus verschiedenen Händen
Der Chiphersteller liefert das SDK, eine Agentur die App, ein Plattformanbieter Teile der Cloud. Die Sorgfaltspflicht nach Art. 13 Abs. 5 EU CRA verlangt, diese Bausteine je Gerät zu bewerten und den Beleg aufzubewahren.
Prüftermine im Launch-Kalender
Bei einer neuen Schloss- oder Kamerageneration gehört die benannte Stelle in den Projektplan, solange keine vollständig angewandte harmonisierte Norm die Selbstbewertung trägt. Wer zum Weihnachtsgeschäft liefern will, legt die Baumusterprüfung vor die Serienfreigabe.
Mit Kunnus
Wie Kunnus Smart-Home-Hersteller unterstützt
Kunnus hält je Produktlinie und Modelljahr fest, was der EU CRA verlangt: die begründete Einstufung, die Stückliste, den Schwachstellenstand und die Meldungen. Funk-, EMV- und elektrische Sicherheitsprüfungen bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Rechenbeispiel: drei Kameralinien, fünf Modelljahre
Drei Linien auf einer Kameraplattform: Innenkamera, Außenkamera, Video-Babyphone. Jährlich kommt je Linie eine Generation dazu, jede mit fünf Jahren Supportzeitraum nach Art. 13 Abs. 8 EU CRA.
- 1Generationen im Support3 Linien × 5 Modelljahre = 15 gleichzeitig, alle Klasse I
- 2VariantenFarbe und Speichergröße trennen keine Generation (EU-Kommissions-Guidance Kap. 7.4); eine LTE-Variante mit eigener Funkschnittstelle schon
- 3Gemeinsame KomponenteVideo-SDK in 15 Generationen; bei aktiver Ausnutzung umfasst die Frühwarnung alle betroffenen verkauften Geräte
- 4Supportenddaten15, beim Kauf mit Monat und Jahr angegeben
- 5Wechsel pro Jahr3 neue Generationen in der Konformitätsbewertung der Klasse I, 3 am Supportende
- 6Aufbewahrungtechnische Dokumentation je Generation mindestens 10 Jahre (Art. 13 Abs. 13 EU CRA)
Beispielhafte Annahmen, keine Branchenstatistik. Eine längere Nutzungsdauer verlängert den Supportzeitraum und erhöht die Zahl paralleler Generationen.
Häufige Fragen
Fällt ein Smart-TV mit eingebautem Sprachassistenten unter die Klasse I?+
Ein Smart-TV mit eingebautem Sprachassistenten bleibt in der Regel ein Produkt der Standardklasse. Nach Art. 7 Abs. 1 Satz 2 EU CRA macht ein integriertes Anhang-III-Produkt das aufnehmende Gerät nicht für sich genommen zum wichtigen Produkt; die EU-Kommissions-Guidance zeigt das am Smartphone mit Betriebssystem (Kap. 6, Beispiel 58). Werbung, Anleitung und Dokumentation sollten die Kernfunktion Fernsehen übereinstimmend beschreiben. Ein Lautsprecher, der vor allem als Assistent verkauft wird, fällt unter Nr. 16.
Ist ein WLAN-Router mit eingebauter Firewall ein Produkt der Klasse II?+
Ein WLAN-Router für das Heimnetz bleibt auch mit eingebauter Firewall ein Produkt der Klasse I nach Anhang III Nr. 12 EU CRA. Die EU-Kommissions-Guidance behandelt genau diesen Fall (Kap. 6, Beispiel 63): Die Firewall-Komponente zieht den Router nicht in das strengere Verfahren, weil seine eigene Kernfunktion entscheidet. Klasse II (Anhang III Klasse II Nr. 2) erfasst Firewalls als eigenständige Produkte.
Gehören smarte Rauchmelder oder eine Smart-Home-Zentrale zu Anhang III Nr. 17?+
Anhang III Nr. 17 EU CRA leitet die vier genannten Gerätearten mit dem Wort einschließlich ein; die Aufzählung ist offen. Ob ein Rauchmelder oder eine Zentrale dazugehört, hängt nach unserer Einschätzung davon ab, ob eine Sicherheitsfunktion die Kernfunktion ist (Art. 7 Abs. 1 EU CRA). Eine Zentrale als Steuereinheit einer Alarmanlage spricht für Nr. 17, eine Zentrale für Licht und Heizung dagegen. Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392.
Was gilt, wenn der Supportzeitraum eines Smart-Home-Geräts endet?+
Endet der Supportzeitraum, zeigt der Hersteller den Nutzern das an, sofern das technisch machbar ist (Art. 13 Abs. 19 Satz 2 EU CRA). Bereitgestellte Sicherheitsupdates bleiben nach Art. 13 Abs. 9 EU CRA mindestens zehn Jahre verfügbar, bei längerem Supportzeitraum länger. Die Meldepflichten nach Art. 14 laufen weiter (EU-Kommissions-Guidance Kap. 9.1). Ältere Generationen darf der Hersteller freiwillig weiter patchen, auch gegen Entgelt (Kap. 5).
Gilt die Meldepflicht auch für Geräte, die schon in Haushalten stehen?+
Die Meldepflicht nach Art. 14 EU CRA gilt nach Art. 69 Abs. 3 für alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, also auch für Babyphones und Router, die seit Jahren in Wohnungen laufen. Rückwirkend wird nicht gemeldet: Nach der EU-Kommissions-Guidance Kap. 9.1 ist eine aktive Ausnutzung, die der Hersteller schon vor dem 11. September 2026 kannte, nicht meldepflichtig. Wird sie erst danach bekannt, greift die Pflicht.
Reicht ETSI EN 303 645 für die EU-CRA-Konformität eines Smart-Home-Geräts?+
ETSI EN 303 645 ist ein freiwilliger Standard für Consumer-IoT mit 13 Bestimmungen, von denen sich viele in Anhang I EU CRA wiederfinden. Eine Konformitätsvermutung entsteht nach Art. 27 Abs. 1 EU CRA nur aus harmonisierten Normen mit Fundstelle im Amtsblatt, und nur so weit, wie sie Anforderungen abdecken (EU-Kommissions-Guidance Kap. 6.3). Für ein Gerät der Klasse I ersetzt die ETSI-Norm deshalb keine harmonisierte Norm nach Art. 32 Abs. 2. Supportzeitraum, Stückliste und Meldung an die ENISA weist der Hersteller zusätzlich nach.
In welche Klasse fallen Ihre Smart-Home-Produkte?
In wenigen Minuten ordnet das EU-CRA-Assessment Ihre Geräte einer Produktklasse zu und zeigt die nächsten Schritte, als erste Einschätzung zur Orientierung.
Weiterlesen
Weitere Branchen
EU-CRA-Compliance in anderen Branchen
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Branche, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.