Der CRA für Netzwerk- und Telekommunikationsgeräte

01Typische Produkte

• Router für Haushalt und Büro, Modems für die Internetanbindung
• Verwaltete und nicht verwaltete Switches
• Optische Netzabschlussgeräte (ONT) und Kundenendgeräte (CPE)
• Industrie- und IoT-Gateways
• WLAN-Zugangspunkte und Netzwerkkarten

02Wahrscheinliche CRA-Klasse

Anhang III Klasse I nennt „Router, Modems für die Internetanbindung und Switches“ sowie „physische und virtuelle Netzwerkschnittstellen“. Die meisten Produkte dieser Branche gehören daher zur Klasse I. Ist die Kernfunktion eine Firewall oder Angriffserkennung und -prävention, kann Klasse II gelten.

Für ein Produkt der Klasse I ist die interne Kontrolle (Modul A) nur möglich, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein geeignetes europäisches Cybersicherheitszertifikat vollständig angewendet wurden. Solange keine harmonisierten Normen für den CRA veröffentlicht sind, ist der Weg über die interne Kontrolle praktisch verschlossen; erforderlich ist eine Bewertung durch Dritte nach Modul B + C oder H. Details: Leitfaden zu Produktklassen.

Die Klasse richtet sich nach der Kernfunktion des Produkts. Ein Gateway, das als Router arbeitet, kann zur Klasse I gehören; ein Gerät, das nur Sensordaten erfasst, kann in der Standardkategorie bleiben. Nutzen Sie unseren Klassencheck oder sprechen Sie uns für eine verbindliche Bewertung an.

03Weitere geltende Vorschriften

• RED und EN 18031: Die Cybersicherheitsanforderungen für Netzwerkgeräte mit Funkschnittstelle sind seit dem 1. August 2025 verbindlich. Siehe den Leitfaden zu EN 18031 und RED.
• NIS-2-Richtlinie (Richtlinie (EU) 2022/2555): Telekommunikationsbetreiber und Internetdienstanbieter fallen unter NIS 2 und verlangen im Rahmen der Sicherheit der Lieferkette Sicherheitsnachweise von Geräteherstellern.
• CRA Artikel 14: Die Meldepflicht für aktiv ausgenutzte Schwachstellen gilt seit dem 11. September 2026. Netzwerkgeräte tauchen häufig in Listen ausgenutzter Schwachstellen (CISA KEV) auf. Siehe den Leitfaden zu Artikel 14.

04Besondere Herausforderungen der Branche

• Firmware auf Embedded-Linux-Basis: Hunderte quelloffene Komponenten und ältere Kernel bedeuten lange Schwachstellenlisten.
• Lange Produktlebensdauer: Geräte, die jahrelang im Feld bleiben, brauchen während des gesamten Unterstützungszeitraums Sicherheitsaktualisierungen.
• Kette aus Netzbetreiber und ODM: Produkte werden oft von einem ODM entwickelt und unter der Marke eines Netzbetreibers verkauft; es muss klar sein, wer Hersteller ist und wer die Nachweise vorhält.
• Bewertung durch Dritte: Die Kapazität der notifizierten Stellen ist begrenzt, daher muss die technische Dokumentation frühzeitig fertig sein.

05Was die Plattform hier leistet

• Öffnet das Firmware-Image und erstellt die SBOM; priorisiert Schwachstellen anhand von CISA KEV und EPSS.
• Importiert die SBOM Ihres ODM und prüft sie fortlaufend auf neue Schwachstellen.
• Überwacht die Fristen nach Artikel 14 ab dem Zeitpunkt der Kenntniserlangung und erstellt Entwürfe der Meldungen.
• Signierte OTA-Updates mit A/B-Partitionen und Rollback-Schutz.
• Entwürfe der technischen Dokumentation und der EU-Konformitätserklärung; Ausgabe in CSAF 2.0 und OpenVEX.
• Ein signiertes Nachweisarchiv mit RFC-3161-Zeitstempel, 10 Jahre unverändert aufbewahrt; die Nachweise für Ihre notifizierte Stelle an einem Ort.

06Häufige Fragen