IEC 62443 und CRA: ein Abgleich für Hersteller industrieller Produkte

01Die kurze Antwort

• IEC 62443 ist heute keine harmonisierte Norm im Rahmen des CRA. Die Anwendung von 62443 begründet daher allein keine Konformitätsvermutung (Artikel 27).
• Sie ist dennoch eine solide Grundlage: Nach dem Abgleich von JRC und ENISA aus dem Jahr 2024 decken 62443-4-1 für den Entwicklungsprozess und 62443-4-2 für die technischen Eigenschaften einer Komponente viele Anforderungen aus CRA Anhang I teilweise oder weitgehend ab.
• Pflichten wie SBOM, koordinierte Offenlegung von Schwachstellen, Meldungen nach Artikel 14, Unterstützungszeitraum und kostenlose Sicherheitsaktualisierungen fehlen in 62443 oder sind nur teilweise enthalten.
• CENELEC bereitet an den CRA angepasste Änderungen von EN IEC 62443-4-1 und 4-2 vor. Der Entwurf der Änderung zu 4-2 nennt als Ziel, für eine Fundstellenveröffentlichung im Rahmen des CRA angeboten zu werden.

02Die für Hersteller relevanten Teile von IEC 62443

IEC 62443 ist eine Normenreihe für die Sicherheit industrieller Automatisierungs- und Steuerungssysteme (IACS). Ihre Teile richten sich an verschiedene Rollen: Betreiber, Integrator, Dienstleister und Produktlieferant. Für den Produkthersteller, an den sich der CRA richtet, sind 4-1 und 4-2 die beiden wichtigsten Teile.

Die sieben grundlegenden Anforderungen in 62443-4-2 sind Identifizierung und Authentifizierung, Nutzungskontrolle, Systemintegrität, Vertraulichkeit der Daten, eingeschränkter Datenfluss, rechtzeitige Reaktion auf Ereignisse und Verfügbarkeit von Ressourcen. Die Sicherheitsstufen reichen von 1 bis 4, von zufälligen Verstößen bis zu gezielten Angriffen mit umfangreichen Ressourcen.

IEC-Normtexte sind kostenpflichtig. Dieser Leitfaden stützt sich nur auf öffentliche Zusammenfassungen von IEC, CEN-CENELEC und EU-Stellen und zitiert keine Normtexte.

03Abgleich mit CRA Anhang I

2024 haben die Gemeinsame Forschungsstelle der Europäischen Kommission (JRC) und ENISA die grundlegenden Anforderungen des CRA mit bestehenden Normen verglichen. Die Tabelle fasst in eigenen Worten zusammen, was dieser Abgleich für 62443 ergab. Grundlage war der Vorschlag zum CRA; im endgültigen Text hat sich die Nummerierung geändert, daher nennen wir die Anforderungen beim Namen.

Das Gesamtergebnis des Abgleichs: Keine einzelne Norm deckt Anhang I vollständig ab. Die Reihe 62443 bietet eine gute Abdeckung, ist aber auf industrielle Steuerungssysteme zugeschnitten. Wer ein Verbraucherprodukt oder ein allgemeines IoT-Gerät herstellt, muss gesondert prüfen, wie die Anforderungen zum Produkt passen.

04CRA-Pflichten, die 62443 nicht abdeckt

Über Anhang I hinaus legt der CRA Herstellern weitere Pflichten auf, für die es in 62443 keine Entsprechung gibt:

• SBOM: eine maschinenlesbare Liste der Komponenten im Produkt, die mindestens die obersten Abhängigkeiten erfasst (Anhang I Teil II). Details im Leitfaden Was ist eine SBOM?.
• Koordinierte Offenlegung von Schwachstellen: eine schriftliche Strategie und eine Kontaktadresse für Schwachstellenmeldungen.
• Meldungen nach Artikel 14: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden und Abschlussbericht für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle. Gilt seit dem 11. September 2026; siehe den Leitfaden zu Artikel 14.
• Unterstützungszeitraum: ein Zeitraum, der die erwartete Nutzungsdauer widerspiegelt, mindestens fünf Jahre, sofern die Lebensdauer des Produkts nicht kürzer ist, mit kostenlosen Sicherheitsaktualisierungen während des gesamten Zeitraums (Artikel 13).
• Unterlagen und Kennzeichnung: technische Dokumentation nach Anhang VII, Informationen für Nutzer (Anhang II), EU-Konformitätserklärung und CE-Kennzeichnung.

05Harmonisierte Normen und 62443

• Der Normungsauftrag M/606 zum CRA umfasst horizontale und produktspezifische (vertikale) Normen. Eine vertikale Norm betrifft Firewalls sowie Systeme zur Erkennung und Verhinderung von Angriffen; der Auftrag nennt ausdrücklich auch solche für den industriellen Einsatz und verlangt Kohärenz mit dem Maschinenrecht (Beschluss C(2025) 618).
• Das CENELEC-Komitee TC 65X erarbeitet eine Änderung (prAA) zu EN IEC 62443-4-2:2019. Der Entwurf passt die Anforderungen an die grundlegenden Anforderungen des CRA an, ergänzt neue Anforderungen für Lücken und fügt einen Anhang ZZ zum Verhältnis zum CRA sowie einen Anhang hinzu, der Bedrohungen den CRA-Anforderungen zuordnet. Die Umfrage zum Entwurf endete am 5. Juni 2026.
• Dasselbe Komitee ändert EN IEC 62443-4-1:2018, um sie an die in CEN-CENELEC JTC 13 erarbeitete Norm zu den Grundsätzen der Cyberresilienz anzugleichen, insbesondere bei der Dokumentation des bestimmungsgemäßen Gebrauchs und des Sicherheitskontexts (CEN-CENELEC).
• Eine Norm begründet die Konformitätsvermutung erst, wenn ihre Fundstelle im Amtsblatt der EU veröffentlicht ist (Artikel 27). Auch nach Veröffentlichung und Fundstellenangabe der Änderungen bleibt die Vermutung auf die in Anhang ZZ genannten Anforderungen beschränkt.
• Zeitplan und aktuellen Stand im Amtsblatt finden Sie auf der Seite EU-CRA: aktueller Stand, die wir monatlich prüfen.

06Was ist eine 62443-Zertifizierung im CRA wert?

ISASecure zertifiziert Entwicklungsprozesse nach 62443-4-1 (SDLA) und Komponenten nach 62443-4-2; auch das IECEE-System der IEC führt Konformitätsbewertungen für die Reihe durch. Diese Zertifikate haben im CRA keine rechtliche Wirkung, sind aber nützlich:

• Risikobeurteilung, sicherer Entwicklungsprozess und Testnachweise bilden einen großen Teil der technischen Dokumentation nach Anhang VII.
• Wo eine Bewertung durch Dritte nötig ist (Klasse I ohne angewandte harmonisierte Norm, Klasse II und kritische Produkte), stärken sie die Nachweise für die notifizierte Stelle. Welches Produkt welchen Weg nimmt, erklärt der Leitfaden zu den Produktklassen.
• Fallen Ihre Kunden unter NIS2, liefern sie fertige Antworten auf Sicherheitsfragebögen für Lieferanten.

Ein 62443-Zertifikat beweist oder garantiert keine CRA-Konformität. Maßgeblich ist eine Dokumentation, die zeigt, dass das Produkt Anhang I erfüllt und die Pflichten aus Artikel 13 und 14 eingehalten werden.

07Schritte für Teams, die mit 62443 arbeiten

1. Gleichen Sie Ihre vorhandenen 4-1-Prozessnachweise und Ihre 4-2-Anforderungsmatrix mit der Tabelle oben ab; notieren Sie für jede CRA-Anforderung, wo der Nachweis liegt.
2. Schließen Sie die Lücken: SBOM für jede Version, veröffentlichte Strategie zur Offenlegung von Schwachstellen mit Kontaktadresse, sichere Standardkonfiguration, Datenminimierung.
3. Richten Sie den Meldeprozess nach Artikel 14 ein: Wer entscheidet, wie die 24-Stunden-Frist eingehalten wird, wer auf der einheitlichen Meldeplattform der ENISA meldet.
4. Legen Sie den Unterstützungszeitraum fest und planen Sie die Infrastruktur, um Aktualisierungen in diesem Zeitraum sicher und kostenlos zu verteilen.
5. Bestimmen Sie die CRA-Klasse des Produkts; der Klassencheck zeigt die voraussichtliche Klasse mit wenigen Fragen.
6. Verfolgen Sie die 62443-Änderungen bei CENELEC und die Normen aus JTC 13; aktualisieren Sie Ihre Anforderungsmatrix, sobald sie veröffentlicht sind.

Wie der CRA für industrielle Produkte gilt, erklärt die Seite Industrieautomatisierung und Elektronik. Für Funkprodukte siehe auch den Leitfaden zu RED und EN 18031.

08Häufige Fragen