EUCC-Zertifizierung: Verfahren, Vertrauenswürdigkeitsstufen und Pflichten der Zertifikatsinhaber

Problem in der Praxis

Organisationen, die aus der Common-Criteria-Welt kommen, übertragen alte Gewohnheiten ungeprüft auf die EUCC-Zertifizierung: Sie sprechen in EAL-Kategorien, obwohl die Verordnung die Stufen "mittel" und "hoch" über AVA_VAN-Stufen definiert (Art. 4); sie erwarten die CSA-Stufe "niedrig", die es im EUCC nicht gibt; und sie planen mit den CC-Fassungen 3.1, deren Nutzung für die Ausstellung eines EUCC-Zertifikats nur noch übergangsweise bis zum 31.12.2027 zulässig ist (Art. 3 Abs. 2 in der Fassung der DVO (EU) 2024/3144, dazu eu-cert-003). Der Stichtag ist keine ausnahmslose Grenze: Art. 3 Abs. 3 und 4 erlauben den Bezug auf ein Schutzprofil nach Altfassungen, bei Abs. 4 ohne genannten Endtermin und beschränkt auf CC beziehungsweise CEM 3.1 Revision 1 bis 4, wenn einer der dort genannten Rechtsakte ein solches Schutzprofil verlangt; das Zertifikat folgt in beiden Fällen den aktuellen Normen des Art. 3 Abs. 1. Art. 49 Abs. 4 lässt die Altnormen des Art. 3 Abs. 2 daneben nur unter drei Voraussetzungen zu: Es muss eine Überprüfung nach Art. 49 Abs. 3 sein, sie muss innerhalb von zwei Jahren nach Ausstellung des ersten Zertifikats stattfinden, und sie muss zur Ausstellung eines neuen Zertifikats nach der DVO führen. Als Ausstellungsdatum des ersten Zertifikats gilt dabei nach Satz 2 das Datum des letzten Zertifikats für das IKT-Produkt oder Schutzprofil, auf dem die gegenwärtige Zertifizierung beruht. Einen Kalenderstichtag nennt die Vorschrift nicht.

Die zweite Falle ist der Fassungsstand der Verordnung selbst. Die DVO (EU) 2024/482 ist zweimal geändert worden: durch die DVO (EU) 2024/3144 vom 18.12.2024 in Bezug auf geltende internationale Normen und zur Berichtigung der Durchführungsverordnung (Wirkung laut EUR-Lex-Dokumentseite zum 08.01.2025) und durch die DVO (EU) 2025/2462 vom 08.12.2025 im Hinblick auf Begriffsbestimmungen, die Zertifizierung von IKT-Produktreihen, die Kontinuität der Vertrauenswürdigkeit und Sachstandsdokumente (Wirkung zum 29.12.2025). Maßgeblich ist die konsolidierte Fassung 02024R0482-20251229. Wer mit der Originalfassung arbeitet, verpasst unter anderem die Möglichkeit, Produktreihen zertifizieren zu lassen (Art. 5 Abs. 3 in der Fassung der DVO (EU) 2025/2462).

Die dritte Falle ist die Unterschätzung der Nachmarktpflichten: Wer das Zertifikat als Projektabschluss behandelt, verletzt die laufenden Pflichten aus Kapitel VI, die vom Aufrechterhalten eines Schwachstellenmanagementverfahrens bis zur Offenlegung nach einem Widerruf reichen.

CISO-Einordnung

Das Verfahren auf Verordnungsebene, ohne Wiedergabe von Norminhalten:

Gegenstand und Weg zur Zertifizierung. Zertifiziert werden IKT-Produkte samt Dokumentation und Schutzprofile (Art. 1). Die Zertifizierung eines IKT-Produkts erfolgt anhand seines Sicherheitsziels, wie vom Antragsteller festgelegt, oder unter Geltendmachung der Konformität mit einem zertifizierten Schutzprofil, wenn das Produkt in dessen Produktkategorie fällt (Art. 5 Abs. 1). Ein Schutzprofil legt die Sicherheitsanforderungen für eine bestimmte Kategorie von IKT-Produkten fest (Art. 2 Nr. 5) und wird ausschließlich zur Zertifizierung von Produkten dieser Kategorie zertifiziert (Art. 5 Abs. 2). Seit der DVO (EU) 2025/2462 kann eine Zertifizierungsstelle auch die Zertifizierung einer Produktreihe gestatten (Art. 5 Abs. 3, Begriff in Art. 2 Nr. 16).

Rollen. Die Evaluierung führt eine ITSEF durch, eine Einrichtung zur Evaluierung der IT-Sicherheit, die Konformitätsbewertungsstelle im Sinne der Verordnung (EG) Nr. 765/2008 ist (Art. 2 Nr. 7); sie erstellt den technischen Evaluierungsbericht (Art. 2 Nr. 6). Das Zertifikat erteilt eine Zertifizierungsstelle (Art. 2 Nr. 12). Die Aufsicht führt die nationale Behörde für die Cybersicherheitszertifizierung des Mitgliedstaats (Art. 2 Nr. 11 in Verbindung mit Art. 58 CSA). Eine Selbstbewertung der Konformität im Sinne des Art. 53 CSA ist ausdrücklich nicht zulässig (Art. 6).

Stufen. EUCC-Zertifikate gibt es in den Vertrauenswürdigkeitsstufen "mittel" (AVA_VAN-Stufe 1 oder 2) und "hoch" (AVA_VAN-Stufe 3, 4 oder 5) (Art. 4 Abs. 1 bis 3). Die AVA_VAN-Stufe bezeichnet das Niveau der Schwachstellenanalyse, das den Umfang der durchgeführten Evaluierungstätigkeiten angibt (Art. 2 Nr. 8). Die im CSA angelegte dritte Stufe "niedrig" (Art. 52 Abs. 1 CSA) kommt im EUCC nicht vor. Was die einzelnen AVA_VAN-Stufen inhaltlich verlangen, steht in den lizenzpflichtigen Evaluierungsnormen und wird hier nicht wiedergegeben.

Harmonisierung über Sachstandsdokumente. Ein Sachstandsdokument legt Evaluierungsmethoden, -techniken und -instrumente oder andere für die Zertifizierung erforderliche Anforderungen fest, um die Evaluierung insbesondere in technischen Bereichen oder von Schutzprofilen zu harmonisieren (Art. 2 Nr. 14); Anhang I der Verordnung führt die einschlägigen Dokumente, etwa für die technischen Bereiche "Chipkarten und ähnliche Geräte" und "Hardware-Geräte mit Sicherheitsboxen". ENISA veröffentlicht die Sachstandsdokumente mit den Statuswerten final und draft (ENISA-Schemaseite, Herausgeberkommunikation mit Stand 05.08.2026).

Pflichten nach der Zertifizierung (Kapitel VI). Der Inhaber eines EUCC-Zertifikats muss alle erforderlichen Verfahren für das Schwachstellenmanagement festlegen und aufrechterhalten, nötigenfalls ergänzt durch die in der Norm EN ISO/IEC 30111 festgelegten Verfahren (Art. 33 Abs. 1). Er unterhält und veröffentlicht geeignete Methoden für die Einholung von Informationen über Schwachstellen aus externen Quellen, auch von Nutzern, Zertifizierungsstellen und Sicherheitsforschern (Art. 33 Abs. 2). Festgestellte oder gemeldete mögliche Schwachstellen sind aufzuzeichnen und auf ihre Auswirkungen zu analysieren (Art. 33 Abs. 3, Art. 34); wirkt sich eine Schwachstelle wahrscheinlich auf die Konformität mit dem Zertifikat aus, ist ein Bericht über die Analyse der Auswirkungen zu erstellen und unverzüglich der Zertifizierungsstelle oder der nationalen Behörde zu übermitteln (Art. 35 Abs. 1 und 4). Je nach Ergebnis folgt die Beseitigung mit Überprüfung des Zertifikats (Art. 36 in Verbindung mit Art. 13) oder der Widerruf (Art. 35 Abs. 6 in Verbindung mit Art. 14). Nach einem Widerruf muss der Inhaber alle öffentlich bekannten und beseitigten Schwachstellen offenlegen und registrieren (Art. 39).

Abgrenzung zu den Nachbar-Tracks: Der cra-Track behandelt die gesetzlichen Produktpflichten samt eigener Schwachstellen- und Meldepflichten des CRA; die Pflichten aus Kapitel VI treffen dagegen nur den Inhaber eines EUCC-Zertifikats und entstehen erst mit dessen Ausstellung: Art. 32 erklaert das Kapitel fuer IKT-Produkte anwendbar, "fuer die ein EUCC-Zertifikat ausgestellt wurde", und Art. 33 adressiert den Inhaber. Was den Antragsteller schon vorher trifft, steht in Art. 8 und 9. Der nis2-Track behandelt Betreiberpflichten, keine Produktevaluation. Was ein Zertifikat für Einkäufer bedeutet, steht in eu-cert-005.

Umsetzungsperspektive

Für einen Hersteller, der eine EUCC-Zertifizierung erwägt, beginnt die Umsetzung vor dem Antrag: Der Evaluierungsgegenstand muss abgegrenzt, das Sicherheitsziel formuliert oder ein passendes zertifiziertes Schutzprofil identifiziert werden (Art. 5), und die Wahl der Stufe muss zum Einsatzrisiko passen, das der Markt oder ein künftiger Rechtsakt verlangt. Die inhaltliche Arbeit daran setzt die lizenzpflichtigen CC- und CEM-Werke voraus; Planungen allein auf Basis dieses Artikels oder anderer Sekundärdarstellungen tragen nicht.

Die Normfassungen sind eine eigene Planungsentscheidung: Neuzertifizierungen laufen nach den 2022er-Fassungen; die Altfassungen (unter anderem CC 3.1 Revision 5) sind fuer die Zertifikatsausstellung nur noch uebergangsweise bis zum 31.12.2027 zulaessig (Art. 3 Abs. 2, erlaubende Formulierung; Einzelheiten und Zeitachse in eu-cert-003). Der Stichtag ist keine ausnahmslose Grenze: Art. 3 Abs. 3 und 4 erlauben den Bezug auf ein Schutzprofil nach Altfassungen, bei Abs. 4 ohne genannten Endtermin und beschränkt auf CC beziehungsweise CEM 3.1 Revision 1 bis 4, wenn einer der dort genannten Rechtsakte ein solches Schutzprofil verlangt; das Zertifikat folgt in beiden Fällen den aktuellen Normen des Art. 3 Abs. 1. Art. 49 Abs. 4 lässt die Altnormen des Art. 3 Abs. 2 daneben nur unter drei Voraussetzungen zu: Es muss eine Überprüfung nach Art. 49 Abs. 3 sein, sie muss innerhalb von zwei Jahren nach Ausstellung des ersten Zertifikats stattfinden, und sie muss zur Ausstellung eines neuen Zertifikats nach der DVO führen. Als Ausstellungsdatum des ersten Zertifikats gilt dabei nach Satz 2 das Datum des letzten Zertifikats für das IKT-Produkt oder Schutzprofil, auf dem die gegenwärtige Zertifizierung beruht. Einen Kalenderstichtag nennt die Vorschrift nicht.

Ab Zertifikatserteilung ist das Schwachstellenmanagement nach Kapitel VI zu betreiben: Verfahren aufsetzen und aufrechterhalten, externe Meldewege veröffentlichen, Analyse- und Berichtsfähigkeit sicherstellen. Das ist organisatorisch dieselbe Muskelgruppe wie die Schwachstellenprozesse des CRA, aber rechtlich ein eigener Pflichtenkreis mit eigenem Auslöser (Zertifikatsinhaberschaft statt Inverkehrbringen) und eigenen Adressaten (Zertifizierungsstelle und nationale Behörde statt Meldestellen). Wer beide Regime bedienen muss, sollte die Prozesse gemeinsam entwerfen, die Pflichten aber getrennt nachweisen.

Typische Fehler

1. Die EUCC-Stufen mit EAL-Angaben gleichsetzen oder eine Stufe "niedrig" erwarten; die Verordnung definiert "mittel" und "hoch" über AVA_VAN-Stufen (Art. 4 Abs. 1 bis 3), und die CSA-Stufe "niedrig" kommt im EUCC nicht vor.
2. Eine Selbstbewertung oder Herstellererklärung für möglich halten; Art. 6 schließt die Selbstbewertung der Konformität aus, es bleibt die Drittevaluierung durch eine ITSEF mit anschliessender Ueberpruefung und Zertifikatsausstellung durch die Zertifizierungsstelle (Art. 9 Abs. 1 Buchst. c bis e).
3. Mit der unveränderten Fassung der DVO (EU) 2024/482 arbeiten; maßgeblich ist die konsolidierte Fassung vom 29.12.2025 (02024R0482-20251229) mit den Änderungen durch die DVO (EU) 2024/3144 und die DVO (EU) 2025/2462.
4. Norminhalte der Common Criteria aus Sekundärquellen übernehmen; die verbindlichen Anforderungen stehen in den lizenzpflichtigen Werken (ISO/IEC 15408 Teile 1 bis 5 beziehungsweise CC:2022, ISO/IEC 18045 beziehungsweise CEM:2022), die für ein Zertifizierungsvorhaben zu beschaffen sind.
5. Das Zertifikat als Projektabschluss behandeln; Kapitel VI verpflichtet den Inhaber fortlaufend zu Schwachstellenmanagement, Analyse, Berichten und im Widerrufsfall zur Offenlegung (Art. 33 bis 39).
6. Neuvorhaben auf den CC-Altfassungen 3.1 aufsetzen; deren Nutzung ist nur übergangsweise bis zum 31.12.2027 zulässig (Art. 3 Abs. 2, dazu eu-cert-003); die Ausnahmen des Art. 3 Abs. 3 und 4 betreffen nur den Bezug auf Schutzprofile, Art. 49 Abs. 4 nur die Überprüfung nationaler Zertifikate, und keine davon trägt ein Neuvorhaben nach den Altnormen über den Stichtag hinaus.

Risiken und Trade-offs

Die Stufenwahl ist der teuerste Einzelhebel: Eine höhere Stufe bedeutet eine tiefere Schwachstellenanalyse und damit mehr Evaluierungsaufwand, längere Laufzeiten und höhere Kosten; konkrete Kosten- und Dauerwerte nennt die Verordnung nicht, und dieser Artikel behauptet keine. Zugleich entscheidet die Stufe über die künftige Verwendbarkeit des Zertifikats, etwa wenn ein Rechtsakt mindestens die Stufe "mittel" verlangt (so die Ermächtigungen des CRA, eu-cert-004). Zu niedrig gewählt, muss nachzertifiziert werden; zu hoch gewählt, bindet das Verfahren Ressourcen ohne belegten Bedarf.

Der zweite Trade-off betrifft den Übergang der Normfassungen: Ein laufendes Vorhaben auf CC 3.1 zu Ende zu führen ist bis zum 31.12.2027 zulässig und spart Umstellungsaufwand (Art. 3 Abs. 2; die Ausnahmen des Art. 3 Abs. 3 und 4 und des Art. 49 Abs. 4 helfen hier nicht, sie betreffen den Schutzprofilbezug und die Überprüfung nationaler Zertifikate); es verkürzt aber die Zeit, in der das Ergebnis dem aktuellen Normstand entspricht. Für die Abwägung im Einzelfall sind Zertifizierungsstelle und ITSEF die richtigen Gesprächspartner; eine verbindliche Empfehlung kann und darf dieser Artikel nicht geben.

Der dritte Trade-off ist die Produktreihen-Zertifizierung nach Art. 5 Abs. 3: Sie kann Aufwand über ähnliche Produkte hinweg bündeln, setzt aber voraus, dass die Produkte auf derselben funktionalen Basis beruhen, um denselben Sicherheitsbedarfen gerecht zu werden (Art. 2 Nr. 16); ob eine konkrete Produktfamilie das erfüllt, entscheidet die Zertifizierungsstelle, nicht der Antragsteller.

Entscheidungspunkte

• Welche unserer Produkte kommen für eine EUCC-Zertifizierung infrage, und mit welchem Sicherheitsziel oder Schutzprofil (Art. 5)?
• Welche Vertrauenswürdigkeitsstufe brauchen wir: reicht "mittel", oder verlangt der Einsatzkontext beziehungsweise ein absehbarer Rechtsakt "hoch" (Art. 4, eu-cert-004)?
• Starten wir Neuvorhaben auf den 2022er-Normfassungen, und was passiert mit laufenden Vorhaben auf CC 3.1 vor dem 31.12.2027 (Art. 3 Abs. 2), und greift fuer eines davon eine der Ausnahmen des Art. 3 Abs. 3 oder 4?
• Haben wir die CC- und CEM-Werke lizenziert und die Kompetenz, mit ihnen zu arbeiten, intern oder über Dienstleister?
• Wer betreibt nach Zertifikatserteilung das Schwachstellenmanagement nach Kapitel VI, und wie ist es mit den CRA-Prozessen verzahnt, ohne die Nachweise zu vermischen?

Praktische Empfehlungen

1. Arbeiten Sie mit der konsolidierten Fassung 02024R0482-20251229 und dokumentieren Sie den Rechtsstand jeder internen Unterlage.
2. Klären Sie vor dem Antrag mit Zertifizierungsstelle und ITSEF die Stufenwahl, die Normfassung und die Frage Schutzprofil oder eigenes Sicherheitsziel; das sind die drei Weichen mit den größten Kosten- und Terminfolgen.
3. Beschaffen Sie die Evaluierungsnormen (ISO/IEC 15408 Teile 1 bis 5 beziehungsweise CC:2022, ISO/IEC 18045 beziehungsweise CEM:2022) auf legalem Weg und planen Sie die Einarbeitung als eigenes Arbeitspaket; Sekundärzusammenfassungen ersetzen die Werke nicht.
4. Prüfen Sie früh, ob für Ihre Produktkategorie Sachstandsdokumente oder zertifizierte Schutzprofile einschlägig sind (Anhang I bis III der Verordnung, ENISA-Schemaseite), und richten Sie die Evaluierungsplanung daran aus.
5. Setzen Sie das Schwachstellenmanagement nach Kapitel VI vor der Zertifikatserteilung auf: Meldewege veröffentlichen, Analyse- und Berichtsprozesse definieren, Zuständigkeiten für den Kontakt zur Zertifizierungsstelle benennen (Art. 33 bis 36).
6. Prüfen Sie bei Produktfamilien die Produktreihen-Option (Art. 5 Abs. 3) im Gespräch mit der Zertifizierungsstelle, bevor Sie Einzelanträge planen.

Relevante Normreferenzen

• Durchführungsverordnung (EU) 2024/482 (EUCC): ABl. L, 2024/482, 7.2.2024; maßgeblich in der konsolidierten Fassung vom 29.12.2025 (02024R0482-20251229); primäre Rechtsquelle, EU-Recht mit Quellenangabe frei zitierbar.
• Durchführungsverordnung (EU) 2024/3144: erste EUCC-Änderung, in Bezug auf geltende internationale Normen und zur Berichtigung der Durchführungsverordnung (ABl. L, 2024/3144, 19.12.2024; Wirkung zum 08.01.2025).
• Durchführungsverordnung (EU) 2025/2462: zweite EUCC-Änderung, im Hinblick auf Begriffsbestimmungen, die Zertifizierung von IKT-Produktreihen, die Kontinuität der Vertrauenswürdigkeit und Sachstandsdokumente (ABl. L, 2025/2462, 9.12.2025; Wirkung zum 29.12.2025).
• Verordnung (EU) 2019/881 (CSA): Rahmen, Aufsicht und Rollen (eu-cert-001).
• ISO/IEC 15408 Teile 1 bis 5 beziehungsweise CC:2022 (Common Criteria) und ISO/IEC 18045 beziehungsweise CEM:2022 (Gemeinsame Evaluierungsmethodik): lizenzpflichtige Evaluierungsnormen; hier ausschließlich referenziert, keine Inhaltswiedergabe.