EUCC-Zertifizierung und Cyber Resilience Act: Vermutung, Ausweisung und künftige Pflichtzertifizierung

Problem in der Praxis

Die Verzahnung wird in beide Richtungen falsch erzählt. Die eine Verkürzung lautet: "Der CRA verlangt eine EUCC-Zertifizierung." Das stimmt nicht; die Pflichtzertifizierung für kritische Produkte ist eine Ermächtigung der Kommission, die am Stand 06.08.2026 nicht ausgeübt ist, und sie stünde zudem unter dem Vorbehalt, dass ein passendes Schema angenommen wurde und den Herstellern zur Verfügung steht (Art. 8 Abs. 1 CRA). Die andere Verkürzung lautet: "Ein EUCC-Zertifikat erledigt die CRA-Konformität." Auch das trägt nicht: Die Vermutung des Art. 27 Abs. 8 reicht nur, soweit das Zertifikat die grundlegenden Cybersicherheitsanforderungen des Anhangs I tatsächlich abdeckt, und die verfahrensrechtlichen Erleichterungen des Art. 27 Abs. 9 setzen einen delegierten Rechtsakt voraus, den es noch nicht gibt.

Für Hersteller entsteht daraus eine echte Planungsunsicherheit: Wer jetzt in eine EUCC-Zertifizierung investiert, weiß noch nicht verbindlich, in welchem Umfang sie als CRA-Nachweis anerkannt wird; wer wartet, verschenkt möglicherweise Vorlauf, falls die Ausweisung kommt und die Prüfkapazitäten knapp werden. Beide Risiken lassen sich nur managen, wenn der Rechtsakt-Stand laufend beobachtet wird statt einmalig recherchiert.

CISO-Einordnung

Die vier Anschlusspunkte im Einzelnen:

Konformitätsvermutung (Art. 27 Abs. 8 CRA). Für Produkte mit digitalen Elementen, für die eine EU-Konformitätserklärung oder ein Cybersicherheitszertifikat im Rahmen eines nach dem CSA angenommenen europäischen Schemas ausgestellt wurde, wird die Konformität mit den grundlegenden Cybersicherheitsanforderungen des Anhangs I CRA vermutet, sofern die Erklärung oder das Zertifikat oder Teile davon diese Anforderungen abdecken. Diese Wirkung tritt allerdings erst mit dem allgemeinen Geltungsbeginn des CRA am 11. Dezember 2027 ein: Art. 71 Abs. 2 CRA zieht nur Art. 14 (ab 11.09.2026) und Kapitel IV, Art. 35 bis 51 (ab 11.06.2026), vor; Art. 27 gehoert nicht dazu. Die Vermutung ist ausserdem reichweitenbegrenzt: Sie gilt anforderungsbezogen, nicht pauschal, und sie hängt von der inhaltlichen Deckung im Einzelfall ab.

Ausweisung per delegiertem Rechtsakt (Art. 27 Abs. 9 CRA). Die Kommission ist ermächtigt, per delegiertem Rechtsakt auszuweisen, welche CSA-Schemata für den Nachweis der Konformität mit Anhang I oder Teilen davon verwendet werden können. Zusätzlich hebt ein Zertifikat mindestens der Vertrauenswürdigkeitsstufe "mittel" aus einem so ausgewiesenen Schema die Pflicht auf, für die betreffenden Anforderungen eine Konformitätsbewertung durch Dritte nach Art. 32 Abs. 2 Buchst. a und b oder Abs. 3 Buchst. a und b durchführen zu lassen.

Verfahrensweg (Art. 32 CRA). Ein Schema nach Art. 27 Abs. 9 ist, "sofern verfügbar und anwendbar", als Konformitätsbewertungsverfahren zugelassen: allgemein nach Art. 32 Abs. 1 Buchst. d und für wichtige Produkte der Klasse II nach Art. 32 Abs. 3 Buchst. c, dort mindestens auf der Vertrauenswürdigkeitsstufe "mittel". Welche Produkte als wichtig (Klasse I und II) oder kritisch gelten, konkretisiert die Durchführungsverordnung (EU) 2025/2392 über die technische Beschreibung der Kategorien (im cra-Track als cra-009 behandelt).

Künftige Pflichtzertifizierung (Art. 8 Abs. 1 CRA). Für Produkte mit Kernfunktionen einer Kategorie des Anhangs IV (kritische Produkte) kann die Kommission per delegiertem Rechtsakt festlegen, dass ein europäisches Cybersicherheitszertifikat mindestens der Stufe "mittel" einzuholen ist; Voraussetzung ist, dass ein europäisches Schema für diese Produktkategorien angenommen wurde und den Herstellern zur Verfügung steht. Solche Rechtsakte müssen einen Übergangszeitraum von mindestens sechs Monaten vorsehen, außer in Fällen äußerster Dringlichkeit. Solange keine solchen Rechtsakte erlassen sind, unterliegen diese Produkte den Verfahren des Art. 32 Abs. 3.

Der Rechtsakt-Stand am 06.08.2026, mit Erhebungsweg: Die EUR-Lex-Weboberfläche war für die Skript-Erhebung an diesem Tag nicht erreichbar (Anti-Bot-Challenge); die Abfrage lief deshalb über den SPARQL-Endpunkt des Amts für Veröffentlichungen der EU (CELLAR), der die EUR-Lex-Datenbasis führt. Ergebnis: genau drei auf die VO (EU) 2024/2847 gestützte Rechtsakte, nämlich die Delegierte Verordnung (EU) 2025/1535 (Ausnahme für bestimmte Produkte im Anwendungsbereich der VO (EU) Nr. 168/2013), die Durchführungsverordnung (EU) 2025/2392 (technische Beschreibung der Produktkategorien) und die Delegierte Verordnung (EU) 2026/881 (Aufschub der Verbreitung von Meldungen). Keine Ausweisung nach Art. 27 Abs. 9, keine Anordnung nach Art. 8 Abs. 1. Die Kommissions-Zeitleiste zur CRA-Umsetzung nennt einen "Delegated Act specifying the presumption of conformity for the European Cybersecurity Certification scheme on Common Criteria (EUCC) with the CRA" für Q4 2026; das ist eine Planungsaussage der Kommission, kein Rechtsakt. Eine ENISA-Studie zum Zusammenspiel EUCC/CRA bezeichnet sich selbst als exploratorisch. Sie hält zweierlei fest, und beides gehört zusammengelesen: dass der CRA eine Vermutung der Konformität für Produkte begründet, die unter einem anerkannten europäischen Schema zertifiziert sind, und dass ihr eigener Bericht diese Vermutung nicht herstellen kann, weil deren Begründung im Sinne des Art. 27 Abs. 9 einen förmlichen Rechtsakt verlangt. Die Aussage betrifft also den Ausweisungsweg des Abs. 9 und nicht die Vermutung des Abs. 8, die aus dem Zertifikat selbst folgt; sie ist zudem eine Auffassung der ENISA und keine Rechtsquelle.

Abgrenzung zu den Nachbar-Tracks: Der cra-Track behandelt die Produktpflichten, Fristen und Meldewege des CRA selbst, einschließlich der Produktkategorien der DVO (EU) 2025/2392 (cra-009); hier steht nur die Verzahnung mit der EUCC-Zertifizierung. eu-cert-001 erklärt den CSA-Rahmen, eu-cert-002 das EUCC-Verfahren. Der mvo-Track hält die parallele Frage offen, ob ein CSA-Schema für Art. 20 Abs. 9 der Maschinenverordnung praktisch nutzbar ist; sie wird durch diesen Artikel nicht beantwortet.

Umsetzungsperspektive

Für Hersteller im CRA-Anwendungsbereich ist die Verzahnung eine Beobachtungs- und Vorbereitungsaufgabe. Beobachtung: Der Stand der delegierten Rechtsakte entscheidet, ob ein EUCC-Zertifikat verfahrensrechtlich etwas erledigt (Art. 27 Abs. 9, Art. 32) oder ob es bei der reichweitenbegrenzten Vermutung des Art. 27 Abs. 8 bleibt. Dieser Stand ist zeitveränderlich; die Q4-2026-Planung der Kommission ist ein konkreter Anlass, die Beobachtung jetzt einzurichten. Vorbereitung: Wer kritische Produkte nach Anhang IV herstellt, sollte das Szenario einer künftigen Pflichtzertifizierung mindestens der Stufe "mittel" durchgeplant haben (Kapazität, Evaluierungsgegenstand, Zeitbedarf), ohne sie als geltende Pflicht zu behandeln.

Für die Zuordnung der eigenen Produkte zu den Kategorien (wichtig Klasse I oder II, kritisch) ist die DVO (EU) 2025/2392 heranzuziehen; die Einstufung im Einzelfall ist eine Rechtsfrage, die dieser Artikel nicht verbindlich beantwortet. Die CRA-Pflichten selbst, einschließlich ihrer Anwendungsfristen, laufen unabhängig von der EUCC-Frage weiter und sind im cra-Track beschrieben; ein Warten auf die EUCC-Ausweisung schiebt keine CRA-Frist hinaus.

Typische Fehler

1. Behaupten, der CRA verlange heute eine EUCC-Zertifizierung; Art. 8 Abs. 1 CRA ist eine nicht ausgeübte Ermächtigung (Stand 06.08.2026), keine geltende Pflicht.
2. Behaupten, delegierte Rechtsakte nach Art. 27 Abs. 9 oder Art. 8 Abs. 1 existierten bereits; am 06.08.2026 gab es genau drei auf den CRA gestützte Rechtsakte, keiner davon betrifft diese Ermächtigungen.
3. Ein EUCC-Zertifikat als pauschale CRA-Konformität verkaufen; die Vermutung des Art. 27 Abs. 8 gilt nur, soweit das Zertifikat die Anforderungen des Anhangs I abdeckt.
4. Die Q4-2026-Angabe der Kommission als Frist oder Zusage behandeln; sie ist eine Planungsaussage in einer Umsetzungs-Zeitleiste und kann sich verschieben.
5. Die ENISA-Studie zum Zusammenspiel EUCC/CRA als Anerkennungsentscheidung lesen; sie ist ausdrücklich exploratorisch.
6. Wegen der offenen EUCC-Ausweisung CRA-Pflichten aufschieben; die CRA-Fristen laufen unabhängig (cra-Track).

Risiken und Trade-offs

Der Kern-Trade-off ist Investitionstiming unter Rechtsunsicherheit. Früh zertifizieren bedeutet: Vorsprung, falls die Ausweisung nach Art. 27 Abs. 9 kommt und ein Zertifikat mindestens der Stufe "mittel" die Drittbewertungspflichten der Art. 32 Abs. 2 und 3 entfallen lässt; zugleich das Risiko, dass Umfang und Bedingungen der Anerkennung im späteren Rechtsakt anders ausfallen als erwartet. Spät zertifizieren bedeutet: keine Fehlinvestition in einen ungewissen Anerkennungsumfang, aber Wettbewerb um Evaluierungs- und Zertifizierungskapazität, sobald die Ausweisung da ist; und bei kritischen Produkten das Szenario, dass ein Rechtsakt nach Art. 8 Abs. 1 mit einem Übergangszeitraum von womöglich nur sechs Monaten kommt.

Hinzu kommt ein Deckungsrisiko in beide Richtungen: Ein Zertifikat, dessen Evaluierungsgegenstand eng geschnitten ist, deckt die Anhang-I-Anforderungen nur teilweise; die Differenz muss über die regulären Verfahren nachgewiesen werden. Wer das erst im Konformitätsbewertungsverfahren bemerkt, hat doppelt bezahlt. Die Deckungsfrage gehört deshalb vor den Zertifizierungsantrag, nicht danach.

Entscheidungspunkte

• Fallen unsere Produkte unter den CRA, und wenn ja: Standardkategorie, wichtig (Klasse I oder II) oder kritisch (Anhang IV, DVO (EU) 2025/2392, cra-Track)?
• Lohnt eine EUCC-Zertifizierung schon vor der Ausweisung nach Art. 27 Abs. 9: als Marktsignal, für Beschaffungsanforderungen, als Vorbereitung auf Art. 8 Abs. 1?
• Welche Anforderungen des Anhangs I CRA würde ein geplantes Zertifikat tatsächlich abdecken, und wie schließen wir die Lücke?
• Wer beobachtet den Stand der delegierten Rechtsakte (Art. 27 Abs. 9, Art. 8 Abs. 1) und die Kommissions-Zeitleiste, und mit welchem Prüfzyklus?

Praktische Empfehlungen

1. Führen Sie den Rechtsakt-Stand als beobachteten Posten mit Datum: "Keine Ausweisung nach Art. 27 Abs. 9, keine Anordnung nach Art. 8 Abs. 1 (Stand 06.08.2026); Kommissionsplanung für die EUCC-Konformitätsvermutung: Q4 2026." Aktualisieren Sie diese Zeile, statt sie zu kopieren.
2. Ordnen Sie Ihre Produkte den CRA-Kategorien zu (DVO (EU) 2025/2392, cra-Track), bevor Sie über eine EUCC-Zertifizierung als CRA-Baustein entscheiden; die Verzahnung ändert das Verfahren bei Klasse I und Klasse II gleichermaßen, weil Art. 27 Abs. 9 CRA die Drittbewertungspflicht sowohl des Art. 32 Abs. 2 Buchst. a und b als auch des Abs. 3 Buchst. a und b aufhebt; bei kritischen Produkten tritt die mögliche Zertifizierungspflicht nach Art. 8 Abs. 1 hinzu.
3. Lassen Sie bei Zertifizierungsplänen die Deckung gegen Anhang I CRA früh bewerten (Evaluierungsgegenstand, Sicherheitsziel), damit die Vermutung des Art. 27 Abs. 8 später tatsächlich trägt.
4. Planen Sie für kritische Produkte nach Anhang IV das Pflichtzertifizierungs-Szenario mit mindestens sechs Monaten Übergang durch, ohne es als geltendes Recht zu kommunizieren.
5. Treiben Sie CRA-Umsetzung und EUCC-Überlegungen parallel: Die eine ist Pflicht mit laufenden Fristen, die andere eine Option mit offenem Anerkennungsumfang.

Relevante Normreferenzen

• Verordnung (EU) 2024/2847 (Cyber Resilience Act): Art. 8 Abs. 1 (Ermächtigung zur Pflichtzertifizierung kritischer Produkte), Art. 27 Abs. 8 und 9 (Konformitätsvermutung, Ausweisung per delegiertem Rechtsakt), Art. 32 Abs. 1 Buchst. d, Abs. 2 und Abs. 3 (Konformitätsbewertungsverfahren), Erwägungsgrund 82 mit Fußnote 20 (namentliche EUCC-Nennung); primäre Rechtsquelle, EU-Recht mit Quellenangabe frei zitierbar.
• Durchführungsverordnung (EU) 2024/482 (EUCC): das Schema, dessen Ausweisung in Rede steht (eu-cert-002).
• Verordnung (EU) 2019/881 (CSA): Rahmen und Vertrauenswürdigkeitsstufen (eu-cert-001).
• Durchführungsverordnung (EU) 2025/2392: technische Beschreibung der Kategorien wichtiger und kritischer Produkte (cra-Track, cra-009).
• Auf den CRA gestützte Rechtsakte am 06.08.2026: Delegierte VO (EU) 2025/1535, DVO (EU) 2025/2392, Delegierte VO (EU) 2026/881; keine davon zu Art. 27 Abs. 9 oder Art. 8 Abs. 1 (Erhebung über den CELLAR-SPARQL-Endpunkt des Amts für Veröffentlichungen der EU).