Wirtschaft

Mehr Klarheit bei vernetzten Geräten: Was 17 ETSI-Entwürfe jetzt vorbereiten

ETSI prüft 17 Entwürfe für CRA-Cyberstandards in der öffentlichen Anfrage. Sie sollen vernetzte Geräte sicherer machen, sind aber noch nicht harmonisiert.

Von Wolfgang

18. Aug. 20267 Min. Lesezeit

ETSI prüft 17 Entwürfe für CRA-Cyberstandards in der öffentlichen Anfrage. Sie sollen vernetzte Geräte sicherer machen, sind aber noch nicht harmonisiert.

Bei vernetzten Geräten zeigt sich Sicherheit nicht erst nach einem Angriff. Sie hängt auch davon ab, ob Hersteller Updates, sichere Voreinstellungen und technische Nachweise einplanen. Dafür hat ETSI 17 produktbezogene Entwürfe zum Cyber Resilience Act in die öffentliche Prüfung gegeben. Der wichtige Schritt ist aber noch kein fertiger Standard, kein CE-Nachweis und kein Sicherheitslabel.

Das Wichtigste in 30 Sekunden

ETSI hat am 13. August 2026 17 vertikale Final Drafts der Reihe ETSI EN 304 xxx zur Public Enquiry bereitgestellt.
Die Entwürfe sollen die abstrakten Sicherheitsziele des Cyber Resilience Act in technische Maßstäbe für konkrete Produktklassen übersetzen.
Während der Prüfung sind sie weder harmonisierte Standards noch eine aktuelle presumption of conformity oder eine Garantie für sichere Geräte.
Für Hersteller, Importeure und Händler beginnt die Vorbereitung trotzdem: Produktdesign, Dokumentation, Schwachstellenbehandlung, Updates und die passende Konformitätsroute müssen zusammenpassen.

Router, Wearable und Smart-Home-Gerät liegen auf einem Tisch neben neutralen Prüfunterlagen und Notizen — Router, Wearable und Smart-Home-Gerät stehen beispielhaft für Produktklassen, deren Sicherheitsanforderungen technisch präzisiert werden sollen – durch KI erzeugt

Warum technische Maßstäbe für vernetzte Produkte fehlen

Ein Router, ein Smart-Home-Assistent oder ein vernetztes Spielzeug kann technisch sauber aussehen und trotzdem unklar lassen, wie lange Sicherheitslücken bearbeitet werden, welche Updates vorgesehen sind und welche Informationen der Hersteller dokumentiert. Genau diese Lücke will der Cyber Resilience Act (CRA) schließen. Die Verordnung setzt horizontale Anforderungen für Hardware und Software mit digitalen Elementen. Sie beschreibt also das Ziel, nicht für jede Produktklasse die komplette technische Umsetzung.

Für Unternehmen heißt das: Gesetzliche Ziele müssen in Produktentscheidungen übersetzt werden. Sicherheitsfunktionen gehören bereits in Planung, Entwicklung und Wartung. Dazu gehören je nach Produkt und Konformitätsweg unter anderem Security by Design, sichere Voreinstellungen, Schwachstellenbehandlung, Updates und nachvollziehbare technische Dokumentation. Für Käufer entsteht daraus später möglicherweise mehr Vergleichbarkeit. Heute lässt sich ein Gerät aber noch nicht mit einem „17-Standards-Label“ bewerten.

Was ETSI mit den 17 Entwürfen jetzt eröffnet

ETSI hat am 13. August 2026 17 vertikale Final Drafts der Reihe ETSI EN 304 xxx an 41 Mitgliedsorganisationen in Europa übermittelt. Zusätzlich können die Organisationen ANEC, ECOS, ETUC und SBS Stellung nehmen. Die einzelnen Prüf- und Kommentarfenster laufen laut ETSI je nach Produktbereich von Mitte September bis Mitte November 2026.

„Vertikal“ bedeutet in diesem Zusammenhang: Die Texte sollen nicht jedes digitale Produkt über einen Kamm scheren. ETSI nennt unter anderem Passwortmanager, Antivirussoftware, Smart-Home-Assistenten, vernetztes Spielzeug und Wearables. Ein unabhängiger Gegencheck führt weitere Produktfelder wie Betriebssysteme, Router, Firewalls, VPN-Appliances, Browser und PKI-Software auf. Diese Liste ist eine Einordnung der Berichterstattung; sie ersetzt nicht die Prüfung des jeweils passenden Entwurfs.

Der Kern des Vorgangs liegt deshalb nicht in der Zahl 17 allein. Die Entwürfe sollen die gesetzlichen Sicherheitsziele so konkret machen, dass Hersteller sie in Produktanforderungen, Nachweise und Prozesse übersetzen können. Für kleine und mittlere Unternehmen kann das Orientierung schaffen. Ob ein Entwurf später wirklich als anerkannter Konformitätsweg taugt, ist zu diesem Zeitpunkt noch offen.

Diagramm zeigt den offenen Weg von der CRA-Verordnung über ETSI-Entwurf und öffentliche Prüfung zu möglicher Harmonisierung und Konformitätsbewertung — Der Weg vom gesetzlichen Ziel über die Public Enquiry bis zu einem möglichen späteren Konformitätsweg ist noch offen – durch KI erzeugt

Wie aus einem Entwurf eine harmonisierte Norm werden kann

Die Public Enquiry ist eine Prüf- und Kommentierungsphase. Mitgliedsorganisationen und die zugelassenen europäischen Interessenvertretungen können Rückmeldungen geben. Danach müssen die Texte überarbeitet, angenommen und in den weiteren europäischen Standardisierungsprozess eingeordnet werden. Erst wenn die rechtlichen und formalen Voraussetzungen erfüllt sind und die Europäische Kommission einen Standard gegebenenfalls im Amtsblatt zitiert, kann daraus ein rechtlich relevanter Weg zur presumption of conformity entstehen.

Diese Reihenfolge entscheidet, welche Anforderungen tatsächlich gelten, wie sie zu Produktklassen passen und welche Nachweise ein Hersteller führen kann. Ein Final Draft zeigt daher eine technische Richtung. Er beweist noch nicht, dass ein Produkt die Anforderungen erfüllt.

Gesetz, Entwurf, Konformität und CE: Die Unterschiede

Ebene	Wofür sie steht	Was sie heute nicht bedeutet
CRA-Verordnung	Gesetzliche Sicherheitsziele und Pflichten für Produkte mit digitalen Elementen.	Sie legt nicht den Inhalt jedes ETSI-Entwurfs im Detail fest.
ETSI Final Draft	Technischer Vorschlag für eine konkrete Produktklasse, derzeit unter Public Enquiry.	Kein harmonisierter Standard, kein CE-Nachweis und keine presumption of conformity.
Konformitätsbewertung	Nachweis, dass ein konkretes Produkt die anwendbaren Anforderungen erfüllt.	Nicht jedes Produkt nutzt dieselbe Bewertungsroute.
CE-Kennzeichnung	Erklärung des Herstellers, dass die geltenden EU-Anforderungen eingehalten werden.	Kein allgemeines Prüfzeichen für die gesamte Gerätesicherheit.

Beim CE-Begriff lohnt sich ein genauer Blick. Die EU-Kommission verknüpft die CRA-Konformität mit der CE-Kennzeichnung und der Marktaufsicht. Daraus folgt aber nicht, dass die 17 aktuellen Entwürfe bereits ein CE-Nachweis oder ein freiwilliges Sicherheitslabel wären.

Was Hersteller, Importeure und Händler vorbereiten müssen

Hersteller sollten die Entwürfe nicht als fertige Checkliste behandeln, aber als Signal für die anstehende Abstimmung zwischen Technik, Produktmanagement, Recht und Support. Entscheidend ist, ob ein Produkt seine Sicherheitsanforderungen über den Lebenszyklus hinweg dokumentieren und betreiben lässt.

Produktklasse klären: Prüfen, welcher Entwurf und welche CRA-Kategorie überhaupt zum Produkt passen.
Security by Design und Default prüfen: Sichere Voreinstellungen und Schutzfunktionen gehören in die Produktentscheidung, nicht nur in die Betriebsanleitung.
Schwachstellenprozess festlegen: Zuständigkeiten, Annahme von Meldungen, Bewertung und Abhilfe müssen nachvollziehbar sein.
Updates und Dokumentation verbinden: Supportangaben, technische Unterlagen und die tatsächliche Updatepraxis dürfen nicht auseinanderlaufen.
Konformitätsroute bestimmen: Die passende Bewertung hängt von Produktklasse und Risiko ab; eine einheitliche Route für alle vernetzten Geräte gibt es nicht.

Für Importeure und Händler kommt die Rolle in der Lieferkette hinzu. Sie können nicht einfach davon ausgehen, dass ein Produkt mit digitalen Funktionen automatisch durch denselben Nachweis läuft wie ein vergleichbares Gerät. Welche Unterlagen vorliegen, wer Schwachstellen bearbeitet und wie der Hersteller erreichbar bleibt, wird damit zu einer Beschaffungsfrage.

Was Käufer heute prüfen können

Privatpersonen erhalten durch die Public Enquiry noch kein neues Auswahlkriterium im Laden. Trotzdem lässt sich schon jetzt genauer hinschauen: Gibt der Anbieter einen Supportzeitraum an? Gibt es einen klaren Weg für Sicherheitsmeldungen? Werden Updates verständlich beschrieben? Und ist erkennbar, ob die Gerätesoftware auch nach dem Kauf gepflegt wird?

Solche Angaben sind kein Ersatz für eine spätere Norm oder Marktaufsicht. Sie zeigen aber, ob ein Hersteller Sicherheit als laufende Aufgabe behandelt. Das ist für eine Kamera, einen Router oder ein Wearable oft aussagekräftiger als ein allgemeines Versprechen im Marketing.

Zur Einordnung der bisherigen CRA-Pflichten erklärt der Artikel „Ab 11. September 2026 gelten CRA-Meldepflichten“ die getrennten Berichtspflichten für Produktteams. Die Verbraucherperspektive auf Updates und Support ordnet der Beitrag „Smarthome-Kamera gekauft?“ ein. Beide Texte liefern Hintergrund; der neue ETSI-Prozess ist davon zu unterscheiden.

Zweispaltige Übersicht zu Produktklasse, Updates, Schwachstellenkontakt, Dokumentation und Konformitätsroute für Anbieter und Käufer — Produktinformationen und laufende Sicherheitsprozesse schaffen Orientierung, ersetzen aber keinen fertigen Standard – durch KI erzeugt

Warum 11. September und 11. Dezember nicht dasselbe sind

Die verschiedenen Daten werden leicht vermischt. Nach Artikel 14 der Verordnung gelten bestimmte Meldepflichten für Hersteller ab dem 11. September 2026. Dazu gehören Meldungen zu aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen unter den gesetzlichen Voraussetzungen. Die 24-Stunden-Frühwarnung bezieht sich nicht auf jeden Fehler, jeden Händler und jedes Produkt.

Die allgemeinen Hauptpflichten des CRA gelten grundsätzlich ab dem 11. Dezember 2027. Dieses Datum macht die 17 ETSI-Entwürfe nicht automatisch verbindlich. Es markiert den Anwendungsbeginn der Verordnung, während die Standards ihren eigenen Prüfungs-, Annahme- und möglichen Zitierungsprozess durchlaufen.

Welche Fragen nach der Prüfung offen bleiben

Werden alle 17 Entwürfe unverändert übernommen?: Das ist offen. Die Public Enquiry soll gerade Rückmeldungen sammeln. Änderungen und unterschiedliche Zeitpunkte je Produktbereich sind möglich.
Kann ein Hersteller heute schon mit den Entwürfen werben?: Er kann den laufenden Normungsprozess beschreiben. Er darf daraus aber keinen aktuellen harmonisierten Standard, CE-Nachweis, Sicherheitslabel oder eine Garantie für das einzelne Produkt machen.
Werden Käufer später Geräte direkt vergleichen können?: Das hängt davon ab, welche Informationen Hersteller veröffentlichen, wie die Standards final aussehen und wie Marktaufsichtsbehörden die Regeln anwenden. Ein einheitlicher Kaufindex folgt daraus nicht automatisch.

Ein wichtiger Umsetzungsschritt, aber noch kein Gütesiegel

Die 17 ETSI-Entwürfe sind relevant, weil sie gesetzliche Sicherheitsziele in technische Anforderungen für konkrete Produkte übersetzen sollen. Mit der Public Enquiry ist dieser Prozess sichtbar, abgeschlossen ist er nicht. Anbieter sollten deshalb Produktklassen, Dokumentation, Updateprozesse und Zuständigkeiten jetzt ordnen. Käufer können auf klare Support- und Sicherheitsangaben achten, aus dem ETSI-Prozess aber noch kein Siegel ableiten.