Cyber Resilience Act

Die Zweckbestimmung eines Produkts, auf Englisch Intended Purpose genannt, legt fest, wofür ein Hersteller sein Produkt vorsieht und unter welchen Bedingungen es zum Einsatz kommt. Der CRA verknüpft mit dieser Festlegung mehr als eine Formalie: Die Zweckbestimmung entscheidet, welche Essential Requirements aus Anhang I greifen. Sie setzt den Rahmen für die spätere Risikoanalyse, grenzt die Verantwortung zwischen Hersteller und Nutzer ab und ist somit haftungsrelevant. Die Zweckbestimmung bildet somit die erste Weichenstellung jedes CRA‑Projekts, lange bevor die technische Arbeit beginnt.

Ein Beispiel verdeutlicht das Prinzip. Eine industrielle Pumpensteuerung, ausschließlich für geschlossene Produktionsnetzwerke vorgesehen, unterliegt anderen Risikoannahmen als dieselbe Steuerung mit vorgesehenem Fernzugriff über das Internet. Bindet ein Betreiber die Steuerung später an ein Wartungsportal an, obwohl der Hersteller das nicht vorsah, wird genau diese Lücke zwischen Zweckbestimmung und vorhersehbarer Verwendung zum Streitpunkt gegenüber der Marktüberwachungsbehörde.

Eine bewusste Formulierung der Zweckbestimmung stellt sicher, dass Hersteller, Nutzer und Marktüberwachungsbehörden mit denselben Annahmen arbeiten. Eine bewusst formulierte Zweckbestimmung kann auch ein Mittel sein, die sichere Nutzung eines Produktes zu gewährleisten, obwohl bestimmte Sicherheitsmaßnahmen technisch nicht umsetzbar sind.

Zwei Fehler treten in der Praxis besonders häufig auf. Zum einen formulieren Hersteller die Zweckbestimmung so allgemein, dass sie für die Risikoanalyse keinen brauchbaren Rahmen mehr liefert und sie hohe Haftungsrisiken eingehen. Fast jedes Szenario erscheint dann plausibel, die Analyse verliert sich in Eventualitäten und die Liste der notwendigen Cybersicherheitsmaßnahmen wird lang.

Zum anderen fassen Hersteller die Zweckbestimmung zu eng und blenden reale Nutzungsszenarien aus, etwa Fernwartung durch externe Dienstleister oder eine Integration in fremde IT‑Umgebungen – ein Streitpunkt mit Kunden und potenziell Marktüberwachungsbehörden.

Eine belastbare Zweckbestimmung entsteht selten am Schreibtisch einer einzelnen Abteilung. Entwicklung, Produktmanagement, Vertrieb und die Rechtsabteilung kennen jeweils unterschiedliche Facetten des realen Einsatzes und der rechtlichen Auswirkungen. Ihr gemeinsamer Blick führt zu einer tragfähigen Formulierung. Ohne diese saubere Grundlage fehlt jeder folgenden Analyse ihr Fundament.

Welche Standards für den CRA tatsächlich zählen, gehört zu den meistgestellten Fragen. Harmonisierte Standards, die eine Konformitätsvermutung begründen, entstehen über einen mehrjährigen Abstimmungsprozess zwischen der EU‑Kommission und den Normungsorganisationen CEN, CENELEC und ETSI. Für die meisten CRA‑Produktkategorien liegen sie vor Dezember 2027 nicht vollständig vor.

Harmonisierte Standards zu nutzen, ist nicht verpflichtend. CRA‑Konformität ist auch ohne harmonisierte Standards möglich, und das Fehlen von harmonisierten Standards entbindet Hersteller nicht von ihrer Pflicht zur CRA‑Konformität. Auf der anderen Seite ist das Erfüllen eines harmonisierten Standards allein nicht ausreichend für die CRA‑Konformität – die Risikoanalyse bleibt weiter zentral, denn: Die Konformitätsvermutung gilt nur, wenn der harmonisierte Standard alle relevanten Cybersecurity‑Risiken abdeckt, die mit Ihrem Produkt verbunden sind.

Trotzdem gibt es einige Standards, die Herstellern als Orientierung dienen können:

Bis harmonisierte CRA‑Normen vollständig vorliegen, bleibt eine transparent dokumentierte, an etablierten Standards orientierte Vorgehensweise der verlässlichste Weg zur Konformität.