EU CRA für Smart Home und Unterhaltungselektronik
Smart-Home-Geräte mit begründeter Klasse, und einem Supportende, das Käufer kennen.
Thermostate, Leuchten, Zwischenstecker und Smart-TVs sind nach dem EU Cyber Resilience Act Standardprodukte. Klasse I gilt für Geräte, die das Zuhause schützen, wie Türschloss, Sicherheitskamera und Babyphone, und für Sprachassistenten.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
Welche Klasse hat ein Smart-Home-Gerät nach dem EU CRA?
Die meisten Smart-Home-Geräte gehören nach dem EU Cyber Resilience Act zur Standardklasse, etwa Thermostat, Leuchte, Zwischenstecker oder Smart-TV. Der Hersteller bewertet sie selbst nach Modul A (Art. 32 Abs. 1 EU CRA). Klasse I sind Geräte, die die physische Sicherheit im Zuhause schützen, also Türschloss, Sicherheitskamera, Babyphone und Alarmanlage (Anhang III Nr. 17), sowie Sprachassistenten (Nr. 16).
Produktklassen
Welche Smart-Home-Geräte sind Standardklasse, welche Klasse I?
Unter den EU Cyber Resilience Act fällt jedes Smart-Home-Gerät und jedes Produkt der Unterhaltungselektronik mit Datenverbindung zu einem Gerät oder Netz (Art. 2 Abs. 1 EU CRA). Die Klasse folgt aus der Kernfunktion (Art. 7 Abs. 1): Ohne Sicherheitsfunktion bleibt ein Gerät in der Standardklasse. In diesem Produktumfeld kommen aus Anhang III Klasse I vor allem Router (Nr. 12), separat verkaufte Funk- und Netzwerkadapter wie Zigbee-USB-Sticks (Nr. 10), Sprachassistenten (Nr. 16) und Produkte in Betracht, die die physische Sicherheit im Zuhause schützen (Nr. 17). Zu Nr. 17 zählen nach der Durchführungsverordnung (EU) 2025/2392 auch die Zentralen, die solche Geräte steuern.
Verteilung in dieser Branche
Produkt auswählen
Heizkörper- oder Raumthermostat mit App
Warum diese Klasse
Komfortfunktion ohne Sicherheitsfunktion; keine Kategorie in Anhang III oder IV.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Heizkörper- oder Raumthermostat mit App | Standardprodukt | Komfortfunktion ohne Sicherheitsfunktion; keine Kategorie in Anhang III oder IV. Zur Produktseite → |
| Smarte Leuchte, Zwischenstecker oder Rollladenaktor | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A (Art. 32 Abs. 1 EU CRA). Zur Produktseite → |
| KNX-, Zigbee- oder Matter-Aktor und -Taster | Standardprodukt | Der Feldbus- oder Funkanschluss bringt das Gerät in den Anwendungsbereich, ändert aber nicht seine Klasse. Zur Produktseite → |
| Smart-Home-Zentrale für Licht, Heizung und Beschattung | Standardprodukt | Nr. 17 erfasst nach der Durchführungsverordnung (EU) 2025/2392 nur Zentralen, die Sicherheitsprodukte steuern. Steuert die Zentrale auch Türschlösser, Kameras oder Alarmanlagen, kann sie unter Nr. 17 fallen; das hängt von ihrer Kernfunktion ab. Zur Produktseite → |
| Smart-TV, Streaming-Stick oder Soundbar | Standardprodukt | Keine Kategorie in Anhang III oder IV; ein eingebauter Assistent ändert die Kernfunktion nicht (Art. 7 Abs. 1 Satz 2 EU CRA). |
| WLAN- oder Bluetooth-Lautsprecher ohne Sprachassistent | Standardprodukt | Ohne Sprachassistenten mit allgemeinem Zweck keine Kategorie in Anhang III. |
| Heizungsregler oder Wärmepumpe mit App | Standardprodukt | Keine Kategorie in Anhang III oder IV. Zur Produktseite → |
| Sprachassistent für das Zuhause, als Lautsprecher oder Display | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 16; die Kategorie verlangt einen Assistenten mit allgemeinem Zweck. |
| Intelligentes Türschloss | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17; die Cloud-Funktion zum Öffnen aus der Ferne zählt nach Erwägungsgrund 12 EU CRA zum Produkt. |
| Sicherheitskamera für innen oder außen | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17. |
| Babyphone mit Video- oder App-Funktion | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17; Erwägungsgrund 10 zählt Babyphones zu den Produkten für schutzbedürftige Verbraucher. |
| Alarmanlage mit Zentrale, Sensoren und App | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 17; die Zentrale zählt nach der Durchführungsverordnung (EU) 2025/2392 mit. |
| WLAN-Router, Mesh-System oder Kabelmodem für den Internetanschluss | Wichtiges Produkt, Klasse I (Anhang III) | Klasse I Nr. 12: Router, Modems für die Internetanbindung und Switches. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Klasse II (Anhang III Klasse II Nr. 1–4, etwa Firewalls) und die kritischen Produkte nach Anhang IV EU CRA beschreiben keine Smart-Home-Endgeräte; das Smart-Meter-Gateway nach Anhang IV Nr. 2 behandelt die Branchenseite Energie- & Gebäudetechnik. Smart-Home-Geräte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen nach Art. 69 Abs. 2 EU CRA erst, wenn sie danach wesentlich geändert werden. Vernetztes Spielzeug (Nr. 18), Wearables (Nr. 19) und vernetzte Haushaltsgeräte behandelt die Branchenseite IoT & Consumer-Produkte.
Pflichten
Wie lange müssen Hersteller von Unterhaltungselektronik Sicherheitsupdates liefern?
Hersteller von Unterhaltungselektronik liefern Sicherheitsupdates für den Supportzeitraum (im Verordnungstext: Unterstützungszeitraum), den sie selbst festlegen: nach Art. 13 Abs. 8 EU CRA mindestens fünf Jahre, kürzer nur bei einer voraussichtlichen Nutzungsdauer unter fünf Jahren. Maßstab ist die erwartete Nutzungsdauer. Bleibt ein Fernseher oder ein Türschloss erkennbar länger in Gebrauch, ist ein pauschal gesetzter Zeitraum nach der EU-Kommissions-Guidance Kap. 5 angreifbar. Die Begründung gehört in die technische Dokumentation nach Anhang VII.
- 01
Enddatum schon beim Kauf sichtbar
Beim Kauf steht das Ende des Supportzeitraums leicht zugänglich da, mindestens mit Monat und Jahr, auf dem Gerät, der Verpackung oder digital (Art. 13 Abs. 19 EU CRA). Die Nutzerinformationen nennen zusätzlich die Art der Sicherheitsunterstützung (Anhang II Nr. 7).
- 02
Sicher ab Werk und nach dem Zurücksetzen
Anhang I Teil I Nr. 2 Buchst. b und d EU CRA
Ein Türschloss oder eine Alarmzentrale kommt sicher konfiguriert in den Handel und lässt sich auf den Ursprungszustand zurücksetzen (Anhang I Teil I Nr. 2 Buchst. b EU CRA). Authentifizierung oder Zugangsverwaltung schützt vor unbefugtem Zugriff, und ein möglicher unbefugter Zugriff wird gemeldet (Buchst. d).
- 03
Sicherheitsupdates, die sich selbst installieren
Wo es zum Gerät passt, installieren sich Sicherheitsupdates standardmäßig automatisch (Anhang I Teil I Nr. 2 Buchst. c EU CRA); Nutzer erfahren davon, können aufschieben und haben einen klaren Opt-out. Soweit technisch machbar, kommen Sicherheitsupdates getrennt von Funktionsupdates (Anhang I Teil II Nr. 2).
- 04
Persönliche Daten weg, wenn das Gerät den Besitzer wechselt
Nutzer können alle Daten und Einstellungen dauerhaft, sicher und einfach löschen (Anhang I Teil I Nr. 2 Buchst. m EU CRA). Gemeint sind etwa Kameraaufnahmen, Zugangscodes eines Türschlosses oder Profile auf einem Smart-TV.
- 05
Behörden und Nutzer rechtzeitig informiert
Art. 14 Abs. 2 und 8 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis und eine Meldung innerhalb von 72 Stunden; die Pflicht gilt seit dem 11. September 2026 und läuft über die einheitliche Meldeplattform an das koordinierende CSIRT und die ENISA (Art. 14 Abs. 2 EU CRA). Danach erfahren die betroffenen Nutzer, was sie selbst tun können (Art. 14 Abs. 8).
Angrenzende Regulierung
Welche Regeln gelten für Smart-Home-Geräte neben dem EU CRA?
Funkanlagenrichtlinie 2014/53/EU und Delegierte Verordnung (EU) 2022/30
Die Delegierte Verordnung (EU) 2022/30 aktiviert für bestimmte Funkanlagen die Anforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie (Netz, Datenschutz, Betrug). Nach Erwägungsgrund 30 EU CRA decken die grundlegenden Cybersicherheitsanforderungen alle Elemente dieser drei ab, und für Hersteller unter beiden Rechtsakten soll die Kommission im Übergangszeitraum Leitlinien geben.
Datenschutz-Grundverordnung (EU) 2016/679
Die DSGVO bleibt unberührt (Erwägungsgrund 32 EU CRA). Vertraulichkeit und Datenminimierung sind zusätzlich Produktanforderungen (Anhang I Teil I Nr. 2 Buchst. e und g EU CRA), etwa für Video und Ton aus der Wohnung.
Aus der Praxis
Wo es für Smart-Home-Hersteller schwierig wird
Ein Chipsatz unter vielen Produktlinien
Kamera, Video-Türklingel und Babyphone teilen oft Chipsatz und Hersteller-SDK. Eine Schwachstelle im SDK erreicht damit mehrere Linien und Modelljahre, und für Meldung wie Update zählt, welcher Firmwarestand in welchem Gerät steckt.
Modelljahre mit eigenen Enddaten
Ein Vorjahresmodell aus dem Lagerbestand des Handels zeigt ein früheres Supportende als sein Nachfolger im selben Regal. Verpackung, Produktseite und App müssen für diese Generation dasselbe Datum nennen.
Firmware, App und Cloud aus verschiedenen Händen
Der Chiphersteller liefert das SDK, eine Agentur die App, ein Plattformanbieter Teile der Cloud. Die Sorgfaltspflicht nach Art. 13 Abs. 5 EU CRA verlangt, diese Bausteine je Gerät zu bewerten und den Beleg aufzubewahren.
Nur Klasse I: Prüftermine im Launch-Kalender
Bei einer neuen Schloss- oder Kamerageneration gehört die notifizierte Stelle in den Projektplan, solange keine vollständig angewandte harmonisierte Norm die Selbstbewertung trägt. Wer zum Weihnachtsgeschäft liefern will, legt die Baumusterprüfung vor die Serienfreigabe.
Mit Kunnus
Wie Kunnus Smart-Home-Hersteller unterstützt
Kunnus hält je Produktlinie und Modelljahr fest, was der EU CRA verlangt: die begründete Einstufung, die Stückliste, den Schwachstellenstand und die Meldungen. Funk-, EMV- und elektrische Sicherheitsprüfungen bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Rechenbeispiel: eine Thermostat- und Lichtserie mit App
Ein Hersteller führt drei Linien auf einer Funkplattform: Heizkörperthermostat, smarte Leuchte und Zwischenstecker, gesteuert über eine eigene App und Cloud. Jedes Jahr kommt je Linie eine Generation dazu, jede mit fünf Jahren Supportzeitraum nach Art. 13 Abs. 8 EU CRA.
- 1KlasseStandardklasse für alle drei Linien; Selbstbewertung nach Modul A, keine notifizierte Stelle
- 2Zum Produkt gehörenGerät, App und Hersteller-Cloud, soweit eine Gerätefunktion davon abhängt (Art. 3 Nr. 1 und 2 EU CRA; zur App EU-Kommissions-Guidance Abschn. 2.4, Beispiel 9)
- 3Generationen im Support3 Linien × 5 Modelljahre = 15 gleichzeitig
- 4Gemeinsame KomponentenFunk-Stack und Cloud-Backend in allen 15 Generationen; eine Schwachstelle darin betrifft jede Linie
- 5Supportenddaten15, beim Kauf mit Monat und Jahr angegeben (Art. 13 Abs. 19 EU CRA)
- 6Aufbewahrungtechnische Dokumentation je Generation mindestens 10 Jahre (Art. 13 Abs. 13 EU CRA)
Beispielhafte Annahmen, keine Branchenstatistik. Käme eine Kameralinie dazu, wäre sie Klasse I (Anhang III Nr. 17) mit eigenem Konformitätsverfahren.
Produkte
Welche Produkte dieser Branche haben eine eigene Seite?
Häufige Fragen
Welches Verfahren gilt für Smart Locks, Kameras und Babyphones?+
Türschlösser, Sicherheitskameras, Babyphones und Alarmanlagen (Anhang III Klasse I Nr. 17 EU CRA) darf der Hersteller nach Art. 32 Abs. 2 nur dann selbst nach Modul A bewerten, wenn er eine harmonisierte Norm, eine gemeinsame Spezifikation oder ein europäisches Zertifizierungsschema mindestens der Stufe „mittel“ vollständig anwendet. Sonst prüft eine notifizierte Stelle nach Modul B und C oder nach Modul H.
Fällt ein Smart-TV mit eingebautem Sprachassistenten unter die Klasse I?+
Ein Smart-TV mit eingebautem Sprachassistenten bleibt in der Regel ein Produkt der Standardklasse. Nach Art. 7 Abs. 1 Satz 2 EU CRA macht ein integriertes Anhang-III-Produkt das aufnehmende Gerät nicht für sich genommen zum wichtigen Produkt; die EU-Kommissions-Guidance zeigt das am Smartphone mit Betriebssystem (Kap. 6, Beispiel 58). Werbung, Anleitung und Dokumentation sollten die Kernfunktion Fernsehen übereinstimmend beschreiben. Ein Lautsprecher, der vor allem als Assistent verkauft wird, fällt unter Nr. 16.
Ist ein WLAN-Router mit eingebauter Firewall ein Produkt der Klasse II?+
Ein WLAN-Router für das Heimnetz bleibt auch mit eingebauter Firewall ein Produkt der Klasse I nach Anhang III Nr. 12 EU CRA. Die EU-Kommissions-Guidance behandelt genau diesen Fall (Kap. 6, Beispiel 63): Die Firewall-Komponente zieht den Router nicht in das strengere Verfahren, weil seine eigene Kernfunktion entscheidet. Klasse II (Anhang III Klasse II Nr. 2) erfasst Firewalls als eigenständige Produkte.
Gehören smarte Rauchmelder oder eine Smart-Home-Zentrale zu Anhang III Nr. 17?+
Anhang III Nr. 17 EU CRA leitet die vier genannten Gerätearten mit dem Wort einschließlich ein; die Aufzählung ist offen. Ob ein Rauchmelder oder eine Zentrale dazugehört, hängt nach unserer Einschätzung davon ab, ob eine Sicherheitsfunktion die Kernfunktion ist (Art. 7 Abs. 1 EU CRA). Eine Zentrale als Steuereinheit einer Alarmanlage spricht für Nr. 17, eine Zentrale für Licht und Heizung dagegen. Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392.
Was gilt, wenn der Supportzeitraum eines Smart-Home-Geräts endet?+
Endet der Supportzeitraum, zeigt der Hersteller den Nutzern das an, sofern das technisch machbar ist (Art. 13 Abs. 19 Satz 2 EU CRA). Bereitgestellte Sicherheitsupdates bleiben nach Art. 13 Abs. 9 EU CRA mindestens zehn Jahre verfügbar, bei längerem Supportzeitraum länger. Die Meldepflichten nach Art. 14 laufen weiter (EU-Kommissions-Guidance Kap. 9.1). Ältere Generationen darf der Hersteller freiwillig weiter patchen, auch gegen Entgelt (Kap. 5).
Gilt die Meldepflicht auch für Geräte, die schon in Haushalten stehen?+
Die Meldepflicht nach Art. 14 EU CRA gilt nach Art. 69 Abs. 3 für alle Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, also auch für Babyphones und Router, die seit Jahren in Wohnungen laufen. Rückwirkend wird nicht gemeldet: Nach der EU-Kommissions-Guidance Kap. 9.1 ist eine aktive Ausnutzung, die der Hersteller schon vor dem 11. September 2026 kannte, nicht meldepflichtig. Wird sie erst danach bekannt, greift die Pflicht.
Reicht ETSI EN 303 645 für die EU-CRA-Konformität eines Smart-Home-Geräts?+
ETSI EN 303 645 ist ein freiwilliger Standard für Consumer-IoT mit 13 Bestimmungen, von denen sich viele in Anhang I EU CRA wiederfinden. Eine Konformitätsvermutung entsteht nach Art. 27 Abs. 1 EU CRA nur aus harmonisierten Normen mit Fundstelle im Amtsblatt, und nur so weit, wie sie Anforderungen abdecken (EU-Kommissions-Guidance Kap. 6.3). Für ein Gerät der Klasse I ersetzt die ETSI-Norm deshalb keine harmonisierte Norm nach Art. 32 Abs. 2. Supportzeitraum, Stückliste und Meldung an die ENISA weist der Hersteller zusätzlich nach.
In welche Klasse fallen Ihre Smart-Home-Produkte?
In wenigen Minuten ordnet das EU-CRA-Assessment Ihre Geräte einer Produktklasse zu und zeigt die nächsten Schritte, als erste Einschätzung zur Orientierung.
Weiterlesen
Weitere Branchen
EU-CRA-Compliance in anderen Branchen
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Branche, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.