EU CRA für Smart-Home-Geräte
Thermostat, Leuchte, Aktor: Standardklasse. Klasse I sind vor allem Sicherheitsgeräte und Sprachassistenten.
Die meisten vernetzten Geräte im Haus fallen unter den Cyber Resilience Act, brauchen aber keine notifizierte Stelle. Strenger wird es bei Türschloss, Kamera, Babyphone, Alarmanlage und Sprachassistent.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
Fällt ein Smart-Home-Gerät unter den Cyber Resilience Act?
Ja, sobald es sich mit App, Zentrale, WLAN oder Bus verbindet (Art. 2 Abs. 1 EU CRA). Thermostate, Leuchten, Zwischenstecker und KNX-Aktoren stehen nicht in Anhang III oder IV und gehören zur Standardklasse mit Selbstbewertung nach Modul A. Klasse I sind vor allem fernsteuerbare Sicherheitsgeräte, Sprachassistenten und Router.
Produktklassen
Wann fällt ein Smart-Home-Gerät unter den EU CRA?
Drei Fragen entscheiden. Hat das Gerät eine Datenverbindung, direkt oder indirekt, auch über Zigbee, Thread, KNX oder Bluetooth zur App? Wird es in der EU in Verkehr gebracht? Greift keine Ausnahme aus Art. 2 EU CRA? Dann fällt das Gerät unter den EU CRA. Die eigene App gehört als Software zum Produkt (EU-Kommissions-Guidance Abschn. 2.4). Die Hersteller-Cloud gehört dazu, wenn das Gerät sie für eine Funktion braucht (Datenfernverarbeitung, Art. 3 Nr. 2 EU CRA); die Guidance spielt das am smarten Thermostat durch (Abschn. 8.3).
Verteilung in dieser Branche
Produkt auswählen
Heizkörperthermostat oder Raumthermostat mit App
Warum diese Klasse
Komfortfunktion ohne Sicherheitsfunktion; keine Kategorie in Anhang III oder IV, Selbstbewertung nach Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Heizkörperthermostat oder Raumthermostat mit App | Standardprodukt | Komfortfunktion ohne Sicherheitsfunktion; keine Kategorie in Anhang III oder IV, Selbstbewertung nach Art. 32 Abs. 1 EU CRA. |
| Smarte Leuchte, Leuchtmittel oder Lichtsteuerung | Standardprodukt | Keine Kategorie in Anhang III oder IV. |
| Zwischenstecker oder Unterputz-Schaltaktor | Standardprodukt | Schalten und Messen dienen nicht dem Schutz der physischen Sicherheit im Sinne von Anhang III Klasse I Nr. 17. |
| KNX-Aktor, Tastsensor oder Rollladensteuerung | Standardprodukt | Gebäudesystemtechnik ohne Sicherheitsfunktion; die Busverbindung bringt das Gerät in den Anwendungsbereich, nicht in eine höhere Klasse. |
| Zentrale für Licht, Heizung und Beschattung | Standardprodukt | Steuert keine Sicherheitsgeräte und fällt deshalb nicht unter Nr. 17. Arbeitet die Zentrale vor allem als Thread-Border-Router oder IP-Gateway, ist Anhang III Klasse I Nr. 12 zu prüfen. |
| Türschloss, Sicherheitskamera, Babyphone oder Alarmanlage | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 17, samt einer Zentrale, die solche Geräte steuert (Durchführungsverordnung (EU) 2025/2392). |
| Smart Speaker mit Sprachassistent für allgemeine Zwecke | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 16: kommuniziert über das Internet, verarbeitet Anfragen in natürlicher Sprache und bietet Zugang zu Diensten oder steuert vernetzte Geräte im Wohnbereich. |
| WLAN-Router oder Mesh-System für den Internetanschluss | Wichtiges Produkt, Klasse I (Anhang III) | Anhang III Klasse I Nr. 12; gehört zur Netzwerktechnik, nicht zu den Smart-Home-Endgeräten. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Nicht unter den EU CRA fallen Geräte ohne jede Datenverbindung, etwa ein klassischer Thermostat mit Drehrad. Das Inverkehrbringen zählt je Gerät: Geräte einer Serie, die ab dem 11. Dezember 2027 erstmals an Händler oder Kunden abgegeben werden, müssen die Anforderungen erfüllen. Vorher in Verkehr gebrachte Geräte unterliegen ihnen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2 EU CRA); Art. 14 gilt nach Art. 69 Abs. 3 auch für sie.
Standardklasse
Was bedeutet Standardklasse für einen Smart-Home-Hersteller?
Standardklasse heißt: Der Hersteller bewertet die Konformität selbst. Die Klasse verringert die Anforderungen aus Anhang I EU CRA nicht. Welche Produktanforderungen aus Anhang I Teil I Nr. 2 greifen, entscheidet die Risikobewertung für Gerät, App und Cloud (Art. 13 Abs. 3); die Schwachstellenbehandlung nach Teil II gilt immer.
Konformitätsbewertung nach Modul A
Der Hersteller prüft selbst, ob Gerät und Schwachstellenprozess die Anforderungen erfüllen (interne Kontrolle nach Anhang VIII Teil I EU CRA). Eine notifizierte Stelle ist nicht nötig, also auch kein Prüftermin vor dem Marktstart.
Art. 32 Abs. 1 Buchst. a EU CRA
Technische Dokumentation je Gerätegeneration
Risikobewertung, Software-Stückliste, Beschreibung von App und Cloud und der begründete Supportzeitraum gehören in die technische Dokumentation. Sie bleibt zehn Jahre oder für die Dauer des Supportzeitraums verfügbar, je nachdem, was länger ist.
Art. 31, Art. 13 Abs. 13, Anhang VII EU CRA
Supportende auf Gerät, Verpackung oder Produktseite
Beim Kauf steht das Ende des Supportzeitraums mindestens mit Monat und Jahr da, auf dem Gerät, der Verpackung oder digital.
Art. 13 Abs. 19 EU CRA
Eine EU-Konformitätserklärung und CE-Kennzeichnung
Gelten mehrere Rechtsakte, etwa auch die Funkanlagenrichtlinie, stellt der Hersteller eine einzige EU-Konformitätserklärung für alle aus. Eine Kopie oder die vereinfachte Erklärung liegt dem Gerät bei, und das Gerät trägt das CE-Zeichen.
Art. 13 Abs. 20, Art. 28 Abs. 3 und Art. 30 EU CRA
Ausnahmen
Wann wird ein Smart-Home-Gerät Klasse I?
Die Klasse folgt aus der Kernfunktion des Geräts (Art. 7 Abs. 1 EU CRA). Im Smart Home kommen vor allem die folgenden Kategorien aus Anhang III in Betracht, dazu separat verkaufte Funk- und Netzwerkadapter wie ein Zigbee-USB-Stick (Nr. 10). Die technischen Beschreibungen stehen in der Durchführungsverordnung (EU) 2025/2392.
Schutz der physischen Sicherheit im Zuhause (Nr. 17)
Erfasst sind Geräte, die die physische Sicherheit von Verbrauchern im Wohnbereich schützen und sich von anderen Systemen aus fernsteuern oder verwalten lassen: Türschlösser, Sicherheitskameras, Babyphones, Alarmanlagen. Die Liste ist offen. Dazu zählt auch Hard- und Software, die solche Geräte zentral steuert, etwa eine Alarmzentrale.
Anhang III Klasse I Nr. 17 EU CRA, Durchführungsverordnung (EU) 2025/2392
Sprachassistent für allgemeine Zwecke (Nr. 16)
Ein Lautsprecher oder Display, das Anfragen in natürlicher Sprache verarbeitet, gesprochen oder auch per Texteingabe, über das Internet kommuniziert und Zugang zu Diensten bietet oder Geräte im Haus steuert, ist Klasse I. Ein Thermostat mit einfacher Sprachsteuerung bleibt Standardklasse, weil seine Kernfunktion das Heizen ist.
Anhang III Klasse I Nr. 16, Art. 7 Abs. 1 EU CRA
Router und Mesh-Systeme (Nr. 12)
Ein WLAN-Router oder Mesh-System für den Internetanschluss ist Klasse I. Auch hier bleibt die Selbstbewertung nach Modul A möglich, wenn der Hersteller eine harmonisierte Norm, eine gemeinsame Spezifikation oder eine Zertifizierung mindestens der Stufe „mittel“ vollständig anwendet; sonst prüft eine notifizierte Stelle.
Anhang III Klasse I Nr. 12, Art. 32 Abs. 2 EU CRA
Integration ändert die Klasse nicht
Ein Funkmodul oder Mikrocontroller mit Sicherheitsfunktionen im Thermostat macht das Thermostat nicht zum wichtigen Produkt. Nach Art. 7 Abs. 1 Satz 2 EU CRA löst die Integration allein kein strengeres Verfahren aus.
Art. 7 Abs. 1 EU CRA
Pflichten
Welche Pflichten hat der Hersteller eines Smart-Home-Geräts?
Hersteller ist, wer das Gerät unter eigenem Namen oder eigener Marke in Verkehr bringt, auch wenn ein Auftragsfertiger es baut (Art. 3 Nr. 13 EU CRA). Für ein typisches Gerät mit App heißt das:
- 01
Risikobewertung für Gerät, App und Cloud
Art. 13 Abs. 2 und 3 EU CRA
Bewertet wird das ganze Produkt: Funkverbindung, Kopplung mit der App, Cloud-Konto, Update-Weg. Die Bewertung zeigt, welche Anforderungen aus Anhang I wie umgesetzt sind.
- 02
Sichere Standardkonfiguration und Zugriffsschutz
Anhang I Teil I Nr. 2 Buchst. b und d EU CRA
Das Gerät kommt sicher konfiguriert in den Handel, lässt sich auf den Ursprungszustand zurücksetzen und ist gegen unbefugten Zugriff geschützt, umgesetzt etwa durch individuelle Zugangsdaten statt eines gemeinsamen Standardpassworts und eine Kopplung nur nach Bestätigung. Das Gerät meldet einen möglichen unbefugten Zugriff.
- 03
Automatische Sicherheitsupdates
Anhang I Teil I Nr. 2 Buchst. c EU CRA
Wo es passt, installieren sich Sicherheitsupdates standardmäßig automatisch. Nutzer werden informiert, können verschieben und haben eine klare Abschaltmöglichkeit.
- 04
Daten löschen beim Besitzerwechsel
Anhang I Teil I Nr. 2 Buchst. m EU CRA
Nutzer können alle Daten und Einstellungen dauerhaft, sicher und einfach löschen, etwa Zeitpläne, Anwesenheitsdaten und die Verknüpfung mit dem Cloud-Konto.
- 05
Meldung ausgenutzter Schwachstellen und schwerer Vorfälle
Art. 14 Abs. 1 bis 4 und 8 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden an das koordinierende CSIRT und die ENISA; für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen. Die Pflicht gilt seit dem 11. September 2026, auch für Geräte, die schon in Wohnungen hängen. Danach erfahren die Nutzer, was sie selbst tun können.
Angrenzende Regulierung
Welche Regeln gelten neben dem EU CRA für Smart-Home-Geräte?
Funkanlagenrichtlinie (RED) 2014/53/EU und Delegierte Verordnung (EU) 2022/30
Die Delegierte Verordnung (EU) 2022/30 aktiviert für bestimmte Funkanlagen, vor allem solche mit Internetverbindung, Cybersicherheitsanforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie. Nach Erwägungsgrund 30 EU CRA enthält Anhang I alle Elemente dieser Anforderungen. Die RED-Nachweise sind deshalb eine Grundlage für die Bewertung nach dem EU CRA, ersetzen sie aber nicht.
Datenschutz-Grundverordnung (EU) 2016/679
Die DSGVO gilt unverändert weiter (Erwägungsgrund 32 EU CRA). Vertraulichkeit und Datenminimierung sind zusätzlich Produktanforderungen nach Anhang I Teil I Nr. 2 Buchst. e und g EU CRA, etwa für Anwesenheitsdaten aus Thermostaten.
Aus der Praxis
Wo Smart-Home-Hersteller typischerweise hängen bleiben
Funkmodul und SDK vom Chiphersteller
Zigbee-, Thread- oder WLAN-Stack kommen fertig vom Chiphersteller. Eine Schwachstelle im SDK trifft viele Gerätelinien, und der Hersteller braucht dafür Stückliste und Schwachstellenmeldungen vom Lieferanten.
App von der Agentur, Cloud vom Plattformanbieter
Eine Cloud, die der Hersteller für sein Gerät entwickeln lässt, gehört zum Produkt, wenn das Gerät sie für eine Funktion braucht. Ein fremder Standarddienst ist nach der EU-Kommissions-Guidance (Abschn. 8.1) keine Datenfernverarbeitung, wird aber wie eine zugekaufte Komponente geprüft.
Eigenmarke vom Auftragsfertiger
Wer ein fertiges Gerät mit eigenem Logo verkauft, ist Hersteller mit allen Pflichten (Art. 3 Nr. 13 EU CRA). Die Unterlagen dafür müssen vom Auftragsfertiger kommen und vertraglich vereinbart sein.
Supportende einer günstigen Gerätelinie
Ein Zwischenstecker für 15 Euro kann zehn Jahre in der Steckdose bleiben. Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer, abgewogen mit den weiteren Faktoren aus Art. 13 Abs. 8 EU CRA; fünf Jahre sind die Untergrenze (EU-Kommissions-Guidance Abschn. 5).
Mit Kunnus
Wie Kunnus Smart-Home-Hersteller unterstützt
Kunnus deckt die EU-CRA-Schicht ab: Einstufung, Stücklisten, Schwachstellen und Meldungen je Gerätelinie und Generation. Funk-, EMV- und Sicherheitsprüfungen bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Beispiel: ein Heizkörperthermostat mit App und Cloud
Ein Hersteller verkauft ein Heizkörperthermostat mit Zigbee-Funk, einer Zentrale für Licht und Heizung, einer eigenen App und einer Cloud für Zeitpläne und Fernzugriff.
- 1KlasseStandardklasse für Thermostat und Zentrale (s. o.)
- 2VerfahrenModul A, interne Kontrolle; keine notifizierte Stelle
- 3Produkt umfasstThermostat, Zentrale, App (Software des Produkts), eigene Cloud (Datenfernverarbeitung)
- 4Supportzeitraumnach erwarteter Nutzungsdauer, mindestens fünf Jahre; Enddatum mit Monat und Jahr auf der Verpackung
- 5Vom ChipherstellerSBOM und Schwachstellenmeldungen für Funk-Stack und SDK
- 6Am Ende liegt vorRisikobewertung, technische Dokumentation, SBOM je Firmware-Stand, EU-Konformitätserklärung, CE-Kennzeichnung, Meldeprozess
Beispielhafte Annahmen. Bindet die Zentrale später ein Türschloss oder eine Alarmanlage ein, ist die Einstufung neu zu prüfen.
Branchen und Rechtstext
Zu welchen Branchen gehört das Produkt, und wo steht es in der Verordnung?
Häufige Fragen
Gehört die App zum Smart-Home-Gerät?+
Eine App, die der Hersteller für sein Gerät bereitstellt, gehört als Software zum Produkt; die EU-Kommissions-Guidance zählt ein Fitness-Wearable mit Begleit-App als ein Produkt (Abschn. 2.4, Beispiel 9). Das Thermostat bleibt Standardklasse, die App wird mit bewertet und dokumentiert. Eine Cloud zählt nur dazu, wenn das Gerät sie für eine Funktion braucht.
Ändert Zigbee, Thread oder Matter etwas an der Klasse?+
Das Funkprotokoll entscheidet, ob ein Gerät unter den EU CRA fällt, nicht seine Klasse. Ein Zigbee-Thermostat und ein Matter-Zwischenstecker bleiben Standardklasse. Ein Funkmodul, das als eigenes Produkt verkauft wird, kann eine Netzschnittstelle nach Anhang III Klasse I Nr. 10 sein; das betrifft den Modulhersteller.
Fallen KNX-Geräte ohne Internetanschluss unter den EU CRA?+
Ein KNX-Aktor fällt unter den EU CRA, weil der Bus eine Datenverbindung zu anderen Geräten ist (Art. 2 Abs. 1); ein Internetanschluss ist keine Voraussetzung. Der Aktor bleibt Standardklasse. Ob ein KNX-IP-Router mit Routing als Kernfunktion unter Anhang III Klasse I Nr. 12 fällt, ist im Einzelfall zu prüfen.
Sind smarte Rauchmelder oder Video-Türklingeln Klasse I?+
Anhang III Klasse I Nr. 17 EU CRA nennt Türschlösser, Kameras, Babyphones und Alarmanlagen nur als Beispiele. Eine Video-Türklingel ist nach unserer Einschätzung eine Sicherheitskamera und damit Klasse I. Beim vernetzten Rauchmelder ist offen, ob Brandschutz als „physische Sicherheit“ im Sinne der Durchführungsverordnung zählt; als Teil einer Alarmanlage ist Nr. 17 wahrscheinlicher. Die Begründung gehört in die technische Dokumentation.
Darf der Installateur per Fernzugriff auf das Gerät zugreifen?+
Ein Fernzugriff für Installateur oder Service ist erlaubt, muss aber in der Risikobewertung stehen und gegen unbefugten Zugriff geschützt sein (Anhang I Teil I Nr. 2 Buchst. d EU CRA), umgesetzt etwa durch Authentifizierung, Freigabe durch den Nutzer und Protokollierung. Ein Service-Zugang mit festem Passwort für alle Geräte erfüllt das nicht.
Gilt der EU CRA für Geräte, die nur in der Schweiz verkauft werden?+
Für Geräte, die nur in der Schweiz verkauft werden, gilt der EU CRA nicht. Ein Schweizer Hersteller, der in die EU liefert, hat dieselben Pflichten wie ein Hersteller aus der EU. Einen EU-Bevollmächtigten kann er benennen, muss es aber nicht (Art. 18 EU CRA). Wer die Geräte in die EU einführt, trägt unabhängig davon die Einführerpflichten nach Art. 19.
Gilt der Cyber Resilience Act für Medizinprodukte und Fahrzeuge?+
Nein. Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746) und typgenehmigte Fahrzeuge (Verordnung (EU) 2019/2144) sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Ein vernetzter Notrufknopf für die Wohnung fällt dagegen unter den EU CRA, solange er nicht als Medizinprodukt in Verkehr gebracht wird.
In welche Klasse fallen Ihre Smart-Home-Geräte?
Das EU-CRA-Assessment ordnet Ihre Geräte in wenigen Minuten ein und zeigt, was noch fehlt. Eine erste, unverbindliche Einschätzung.
Weiterlesen
Weitere Produkte
Weitere Produkte im EU CRA
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Produktart, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.