EU CRA für Wärmepumpen und Heizungsregler
Ihre Wärmepumpe ist Standardklasse. Ihr Supportzeitraum richtet sich nach der Lebensdauer der Anlage.
Eine Wärmepumpe oder ein Heizungsregler mit App, Fernwartung oder Netzanschluss fällt unter den Cyber Resilience Act. Eine notifizierte Stelle braucht das Gerät in der Regel nicht, einen langen Supportzeitraum dagegen schon.
Stand:
- Volle Anwendung
- 11. Dezember 2027
- Frühwarnung
- 24 Stunden · Art. 14 Abs. 2 a
- Unterstützungszeitraum
- mind. 5 Jahre · Art. 13 Abs. 8
- Häufigste Klasse hier
- Standardprodukt
Fällt eine Wärmepumpe unter den Cyber Resilience Act?
Ja, sobald Regler oder Wärmepumpe Software haben und sich mit einem Gerät oder Netz verbinden lassen, etwa über App, Fernwartung oder Modbus (Art. 2 Abs. 1 EU CRA). Wärmepumpen und Heizungsregler stehen nicht in Anhang III oder IV und gehören zur Standardklasse. Der Hersteller bewertet die Konformität selbst nach Modul A, ohne notifizierte Stelle.
Produktklassen
Wann fällt eine Wärmepumpe unter den EU CRA?
Drei Fragen entscheiden. Hat das Gerät eine Datenverbindung, direkt oder indirekt, auch über Modbus, BACnet, KNX, eine Servicebuchse oder den Laptop des Installateurs? Wird es in der EU in Verkehr gebracht? Greift keine Ausnahme aus Art. 2 EU CRA? Dann fällt die Wärmepumpe unter den EU CRA. Die App gehört als Software zum Produkt. Die Hersteller-Cloud gehört dazu, wenn das Gerät sie für eine Funktion braucht, etwa für die Fernwartung (Datenfernverarbeitung, Art. 3 Nr. 2 EU CRA).
Verteilung in dieser Branche
Produkt auswählen
Luft-Wasser- oder Sole-Wasser-Wärmepumpe mit Regler, App und Fernwartung
Warum diese Klasse
Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA.
Konformitätsweg
- 1Risikobewertung
- 2Eigene Konformitätsbewertung (Modul A)
- EU-Konformitätserklärung + CE
Konformitätsbewertung in Eigenverantwortung, Art. 32 Abs. 1 EU CRA.
Einschätzung anhand typischer Kernfunktionen. Maßgeblich sind Zweckbestimmung und Aufbau Ihres Produkts.
Alle Produktbeispiele als Tabelle+
| Produkt | Klasse nach EU CRA | Begründung |
|---|---|---|
| Luft-Wasser- oder Sole-Wasser-Wärmepumpe mit Regler, App und Fernwartung | Standardprodukt | Keine Kategorie in Anhang III oder IV; Selbstbewertung nach Modul A, Art. 32 Abs. 1 EU CRA. |
| Heizungsregler für Gas-, Öl- oder Pelletkessel mit Internetmodul | Standardprodukt | Die Kernfunktion ist Wärme regeln, keine Sicherheitsfunktion nach Anhang III. |
| Lüftungs- oder Klimaregler mit Modbus-, BACnet- oder KNX-Anbindung | Standardprodukt | Die Feldbus-Anbindung bringt das Gerät in den Anwendungsbereich, ändert aber nicht die Klasse. |
| Raumthermostat oder Raumbediengerät als Teil des Heizsystems | Standardprodukt | Komfort- und Regelfunktion; Anhang III sieht dafür keine Kategorie vor. |
| Steuereingang für Netzbetreiber und Energiemanagement (SG-Ready, EEBus) | Standardprodukt | Der Steuereingang ist Teil der Wärmepumpe. Steuerbox und Smart-Meter-Gateway sind eigene Geräte des Messstellenbetreibers; das Gateway ist kritisch (Anhang IV Nr. 2). |
| Internet-Gateway, separat verkauft, dessen Kernfunktion Routing ist | Wichtiges Produkt, Klasse I (Anhang III) | Router nach Anhang III Klasse I Nr. 12 EU CRA. |
| Netzwerk- oder Feldbus-Adapter, separat verkauft, der als reine Netzwerkschnittstelle arbeitet | Wichtiges Produkt, Klasse I (Anhang III) | Physische Netzschnittstelle nach Anhang III Klasse I Nr. 10; die Durchführungsverordnung (EU) 2025/2392 nennt Ethernet-, WLAN- und Feldbus-Adapter. Module mit eigener Logik und Cloud-Anbindung sind nach unserer Einschätzung Standardklasse. |
Ihr Produkt ist nicht dabei? Die Reifegradanalyse gibt eine erste Einordnung für Ihr eigenes Produkt. EU-CRA-Assessment starten →
Nicht unter den EU CRA fallen Wärmepumpen und Regler ohne jede Datenverbindung. Das Inverkehrbringen gilt je Einzelgerät: Geräte einer Baureihe, die ab dem 11. Dezember 2027 erstmals an Händler oder Kunden abgegeben werden, müssen die Anforderungen erfüllen. Geräte, die vorher in Verkehr gebracht wurden, unterliegen ihnen erst nach einer wesentlichen Änderung (Art. 69 Abs. 2 EU CRA). Art. 14 gilt nach Art. 69 Abs. 3 auch für sie.
Standardklasse
Was bedeutet Standardklasse für den Hersteller einer Wärmepumpe?
Standardklasse heißt: Der Hersteller darf die Konformität selbst bewerten. An den Anforderungen aus Anhang I EU CRA ändert die Klasse nichts. Welche Produktanforderungen aus Anhang I Teil I Nr. 2 für Gerät, App und Cloud greifen, entscheidet die Risikobewertung (Art. 13 Abs. 3); die Schwachstellenbehandlung nach Teil II gilt immer.
Konformitätsbewertung nach Modul A
Modul A ist die interne Kontrolle ohne notifizierte Stelle: Der Hersteller prüft selbst, ob Gerät und Schwachstellenprozess die Anforderungen erfüllen (Anhang VIII Teil I EU CRA).
Art. 32 Abs. 1 Buchst. a EU CRA
Technische Dokumentation je Baureihe
Risikobewertung, Beschreibung der Sicherheitsfunktionen, Software-Stückliste und Supportzeitraum mit Begründung gehören in die technische Dokumentation. Sie bleibt zehn Jahre verfügbar oder für den Supportzeitraum, je nachdem, was länger ist.
Art. 31, Art. 13 Abs. 13, Anhang VII EU CRA
Eine EU-Konformitätserklärung und CE-Kennzeichnung
Gelten für die Wärmepumpe mehrere EU-Rechtsakte, die eine Konformitätserklärung verlangen, muss der Hersteller eine einzige Erklärung für alle ausstellen, die auch den EU CRA nennt. Eine Kopie oder die vereinfachte Erklärung liegt dem Gerät bei, das das CE-Zeichen trägt.
Art. 13 Abs. 20, Art. 28 Abs. 3 und Art. 30 EU CRA
Ausnahmen
Wann wird ein Teil der Heizungsanlage doch Klasse I oder kritisch?
Die Klasse folgt aus der Kernfunktion des Produkts (Art. 7 Abs. 1 EU CRA), die technischen Beschreibungen stehen in der Durchführungsverordnung (EU) 2025/2392. In der Heizungstechnik betrifft das nur Netzwerkkomponenten, die als eigenes Produkt verkauft werden, und das Smart-Meter-Gateway.
Integration ändert die Klasse nicht
Ein eingebautes WLAN-Modul oder ein Mikrocontroller mit Sicherheitsfunktionen macht die Wärmepumpe nicht zum wichtigen Produkt. Art. 7 Abs. 1 Satz 2 EU CRA sagt ausdrücklich, dass die Integration für sich genommen kein strengeres Verfahren auslöst.
Art. 7 Abs. 1 EU CRA
Separat verkauftes Internet-Gateway
Verkauft der Hersteller ein Gateway einzeln, dessen Kernfunktion das Routing zwischen Heimnetz und Internet ist, ist es ein eigenes Produkt der Klasse I nach Anhang III Nr. 12, als VPN-Produkt für die Fernwartung nach Nr. 5. Selbst bewerten darf er es dann nur bei vollständig angewandter harmonisierter Norm, gemeinsamer Spezifikation oder Zertifizierung mindestens der Stufe „mittel“; sonst prüft eine notifizierte Stelle.
Anhang III Klasse I Nr. 5 und 12, Art. 32 Abs. 2 EU CRA
Schnittstellenmodul zum Nachrüsten
Ein Ethernet-, WLAN- oder Feldbus-Modul, das als eigenes Produkt zum Nachrüsten verkauft wird, ist nur dann Klasse I nach Anhang III Nr. 10, wenn es als reine Netzwerkschnittstelle arbeitet, also über eine Treiber-Schnittstelle auf der Sicherungsschicht. Module mit eigener Logik und Cloud-Anbindung sind nach unserer Einschätzung Standardklasse. Ein Ersatzteil nach denselben Spezifikationen fällt nach Art. 2 Abs. 6 EU CRA nicht darunter.
Anhang III Klasse I Nr. 10, Art. 2 Abs. 6 EU CRA
Smart-Meter-Gateway
Das Smart-Meter-Gateway im intelligenten Messsystem ist ein kritisches Produkt nach Anhang IV Nr. 2 EU CRA. Es ist ein eigenes Gerät des Messstellenbetriebs. Die Wärmepumpe, die über einen Steuereingang daran hängt, bleibt Standardklasse.
Anhang IV Nr. 2 EU CRA
Pflichten
Welche Pflichten hat der Hersteller einer Wärmepumpe?
Der Hersteller ist für das ganze Produkt verantwortlich, mit App und Cloud. Für zugekaufte Regler, Funkmodule und Software-Bibliotheken gilt zusätzlich die Sorgfaltspflicht nach Art. 13 Abs. 5 EU CRA. Für eine typische Wärmepumpe heißt das:
- 01
Risikobewertung vor der Serienfreigabe
Art. 13 Abs. 2 und 3 EU CRA
Die Cybersicherheitsrisiken werden bewertet und dokumentiert: App-Zugang, Fernwartung durch den Installateur, Steuereingang für den Netzbetreiber, Servicebuchse, Update-Weg. Die Bewertung zeigt, welche Anforderungen aus Anhang I zutreffen und wie sie umgesetzt sind.
- 02
Geschützte Zugänge für Installateur und Fernwartung
Anhang I Teil I Nr. 2 Buchst. b und d EU CRA
Anhang I verlangt eine sichere Standardkonfiguration und Schutz vor unbefugtem Zugriff. Umgesetzt wird das etwa durch individuelle Zugangsdaten je Gerät und eine Fernwartung, die der Betreiber freigibt. Das Gerät meldet einen möglicherweise unbefugten Zugriff.
- 03
Sicherheitsupdates im Supportzeitraum
Anhang I Teil I Nr. 2 Buchst. c, Teil II EU CRA
Schwachstellen in Regler-Firmware, App und Cloud werden mit Sicherheitsupdates behoben, wo sinnvoll automatisch. Grundlage ist eine Software-Stückliste der Komponenten.
- 04
Supportzeitraum nach der Nutzungsdauer
Art. 13 Abs. 8 und 19 EU CRA
Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer, abgewogen mit den weiteren Faktoren aus Art. 13 Abs. 8; fünf Jahre sind die Untergrenze. Bei einer Anlage, die 15 bis 20 Jahre läuft, liegt er deutlich darüber. Das Enddatum steht beim Kauf mit Monat und Jahr fest.
- 05
Meldung ausgenutzter Schwachstellen und schwerwiegender Vorfälle
Art. 14 Abs. 1 bis 4 EU CRA
Eine aktiv ausgenutzte Schwachstelle verlangt eine Frühwarnung innerhalb von 24 Stunden und eine Meldung innerhalb von 72 Stunden an das koordinierende CSIRT und die ENISA; für schwerwiegende Sicherheitsvorfälle gelten dieselben Fristen. Die Pflicht gilt seit dem 11. September 2026, auch für Anlagen, die schon in Kellern und Technikräumen laufen.
Angrenzende Regulierung
Welche Regeln gelten neben dem EU CRA für Wärmepumpen?
Funkanlagenrichtlinie 2014/53/EU und Delegierte Verordnung (EU) 2022/30
Hat die Wärmepumpe ein WLAN- oder Funkmodul, kann die Delegierte Verordnung (EU) 2022/30 die Anforderungen aus Art. 3 Abs. 3 Buchst. d, e und f der Funkanlagenrichtlinie aktivieren. Nach Erwägungsgrund 30 EU CRA decken die grundlegenden Cybersicherheitsanforderungen des EU CRA alle Elemente dieser drei ab.
Datenschutz-Grundverordnung (EU) 2016/679
Verbrauchs- und Anwesenheitsdaten aus App und Cloud sind oft personenbezogen. Die DSGVO bleibt unberührt (Erwägungsgrund 32 EU CRA); Vertraulichkeit und Datenminimierung sind zusätzlich Produktanforderungen nach Anhang I Teil I Nr. 2 Buchst. e und g EU CRA.
Aus der Praxis
Wo Hersteller von Wärmepumpen typischerweise hängen bleiben
Supportzeitraum kürzer als die Anlage
Eine Wärmepumpe läuft 15 bis 20 Jahre, das Funkmodul und sein Software-Stack bekommen oft deutlich kürzer Updates. Der Supportzeitraum muss zur Nutzungsdauer passen, nicht zum Lebenszyklus des zugekauften Moduls.
Fernwartung durch viele Installateure
Hunderte Fachbetriebe greifen über ein Portal auf Anlagen zu. Wer welche Anlage sehen und steuern darf und wie Zugänge enden, wenn ein Betrieb wechselt, gehört in die Risikobewertung.
Regler, Modul und Cloud aus verschiedenen Händen
Der Regler kommt vom OEM-Lieferanten, das Internetmodul von einem anderen, die App von einer Agentur. Für die Sorgfaltspflicht nach Art. 13 Abs. 5 EU CRA braucht der Hersteller in der Praxis Stücklisten und Schwachstellenmeldungen seiner Lieferanten.
Steuerung durch Dritte
Netzbetreiber und Energiemanagement-Systeme schalten die Wärmepumpe über SG-Ready-Kontakte oder EEBus. Die Risikobewertung muss zeigen, was bei manipulierten oder ausbleibenden Steuersignalen passiert (Anhang I Teil I Nr. 2 Buchst. f und h EU CRA).
Mit Kunnus
Wie Kunnus Hersteller von Wärmepumpen unterstützt
Kunnus deckt die EU-CRA-Schicht ab: Einstufung, Stücklisten, Schwachstellen und Meldungen je Baureihe und Firmware-Stand. Elektrische Sicherheit, EMV, Funk und Energieeffizienz bleiben in Ihrem bestehenden CE-Prozess.
Rechenbeispiel
Beispiel: eine Baureihe Luft-Wasser-Wärmepumpen
Ein Hersteller verkauft Luft-Wasser-Wärmepumpen in vier Leistungsstufen mit eigenem Regler, eingebautem WLAN-Modul, App für Betreiber, Portal für Installateure und SG-Ready-Eingang.
- 1KlasseStandardklasse (s. o.)
- 2VerfahrenModul A, interne Kontrolle; keine notifizierte Stelle
- 3Produkt umfasstWärmepumpe, Regler-Firmware, App sowie Installateur-Portal und Cloud (Datenfernverarbeitung)
- 4Supportzeitraum18 Jahre nach erwarteter Nutzungsdauer, Enddatum beim Kauf mit Monat und Jahr
- 5Vom ModullieferantenSBOM, Schwachstellenmeldungen, Supportzusage über den Supportzeitraum des Herstellers
- 6Am Ende liegt vorRisikobewertung, technische Dokumentation, SBOM je Firmware-Stand, EU-Konformitätserklärung, CE-Kennzeichnung, Meldeprozess
Beispielhafte Annahmen. Die Einstufung eines konkreten Produkts hängt von dessen Zweckbestimmung und Aufbau ab.
Branchen und Rechtstext
Zu welchen Branchen gehört das Produkt, und wo steht es in der Verordnung?
Häufige Fragen
Fällt eine Wärmepumpe ohne Internet, aber mit Modbus-Anschluss unter den EU CRA?+
Eine Wärmepumpe mit Modbus-, BACnet- oder KNX-Anschluss fällt unter den EU CRA, auch ohne Internet. Art. 2 Abs. 1 erfasst jede direkte oder indirekte Datenverbindung mit einem Gerät oder Netz. Die Klasse ändert der Anschluss nicht.
Gehören App und Cloud zur Wärmepumpe?+
Eine App, die für eine Funktion der Wärmepumpe nötig ist, gehört als Software zum Produkt, auch wenn sie aus dem App Store kommt (EU-Kommissions-Guidance Abschn. 2.4, Beispiel 9). Die Cloud ist Datenfernverarbeitung nach Art. 3 Nr. 2 EU CRA, wenn das Gerät ohne sie eine Funktion nicht erfüllen kann; reine Telemetrie reicht dafür nicht (Abschn. 8.1).
Ist ein Firmware-Update durch den Installateur eine wesentliche Änderung?+
Eine wesentliche Änderung wirkt sich auf die Erfüllung der Anforderungen aus Anhang I Teil I aus oder ändert die Zweckbestimmung (Art. 3 Nr. 30 EU CRA). Sicherheitsupdates sind das nach der EU-Kommissions-Guidance (Abschn. 4.3) grundsätzlich nicht, egal ob sie automatisch oder über den Installateur kommen.
Wie lange muss der Hersteller einer Wärmepumpe Sicherheitsupdates liefern?+
Der Supportzeitraum richtet sich nach der erwarteten Nutzungsdauer (Art. 13 Abs. 8 EU CRA); fünf Jahre sind die Untergrenze. Bei 15 bis 20 Jahren Laufzeit ist ein kurzer Zeitraum schwer zu begründen (EU-Kommissions-Guidance Abschn. 5). Jedes Sicherheitsupdate bleibt zehn Jahre verfügbar oder für den Rest des Supportzeitraums, je nachdem, was länger ist (Art. 13 Abs. 9).
Was gilt für Ersatzregler in älteren Anlagen?+
Ein Ersatzregler nach denselben Spezifikationen wie das Original fällt nach Art. 2 Abs. 6 EU CRA nicht unter die Verordnung. Nach der EU-Kommissions-Guidance (Abschn. 4.1) muss der Reparaturzweck aus der Lieferung hervorgehen. Ein neuer Regler mit anderen Sicherheitsfunktionen ist kein identisches Ersatzteil.
Was gilt für Hersteller aus der Schweiz?+
In der Schweiz gilt der EU CRA nicht. Ein Schweizer Hersteller, der Wärmepumpen in die EU liefert, hat aber dieselben Herstellerpflichten wie ein Hersteller aus der EU. Einen EU-Bevollmächtigten kann er benennen, muss es aber nicht (Art. 18 EU CRA). Wer die Geräte in die EU einführt, trägt unabhängig davon die Einführerpflichten nach Art. 19.
Gilt der Cyber Resilience Act für Medizinprodukte und Fahrzeuge?+
Nein. Medizinprodukte und In-vitro-Diagnostika nach den Verordnungen (EU) 2017/745 und 2017/746 sowie Fahrzeuge nach Verordnung (EU) 2019/2144 sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Für Wärmepumpen und Heizungsregler in Gebäuden greift keine dieser Ausnahmen.
Ist Ihre Wärmepumpe bereit für den EU CRA?
Das EU-CRA-Assessment ordnet Ihr Gerät in wenigen Minuten ein und zeigt, was noch fehlt. Eine erste, unverbindliche Einschätzung.
Weiterlesen
Weitere Produkte
Weitere Produkte im EU CRA
Quelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Amtsblatt der EU. https://eur-lex.europa.eu/eli/reg/2024/2847/oj
Diese Seite ist eine Orientierung zum Cyber Resilience Act für diese Produktart, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.