Datenverbindung im CRA: Welche Schnittstellen zählen?

Warum die Schnittstelle über den Anwendungsbereich mitentscheidet

Ob ein Gerät unter den Cyber Resilience Act (Verordnung (EU) 2024/2847, CRA) fällt, entscheidet sich nicht an der Frage, ob ein Mikrocontroller verbaut ist. Art. 2 Abs. 1 setzt zusätzlich eine Datenverbindung voraus: Die Verordnung gilt für „auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt“.

Daraus ergeben sich zwei Prüfschritte: Ist das Erzeugnis ein Produkt mit digitalen Elementen im Sinne von Art. 3, und schließt sein Zweck oder seine vorhersehbare Verwendung eine Datenverbindung ein? Beim zweiten Schritt kommt es auf die Schnittstellen an. Eine einzige Schnittstelle, über die bestimmungsgemäß oder vorhersehbar Daten fließen, reicht dafür aus. Dieser Artikel ordnet gängige Schnittstellen technisch ein und ist keine Rechtsberatung.

Was die Verordnung definiert

Die Begriffe, auf die es ankommt, stehen in Art. 3. Wörtlich bezeichnet der Ausdruck

• Nr. 1 „Produkt mit digitalen Elementen“: „ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“;
• Nr. 2 „Datenfernverarbeitung“: „entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“;
• Nr. 5 „Hardware“: „ein physisches elektronisches Informationssystem, das digitale Daten verarbeiten, speichern oder übertragen kann, oder Teile eines solchen Systems“;
• Nr. 7 „elektronisches Informationssystem“: „ein System, einschließlich elektrischer oder elektronischer Ausrüstung, das digitale Daten verarbeiten, speichern oder übertragen kann“;
• Nr. 8 „logische Verbindung“: „eine virtuelle Darstellung einer Datenverbindung, die über eine Softwareschnittstelle hergestellt wird“;
• Nr. 9 „physische Verbindung“: „eine Verbindung zwischen elektronischen Informationssystemen oder Komponenten, die mit physikalischen Mitteln wie elektrischen, optischen oder mechanischen Schnittstellen, Drähten oder Funkwellen hergestellt wird“;
• Nr. 10 „indirekte Verbindung“: „eine Verbindung zu einem Gerät oder Netz, die nicht direkt erfolgt, sondern als Teil eines größeren Systems, das seinerseits direkt mit diesem Gerät oder Netz verbunden werden kann“.

Die physische Verbindung ist technikneutral gefasst: Kabel, Stecker, optische Schnittstellen und Funk sind gleichermaßen erfasst. Ein Gerät, das nur an einem Gateway oder einer Steuerung hängt, kann über Nr. 10 indirekt verbunden sein. Erwägungsgrund 9 begründet das mit Angriffsketten über mehrere Produkte.

Den „bestimmungsgemäßen Zweck“ aus Art. 2 Abs. 1 definiert Art. 3 Nr. 23 als „Zweckbestimmung“ (englisch an beiden Stellen „intended purpose“): die Verwendung laut Gebrauchsanleitung, Werbe- und Verkaufsmaterial, Erklärungen und technischer Dokumentation. Die „vernünftigerweise vorhersehbare Verwendung“ (Art. 3 Nr. 24) reicht weiter und erfasst auch, was sich „aus technischen Vorgängen oder Wechselwirkungen wahrscheinlich ergibt“.

Was der Leitlinienentwurf der Kommission unter einer Datenverbindung versteht

Den Begriff „Datenverbindung“ selbst definiert der CRA nicht. Hier setzt der Entwurf der Leitlinie der Kommission zur Anwendung des CRA an, dessen Inhalt die Kommission am 27.07.2026 gebilligt hat (C(2026) 5252, bisher nur englisch; die förmliche Annahme steht aus). Laut Begleitmitteilung wird die Leitlinie förmlich angenommen, wenn alle Sprachfassungen vorliegen, und gilt erst ab diesem Zeitpunkt. Auch dann ist sie nach eigener Aussage nicht verbindlich, eine verbindliche Auslegung kann nur der Gerichtshof der Europäischen Union geben (Rn. 8).

Nach dem Leitlinienentwurf der Kommission, sinngemäß übersetzt: Der Anwendungsbereich knüpft an die Fähigkeit an, digitale Informationen auszutauschen; Elektronik allein genügt nicht (Rn. 26, 27). Nach Rn. 28 überträgt eine Datenverbindung Information in binärer Form. Ein Ausgang, der nur ein- und ausgeschaltet wird, ist für sich genommen keine Datenverbindung, wenn diese Zustände keine Daten darstellen sollen oder von keinem digitalen Eingang gelesen werden. Es braucht einen Sender, der digitale Symbole bewusst nach einem festgelegten Schema erzeugt, und einen Empfänger, der sie als Daten auswerten kann. Dienen Signale nur dazu, eine Funktion auszulösen oder mit Energie zu versorgen, besteht keine Datenverbindung, und das Produkt fällt nicht unter Art. 2 Abs. 1.

Schnittstellen im Überblick

Die Tabelle ist eine technische Ersteinschätzung nach Art. 2 Abs. 1, Art. 3 Nr. 8 bis 10 und Rn. 26 bis 28 des Leitlinienentwurfs. Sie ersetzt keine Prüfung des einzelnen Produkts.

Die Schnittstellen im Einzelnen

Ethernet und RJ45

Eine Ethernet-Schnittstelle ist eine physische Verbindung über Drähte im Sinne von Art. 3 Nr. 9. Werden darüber Daten nach einem Protokoll übertragen, ist die Datenverbindung nach Art. 2 Abs. 1 gegeben. Maßgeblich ist, was über die Kontakte läuft; RJ45-Steckverbinder werden auch für andere Signale genutzt.

USB

Lässt sich ein Gerät über USB konfigurieren, auslesen oder mit neuer Firmware bespielen, liegt eine Datenverbindung vor. Fließt über die Buchse dagegen nur Energie und werden keine Zustände als Daten kodiert und gelesen, besteht nach dem Leitlinienentwurf der Kommission (Rn. 28) keine Datenverbindung. Drei Punkte können die Antwort ändern:

• Firmware-Update: Sieht die Anleitung oder die technische Dokumentation vor, dass der Service oder der Nutzer über dieselbe Buchse eine neue Firmware aufspielt, gehört die Datenverbindung zur Zweckbestimmung (Art. 3 Nr. 23).
• Beschaltete Datenleitungen: Sind die Datenleitungen an einen Controller geführt, der sich am Host als Gerät anmeldet, kann ein Datenaustausch vernünftigerweise vorhersehbar sein, auch wenn die Anleitung nur das Laden nennt. Art. 3 Nr. 24 erfasst ausdrücklich Verwendungen, die sich „aus technischen Vorgängen oder Wechselwirkungen“ ergeben.
• Aushandlung beim Laden: Bei manchen Ladeverfahren, etwa USB Power Delivery, handeln Netzteil und Gerät Spannung und Strom über Nachrichten aus. Ob das allein eine Datenverbindung im Sinne von Art. 2 Abs. 1 ist, beantworten weder Verordnung noch Leitlinienentwurf ausdrücklich. Prüfen Sie ein solches Gerät deshalb gesondert.

Funk: WLAN, Bluetooth, NFC, Mobilfunk

Art. 3 Nr. 9 nennt Funkwellen ausdrücklich als physisches Mittel einer Verbindung. Eine Funkschnittstelle, über die ein Gerät Daten sendet oder empfängt, ist deshalb eine Datenverbindung, bei WLAN und Mobilfunk ebenso wie bei Bluetooth und NFC mit kurzer Reichweite. Wie sich der CRA zum Funkanlagenrecht verhält, behandelt unsere Seite zu Telekommunikation, Funkgeräten und RED-DA.

Serielle Schnittstellen, Service- und Diagnosezugänge

Serielle Schnittstellen und Feldbusse übertragen Daten nach einem festen Schema zwischen Sender und Empfänger und erfüllen damit die Beschreibung in Rn. 28. Hängt ein Gerät nur an einem Bus hinter einer Steuerung oder einem Gateway, das seinerseits mit einem Netz verbunden werden kann, kommt eine indirekte Verbindung nach Art. 3 Nr. 10 in Betracht.

Bei Service- und Diagnoseschnittstellen liegt der Einwand nahe, dass nur Techniker sie nutzen. Art. 2 Abs. 1 fragt jedoch nur nach Zweck und vorhersehbarer Verwendung, nicht danach, wer die Verbindung herstellt. Beschreiben Anleitung oder technische Dokumentation einen Servicezugang, gehört er zur Zweckbestimmung. Offener ist ein reiner Fertigungszugang; ob er im ausgelieferten Gerät erreichbar bleibt, sollten Sie technisch dokumentieren. Fällt das Produkt ohnehin unter den CRA, zählt ein solcher Zugang zu den externen Schnittstellen, über die Anhang I Teil I Nr. 2 Buchst. j die Angriffsfläche begrenzen will, und für Servicezugänge gilt der Schutz vor unbefugtem Zugriff nach Buchst. d.

Lade- und Schaltkontakte

Ein potenzialfreier Kontakt, ein Relaisausgang oder Ladekontakte, die nur Energie übertragen, begründen nach dem Leitlinienentwurf (Rn. 28) für sich keine Datenverbindung; der CRA selbst definiert den Begriff nicht. Wertet eine Steuerung den Kontakt dagegen als Zustandsinformation aus, ist genauer zu prüfen, ob der Zustand Daten darstellen soll. Ein Produkt, dessen einziger Anschluss ein solcher Kontakt ist, fällt nach dieser Auslegung voraussichtlich nicht unter Art. 2 Abs. 1; hat es zusätzlich eine andere Schnittstelle, entscheidet diese.

Kabel, Router und WLAN-Signal sind Kommunikationsmittel

In Abschnitt 8.3.5 behandelt der Leitlinienentwurf die Datenfernverarbeitung nach Art. 3 Nr. 2 am Beispiel eines Mobilfunknetzes. Nach dem Leitlinienentwurf der Kommission sind ein Ethernet-Kabel, ein Router oder ein WLAN-Signal keine Datenverarbeitung, ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte; der Entwurf ordnet sie als Mittel der Kommunikation und Konnektivität ein. Das Netz, an dem Ihr Produkt hängt, wird damit nicht zu seiner Datenfernverarbeitungslösung. Eine Cloud-Funktion, deren Software Sie selbst oder in Ihrer Verantwortung entwickeln und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte, kann es dagegen sein.

Ein konstruiertes Beispiel

Das folgende Beispiel ist frei gebildet. Ein Hersteller bringt eine Ladestation für Werkzeugakkus auf den Markt. Ein Mikrocontroller steuert den Ladevorgang, eine USB-C-Buchse versorgt die Station mit Strom, sonst gibt es nur Leuchtanzeigen. Die technische Dokumentation sieht aber vor, dass Servicepartner über dieselbe Buchse eine neue Firmware aufspielen. Damit schließt die Zweckbestimmung eine physische Datenverbindung ein, und die Station fällt voraussichtlich unter Art. 2 Abs. 1. Hätte der Hersteller die Datenleitungen nicht beschaltet und kein Update über die Buchse vorgesehen, sähe die Einschätzung anders aus; dann käme es nur noch darauf an, ob beim Laden selbst Daten ausgetauscht werden.

Was die Schnittstelle nicht entscheidet

Die Produktklasse richtet sich nach der Kernfunktion: Wichtige Produkte sind solche, die „die Kernfunktionen einer in Anhang III aufgeführten Produktkategorie aufweisen“ (Art. 7 Abs. 1). Nach dem Leitlinienentwurf der Kommission umfasst die Kernfunktion die wesentlichen Merkmale und technischen Fähigkeiten, ohne die ein Produkt seine Zweckbestimmung nicht erfüllen könnte (Rn. 139). Ein eingebautes Funk- oder Netzwerkmodul bestimmt also nicht für sich die Klasse des Geräts; für integrierte Produkte mit Anhang-III-Kernfunktion stellt Art. 7 Abs. 1 Satz 2 ausdrücklich klar, dass ihre Integration das Gesamtprodukt für sich genommen nicht den Verfahren nach Art. 32 Abs. 2 und 3 unterwirft. Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392; mehr dazu im Artikel zu den Produktklassen.

Auch die Ausnahmen hängen nicht an der Schnittstelle. Art. 2 Abs. 2 bis 4 nimmt Produkte aus, für die die Verordnungen (EU) 2017/745 (Medizinprodukte), (EU) 2017/746 (In-vitro-Diagnostika) oder (EU) 2019/2144 (Typgenehmigung von Kraftfahrzeugen) gelten, nach der Verordnung (EU) 2018/1139 zertifizierte Produkte sowie Schiffsausrüstung nach der Richtlinie 2014/90/EU. Abs. 6 betrifft identische Ersatzteile, Abs. 7 Produkte ausschließlich für nationale Sicherheit oder Verteidigung und Produkte zur Verarbeitung von Verschlusssachen. Den Gesamtüberblick über Rollen und Ausnahmen gibt der Artikel Cyber Resilience Act: Bin ich betroffen?.

Fristen und nächste Schritte

Liegt eine Datenverbindung vor und greift keine Ausnahme, gilt die Meldepflicht nach Art. 14 seit dem 11.09.2026, auch für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Die übrigen Pflichten gelten ab dem 11.12.2027 (Art. 71 Abs. 2); vorher in Verkehr gebrachte Produkte erfasst die Verordnung danach nur bei einer wesentlichen Änderung (Art. 69 Abs. 2).

1. Listen Sie je Produkt und Variante alle Schnittstellen auf, auch Service- und Fertigungszugänge, mit dem, was laut Dokumentation und technisch darüber möglich ist.
2. Prüfen Sie Grenzfälle wie Ladebuchsen und Schaltkontakte gegen Art. 2 Abs. 1 und Rn. 28 des Leitlinienentwurfs und dokumentieren Sie die Begründung.
3. Klären Sie getrennt Kernfunktion und Ausnahmen.

Eine erste Orientierung gibt der kostenlose Betroffenheits-Check. In der CRA-Gap-Analyse schätzen wir Anwendungsbereich und Rolle Ihrer Produkte technisch ein und markieren offene Fragen zur Prüfung durch Ihre Rechtsabteilung.