Der Cyber Resilience Act (CRA) der Europäischen Union, Verordnung (EU) 2024/2847, führt verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen ein. Dazu gehören vernetzte Geräte für Heizung, Lüftung, Klimatisierung und Kältetechnik (HVAC/R). Verbindliche Meldepflichten für Schwachstellen und Sicherheitsvorfälle traten am 11. September 2026 in Kraft, während die wichtigsten Cybersicherheitsverpflichtungen ab dem 11. Dezember 2027 gelten.
Die Verordnung gilt für Hardware- und Softwareprodukte, die direkt oder indirekt mit anderen Geräten oder Netzwerken verbunden werden können. Zu den potenziell betroffenen HVAC/R-Geräten zählen intelligente Thermostate, vernetzte Wärmepumpen, Kältesteuerungen, Geräte zur Fernüberwachung, Systeme für Gebäudeautomation und -steuerung (BACS), Lüftungssteuerungen und IoT-Gateways. Ob die Verordnung anwendbar ist, hängt von den Produkteigenschaften, dem Verwendungszweck und den einschlägigen gesetzlichen Ausnahmen ab.
Hersteller müssen Cybersicherheit in die Produktkonzeption, Entwicklung, Produktion und Wartung integrieren. Zu den Anforderungen zählen Cybersicherheitsrisikobewertungen, der Schutz vor unbefugtem Zugriff, das Schwachstellenmanagement, Sicherheitsupdates während des geltenden Supportzeitraums sowie die gebotene Sorgfalt bei Komponenten von Drittanbietern. Hersteller müssen außerdem eine Software-Stückliste (SBOM) dokumentieren und die geltenden Konformitätsbewertungsverfahren für die CE-Kennzeichnung abschließen.
Seit dem 11. September 2026 sind Hersteller verpflichtet, aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle zu melden, die Produkte mit digitalen Elementen betreffen. Innerhalb von 24 Stunden nach Kenntniserlangung muss eine Frühwarnung übermittelt werden, gefolgt von einer ausführlicheren Meldung innerhalb von 72 Stunden und einem Abschlussbericht innerhalb der geltenden gesetzlichen Frist. Die Meldungen werden über die von der Agentur der Europäischen Union für Cybersicherheit (ENISA) eingerichtete zentrale Meldeplattform eingereicht. Diese Verpflichtungen können auch für Produkte gelten, die bereits auf dem EU-Markt in Verkehr gebracht wurden.
Der CRA trat am 10. Dezember 2024 in Kraft, und die Bestimmungen über notifizierte Konformitätsbewertungsstellen gelten seit dem 11. Juni 2026. Im Juli 2026 kündigten die European Ventilation Industry Association (EVIA) und weitere Interessengruppen Leitlinien für Hersteller technischer Gebäudesysteme (TBS) und BACS an. Die Europäische Kommission veröffentlichte zudem Umsetzungshinweise zum Produktumfang, zu wesentlichen Änderungen, Supportzeiträumen und Meldepflichten.
Hersteller von HVAC/R-Geräten, die den EU-Markt beliefern, haben bis zum 11. Dezember 2027 Zeit, sich auf die wichtigsten Anforderungen vorzubereiten. Zu den Vorbereitungen auf die Konformität gehören die Überprüfung vernetzter Produktportfolios, die Bewertung von Cybersicherheitsrisiken und die Einrichtung von Verfahren für das Schwachstellenmanagement und Softwareupdates. Bei Geräten mit langer Betriebsdauer kann die Aufrechterhaltung des Cybersicherheitssupports über den gesamten geltenden Zeitraum zusätzliche Herausforderungen mit sich bringen.
