01Vier Kategorien
Die meisten Produkte mit digitalen Elementen fallen in die Standardkategorie. Produkte nach Anhang III sind wichtige Produkte (Klasse I oder Klasse II), Produkte nach Anhang IV sind kritische Produkte. Maßgeblich für die Klasse ist die Kernfunktion des Produkts: Wer eine Komponente aus einer wichtigen Klasse integriert (zum Beispiel einen Mikrocontroller mit sicherheitsrelevanten Funktionen), bringt das Produkt dadurch allein nicht in diese Klasse (Artikel 7).
| Kategorie | Beispiele | Grundlage |
|---|---|---|
| Standardkategorie | Produkte, die nicht in Anhang III oder IV aufgeführt sind; zum Beispiel viele Sensoren, Haushaltsgeräte und Software für Industriegeräte | Art. 32 |
| Wichtig, Klasse I | Identitäts- und Zugriffsverwaltung, Browser, Passwort-Manager, VPN, Betriebssysteme, Router, Modems für die Internetanbindung und Switches, Mikroprozessoren und Mikrocontroller mit sicherheitsrelevanten Funktionen, Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen (intelligente Türschlösser, Sicherheitskameras, Babyüberwachungssysteme, Alarmanlagen), vernetztes Spielzeug, tragbare Geräte zur Gesundheitsüberwachung | Art. 7, Anhang III Klasse I |
| Wichtig, Klasse II | Hypervisoren und Container-Laufzeitsysteme, Firewalls, Systeme zur Angriffserkennung und -abwehr, manipulationssichere Mikroprozessoren und Mikrocontroller | Art. 7, Anhang III Klasse II |
| Kritisch | Hardwaregeräte mit Sicherheitsboxen (etwa HSM), Smart-Meter-Gateways, Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente | Art. 8, Anhang IV |
Die technischen Beschreibungen der Kategorien aus Anhang III und IV stehen in der Durchführungsverordnung (EU) 2025/2392. Ziehen Sie diese bei der Einstufung zusammen mit der Kernfunktion Ihres Produkts heran. Für eine schnelle erste Einschätzung nutzen Sie unseren Klassencheck.
Beispiele nach Branche: Netzwerk- und Telekommunikationsgeräte (Router und Modems gehören zu Klasse I), Smart Home und Haushaltsgeräte sowie Industrieautomation und Elektronik.
02Welches Konformitätsbewertungsverfahren?
Artikel 32 legt fest, welche Verfahren für die einzelnen Kategorien zulässig sind. Die Module sind in Anhang VIII definiert:
- Modul A (interne Kontrolle): Der Hersteller bewertet die Konformität selbst und erklärt sie.
- Modul B + C (EU-Baumusterprüfung und Konformität mit dem Baumuster auf der Grundlage einer internen Fertigungskontrolle): Eine notifizierte Stelle prüft das Baumuster des Produkts; der Hersteller stellt sicher, dass die Fertigung diesem Baumuster entspricht.
- Modul H (umfassende Qualitätssicherung): Eine notifizierte Stelle bewertet das Qualitätssicherungssystem des Herstellers, genehmigt es und überwacht es.
| Kategorie | Zulässige Verfahren |
|---|---|
| Standardkategorie | Modul A (oder wahlweise B + C oder H) |
| Klasse I | Modul A, wenn harmonisierte Normen, gemeinsame Spezifikationen oder eine europäische Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig angewandt wurden; andernfalls B + C oder H |
| Klasse II | Modul B + C, Modul H oder, soweit verfügbar, eine europäische Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ |
| Kritisch | Eine europäische Cybersicherheitszertifizierung, wenn ein delegierter Rechtsakt dies vorschreibt; andernfalls die Verfahren der Klasse II |
Für freie und quelloffene Software, deren technische Dokumentation öffentlich zugänglich ist, steht Modul A auch in Klasse I und II offen (Artikel 32).
Die Bestimmungen über notifizierte Stellen gelten seit dem 11. Juni 2026. Planen Sie für Produkte der Klasse I ein, dass bis zur Veröffentlichung harmonisierter CRA-Normen eine notifizierte Stelle erforderlich sein kann.
03Schritte bis zur CE-Kennzeichnung
- Anwendungsbereich und Klasse: Prüfen Sie, ob es sich um ein Produkt mit digitalen Elementen handelt, ob eine sektorale Ausnahme greift und in welche Kategorie es fällt (Anwendungsbereich).
- Bewertung der Cybersicherheitsrisiken: eine dokumentierte Bewertung, die zeigt, wie die Anforderungen aus Anhang I auf Ihr Produkt angewandt werden (Artikel 13).
- Anhang I erfüllen: Produkteigenschaften (Teil I) und Prozesse zur Behandlung von Schwachstellen (Teil II), einschließlich einer SBOM.
- Unterstützungszeitraum festlegen: Er spiegelt die erwartete Nutzungsdauer wider, beträgt in der Regel mindestens fünf Jahre und wird zum Zeitpunkt des Kaufs klar angegeben (Artikel 13).
- Konformitätsbewertung: je nach Kategorie Modul A, B + C oder H.
- Technische Dokumentation (Anhang VII) und EU-Konformitätserklärung (Artikel 28, Anhang V): Aufbewahrung für 10 Jahre oder für den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist (Artikel 13).
- CE-Kennzeichnung anbringen (Artikel 30) und dem Produkt die Informationen und Anleitungen für den Nutzer nach Anhang II beifügen.
Wenn Sie diese Schritte gemeinsam mit uns an Ihrem Produkt durchgehen möchten, sehen Sie sich unser Pilotprogramm an.
04Häufige Fragen
Mein Produkt enthält einen Mikrocontroller mit sicherheitsrelevanten Funktionen. Ist es jetzt ein Produkt der Klasse I?
Nicht allein dadurch. Die Klasse richtet sich nach der Kernfunktion des Produkts; die Integration einer Komponente aus einer wichtigen Klasse bringt das Produkt nicht in diese Klasse (Artikel 7).
Brauche ich für ein Produkt der Standardkategorie eine notifizierte Stelle?
Nein. Die interne Kontrolle nach Modul A reicht aus. Die Verantwortung für die Erfüllung aller grundlegenden Anforderungen und für die technische Dokumentation liegt weiterhin beim Hersteller.
Was gilt, wenn es für mein Produkt der Klasse I noch keine harmonisierte Norm gibt?
Modul A kann nicht genutzt werden; über Modul B + C oder H wird eine notifizierte Stelle einbezogen.
Wie lange muss ich die technische Dokumentation aufbewahren?
10 Jahre nach dem Inverkehrbringen des Produkts oder für den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist.
Quellen
Verwandte Leitfäden
- CRA Artikel 14: Meldung von Schwachstellen und SicherheitsvorfällenWann, an wen und wie schnell gemeldet wird. 24 Stunden, 72 Stunden und der Abschlussbericht, mit kostenlosem Fristenrechner.
- EN 18031 und RED: das Verhältnis zum CRACybersicherheitsanforderungen an Funkanlagen, die seit dem 1. August 2025 gelten, und der Übergang zum CRA.
- Leitfaden zur CRA-VorbereitungFür jeden Hersteller, der in die EU verkauft: Rollen, Zeitplan, zusätzliche Punkte für Hersteller außerhalb der EU und eine Checkliste Schritt für Schritt.
- Was ist eine SBOM? Ein Leitfaden für Firmware-TeamsWas in eine SBOM gehört, SPDX und CycloneDX, warum Firmware es schwierig macht, was CRA und BSI TR-03183-2 erwarten, und VEX.
- IEC 62443 und CRA: Abgleich und LückenWo IEC 62443-4-1 und 4-2 CRA Anhang I treffen, welche Pflichten offen bleiben, die CENELEC-Änderungen und der Wert einer Zertifizierung.
- ENISA SRP: vor der ersten MeldungEU Login und Vertreter, Wahl des koordinierenden CSIRT, Fristanzeigen der Plattform, Schließen einer übermittelten Meldung und eine kurze Checkliste.
- EU-CRA: aktueller Stand und ZeitplanZeitplan, harmonisierte Normen, Rechtsakte der Kommission, ENISA-SRP und notifizierte Stellen; monatlich anhand amtlicher Quellen geprüft.
- CRA-Leitfaden: ÜberblickAnwendungsbereich, Zeitplan, grundlegende Anforderungen nach Anhang I, Produktklassen, Meldepflichten und Geldbußen auf einer Seite.
Sprechen wir über diesen Prozess für Ihr Produkt
Lernen Sie unser Pilotprogramm für Unternehmen kennen: Es erstellt die SBOM Ihrer Firmware, priorisiert Schwachstellen und überwacht die Fristen nach Artikel 14.