Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

Wichtige und kritische Produkte im CRA: Klassen und Konformität

9 Min. Lesezeit

Auf dieser Seite
  1. Wichtige Produkte, Klasse I
  2. Wichtige Produkte, Klasse II
  3. Kritische Produkte
  4. Die Konformitätsbewertungsverfahren
  5. Die Falle der Klasse I
  6. Wie Sie Ihre Klasse finden
  7. Wie Provetry hilft
  8. Quellen

Die meisten vom Cyber Resilience Act erfassten Produkte gehören zur Standardkategorie, und ihr Hersteller bewertet die Konformität allein. Einige Kategorien werden herausgehoben, weil eine Schwachstelle in ihnen weiterreichende Folgen hätte: Sie sind wichtig (Klasse I oder Klasse II, Anhang III) oder kritisch (Anhang IV), und ihr Weg zur CE-Kennzeichnung umfasst mehr Prüfungen durch Dritte.

Über die Klasse entscheidet die Kernfunktionalität des Produkts. Die Durchführungsverordnung (EU) 2025/2392, in Kraft seit dem 21. Dezember 2025, gibt für jede Kategorie eine technische Beschreibung mit Beispielen. Ein Produkt, das lediglich eine Komponente aus einer aufgeführten Kategorie enthält, etwa einen Router-Chip in einem Fernseher, wird nicht nach dieser Komponente eingestuft.

Wichtige Produkte, Klasse I

Anhang III, Klasse I, nennt (hier in eigenen Worten wiedergegeben):

  1. Systeme zur Identitätsverwaltung und Software und Hardware zur Verwaltung privilegierter Zugänge, einschließlich Lesegeräten für Authentifizierung und Zugangskontrolle, auch biometrischer
  2. Eigenständige und eingebettete Browser
  3. Passwortmanager
  4. Software, die Schadsoftware sucht, entfernt oder in Quarantäne stellt
  5. Produkte mit der Funktion eines virtuellen privaten Netzes (VPN)
  6. Netzverwaltungssysteme
  7. Systeme für das Sicherheitsinformations- und Ereignismanagement (SIEM)
  8. Bootmanager
  9. Public-Key-Infrastruktur und Software zur Ausstellung digitaler Zertifikate
  10. Physische und virtuelle Netzschnittstellen
  11. Betriebssysteme
  12. Router, Modems für die Internetverbindung und Switches
  13. Mikroprozessoren mit sicherheitsrelevanten Funktionen
  14. Mikrocontroller mit sicherheitsrelevanten Funktionen
  15. Anwendungsspezifische integrierte Schaltungen (ASIC) und feldprogrammierbare Gate-Arrays (FPGA) mit sicherheitsrelevanten Funktionen
  16. Universelle virtuelle Assistenten für das intelligente Zuhause
  17. Produkte für das intelligente Zuhause mit Sicherheitsfunktionen, einschließlich smarter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen
  18. Mit dem Internet verbundenes Spielzeug im Sinne der Richtlinie 2009/48/EG mit sozialen Interaktionsfunktionen (etwa Sprechen oder Filmen) oder Ortungsfunktionen
  19. Persönliche, am Körper getragene oder auf ihm platzierte Produkte zur Gesundheitsüberwachung (außer Medizinprodukten) sowie persönliche tragbare Produkte für Kinder

Wichtige Produkte, Klasse II

  1. Hypervisoren und Container-Laufzeitsysteme, die die virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen
  2. Firewalls, Systeme zur Angriffserkennung und -abwehr
  3. Manipulationssichere Mikroprozessoren
  4. Manipulationssichere Mikrocontroller

Kritische Produkte

Anhang IV nennt:

  1. Hardwaregeräte mit Sicherheitsboxen
  2. Smart-Meter-Gateways in intelligenten Messsystemen und andere Geräte für fortgeschrittene Sicherheitszwecke, auch für die sichere Kryptoverarbeitung
  3. Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselementen

Die Konformitätsbewertungsverfahren

Die Module stammen aus dem allgemeinen Werkzeugkasten der EU für Produktsicherheit:

  • Modul A, interne Fertigungskontrolle: Der Hersteller bewertet die Konformität selbst und dokumentiert sie.
  • Modul B + C: Eine notifizierte Stelle prüft den Produkttyp (EU-Baumusterprüfung), und der Hersteller stellt sicher, dass die Fertigung diesem Typ entspricht.
  • Modul H: Eine notifizierte Stelle bewertet und überwacht das umfassende Qualitätssicherungssystem des Herstellers.
  • Europäische Cybersicherheitszertifizierung: ein Zertifikat nach einem Schema, das auf Grundlage des Rechtsakts zur Cybersicherheit angenommen wurde, mit mindestens der Vertrauenswürdigkeitsstufe „substanziell“, wo verlangt.
Kategorie Verfügbare Verfahren
Standard Modul A, oder auf Wunsch eines der anderen
Wichtig, Klasse I Modul A nur, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Zertifizierungsschema (mindestens „substanziell“), die die Anforderungen abdecken, vollständig anwenden; sonst B + C oder H
Wichtig, Klasse II B + C, H oder ein europäisches Zertifizierungsschema (mindestens „substanziell“)
Kritisch Ein europäisches Cybersicherheitszertifikat, wo die Kommission es per delegiertem Rechtsakt verlangt; sonst die Verfahren der Klasse II

Freie und quelloffene Produkte der Klasse I oder II, die in Verkehr gebracht werden, können Modul A nutzen, wenn ihre technische Dokumentation öffentlich gemacht wird.

Die Falle der Klasse I

Für Klasse I hängt die Selbstbewertung von harmonisierten Normen ab. Stand Ende 2026 war noch keine harmonisierte Norm zum CRA im Amtsblatt zitiert, und die ersten Fristen der Normungsorganisationen waren überschritten. Wird für Ihr Produkt keine rechtzeitig zitiert, bräuchte ein Produkt der Klasse I ab dem 11. Dezember 2027 eine notifizierte Stelle. Die Mitgliedstaaten können seit dem 11. Juni 2026 Stellen notifizieren, vor Ende 2026 werden aber nur wenige erwartet, und die Kapazitäten werden knapp. Wenn Ihr Produkt Klasse I ist:

  • verfolgen Sie jetzt die Entwürfe der einschlägigen Normen (Reihe EN 40000 und die vertikale Norm für Ihre Kategorie);
  • planen Sie eine notifizierte Stelle als Rückfalllösung ein und nehmen Sie früh Kontakt auf;
  • halten Sie Ihre technische Dokumentation für eine externe Prüfung bereit.

Wie Sie Ihre Klasse finden

  1. Beschreiben Sie die Kernfunktionalität des Produkts in einem Satz.
  2. Vergleichen Sie sie mit den technischen Beschreibungen in der Durchführungsverordnung (EU) 2025/2392, nicht nur mit den Kurzbezeichnungen in den Anhängen.
  3. Passt sie zu keiner Kategorie, gehört das Produkt zur Standardkategorie.
  4. Halten Sie die Begründung in Ihrer technischen Dokumentation fest: Eine Marktüberwachungsbehörde kann danach fragen.

Unser kostenloser Check macht einen ersten Durchgang in fünf Minuten; siehe auch Gilt der CRA für Ihr Produkt?.

Wie Provetry hilft

Jedes Produkt hält seine CRA-Kategorie fest, und die Konformitätsakte (Tarife Pro und Consultant) zeigt die ihm offenstehenden Konformitätsverfahren, stellt die Fragen für die technische Dokumentation und entwirft die EU-Konformitätserklärung.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Quellen