Wer unter den CRA fällt
Die Verordnung gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1). Für ein Gerät mit Firmware und einer Schnittstelle trifft das fast immer zu.
Ausgenommen sind Produkte, für die eigene Rechtsakte gelten: Medizinprodukte und In-vitro-Diagnostika (Verordnungen (EU) 2017/745 und 2017/746) und Fahrzeuge mit Typgenehmigung nach Verordnung (EU) 2019/2144 (Art. 2 Abs. 2), dazu Luftfahrtprodukte nach Verordnung (EU) 2018/1139 und Schiffsausrüstung (Art. 2 Abs. 3 und 4).
Die vier Gruppen
| Gruppe | Konformitätsbewertungsverfahren (Art. 32) |
|---|---|
| Standard: alles, was nicht in Anhang III oder IV steht | Internes Kontrollverfahren (Modul A), der Hersteller bewertet selbst. |
| Wichtig, Klasse I (Anhang III) | Modul A nur, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifikat mindestens der Stufe „mittel“ vollständig anwendet. Sonst Baumusterprüfung (Modul B und C) oder umfassende Qualitätssicherung (Modul H). |
| Wichtig, Klasse II (Anhang III) | Baumusterprüfung (Modul B und C), umfassende Qualitätssicherung (Modul H) oder ein europäisches Zertifikat mindestens der Stufe „mittel“. |
| Kritisch (Anhang IV) | Ein europäisches Cybersicherheitszertifikat, soweit die Kommission es nach Art. 8 Abs. 1 vorschreibt. Sonst die Verfahren der Klasse II. |
Klasse I, gekürzt aus Anhang III
Anhang III nennt für Klasse I 19 Kategorien, für Klasse II vier. Diese Klasse-I-Kategorien betreffen Gerätehersteller unmittelbar, gekürzt:
- 01
Nr. 1
Identitätsmanagementsysteme und Hardware für die Verwaltung privilegierter Zugänge, einschließlich Lesegeräte für die Authentifizierung und Zugangskontrolle.
- 02
Nr. 6
Netzmanagementsysteme.
- 03
Nr. 8
Bootmanager.
- 04
Nr. 10
physische und virtuelle Netzschnittstellen.
- 05
Nr. 11
Betriebssysteme.
- 06
Nr. 12
Router, Modems für die Internetanbindung und Switches.
- 07
Nr. 13 und 14
Mikroprozessoren und Mikrocontroller mit sicherheitsrelevanten Funktionen.
- 08
Nr. 15
ASIC und FPGA mit sicherheitsrelevanten Funktionen.
- 09
Nr. 17
Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen.
Klasse II und kritische Produkte
| Anhang | Kategorien |
|---|---|
| III, Klasse II | Hypervisoren und Container-Runtime-Systeme · Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme · manipulationssichere Mikroprozessoren · manipulationssichere Mikrocontroller |
| IV, kritisch | Hardwaregeräte mit Sicherheitsboxen · Smart-Meter-Gateways in intelligenten Messsystemen und andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung · Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente |
Es zählt die Kernfunktion des Geräts
Ein Produkt ist wichtig, wenn es die Kernfunktionen einer Kategorie aus Anhang III aufweist (Art. 7 Abs. 1). Baut ein Hersteller einen Mikrocontroller mit sicherheitsrelevanten Funktionen in seine Steuerung ein, wird die Steuerung dadurch nicht selbst zum wichtigen Produkt: die Integration führt für sich genommen nicht zu den Verfahren der Klassen I und II.
Für den Hersteller des Mikrocontrollers ist die Lage anders. Er bringt ein Produkt der Klasse I oder, wenn es manipulationssicher ist, der Klasse II in Verkehr.
Was für alle Klassen gleich ist
Die Klasse ändert nur, wer die Konformität bewertet. Die Anforderungen aus Anhang I gelten für jedes Produkt: keine bekannten ausnutzbaren Schwachstellen bei der Bereitstellung, sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, eine Software-Stückliste, Sicherheitsupdates. Die Meldepflicht nach Art. 14 gilt seit dem 11.09.2026 ebenfalls für alle.
Für eine benannte Stelle wie für die Selbstbewertung brauchen Sie dieselbe technische Dokumentation. Was in der Firmware steckt, gehört hinein: Komponenten mit Version, bekannte Schwachstellen, Härtung.
- 01
Produkt einordnen
Kernfunktion gegen Anhang III und IV halten.
- 02
Verfahren wählen
für Klasse I prüfen, ob harmonisierte Normen, gemeinsame Spezifikationen oder eine europäische Zertifizierung vorliegen und vollständig angewendet werden.
- 03
Technische Dokumentation aufbauen
Stückliste je Release, Schwachstellenlage, Härtung, mit Beleg aus der ausgelieferten Firmware.
- 04
Fristen planen
Meldewege seit dem 11.09.2026, alle übrigen Pflichten ab dem 11.12.2027 (Art. 71 Abs. 2).
Die Konformitätsaussage treffen Sie. Diese Seite und unsere Berichte liefern technische Feststellungen als Grundlage dafür.
Häufige Fragen
01Ist ein Industrie-Router Klasse I oder Klasse II?
Ein Router steht in Anhang III unter Klasse I, Nr. 12. Übernimmt das Gerät als Kernfunktion die Aufgabe einer Firewall oder eines Intrusion-Prevention-Systems, fällt es unter Klasse II, Nr. 2.
02Ist meine Steuerung Klasse I, weil ein Mikrocontroller mit Sicherheitsfunktionen darin steckt?
Nein. Die Integration eines Produkts aus Anhang III macht das Produkt, in das es integriert ist, für sich genommen nicht zum wichtigen Produkt (Art. 7 Abs. 1). Es zählt die Kernfunktion Ihres Geräts.
03Gilt die SBOM-Pflicht auch für Standardprodukte?
Ja. Anhang I gilt für alle Produkte mit digitalen Elementen, unabhängig von der Klasse. Die Stückliste steht in Anhang I Teil II Nr. 1.
04Ab wann muss die Konformität bewertet sein?
Ab dem 11.12.2027 für Produkte, die ab dann in Verkehr gebracht werden (Art. 71 Abs. 2). Die Vorschriften für benannte Stellen gelten schon seit dem 11.06.2026.