Produktklasse

Ist eine Firewall oder ein Intrusion-Detection-System ein wichtiges Produkt nach dem CRA?

Von HEXENKRAFT. Geprüft gegen den Primärtext im Oktober 2026.

Kurz gesagt: Ja, in Klasse II, als Kategorie. Eine Firewall oder ein Intrusion-Detection-System ist in Anhang III Klasse II aufgeführt. Nach Artikel 7 Absatz 1 ist ein Produkt, dessen Kernfunktion einer gelisteten Kategorie entspricht, ein wichtiges Produkt; ob Ihr Produkt dazugehört, hängt von seiner Kernfunktion ab. Klasse II hat ein eigenes Konformitätsverfahren nach Artikel 32 Absatz 3, siehe unten.

„Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme“

Technische Beschreibung

Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält die technische Beschreibung jeder Kategorie der Anhänge. Diese gibt mit den Worten des Amtsblatts wieder, was die Kategorie umfasst.

„Firewalls sind Produkte mit digitalen Elementen, die ein verbundenes Netz oder System vor unbefugtem Zugriff schützen, indem sie den ein- und ausgehenden Datenverkehr dieses Netzes überwachen und einschränken.

Zu dieser Kategorie gehören unter anderem Netzwerk-Firewalls und Anwendungs-Firewalls (wie etwa Webanwendungs-Firewalls) oder Filter und Anti-Spam-Gateways.

Intrusion-Detection-Systeme sind Produkte mit digitalen Elementen, die den Datenverkehr nach dessen Eintritt in die Netzwerkumgebung auf verdächtige Aktivität überwachen und erkennen oder feststellen, ob ein Angriff auf ein verbundenes Netz oder System versucht wurde, stattfindet oder stattgefunden hat.

Zu dieser Kategorie gehören unter anderem netzgestützte Intrusion-Detection-Systeme und hostbasierte Intrusion-Detection-Systeme.

Intrusion-Prevention-Systeme sind Produkte mit digitalen Elementen, die aus einem Intrusion-Detection-System bestehen, das aktiv auf einen Angriff auf ein verbundenes Netz oder System reagiert.

Zu dieser Kategorie gehören unter anderem netzgestützte Intrusion-Prevention-Systeme und hostbasierte Intrusion-Prevention-Systeme.“

Was Klasse II für das Konformitätsverfahren bedeutet

Artikel 32 Absatz 3: Die Konformität wird über das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (Modul B und C), über eine umfassende Qualitätssicherung (Modul H) oder, sofern verfügbar und anwendbar, über ein europäisches Schema für die Cybersicherheitszertifizierung mindestens auf der Vertrauenswürdigkeitsstufe „mittel“ nachgewiesen. Die ersten beiden Verfahren laufen über eine notifizierte Stelle.

Der Wortlaut von Artikel 32 Absatz 3 steht im Leitfaden zu den Produktklassen.

Ab wann es gilt

Seit dem 11. Juni 2026 gelten die Vorschriften über notifizierte Konformitätsbewertungsstellen, Kapitel IV (Artikel 35 bis 51). Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Vollständig gilt die Verordnung ab dem 11. Dezember 2027. Der Wortlaut der Anwendungsregel steht im Leitfaden zu den Produktklassen.

Sonderfälle

Prüfen Sie Ihr eigenes Produkt. Zur kostenlosen Cybiq-Prüfung: fünf oder sechs Fragen, ein Ergebnis mit Fundstelle im Amtsblatt.

Fragen und Antworten

Wo steht eine Firewall oder ein Intrusion-Detection-System in den Anhängen der Verordnung?

Siehe die Kurzantwort und das Anhangszitat am Anfang dieser Seite.

Braucht eine Firewall oder ein Intrusion-Detection-System eine notifizierte Stelle?

Nicht auf jedem Weg: Nach Artikel 32 Absatz 3 laufen die ersten beiden Verfahren über eine notifizierte Stelle, die Option eines Schemas für die Cybersicherheitszertifizierung nicht, wie der Abschnitt zum Konformitätsverfahren oben darlegt.

Wann gelten die Vorschriften der Verordnung für die Kategorie Firewall oder Intrusion-Detection-System?

Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, die Verordnung gilt vollständig ab dem 11. Dezember 2027.

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine Bewertung Ihres eigenen Produkts wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.