Produktklasse
Ist ein Hardware-Sicherheitsmodul oder Sicherheitselement ein kritisches Produkt nach dem CRA?
Kurz gesagt: Ja, als Kategorie, und sie ist kritisch. Ein Hardware-Sicherheitsmodul oder Sicherheitselement kann unter einen von 3 Einträgen in Anhang IV fallen. Ein Produkt, dessen Kernfunktion einer Kategorie des Anhangs IV entspricht, ist ein kritisches Produkt; ob Ihr Produkt dazugehört, hängt von seiner Kernfunktion ab. Anhang IV hat ein eigenes Konformitätsverfahren nach Artikel 32 Absatz 4, siehe unten.
„Hardwaregeräte mit Sicherheitsboxen“
„Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (1) sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung“
„Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente“
Technische Beschreibung
Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält die technische Beschreibung jeder Kategorie der Anhänge. Diese gibt mit den Worten des Amtsblatts wieder, was die Kategorie umfasst.
„Hardwareprodukte mit digitalen Elementen, die sensible Daten sicher speichern, verarbeiten oder verwalten oder kryptografische Vorgänge ausführen, aus mehreren diskreten Bauelementen bestehen, über eine physische Hardwarehülle verfügen und Manipulationserkennung, -widerstandsfähigkeit oder -reaktion als Abwehrmittel gegen physische Angriffe bieten.
Zu dieser Kategorie gehören unter anderem physische Zahlungsterminals, Hardware-Sicherheitsmodule, die kryptografische Elemente erzeugen und verwalten, sowie Fahrtenschreiber, die der vorstehenden Beschreibung entsprechen.“
„Smart-Meter-Gateways sind Produkte mit digitalen Elementen, die die Kommunikation zwischen Komponenten in intelligenten Messsystemen (im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944) oder an diese angeschlossenen Komponenten und befugten Dritten wie Versorgungsunternehmen steuern. Smart-Meter-Gateways erfassen, verarbeiten und speichern Messdaten oder personenbezogene Daten, schützen Daten- und Informationsflüsse durch Unterstützung spezifischer kryptografischer Anforderungen wie Verschlüsselung und Entschlüsselung von Daten, umfassen Firewall-Funktionen und stellen Hilfsmittel zur Steuerung anderer Geräte bereit.
Diese Kategorie umfasst unter anderem Smart-Meter-Gateways im Zusammenhang mit intelligenten Messsystemen zur Messung von Elektrizität im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944. Sie kann auch intelligente Smart-Meter-Gateways umfassen, die im Rahmen anderer intelligenter Messsysteme zur Messung des Verbrauchs anderer Energiequellen wie Gas oder Wärme verwendet werden, sofern das Gateway dieser Beschreibung entspricht.“
„Sicherheitselemente sind Mikrocontroller oder Mikroprozessoren mit sicherheitsrelevanten Funktionen wie etwa Manipulationserkennung, -widerstandsfähigkeit oder -reaktion. Sie speichern, verarbeiten oder verwalten üblicherweise kryptografische Vorgänge oder sensible Daten wie Identitätsnachweise oder Zahlungsdaten. Sicherheitselemente sind so konzipiert, dass sie Schutz mindestens auf AVA_VAN-Stufe 4 bieten, wie in den Gemeinsamen Kriterien oder der Gemeinsamen Evaluierungsmethodik festgelegt. Sie können diskrete Bauelemente aus Silizium sein oder in Ein-Chip-Systeme (System-on-a-Chip, SoC) integriert werden. Sicherheitselemente können eine Anwendungsumgebung oder ein Betriebssystem sowie eine oder mehrere Anwendungen umfassen.
Zu dieser Kategorie gehören unter anderem Trusted Platform Modules (TPMs) und die embedded Universal Integrated Circuit Card (eUICC).
Chipkarten oder ähnliche Geräte sind Sicherheitselemente, die in ein Trägermaterial wie etwa Kunststoff oder Holz in Form einer Karte integriert sind, oder Sicherheitselemente, die in Trägermaterialien in anderer Form integriert sind.
Zu dieser Kategorie gehören unter anderem Ausweis- und Reisedokumente, qualifizierte Signaturkarten, austauschbare UICCs, physische Zahlungskarten, physische Zugangskarten, Karten für digitale Fahrtenschreiber oder Armbänder mit integrierten Sicherheitselementen für Zahlungen.“
Was Anhang IV für das Konformitätsverfahren bedeutet
Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen bzw. Geräte für die sichere Kryptoverarbeitung sowie Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente, sind kritische Produkte nach Anhang IV. Nach Artikel 32 Absatz 4 wird ihre Konformität über ein europäisches Schema für die Cybersicherheitszertifizierung gemäß Artikel 8 Absatz 1 nachgewiesen oder, wenn die Bedingungen des Artikels 8 Absatz 1 nicht erfüllt sind, über die Verfahren des Artikels 32 Absatz 3. Artikel 32 Absatz 5, der Herstellern quelloffener Software bei Produkten des Anhangs III die Verfahren des Artikels 32 Absatz 1 eröffnet, erfasst Anhang IV nicht.
Der Wortlaut von Artikel 32 Absatz 4 steht im Leitfaden zu den Produktklassen.
Ab wann es gilt
Seit dem 11. Juni 2026 gelten die Vorschriften über notifizierte Konformitätsbewertungsstellen, Kapitel IV (Artikel 35 bis 51). Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Vollständig gilt die Verordnung ab dem 11. Dezember 2027. Der Wortlaut der Anwendungsregel steht im Leitfaden zu den Produktklassen.
Sonderfälle
- Die Kernfunktion entscheidet. Prüfen Sie die Kernfunktion Ihres Produkts anhand des oben zitierten Anhangstextes. Der Wortlaut von Artikel 7 Absatz 1 steht im Leitfaden zu den Produktklassen.
Fragen und Antworten
Wo steht ein Hardware-Sicherheitsmodul oder Sicherheitselement in den Anhängen der Verordnung?
Siehe die Kurzantwort und das Anhangszitat am Anfang dieser Seite.
Ändert eine quelloffene Lizenz das Verfahren für die Kategorie Hardware-Sicherheitsmodul oder Sicherheitselement?
Nein. Artikel 32 Absatz 5 erfasst nur die Kategorien des Anhangs III, deshalb behält ein Produkt des Anhangs IV sein Verfahren nach Artikel 32 Absatz 4, unabhängig von der Lizenz.
Wann gelten die Vorschriften der Verordnung für die Kategorie Hardware-Sicherheitsmodul oder Sicherheitselement?
Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, die Verordnung gilt vollständig ab dem 11. Dezember 2027.
Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine Bewertung Ihres eigenen Produkts wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.