Produktklasse

Ist ein Hypervisor oder eine Container-Runtime ein wichtiges Produkt nach dem CRA?

Von HEXENKRAFT. Geprüft gegen den Primärtext im Oktober 2026.

Kurz gesagt: Ja, in Klasse II, als Kategorie. Ein Hypervisor oder eine Container-Runtime ist in Anhang III Klasse II aufgeführt. Nach Artikel 7 Absatz 1 ist ein Produkt, dessen Kernfunktion einer gelisteten Kategorie entspricht, ein wichtiges Produkt; ob Ihr Produkt dazugehört, hängt von seiner Kernfunktion ab. Klasse II hat ein eigenes Konformitätsverfahren nach Artikel 32 Absatz 3, siehe unten.

„Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen“

Technische Beschreibung

Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält die technische Beschreibung jeder Kategorie der Anhänge. Diese gibt mit den Worten des Amtsblatts wieder, was die Kategorie umfasst.

„Hypervisoren sind Softwareprodukte mit digitalen Elementen, die Rechenressourcen abstrahieren und/oder zuweisen und die Ausführung, Verwaltung und Orchestrierung virtueller Maschinen ermöglichen, die logisch voneinander und/oder von der physischen Hardware getrennt sind. Hypervisoren können direkt auf Hardware (Bare Metal), auf einem Betriebssystem oder innerhalb einer anderen virtuellen Maschine (geschachtelte Virtualisierung) betrieben werden.

Im Zusammenhang mit dieser Produktkategorie ist eine virtuelle Maschine eine softwaredefinierte logische Trennung einer Rechenumgebung, die virtuelle Hardware-Ressourcen (z. B. CPU, Arbeitsspeicher, Speicher, Netzschnittstellen) umfasst und üblicherweise über ein eigenes Betriebssystem verfügt.

Zu dieser Kategorie gehören unter anderem Typ-1-Hypervisoren (Bare Metal), Typ-2-Hypervisoren (in einem Betriebssystem gehostet) und Hybrid-Hypervisoren.

Container-Runtime-Systeme sind Softwareprodukte mit digitalen Elementen, die die Ausführung und den Lebenszyklus von Containern, die über ein einziges Host-Betriebssystem laufen, als isolierte Prozesse steuern, Ressourcen zuweisen und die Verwaltung und Orchestrierung einzelner Container ermöglichen.

Im Zusammenhang mit dieser Produktkategorie ist ein Container eine softwaregestützte Ausführungsumgebung, in der eine oder mehrere Softwarekomponenten und deren Abhängigkeiten in einem einzigen Paket zusammengefasst sind, sodass sie unabhängig und einheitlich ausgeführt werden können.“

Was Klasse II für das Konformitätsverfahren bedeutet

Artikel 32 Absatz 3: Die Konformität wird über das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (Modul B und C), über eine umfassende Qualitätssicherung (Modul H) oder, sofern verfügbar und anwendbar, über ein europäisches Schema für die Cybersicherheitszertifizierung mindestens auf der Vertrauenswürdigkeitsstufe „mittel“ nachgewiesen. Die ersten beiden Verfahren laufen über eine notifizierte Stelle.

Der Wortlaut von Artikel 32 Absatz 3 steht im Leitfaden zu den Produktklassen.

Ab wann es gilt

Seit dem 11. Juni 2026 gelten die Vorschriften über notifizierte Konformitätsbewertungsstellen, Kapitel IV (Artikel 35 bis 51). Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Vollständig gilt die Verordnung ab dem 11. Dezember 2027. Der Wortlaut der Anwendungsregel steht im Leitfaden zu den Produktklassen.

Sonderfälle

Prüfen Sie Ihr eigenes Produkt. Zur kostenlosen Cybiq-Prüfung: fünf oder sechs Fragen, ein Ergebnis mit Fundstelle im Amtsblatt.

Fragen und Antworten

Wo steht ein Hypervisor oder eine Container-Runtime in den Anhängen der Verordnung?

Siehe die Kurzantwort und das Anhangszitat am Anfang dieser Seite.

Braucht ein Hypervisor oder eine Container-Runtime eine notifizierte Stelle?

Nicht auf jedem Weg: Nach Artikel 32 Absatz 3 laufen die ersten beiden Verfahren über eine notifizierte Stelle, die Option eines Schemas für die Cybersicherheitszertifizierung nicht, wie der Abschnitt zum Konformitätsverfahren oben darlegt.

Wann gelten die Vorschriften der Verordnung für die Kategorie Hypervisor oder Container-Runtime?

Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, die Verordnung gilt vollständig ab dem 11. Dezember 2027.

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine Bewertung Ihres eigenen Produkts wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.