Produktklasse

Ist eine Komponente der industriellen Steuerung ein wichtiges oder kritisches Produkt nach dem CRA?

Von HEXENKRAFT. Geprüft gegen den Primärtext im Oktober 2026.

Kurz gesagt: Nicht als solche. Eine Komponente der industriellen Steuerung ist weder in Anhang III noch in Anhang IV aufgeführt, deshalb gilt das Standardverfahren, es sei denn, die Kernfunktion des Produkts entspricht einer gelisteten Kategorie wie den Einträgen unten. Die Integration eines gelisteten Produkts, etwa eines Betriebssystems, unterwirft das Produkt, in das es integriert ist, für sich genommen nicht den Verfahren für Klasse I oder II (Artikel 7 Absatz 1).

„Netzmanagementsysteme“

„Betriebssysteme“

„Router, Modems für die Internetanbindung und Switches“

„Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (1) sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung“

Technische Beschreibung

Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält die technische Beschreibung jeder Kategorie der Anhänge. Diese gibt mit den Worten des Amtsblatts wieder, was die Kategorie umfasst.

„Produkte mit digitalen Elementen, die verbundene Netzkomponenten wie Server, Router, Switches, Arbeitsplatzrechner, Drucker oder mobile Geräte verwalten, indem sie sie überwachen und ihren Netzbetrieb und ihre Konfiguration kontrollieren.

Diese Kategorie umfasst unter anderem Ende-zu-Ende-Managementsysteme und spezielle Konfigurationsmanagementsysteme wie etwa Controller für softwaredefinierte Netzwerke.“

„Softwareprodukte mit digitalen Elementen, die eine abstrakte Schnittstelle der zugrunde liegenden Hardware bereitstellen und die Ausführung von Software steuern und Dienste wie Rechenressourcenmanagement und -konfiguration, Planung, Ein-Ausgabe-Steuerung, Datenverwaltung und Bereitstellung einer Schnittstelle für die Interaktion von Anwendungen mit Systemressourcen und Peripheriegeräten erbringen können.

Zu dieser Kategorie gehören unter anderem Echtzeit-Betriebssysteme, allgemeine und spezielle Betriebssysteme.“

„Router sind Produkte mit digitalen Elementen, die den Datenfluss zwischen verschiedenen Netzen durch die Auswahl von Pfaden oder Routen unter Verwendung von Routingprotokoll-Mechanismen und -Algorithmen ermöglichen und steuern und üblicherweise Teil der Vermittlungsschicht sind.

Zu dieser Kategorie gehören unter anderem drahtgebundene und drahtlose Router, virtuelle Router und Router mit oder ohne Modems.

Modems für die Internetanbindung sind Hardwareprodukte mit digitalen Elementen, die digitale Modulations- und Demodulationsverfahren verwenden, um analoge Signale von digitalen Signalen und in digitale Signale für die IP-gestützte Kommunikation umzuwandeln.

Zu dieser Kategorie gehören unter anderem Glasfasermodems, DSL-Modems, Kabelmodems (DOCSIS), Satellitenmodems und zellulare Modems.

Switches sind Produkte mit digitalen Elementen, die die Konnektivität zwischen vernetzten Geräten durch Paketweiterleitungsmechanismen ermöglichen, über eine Managementebene verfügen und die üblicherweise Teil der Sicherungsschicht oder der Vermittlungsschicht sind.

Diese Kategorie umfasst unter anderem Managed Switches, Smart Switches, Multilayer Switches, Virtual Security Switches, programmierbare Switches für softwaredefinierte Netzwerke und Bridges wie etwa drahtlose Zugangspunkte.“

„Smart-Meter-Gateways sind Produkte mit digitalen Elementen, die die Kommunikation zwischen Komponenten in intelligenten Messsystemen (im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944) oder an diese angeschlossenen Komponenten und befugten Dritten wie Versorgungsunternehmen steuern. Smart-Meter-Gateways erfassen, verarbeiten und speichern Messdaten oder personenbezogene Daten, schützen Daten- und Informationsflüsse durch Unterstützung spezifischer kryptografischer Anforderungen wie Verschlüsselung und Entschlüsselung von Daten, umfassen Firewall-Funktionen und stellen Hilfsmittel zur Steuerung anderer Geräte bereit.

Diese Kategorie umfasst unter anderem Smart-Meter-Gateways im Zusammenhang mit intelligenten Messsystemen zur Messung von Elektrizität im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944. Sie kann auch intelligente Smart-Meter-Gateways umfassen, die im Rahmen anderer intelligenter Messsysteme zur Messung des Verbrauchs anderer Energiequellen wie Gas oder Wärme verwendet werden, sofern das Gateway dieser Beschreibung entspricht.“

Welches Konformitätsverfahren gilt

Komponenten der industriellen Steuerung und der Betriebstechnik sind als solche weder in Anhang III noch in Anhang IV aufgeführt, deshalb gilt das Standardverfahren nach Artikel 32 Absatz 1, das das interne Kontrollverfahren umfasst. Die Klasse ändert sich, wenn die Kernfunktion des Produkts einer aufgeführten Kategorie entspricht, zum Beispiel: Ein Betriebssystem, ein Netzmanagementsystem, ein Router, Modem oder Switch oder eine physische oder virtuelle Netzschnittstelle fällt in Anhang III Klasse I; manipulationssichere Mikroprozessoren und Mikrocontroller sowie Firewalls und Intrusion-Detection- bzw. Intrusion-Prevention-Systeme fallen in Klasse II; Smart-Meter-Gateways sind kritische Produkte nach Anhang IV. Prüfen Sie die genaue Funktion anhand des Anhangstextes.

Der Wortlaut von Artikel 32 Absatz 1 Buchstabe a steht im Leitfaden zu den Produktklassen.

Ab wann es gilt

Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Vollständig gilt die Verordnung ab dem 11. Dezember 2027. Der Wortlaut der Anwendungsregel steht im Leitfaden zu den Produktklassen.

Sonderfälle

Prüfen Sie Ihr eigenes Produkt. Zur kostenlosen Cybiq-Prüfung: fünf oder sechs Fragen, ein Ergebnis mit Fundstelle im Amtsblatt.

Fragen und Antworten

Wo steht eine Komponente der industriellen Steuerung in den Anhängen der Verordnung?

Siehe die Kurzantwort und das Anhangszitat am Anfang dieser Seite.

Braucht eine Komponente der industriellen Steuerung eine notifizierte Stelle?

Nicht als Kategorie: Es gilt das Standardverfahren nach Artikel 32 Absatz 1, das das interne Kontrollverfahren umfasst. Entspricht die Kernfunktion des Produkts einer gelisteten Kategorie wie den oben zitierten Einträgen, gilt stattdessen deren Verfahren.

Wann gelten die Vorschriften der Verordnung für die Kategorie Komponente der industriellen Steuerung?

Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, die Verordnung gilt vollständig ab dem 11. Dezember 2027.

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine Bewertung Ihres eigenen Produkts wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.