Produktklasse

Ist ein Sicherheits-Mikroprozessor oder -Mikrocontroller ein wichtiges Produkt nach dem CRA?

Von HEXENKRAFT. Geprüft gegen den Primärtext im Oktober 2026.

Kurz gesagt: Das hängt von der Funktion ab. Ein Sicherheits-Mikroprozessor oder -Mikrocontroller kann in Anhang III Klasse I (Nummern 13, 14 und 15) oder in Anhang III Klasse II (Nummern 3 und 4) fallen. Maßgeblich ist der Eintrag, der zur Funktion des Produkts passt.

„Mikroprozessoren mit sicherheitsrelevanten Funktionen“

„Mikrocontroller mit sicherheitsrelevanten Funktionen“

„anwendungsspezifische integrierte Schaltungen (ASIC) und FPGA (Field Programmable Gate Array) mit sicherheitsrelevanten Funktionen“

„manipulationssichere Mikroprozessoren“

„manipulationssichere Mikrocontroller“

Technische Beschreibung

Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält die technische Beschreibung jeder Kategorie der Anhänge. Diese gibt mit den Worten des Amtsblatts wieder, was die Kategorie umfasst.

„Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die als Hauptprozessor fungieren und externer Speicher und Peripheriegeräten bedürfen, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben dem Mikroprozessor selbst zu sichern, wie etwa eine sichere Boot Chain, Virtualisierung oder sichere Kommunikationsschnittstellen.“

„Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die als Hauptprozessor fungieren und einen Speicher integrieren, wodurch der Mikrocontroller programmierbar wird, sowie um andere Peripheriegeräte, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben dem Mikrocontroller selbst zu sichern, wie etwa sichere Bootketten, Virtualisierung oder sichere Kommunikationsschnittstellen.“

„Anwendungsspezifische integrierte Schaltungen (ASIC) mit sicherheitsrelevanten Funktionen sind Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die vollständig oder teilweise maßgeschneidert sind und dazu konzipiert wurden, eine bestimmte Funktion auszuführen oder eine bestimmte Anwendung zu implementieren, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben den ASIC selbst zu sichern, wie etwa sichere Bootketten, Virtualisierung oder sichere Kommunikationsschnittstellen.

FPGAs (Field Programmable Gate Arrays) mit sicherheitsrelevanten Funktionen sind Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die durch eine Matrix konfigurierbarer Logikblöcke gekennzeichnet sind und nach der Herstellung zur Ausführung einer bestimmten Funktion oder zur Implementierung einer bestimmten Anwendung reprogrammierbar sind, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben den FPGAs selbst zu sichern, wie etwa sichere Bootketten, Virtualisierung oder sichere Kommunikationsschnittstellen.“

„Produkte mit digitalen Elementen, bei denen es sich um Mikroprozessoren mit sicherheitsrelevanten Funktionen, wie etwa Manipulationserkennung, -widerstandsfähigkeit oder -reaktion, gemäß Klasse I Nummer 13 des vorliegenden Anhangs handelt und die zusätzlich so konzipiert sind, dass sie den Schutz gemäß AVA_VAN-Stufe 2 oder 3 bieten, wie in den Gemeinsamen Kriterien und der Gemeinsamen Evaluierungsmethodik festgelegt.“

„Produkte mit digitalen Elementen, bei denen es sich um Mikrocontroller mit sicherheitsrelevanten Funktionen, wie etwa Manipulationserkennung, -widerstandsfähigkeit oder -reaktion, gemäß Klasse I Nummer 14 des vorliegenden Anhangs handelt und die zusätzlich so konzipiert sind, dass sie Schutz gemäß AVA_VAN-Stufe 2 oder 3 bieten, wie in den Gemeinsamen Kriterien und der Gemeinsamen Evaluierungsmethodik festgelegt.“

Was das für das Konformitätsverfahren bedeutet

Anhang III Klasse I. Vorbehalt nach Artikel 32 Absatz 2: Die Selbstbewertung im internen Kontrollverfahren bleibt nur möglich, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig anwenden; wenden Sie sie nur zum Teil oder nicht an oder sind sie nicht vorhanden, gilt das EU-Baumusterprüfverfahren mit anschließender Fertigungskontrolle (Modul B und C) oder die umfassende Qualitätssicherung (Modul H).

Der Wortlaut von Artikel 32 Absatz 2 steht im Leitfaden zu den Produktklassen.

Anhang III Klasse II. Artikel 32 Absatz 3: Die Konformität wird über das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (Modul B und C), über eine umfassende Qualitätssicherung (Modul H) oder, sofern verfügbar und anwendbar, über ein europäisches Schema für die Cybersicherheitszertifizierung mindestens auf der Vertrauenswürdigkeitsstufe „mittel“ nachgewiesen. Die ersten beiden Verfahren laufen über eine notifizierte Stelle.

Der Wortlaut von Artikel 32 Absatz 3 steht im Leitfaden zu den Produktklassen.

Ab wann es gilt

Seit dem 11. Juni 2026 gelten die Vorschriften über notifizierte Konformitätsbewertungsstellen, Kapitel IV (Artikel 35 bis 51). Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Vollständig gilt die Verordnung ab dem 11. Dezember 2027. Der Wortlaut der Anwendungsregel steht im Leitfaden zu den Produktklassen.

Sonderfälle

Prüfen Sie Ihr eigenes Produkt. Zur kostenlosen Cybiq-Prüfung: fünf oder sechs Fragen, ein Ergebnis mit Fundstelle im Amtsblatt.

Fragen und Antworten

Wo steht ein Sicherheits-Mikroprozessor oder -Mikrocontroller in den Anhängen der Verordnung?

Siehe die Kurzantwort und das Anhangszitat am Anfang dieser Seite.

Braucht ein Sicherheits-Mikroprozessor oder -Mikrocontroller eine notifizierte Stelle?

Das hängt vom Eintrag ab. Für Einträge in Anhang III Klasse I: Vorbehalt nach Artikel 32 Absatz 2: Die Selbstbewertung im internen Kontrollverfahren bleibt nur möglich, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig anwenden; wenden Sie sie nur zum Teil oder nicht an oder sind sie nicht vorhanden, gilt das EU-Baumusterprüfverfahren mit anschließender Fertigungskontrolle (Modul B und C) oder die umfassende Qualitätssicherung (Modul H). Für Einträge in Anhang III Klasse II: Artikel 32 Absatz 3: Die Konformität wird über das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (Modul B und C), über eine umfassende Qualitätssicherung (Modul H) oder, sofern verfügbar und anwendbar, über ein europäisches Schema für die Cybersicherheitszertifizierung mindestens auf der Vertrauenswürdigkeitsstufe „mittel“ nachgewiesen. Die ersten beiden Verfahren laufen über eine notifizierte Stelle.

Wann gelten die Vorschriften der Verordnung für die Kategorie Sicherheits-Mikroprozessor oder -Mikrocontroller?

Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026, die Verordnung gilt vollständig ab dem 11. Dezember 2027.

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine Bewertung Ihres eigenen Produkts wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.