Leitfaden

Welche Produkte sind nach dem CRA Klasse I, Klasse II oder kritisch?

Von HEXENKRAFT. Geprüft gegen den Primärtext im Oktober 2026.

Kurz gesagt: Anhang III der Verordnung (EU) 2024/2847 führt wichtige Produkte in zwei Klassen auf. Anhang IV führt kritische Produkte auf. Cybiq deckt 21 Produktkategorien ab. Davon sind 16 im Wesentlichen Klasse I zugeordnet, 3 Klasse II und 1 Anhang IV (kritisch). Eine Kategorie ist nicht als solche aufgeführt: Komponente der industriellen Steuerung.

„WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN“

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

Anhang III Klasse I

Vorbehalt nach Artikel 32 Absatz 2: Die Selbstbewertung im internen Kontrollverfahren bleibt nur möglich, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig anwenden; wenden Sie sie nur zum Teil oder nicht an oder sind sie nicht vorhanden, gilt das EU-Baumusterprüfverfahren mit anschließender Fertigungskontrolle (Modul B und C) oder die umfassende Qualitätssicherung (Modul H).

„Hat der Hersteller bei der Bewertung der Konformität eines wichtigen Produkts mit digitalen Elementen, das in Klasse I gemäß Anhang III fällt, und der von dessen Hersteller festgelegten Verfahren mit den grundlegenden Cybersicherheitsanforderungen in Anhang I harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ gemäß Artikel 27 nicht oder nur zum Teil angewandt oder sind solche harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung nicht vorhanden, so sind die Produkte mit digitalen Elementen und die vom Hersteller festgelegten Verfahren im Hinblick auf die grundlegenden Cybersicherheitsanforderungen einem der folgenden Verfahren zu unterziehen:“

Anhang III Klasse II

Artikel 32 Absatz 3: Die Konformität wird über das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (Modul B und C), über eine umfassende Qualitätssicherung (Modul H) oder, sofern verfügbar und anwendbar, über ein europäisches Schema für die Cybersicherheitszertifizierung mindestens auf der Vertrauenswürdigkeitsstufe „mittel“ nachgewiesen. Die ersten beiden Verfahren laufen über eine notifizierte Stelle.

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

Anhang IV

„Bei in Anhang IV aufgeführten kritischen Produkten mit digitalen Elementen wird der Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren erbracht: a) ein europäisches Schema für die Cybersicherheitszertifizierung gemäß Artikel 8 Absatz 1 oder b) wenn die Bedingungen des Artikels 8 Absatz 1 nicht erfüllt sind, eines der in Absatz 3 genannten Verfahren.“

Nicht als solche aufgeführt

Komponenten der industriellen Steuerung und der Betriebstechnik sind als solche weder in Anhang III noch in Anhang IV aufgeführt, deshalb gilt das Standardverfahren nach Artikel 32 Absatz 1, das das interne Kontrollverfahren umfasst. Die Klasse ändert sich, wenn die Kernfunktion des Produkts einer aufgeführten Kategorie entspricht, zum Beispiel: Ein Betriebssystem, ein Netzmanagementsystem, ein Router, Modem oder Switch oder eine physische oder virtuelle Netzschnittstelle fällt in Anhang III Klasse I; manipulationssichere Mikroprozessoren und Mikrocontroller sowie Firewalls und Intrusion-Detection- bzw. Intrusion-Prevention-Systeme fallen in Klasse II; Smart-Meter-Gateways sind kritische Produkte nach Anhang IV. Prüfen Sie die genaue Funktion anhand des Anhangstextes.

„internes Kontrollverfahren (auf der Grundlage von Modul A) gemäß Anhang VIII“

Die Kernfunktion entscheidet

Ein Produkt fällt unter eine Kategorie, wenn es deren Kernfunktion hat (Artikel 7 Absatz 1); die Integration eines gelisteten Produkts unterwirft das Produkt, in das es integriert ist, für sich genommen nicht den Verfahren für Klasse I oder II. Prüfen Sie die Kernfunktion Ihres Produkts anhand des auf der Kategorieseite zitierten Anhangstextes, bevor Sie sich auf diese Seite verlassen.

„Produkte mit digitalen Elementen, die die Kernfunktionen einer in Anhang III aufgeführten Produktkategorie aufweisen, gelten als wichtige Produkte mit digitalen Elementen und unterliegen den in Artikel 32 Absätze 2 und 3 genannten Konformitätsbewertungsverfahren. Die Integration eines Produkts mit digitalen Elementen, das die Kernfunktionen einer in Anhang III aufgeführten Produktkategorie aufweist, führt für sich genommen nicht dazu, dass das Produkt, in das es integriert ist, den Konformitätsbewertungsverfahren gemäß Artikel 32 Absätze 2 und 3 unterliegt.“

Zwei ausführliche Beispiele: wie ein Ethernet-Anschluss oder ein Netzwerkgerät an Anhang III geprüft wird und wie ein Hardware-Sicherheitsmodul an der Liste der kritischen Produkte in Anhang IV geprüft wird.

Freie und quelloffene Software

Gilt das Produkt als freie und quelloffene Software, kann sein Hersteller die Konformität nach Artikel 32 Absatz 5 „anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird“. Artikel 32 Absatz 1 umfasst das interne Kontrollverfahren (Modul A). Ist diese Dokumentation zum Zeitpunkt des Inverkehrbringens nicht öffentlich, gilt stattdessen das übliche Verfahren für Anhang III.

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

Ab wann es gilt

Seit dem 11. Juni 2026 gelten die Vorschriften über notifizierte Konformitätsbewertungsstellen, Kapitel IV (Artikel 35 bis 51). Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Vollständig gilt die Verordnung ab dem 11. Dezember 2027.

„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“

Die vier Stufen im Überblick stehen in Was die Verordnung regelt.

Prüfen Sie Ihr eigenes Produkt. Zur kostenlosen Cybiq-Prüfung: fünf oder sechs Fragen, ein Ergebnis mit Fundstelle im Amtsblatt.

Cybiq prüft ausschließlich die Cyberresilienz-Verordnung. Orientierung, keine Rechtsberatung. Die zitierten Auszüge stammen aus der Verordnung (EU) 2024/2847 in der im Amtsblatt veröffentlichten Fassung und werden durch automatisierte Tests am Wortlaut nachgeprüft. Prüfen Sie jeden Punkt, bevor Sie sich darauf stützen; für eine Bewertung Ihres eigenen Produkts wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.