Fällt Ihr Produkt unter den CRA?
Vier schnelle Schritte, um orientierend zu sehen, ob der Cyber Resilience Act für Ihr Produkt gilt und in welcher Klasse — mit den Mindestpflichten und der technischen Dokumentation, die Sie brauchen werden.
Schritt 1/4
Wie der Cyber Resilience Act Produkte einstuft
Vier Stufen, eine Regel: entscheidend ist, was das Produkt tut, nicht wie groß der Hersteller ist. Die Klasse bestimmt das Konformitätsverfahren, nicht die Meldepflichten — die gelten für alle.
Die Verordnung (EU) 2024/2847 teilt Produkte mit digitalen Elementen in vier Gruppen. Die erste ist die Regel, die drei anderen sind aufgezählte Ausnahmen: Anhang III benennt die „wichtigen“ Produkte in zwei Klassen, Anhang IV die „kritischen“. Außerhalb dieser Listen gilt die Standardkategorie.
Standardkategorie: die Regel, nicht die Ausnahme
Hier landet die große Mehrheit vernetzter Produkte. Der Hersteller bewertet die Konformität selbst über die interne Fertigungskontrolle: keine externe Stelle, keine Zertifizierung. Die Pflichten bleiben vollständig — grundlegende Anforderungen des Anhangs I, Verfahren zum Umgang mit Schwachstellen, technische Dokumentation, EU-Konformitätserklärung, CE-Kennzeichnung. „Selbst bewerten“ heißt nicht „weniger Pflichten“, sondern: den Nachweis erbringen Sie selbst.
Wichtige Produkte, Klasse I (Anhang III)
Produkte, deren Kompromittierung den Weg zu weiteren öffnet: Browser, Passwortmanager, Virenschutz, VPN, Betriebssysteme, Router, SIEM-Systeme, vernetzte Spielzeuge mit Standortverfolgung. Die Selbstbewertung bleibt möglich, dann aber unter Anwendung der einschlägigen harmonisierten Normen, soweit vorhanden; andernfalls führt der Weg über eine Baumusterprüfung bei einer notifizierten Stelle. Der Unterschied zur Standardkategorie liegt nicht in der Zahl der Pflichten, sondern darin, wie belastbar nachweisbar ihre Erfüllung sein muss.
Wichtige Produkte, Klasse II (Anhang III)
Eine kurze Liste: Hypervisoren und Container-Laufzeitumgebungen, Firewalls und IDS/IPS-Systeme, manipulationssichere Mikroprozessoren und Mikrocontroller. Hier ist die Bewertung durch Dritte in der Regel verpflichtend. Diese Klasse verschiebt Freigabepläne stärker als jede andere, denn den Terminkalender einer notifizierten Stelle bestimmen Sie nicht: wer dies drei Monate vor dem Marktstart bemerkt, hat bereits ein Terminproblem.
Kritische Produkte (Anhang IV)
Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Chipkarten und Secure Elements. Für sie kann die Kommission eine europäische Cybersicherheitszertifizierung ab der Stufe „substanziell“ verbindlich machen — das EUCC-Schema ist die heute verfügbare Referenz. Es ist der längste und dokumentenintensivste Weg.
Was die Klasse bestimmt
Die Kernfunktionalität des Produkts, nicht die Branche, in die Sie verkaufen, und nicht Ihr Umsatz. Ein Mikrocontroller wird „wichtig“, wenn er Sicherheitsfunktionen trägt; dasselbe Bauteil ohne sie bleibt in der Standardkategorie. Diese Lesart erfolgt am realen Produkt, Bauteil für Bauteil, und gehört in Grenzfällen zu einer sachkundigen Person: die endgültige Einstufung bleibt Sache des Herstellers.
Die Begriffe dieses Werkzeugs — Produkt mit digitalen Elementen, Hersteller, Unterstützungszeitraum, wichtiges Produkt, kritisches Produkt — sind im Glossar jeweils mit dem zugehörigen Artikel der Verordnung definiert.
Was die Klasse nicht ändert
Die Meldepflichten nach Art. 14 hängen nicht von der Klasse ab. Vierundzwanzig Stunden für die Frühwarnung, zweiundsiebzig für die Schwachstellenmeldung, dann der Abschlussbericht: sie gelten für die Standardkategorie genauso wie für kritische Produkte, und sie gelten auch für bereits in Verkehr gebrachte Produkte. Die Klasse bestimmt, wie Sie Konformität nachweisen; Art. 14 bestimmt, was Sie an dem Tag tun, an dem jemand eine Ihrer Schwachstellen ausnutzt.
Die Fristenkette und die beiden Ereignisse, die sie auslösen, stehen auf der Seite zu Art. 14.
Was dieses Werkzeug nicht leistet
Es erzeugt keine gegenüber einer Behörde gültige Einstufung und ersetzt keine Konformitätsbewertung. Es folgt dem Entscheidungsbaum der Verordnung entlang Ihrer Antworten und zeigt, wo diese Antworten hinführen: ist eine Antwort ungenau, ist es das Ergebnis auch. Es dient der Orientierung in fünf Minuten und zeigt, welche Fragen Sie den Fachleuten für Konformität stellen sollten.