Standardprodukte
Beispiele: Der überwiegende Teil der Produkte mit digitalen Elementen ohne erhöhtes Risiko.
Bewertungsweg: In vielen Fällen interne Selbstbewertung bzw. interne Fertigungskontrolle.
Cyber Resilience Act (CRA)
CRA-Produktklassen einordnen
Überblick zu Standardprodukten, wichtigen und kritischen Produkten sowie möglichen Bewertungs- und Dokumentationswegen. Die konkrete Einstufung bleibt einzelfallabhängig.
Überblick
Produktklassen und Bewertungswege
Die Produktklasse ist ein zentraler Ausgangspunkt für technische Dokumentation, Konformitätsbewertung und CE-Bezug. Maßgeblich ist immer der offizielle Verordnungstext; regulatorische Entwicklungen und nationale Durchführung sind fortlaufend zu prüfen.
Wichtige Produkte – Klasse I
Beispiele: Zum Beispiel Passwortmanager, VPN, Virenschutz, Netzwerkmanagement, Boot-Manager oder smarte Geräte mit Sicherheitsfunktion.
Bewertungsweg: Interne Bewertung kann bei passenden harmonisierten Normen oder gemeinsamen Spezifikationen in Betracht kommen; sonst kann eine notifizierte Stelle relevant werden.
Wichtige Produkte – Klasse II
Beispiele: Zum Beispiel Firewalls, Intrusion-Detection/-Prevention, Hypervisoren oder manipulationssichere Mikroprozessoren.
Bewertungsweg: Früh prüfen, welcher Bewertungsweg einschlägig ist und ob eine notifizierte Stelle einzubeziehen ist.
Kritische Produkte
Beispiele: Beispiele können je nach Anhang und technischer Beschreibung etwa Smart-Meter-Gateways, Smartcards/Secure Elements oder andere ausdrücklich erfasste Kategorien sein.
Bewertungsweg: Bewertungswege hängen von Produktkategorie, technischer Beschreibung und ggf. Zertifizierungsbezügen ab.
Die Beispiele dienen der Orientierung; die verbindlichen Kategorien stehen in den Anhängen III und IV der Verordnung. Die Durchführungsverordnung (EU) 2025/2392 konkretisiert die technische Beschreibung der wichtigen und kritischen Produktkategorien. Bei wichtigen und kritischen Produkten hängen die Bewertungswege insbesondere von Produktklasse, anwendbaren harmonisierten Normen, gemeinsamen Spezifikationen und ggf. Zertifizierungsbezügen ab. Die konkrete Einordnung sollte produktspezifisch geprüft werden.
Produkteinordnung strukturiert vorbereiten
Das CRA-Dokumentationskit hilft, Produkte, Komponenten, Support und Verantwortlichkeiten Office-nah zu erfassen – eine gute Grundlage, um die spätere Einordnung und Konformitätsbewertung vorzubereiten. Die abschließende Einstufung bleibt einzelfallabhängig.
Häufige Fragen
Häufige Fragen zu den CRA-Produktklassen
Kurzantworten zu Einstufung, Anhang III und notifizierten Stellen.
Welche Produktklassen gibt es im Cyber Resilience Act?
Der CRA unterscheidet Standardprodukte, wichtige Produkte der Klasse I und II nach Anhang III sowie kritische Produkte nach Anhang IV. Von der Einstufung hängt ab, welcher Bewertungs-, Dokumentations- und Einbindungsweg in Betracht kommt.
Was sind wichtige Produkte nach Anhang III?
Wichtige Produkte sind Kategorien mit erhöhtem Cybersicherheitsrisiko, etwa Passwortmanager, Netzwerkmanagement, Firewalls oder Intrusion-Detection-Systeme. Sie sind in Klasse I und Klasse II unterteilt, für die unterschiedlich strenge Bewertungswege gelten.
Brauche ich für den CRA eine notifizierte Stelle?
Ob eine notifizierte Stelle relevant wird, hängt insbesondere von Produktklasse, anwendbaren harmonisierten Normen, gemeinsamen Spezifikationen und ggf. Zertifizierungsbezügen ab. Die konkrete Einordnung sollte produktspezifisch geprüft werden.
Weiterlesen
Verwandte Themen zum Cyber Resilience Act
Quellen: Verordnung (EU) 2024/2847 / EUR-Lex Durchführungsverordnung (EU) 2025/2392 / EUR-Lex BSI - Cyber Resilience Act EU-Kommission - Conformity assessment Einordnung aus organisatorischer Sicht; keine Rechtsberatung, technische Produktprüfung oder Konformitätsbewertung.