CRA kritische Produkte: Welche Produkte betroffen sind und warum die Drittprüfung Pflicht ist

Kritische Produkte mit digitalen Elementen bilden im Cyber Resilience Act die strengste Produktgruppe. Anhang IV nennt drei Kategorien: Hardware Devices with Security Boxes, Smart-Meter-Gateways und andere Geräte für fortgeschrittene Sicherheitszwecke einschließlich sicherer Kryptoverarbeitung sowie Smartcards oder vergleichbare Geräte einschließlich Secure Elements. Für diese Produkte ist grundsätzlich eine Drittbewertung oder – soweit ausdrücklich verfügbar und anwendbar – ein geeigneter europäischer Cybersicherheitszertifizierungsweg erforderlich.

Einordnung im CRA-Wissen: Dieser Fachartikel gehört zum Themenbereich Produktklassen & Konformität. Dort finden Sie die angrenzenden Anforderungen und eine praktische Reihenfolge für die Umsetzung.

Die CRA-Produktklassen im Vergleich zeigen die Abgrenzung zu wichtigen Produkten der Klassen I und II. Normen und harmonisierte Standards stützen den Nachweis nur im jeweils abgedeckten Umfang.

Was sind kritische Produkte nach dem CRA?

Kritische Produkte sind Produktkategorien mit besonders hoher sicherheitsbezogener Bedeutung. Der CRA führt sie in Anhang IV separat von den wichtigen Produkten der Klassen I und II auf.

Die Einstufung wirkt sich insbesondere auf die CRA-Konformitätsbewertung aus. Während viele Standardprodukte intern bewertet werden können, verlangt der CRA für kritische Produkte grundsätzlich eine unabhängige Bewertung oder einen dafür vorgesehenen Zertifizierungsweg.

Welche drei Kategorien stehen in Anhang IV?

Anhang IV enthält drei Hauptkategorien. Die Liste ist deutlich kürzer als Anhang III für wichtige Produkte.

Ist jedes Hardware-Sicherheitsprodukt automatisch kritisch?

Nein. Ein Produkt wird nicht allein durch die Werbeaussage „Security Hardware“ zu einem kritischen Produkt. Maßgeblich sind Kategorie, technische Beschreibung und Kernfunktionalität.

Ein Server mit eingebautem Secure Element ist nicht automatisch als gesamter Server ein kritisches Produkt. Umgekehrt kann ein separat vermarktetes Secure Element, dessen Kernfunktion genau die entsprechende Sicherheitsaufgabe ist, in Anhang IV fallen.

Was bedeutet Kernfunktionalität bei kritischen Produkten?

Die Kernfunktionalität beschreibt den Hauptzweck und die wesentliche Funktion des Produkts. Sie verhindert, dass jedes Produkt, das eine kritische Komponente enthält, automatisch selbst als kritisch eingestuft wird.

Hersteller sollten daher dokumentieren, welche Funktion der Kunde tatsächlich erwirbt, welche Sicherheitsaufgabe das Produkt übernimmt und ob diese Funktion einer technischen Beschreibung der Anhang-IV-Kategorien entspricht. Der Ansatz ähnelt der Klassifizierung wichtiger Produkte, die in einem gesonderten Entwurf vertieft wird.

Was sind Hardware Devices with Security Boxes?

Der englische Begriff in Anhang IV bezeichnet eine Kategorie hardwarebasierter Sicherheitsprodukte. Für die konkrete Abgrenzung ist die jeweilige technische Beschreibung entscheidend.

In der Praxis geht es um Produkte, deren Kernfunktion auf besonders geschützten Hardwarebereichen und Sicherheitsmechanismen beruht. Hersteller sollten nicht versuchen, den Begriff allein aus der Alltagssprache abzuleiten. Produktarchitektur, Schutzfunktion und technische Kategorie müssen zusammen geprüft werden.

Wann sind Smart-Meter-Gateways kritische Produkte?

Smart-Meter-Gateways innerhalb intelligenter Messsysteme werden in Anhang IV ausdrücklich genannt. Auch andere Geräte für fortgeschrittene Sicherheitszwecke einschließlich sicherer Kryptoverarbeitung können in diese Gruppe fallen.

Für Hersteller und Anbieter solcher Produkte ist die Einstufung deshalb kein Randthema. Der vorgesehene Konformitätspfad sollte sehr früh geklärt werden, weil Zertifizierungs- und Prüfverfahren Entwicklungszeit und Produktfreigabe beeinflussen können.

Was ist mit Secure Elements und Smartcards?

Smartcards und ähnliche Geräte einschließlich Secure Elements stehen ausdrücklich in Anhang IV. Solche Komponenten dienen häufig als hardwarebasierte Vertrauensanker für Schlüssel, Identitäten, sichere Authentifizierung oder kryptografische Operationen.

Entscheidend ist erneut die eigenständige Produktfunktion. Ein Secure Element als separat bereitgestelltes Produkt kann anders zu bewerten sein als ein Endgerät, in dem es nur eine interne Komponente bildet.

Warum verlangt der CRA bei kritischen Produkten eine strengere Prüfung?

Versagt ein Produkt, das zentrale kryptografische oder Identitätsfunktionen schützt, kann die Auswirkung weit über das einzelne Produkt hinausgehen. Kompromittierte Schlüssel, manipulierte Vertrauensanker oder fehlerhafte sichere Verarbeitung können ganze Systeme gefährden.

Der CRA berücksichtigt diese Risikowirkung durch einen strengeren Konformitätspfad. Eine unabhängige Stelle prüft dabei nicht nur eine formale Dokumentenliste, sondern je nach Verfahren relevante technische und organisatorische Nachweise.

Welcher Konformitätsweg gilt für kritische Produkte?

Für kritische Produkte ist grundsätzlich eine Drittbewertung vorgesehen. Soweit ein von der Kommission dafür vorgesehener europäischer Cybersicherheitszertifizierungsweg verfügbar und anwendbar ist, kann dieser eine entsprechende Rolle übernehmen.

Der Hersteller muss deshalb früh klären, welche Option für seine konkrete Produktkategorie tatsächlich offensteht. Ein vorhandenes Sicherheitszertifikat ersetzt die CRA-Bewertung nicht automatisch.

Was bedeutet Drittbewertung in der Projektplanung?

Eine unabhängige Bewertung schafft externe Abhängigkeiten: Prüfstelle, Verfügbarkeit, Testumfang, Dokumentationsqualität und Nachbesserungsschleifen müssen in den Entwicklungsplan.

Hersteller sollten daher nicht bis kurz vor dem Marktstart warten. Bereits während Architektur und Entwicklung können Fragen zur Prüfbarkeit geklärt werden. Besonders bei Hardware sind spätere Designänderungen teuer.

Welche Unterlagen sollte man früh vorbereiten?

Mindestens Produktbeschreibung, Risikobewertung, Architektur, Sicherheitsanforderungen, Teststrategie, Komponentenübersicht, Schwachstellenprozess, Updatekonzept, Supportzeitraum und nachvollziehbare technische Nachweise sollten strukturiert entstehen.

Die vollständige Produktakte wird im Entwurf zur CRA-technischen Dokumentation behandelt.

Welche Rolle spielen harmonisierte Normen?

Harmonisierte Normen können auch bei kritischen Produkten helfen, Anforderungen technisch zu konkretisieren und Nachweise zu strukturieren. Sie beseitigen aber nicht automatisch die strengere Konformitätsanforderung dieser Produktgruppe.

Hersteller sollten deshalb zwei Fragen trennen: Welche Norm hilft mir beim technischen Nachweis? Und welches Konformitätsverfahren muss ich aufgrund meiner Produktklasse durchlaufen?

Kann ein europäisches Cybersicherheitszertifikat die Drittprüfung ersetzen?

Nur wenn das betreffende Zertifizierungssystem für den CRA und die konkreten Anforderungen von der Kommission vorgesehen wurde und die jeweiligen Bedingungen erfüllt sind. Ein beliebiges Zertifikat genügt nicht.

Das bedeutet: Zertifizierungsstrategie und CRA-Konformitätsstrategie müssen zusammen geplant werden. Wer bereits ein Zertifikat besitzt, sollte genau prüfen, welche Anforderungen, Produktversion und Assurance-Stufe es abdeckt.

Welche Rolle spielt die technische Beschreibung aus dem gesonderten Rechtsakt?

Die technischen Beschreibungen präzisieren die teilweise weit gefassten Begriffe aus Anhang IV. Sie helfen dabei, Grenzfälle einheitlicher einzuordnen.

Ein Hersteller sollte deshalb nicht nur „Anhang IV: ja/nein“ dokumentieren, sondern den konkreten Abgleich mit der technischen Beschreibung. Das ist besonders wichtig, wenn ein Produkt mehrere Sicherheitsfunktionen kombiniert.

Wie unterscheidet sich ein kritisches Produkt von Klasse II?

Beide Gruppen unterliegen strengeren Konformitätswegen. Kritische Produkte stehen jedoch in einem eigenen Anhang IV und sind auf wenige besonders sicherheitsrelevante Kategorien begrenzt.

Klasse II wichtiger Produkte enthält andere Produktgruppen wie bestimmte Betriebssysteme oder Security-Komponenten. Die genaue Einstufung sollte daher nicht aus dem allgemeinen Risikogefühl abgeleitet werden, sondern aus den Anhängen und technischen Beschreibungen.

Was passiert, wenn ein kritisches Produkt falsch als Standardprodukt eingestuft wird?

Dann kann der Hersteller einen unzulässigen Konformitätsweg wählen. Eine interne Selbstbewertung wäre gegebenenfalls nicht ausreichend, obwohl das Produkt eine Drittbewertung verlangt.

Das Risiko betrifft nicht nur Dokumentation. Ein falscher Weg kann den Marktstart, die CE-Kennzeichnung und die gesamte Konformität infrage stellen. Eine frühe Klassifizierungsentscheidung ist deshalb ein zentraler Kontrollpunkt.

Wie sollte die Risikobewertung bei kritischen Produkten aussehen?

Sie folgt denselben CRA-Grundprinzipien wie bei anderen Produkten, muss aber die besonders sicherheitsrelevante Funktion des Produkts angemessen berücksichtigen. Assets wie kryptografische Schlüssel, Identitäten, Root-of-Trust-Funktionen oder sichere Messdaten können besonders hohe Schutzanforderungen haben.

Bedrohungsmodell und Sicherheitsanforderungen sollten direkt auf Architektur und Tests wirken. Eine generische Risikobewertung ohne Bezug zur kritischen Kernfunktion wäre gerade in dieser Produktgruppe wenig belastbar.

Welche Bedeutung hat die Lieferkette?

Kritische Sicherheitsprodukte enthalten häufig spezialisierte Hardware, Firmware, Kryptobibliotheken und Produktionsschritte. Schwachstellen oder Manipulationen in der Lieferkette können die Vertrauensbasis des Produkts gefährden.

Hersteller sollten deshalb Komponentenherkunft, Lieferantenänderungen, Firmwarestände und sicherheitsrelevante Produktionsprozesse kontrollieren. Bei Softwarebestandteilen unterstützt eine SBOM die Rückverfolgbarkeit.

Wie beeinflusst der Supportzeitraum die Planung?

Die Sicherheitsverantwortung endet nicht mit Zertifizierung und Marktstart. Während des Supportzeitraums müssen Schwachstellen behandelt und Sicherheitsupdates bereitgestellt werden.

Bei kritischen Produkten ist besonders zu prüfen, ob Updates selbst sicher ausgeliefert und validiert werden können. Ein Updateprozess, der den Vertrauensanker des Produkts schwächt, würde den Sicherheitszweck konterkarieren.

Was passiert bei einer wesentlichen Änderung?

Ändert sich ein bereits bewertetes kritisches Produkt wesentlich, muss geprüft werden, welche Teile der Risikobewertung, technischen Dokumentation und Konformitätsbewertung erneut notwendig werden.

Eine neue Kryptofunktion, geänderte Hardwarearchitektur oder zusätzliche Schnittstelle kann hierfür relevant sein. Die Kriterien werden im Entwurf zur wesentlichen Änderung nach CRA vertieft.

Welche typischen Fehler sollten Hersteller vermeiden?

„Security“ mit „kritisch“ gleichsetzen

Nicht jedes Sicherheitsprodukt steht in Anhang IV. Die technische Kategorie muss passen.

Eine kritische Komponente auf das Gesamtprodukt übertragen

Integration allein macht das Gesamtprodukt nicht automatisch kritisch. Kernfunktionalität bleibt entscheidend.

Drittprüfung zu spät einplanen

Prüfstellen und Nachbesserungen benötigen Vorlauf. Späte Planung kann den Marktstart verschieben.

Vorhandene Zertifikate ungeprüft anrechnen

Nur ausdrücklich anwendbare Zertifizierungswege können die CRA-Anforderungen in vorgesehener Weise unterstützen.

Produktversionen vermischen

Prüfung, Dokumentation und Konformitätserklärung müssen zum konkreten Produktstand passen.

Wie sieht ein belastbarer Klassifizierungsprozess aus?

1. Produkt und Zweckbestimmung festlegen.
2. Kernfunktionalität bestimmen.
3. Anhang IV vollständig prüfen.
4. Technische Beschreibung der möglichen Kategorie abgleichen.
5. Abgrenzung zu Anhang III dokumentieren.
6. Konformitätsweg festlegen.
7. Benannte Stelle oder Zertifizierungsoption früh klären.
8. Risikobewertung und technische Nachweise am Prüfpfad ausrichten.

Wo erklärt die EU den aktuellen Konformitätsweg?

Die Europäische Kommission fasst die aktuelle Einordnung von Standard-, wichtigen und kritischen Produkten auf ihrer Seite zur CRA-Konformitätsbewertung zusammen. Für die verbindliche Klassifizierung bleiben Anhang IV und die geltenden technischen Beschreibungen maßgeblich.