CRA wichtige Produkte Klasse I und II: Einstufung und Konformitätswege

Wichtige Produkte mit digitalen Elementen sind im Cyber Resilience Act besonders sicherheitsrelevante Produktkategorien aus Anhang III. Sie werden in Klasse I und Klasse II unterteilt. Die Einstufung beeinflusst unmittelbar den zulässigen Konformitätsweg: Für Klasse I kann eine Selbstbewertung nur unter bestimmten Voraussetzungen möglich sein; bei Klasse II ist grundsätzlich eine Drittbewertung oder ein anwendbares europäisches Cybersicherheitszertifizierungssystem erforderlich.

Einordnung im CRA-Wissen: Dieser Fachartikel gehört zum Themenbereich Produktklassen & Konformität. Dort finden Sie die angrenzenden Anforderungen und eine praktische Reihenfolge für die Umsetzung.

Für die Abgrenzung zu Standardprodukten und kritischen Produkten hilft die CRA-Produktklassen-Übersicht. Bei Klasse I sind harmonisierte Normen und deren Abdeckungsumfang für die Voraussetzungen der Selbstbewertung besonders relevant.

Was sind wichtige Produkte nach dem CRA?

Der CRA bezeichnet bestimmte Produktkategorien als „wichtige Produkte mit digitalen Elementen“, weil ihre Cybersicherheitsfunktion oder ihr möglicher Einfluss auf andere Produkte, Netze oder Systeme ein erhöhtes Risiko erzeugt. Die Kategorien stehen in Anhang III und sind in Klasse I und Klasse II aufgeteilt.

Diese Einstufung ändert nicht die grundlegenden Herstellerpflichten. Sie verändert vor allem den Weg, auf dem der Hersteller die Konformität nachweist. Damit sollte die Produktklassifizierung früh im Projekt erfolgen – nicht erst kurz vor der CE-Kennzeichnung.

Wann gilt ein Produkt als „wichtig“?

Ein Produkt wird nicht allein deshalb wichtig, weil es eine Bibliothek, einen Chip oder eine Sicherheitsfunktion aus Anhang III enthält. Maßgeblich ist die Kernfunktionalität des Gesamtprodukts.

Die Kommission beschreibt beispielsweise, dass die bloße Integration einer wichtigen Komponente nicht automatisch das gesamte Produkt zu einem wichtigen Produkt macht. Ein Smart-TV mit integriertem Browser ist nicht allein deshalb zwingend als Browserprodukt zu behandeln. Umgekehrt kann ein Produkt, dessen Hauptzweck gerade Browser-, VPN-, Firewall- oder Passwortmanagementfunktion ist, in eine Anhang-III-Kategorie fallen.

Warum ist die Kernfunktionalität so entscheidend?

Ohne dieses Kriterium würde nahezu jedes moderne Softwareprodukt als wichtig gelten, weil Betriebssystemkomponenten, kryptografische Bibliotheken, Netzwerkfunktionen oder Authentifizierungsmechanismen häufig eingebettet sind.

Die Prüfung sollte daher beim Produktversprechen beginnen: Was kauft oder nutzt der Kunde als Hauptfunktion? Welche Funktion prägt Produktdesign, Vermarktung und vorgesehenen Einsatz? Welche sicherheitsrelevante Rolle erfüllt das Produkt im System?

Wie dokumentiert man die Kernfunktionalität?

Ein kurzer Klassifizierungsvermerk kann Produktbeschreibung, Zweckbestimmung, Hauptfunktionen und den Abgleich mit Anhang III enthalten. Bei Grenzfällen sollten auch Funktionen dokumentiert werden, die zwar vorhanden sind, aber nicht die Kernfunktionalität darstellen.

Diese Beschreibung sollte zur CRA-Risikobewertung und zur technischen Dokumentation passen. Widersprüchliche Produktbeschreibungen sind ein Warnsignal.

Welche Produkte gehören typischerweise zur Klasse I?

Anhang III enthält eine breite Gruppe wichtiger Produkte der Klasse I. Dazu zählen je nach technischer Beschreibung unter anderem bestimmte Systeme für Identitäts- und Zugriffsmanagement, Passwortmanager, Browser, Anti-Malware-Produkte, VPN-Produkte, Netzwerkmanagementsysteme, SIEM-Systeme, Bootmanager und bestimmte PKI- oder Zertifikatsfunktionen.

Auch verschiedene Hardware- und Netzwerkkomponenten können erfasst sein, etwa bestimmte Netzwerkschnittstellen, Router, Modems, Switches, sicherheitsrelevante Mikroprozessoren, Mikrocontroller sowie bestimmte anwendungsspezifische integrierte Schaltungen und programmierbare Logik.

Die Liste allein reicht jedoch nicht. Die technischen Beschreibungen der Kategorien müssen mit dem konkreten Produkt abgeglichen werden.

Welche Produkte gehören typischerweise zur Klasse II?

Klasse II umfasst Kategorien, bei denen der CRA eine noch höhere Relevanz für Cybersicherheit annimmt. Dazu gehören beispielsweise bestimmte Betriebssysteme für Server, Desktops und mobile Geräte, Hypervisoren und Container-Runtime-Systeme, Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme sowie manipulationsresistente Mikroprozessoren und Mikrocontroller.

Je nach aktueller technischer Beschreibung sind weitere Kategorien zu prüfen. Hersteller sollten deshalb nicht nur mit einer alten Präsentation oder einer verkürzten Blogliste arbeiten, sondern die jeweils geltenden Anhänge und technischen Beschreibungen zugrunde legen.

Warum gibt es technische Beschreibungen zusätzlich zu Anhang III?

Bezeichnungen wie „Netzwerkmanagementsystem“ oder „sicherheitsrelevanter Mikrocontroller“ sind ohne technische Eingrenzung zu breit. Der CRA sieht deshalb ergänzende technische Beschreibungen vor, die die Kategorien präzisieren.

Diese Beschreibungen wurden in einem gesonderten Rechtsakt konkretisiert. Für Hersteller ist das praktisch wichtig: Erst das Zusammenspiel aus Anhang III, technischer Beschreibung und tatsächlicher Kernfunktionalität ermöglicht eine belastbare Einstufung.

Was ist der Unterschied zwischen Klasse I und Klasse II?

Der wichtigste Unterschied liegt im Konformitätsweg. Klasse II unterliegt grundsätzlich strengeren Anforderungen an die unabhängige Bewertung. Klasse I lässt unter bestimmten Bedingungen einen Weg ohne benannte Stelle zu.

Wann darf ein Hersteller bei Klasse I selbst bewerten?

Bei wichtigen Produkten der Klasse I kann der Hersteller die interne Kontrolle grundsätzlich nur nutzen, wenn er die einschlägigen harmonisierten Normen, gemeinsame Spezifikationen oder – sofern verfügbar und anwendbar – ein von der Kommission vorgesehenes europäisches Cybersicherheitszertifizierungssystem nutzt.

Fehlt eine solche Grundlage oder wird sie nicht vollständig für die relevanten Anforderungen angewendet, muss der Hersteller einen strengeren Konformitätsweg mit einer benannten Stelle wählen. Genau deshalb ist der Status der Konformitätsbewertung nicht erst am Projektende relevant.

Was bedeutet „harmonisierte Norm vollständig anwenden“?

Eine Norm hilft nur für die Anforderungen, die sie tatsächlich abdeckt. Wird sie nur teilweise angewandt, kann die Konformitätsvermutung entsprechend nur für den abgedeckten Teil greifen.

Hersteller sollten deshalb eine Matrix führen: welche CRA-Anforderung wird durch welche Norm, welchen Abschnitt und welchen Nachweis adressiert? Eine bloße Liste von Normnummern auf der EU-Konformitätserklärung reicht für die technische Nachweisführung nicht.

Was passiert, wenn für Klasse I noch keine passende harmonisierte Norm verfügbar ist?

Dann sollte nicht angenommen werden, dass Selbstbewertung automatisch erlaubt bleibt. Für wichtige Produkte der Klasse I ist gerade die Nutzung der vorgesehenen harmonisierten Grundlage ein zentraler Faktor für den vereinfachten Konformitätsweg.

Fehlt sie, muss der Hersteller den zulässigen Drittweg prüfen. Das kann Projektzeit und Kosten deutlich verändern. Unternehmen sollten deshalb Normungsfortschritt, Veröffentlichungen im Amtsblatt und Verfügbarkeit benannter Stellen regelmäßig überwachen.

Welche Wege gelten für Klasse II?

Für wichtige Produkte der Klasse II ist grundsätzlich eine Drittbewertung über eine benannte Stelle oder – soweit verfügbar und anwendbar – ein geeignetes europäisches Cybersicherheitszertifizierungssystem vorgesehen.

Hersteller sollten Prüfstellen nicht erst kurz vor dem geplanten Marktstart kontaktieren. Unterlagen, Scope, Testumgebung, Produktversion und offene Abweichungen brauchen Vorlauf. Je früher das Verfahren in den Entwicklungsplan eingebaut wird, desto geringer ist das Risiko einer späten Blockade.

Welche Rolle spielen europäische Cybersicherheitszertifizierungssysteme?

Der CRA kann die Nutzung bestimmter Zertifizierungssysteme ermöglichen, wenn die Kommission dies für den jeweiligen Zweck festlegt. Ein Zertifikat ist also nicht automatisch ein universeller CRA-Ersatz.

Unternehmen sollten immer prüfen, ob das konkrete Schema für die betreffende Produktkategorie und die relevanten Anforderungen tatsächlich vorgesehen ist. Marketingaussagen wie „cybersecurity certified“ beantworten diese Rechtsfrage nicht.

Gibt es für Open Source eine Besonderheit?

Ja. Für wichtige Produkte der Klassen I und II, die freie und quelloffene Software sind, sieht der CRA eine besondere Möglichkeit zur Selbstbewertung vor, wenn die technische Dokumentation öffentlich zugänglich gemacht wird.

Diese Sonderregel betrifft nicht automatisch jedes kommerzielle Produkt, das Open-Source-Komponenten enthält. Die Einordnung freier Software, kommerzieller Tätigkeit und Open-Source-Software-Stewards wird ausführlich unter CRA und Open Source behandelt.

Wie prüft man, ob ein Router ein wichtiges Produkt ist?

Router gehören zu den typischen Beispielen für wichtige Produkte. Trotzdem sollte das konkrete Produkt anhand der technischen Beschreibung eingeordnet werden. Ein Hersteller sollte Zweck, Netzwerkkernfunktion, Sicherheitsfunktionen, Einsatzumgebung und Produktkategorie dokumentieren.

Danach wird geprüft, welcher Klasse das Produkt zugeordnet ist und welche Konformitätsroute zulässig ist. Die bloße Produktbezeichnung „Router“ ersetzt diese Dokumentation nicht, ist aber ein starkes Signal, dass Anhang III geprüft werden muss.

Wie ist ein Betriebssystem einzuordnen?

Betriebssysteme können je nach Kategorie zu den wichtigen Produkten gehören und in strengere Klassen fallen. Entscheidend ist wiederum, dass die Kernfunktionalität dem Betriebssystem entspricht.

Eine Anwendung, die auf Windows oder Linux läuft, wird nicht allein deshalb selbst zum Betriebssystemprodukt. Ebenso macht eine eingebettete Betriebssystemkomponente nicht automatisch das gesamte Gerät zu einem Produkt derselben Kategorie.

Was gilt für Sicherheitssoftware wie Anti-Malware oder SIEM?

Produkte, deren Kernfunktion Schutz, Erkennung oder Auswertung von Sicherheitsereignissen ist, sollten besonders sorgfältig gegen Anhang III geprüft werden. Anti-Malware, SIEM, IDS/IPS und Firewall-Funktionen sind klassische Kategorien mit hoher Sicherheitsrelevanz.

Bei Plattformen mit vielen Modulen muss bestimmt werden, ob das Gesamtprodukt oder ein separat vermarktetes Modul die Kernfunktionalität erfüllt. Vertriebsmodell und Produktarchitektur spielen dabei zusammen.

Was bedeutet die Einstufung für die technische Dokumentation?

Auch wichtige Produkte benötigen die vollständige technische Dokumentation. Bei einer Drittbewertung muss die Produktakte besonders gut prüfbar sein, weil eine externe Stelle die Nachweise bewerten muss.

Risikobewertung, Architektur, SBOM, Testberichte, angewandte Normen und Prozesse zur Schwachstellenbehandlung sollten deshalb nicht erst auf Nachfrage zusammengesucht werden.

Welche Rolle spielt die SBOM bei wichtigen Produkten?

Die SBOM hilft, Abhängigkeiten und sicherheitsrelevante Komponenten nachvollziehbar zu machen. Bei Produkten, die selbst zentrale Sicherheitsfunktionen übernehmen, ist ein belastbares Komponentenmanagement besonders wichtig.

Eine verwundbare Drittbibliothek kann die Sicherheitswirkung des gesamten Produkts beeinträchtigen. SBOM, Schwachstellenmonitoring und Risikobewertung sollten deshalb technisch miteinander verbunden sein.

Welche typischen Fehlklassifizierungen gibt es?

„Wir enthalten eine Firewall, also sind wir Klasse II“

Eine integrierte Funktion allein reicht nicht zwingend. Maßgeblich ist die Kernfunktionalität und die technische Beschreibung.

„Wir sind kein Security-Produkt, also nicht wichtig“

Anhang III umfasst auch Infrastruktur- und Hardwarekategorien. Die Marketingbezeichnung entscheidet nicht.

„Klasse I bedeutet immer Selbstbewertung“

Gerade das ist falsch. Der vereinfachte Weg hängt von den vorgesehenen harmonisierten Grundlagen oder Zertifizierungsoptionen ab.

„Eine Normliste reicht“

Nur tatsächlich angewandte und für die Anforderungen einschlägige Normen können die Nachweisführung unterstützen.

Wie sollte ein Hersteller die Klassifizierung dokumentieren?

Ein pragmatischer Klassifizierungsvermerk kann aus sechs Schritten bestehen:

1. Produkt und Zweckbestimmung beschreiben.
2. Kernfunktionalität festhalten.
3. Anhang III Kategorie für Kategorie prüfen.
4. Technische Beschreibung der möglichen Kategorie abgleichen.
5. Klasse I oder II begründen.
6. Konformitätsweg und benötigte Normen oder Drittprüfung festlegen.

Dieser Vermerk sollte Teil der Produktakte sein und bei wesentlichen Produktänderungen erneut geprüft werden.

Was sollten Unternehmen 2026 konkret vorbereiten?

Hersteller sollten ihr Portfolio jetzt nach potenziell wichtigen Produkten filtern. Besonders Router, Betriebssysteme, Security-Software, Netzwerkinfrastruktur und sicherheitsrelevante Hardwarekomponenten verdienen eine frühe Prüfung.

Danach muss für jedes Trefferprodukt geklärt werden, welche technischen Beschreibungen gelten und ob der geplante Konformitätsweg realistisch ist. Bei Klasse II sollte eine mögliche Drittprüfung früh in Zeit- und Budgetplanung aufgenommen werden. Bei Klasse I muss beobachtet werden, welche harmonisierten Normen tatsächlich für den gewünschten Selbstbewertungsweg verfügbar und anwendbar sind.

Wo erklärt die EU die aktuellen Konformitätswege?

Die Europäische Kommission erläutert die Produktkategorien und die unterschiedlichen Verfahren auf ihrer aktuellen Seite zur CRA-Konformitätsbewertung. Für die verbindliche Einstufung bleiben der Rechtstext, Anhang III und die jeweils geltenden technischen Beschreibungen maßgeblich.