CRA-Produktklassen: Standard, wichtig (Klasse I und II), kritisch

Wenn Sie wissen, dass die Cyberresilienz-Verordnung (CRA) für Ihr Produkt gilt, entscheidet die nächste Frage über den größten Teil Ihres Budgets: In welcher Klasse ist es?

Die Klasse ändert nichts an den grundlegenden Cybersicherheitsanforderungen. Jedes Produkt mit digitalen Elementen muss sie erfüllen. Was die Klasse ändert, ist, wer feststellen darf, dass Sie sie erfüllen — Sie selbst oder eine notifizierte Stelle, die Sie bezahlen und auf die Sie warten.

Das ist der Unterschied zwischen einer Konformitätsbewertung, die Sie intern durchführen können, und einer, für die Sie einen Dritten Monate im Voraus buchen müssen.

Die vier Klassen

Die Verordnung nennt zwei Listen und lässt alles andere in einer Restkategorie.

Klasse	Wo sie festgelegt ist	Grob gesagt
Standardkategorie	In keinem der beiden Anhänge genannt	Die meisten Produkte
Wichtig, Klasse I	Anhang III, Klasse I	Software und Geräte mit Sicherheitsbezug
Wichtig, Klasse II	Anhang III, Klasse II	Produkte, auf deren Isolierung oder Abwehr sich andere verlassen
Kritisch	Anhang IV	Eine kurze Liste von Hardware mit hohen Sicherheitsanforderungen

Die meisten Produkte gehören in die Standardkategorie. Das ist keine Lücke, sondern so gewollt. Die Anhänge sollen die Produkte benennen, deren Kompromittierung über ihre eigenen Nutzer hinausreicht.

Was über Ihre Klasse entscheidet

Die Funktion, nicht die Branche. Die Anhänge fragen nicht, an welche Branche Sie verkaufen. Sie fragen, was das Produkt tut. Ein Logistikunternehmen und ein Krankenhaus, die dasselbe Produkt für Identitäts- und Zugangsverwaltung ausliefern, sind in derselben Klasse, und ein Krankenhaus, das ein Planungswerkzeug ausliefert, ist in der Standardkategorie, zusammen mit jeder anderen Fachanwendung.

Das überrascht alle, die erwarten, dass Regulierung ihrem Markt folgt. Das tut sie nicht. Sie folgt der Sicherheitsrolle, die das Produkt für den spielt, der es einsetzt.

Anhang III, Klasse I — die Liste mit Sicherheitsbezug

Identitätsmanagement und Verwaltung privilegierter Zugänge, einschließlich Lesegeräten für Authentifizierung und Zugangskontrolle sowie biometrischen Lesegeräten (Nr. 1). Browser und Passwort-Manager (Nr. 2–3). Software für die Suche, Entfernung und Quarantäne von Schadsoftware (Nr. 4). VPN, Netzmanagementsysteme und SIEM (Nr. 5–7). Bootmanager, Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate (Nr. 8–9). Physische und virtuelle Netzschnittstellen, Router, Modems und Switches (Nr. 10 und 12). Betriebssysteme (Nr. 11). Mikroprozessoren, Mikrocontroller, ASIC und FPGA mit sicherheitsrelevanten Funktionen (Nr. 13–15). Virtuelle Assistenten für die intelligente häusliche Umgebung und Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen — Türschlösser, Kameras, Babyüberwachungssysteme, Alarmanlagen (Nr. 16–17). Mit dem Internet verbundenes Spielzeug mit Funktionen zur sozialen Interaktion oder zur Ortung und am Körper tragbare Produkte, die der Gesundheitsüberwachung dienen oder für Kinder bestimmt sind (Nr. 18–19).

Anhang III, Klasse II — die strengere Liste

Vier Nummern, und sie sind kurz, weil sie folgenreich sind.

Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen (Nr. 1). Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme (Nr. 2). Manipulationssichere Mikroprozessoren und Mikrocontroller (Nr. 3–4).

Anhang IV — kritisch

Hardwaregeräte mit Sicherheitsboxen (Nr. 1). Smart-Meter-Gateways und andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung (Nr. 2). Chipkarten, Sicherheitselemente und ähnliche Geräte (Nr. 3).

Zwei Abgrenzungen, die oft falsch verstanden werden

Diese beiden lohnt es, zweimal zu lesen, denn beide stellen benachbarte Produkte in verschiedene Klassen mit sehr unterschiedlichen Kosten.

Chips: sicherheitsrelevant oder manipulationssicher. Ein Mikroprozessor oder Mikrocontroller mit sicherheitsrelevanten Funktionen ist Klasse I. Ein manipulationssicherer ist Klasse II. Die Wörter liegen nah beieinander, die Folgen nicht: Klasse I lässt unter Bedingungen einen Weg zur Selbstbewertung offen, Klasse II schließt ihn ganz.

Virtualisierung: das Betriebssystem oder das, was es ausführt. Ein Betriebssystem ist Klasse I. Ein Hypervisor oder ein Container-Runtime-System — etwas, das die virtualisierte Ausführung von Betriebssystemen unterstützt — ist Klasse II. Liefern Sie beides aus, sind Sie für den Teil, der virtualisiert, in der strengeren Klasse.

Was die Klasse Sie tatsächlich kostet

Das regelt Art. 32, und hier wird die Klasse zu Kalenderzeit und Rechnungen. Die Modulbuchstaben stammen aus Anhang VIII: Modul A ist das interne Kontrollverfahren, Modul B+C das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster, Modul H die umfassende Qualitätssicherung.

Standardkategorie — Art. 32 Abs. 1

Sie wählen das Verfahren: das interne Kontrollverfahren in eigener Verantwortung (Modul A), das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster, die umfassende Qualitätssicherung oder ein europäisches Schema für die Cybersicherheitszertifizierung, sofern eines anwendbar ist.

Internes Kontrollverfahren heißt: keine notifizierte Stelle. Es heißt nicht: keine Arbeit — die grundlegenden Anforderungen müssen trotzdem erfüllt und dokumentiert sein, und eine Marktüberwachungsbehörde kann verlangen, diese Dokumentation zu sehen.

Wichtig, Klasse I — Art. 32 Abs. 2

Sie können weiterhin selbst im internen Kontrollverfahren bewerten, aber nur, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ anwenden — vollständig. Wenden Sie sie nur teilweise an oder gibt es noch keine, müssen Sie stattdessen das EU-Baumusterprüfverfahren oder die umfassende Qualitätssicherung durchlaufen.

Diese Bedingung wiegt derzeit schwer, denn die harmonisierten Normen werden noch erarbeitet. Wenn Sie in Klasse I sind, planen Sie mit dem aufwendigeren Weg und behandeln Sie eine brauchbare Norm, die rechtzeitig kommt, als den günstigen Fall, nicht als den Plan.

Wichtig, Klasse II — Art. 32 Abs. 3

Das interne Kontrollverfahren ist keine Option. Sie müssen das EU-Baumusterprüfverfahren mit anschließender Konformität mit dem EU-Baumuster, die umfassende Qualitätssicherung oder ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ nutzen.

Das bedeutet eine notifizierte Stelle und mehr Vorlauf. Notifizierte Stellen müssen erst benannt werden und dann Kapazität haben, und jeder Hersteller eines Produkts der Klasse II in der Union steht bei denselben an. Klären Sie den Umfang jetzt, nicht 2027.

Kritisch — Art. 32 Abs. 4

Hat die Kommission für Ihren Produkttyp ein europäisches Schema für die Cybersicherheitszertifizierung verbindlich gemacht, ist das der Weg. Hat sie das nicht, gelten die Verfahren der Klasse II. So oder so ist das ein Gespräch mit einer notifizierten Stelle, das Sie sofort beginnen sollten.

Für KMU gilt nicht der volle Listenpreis

Art. 32 Abs. 6 verlangt, dass bei der Festlegung der Gebühren für die Konformitätsbewertung die besonderen Interessen und Bedürfnisse von Kleinstunternehmen und KMU, einschließlich Start-up-Unternehmen, berücksichtigt werden und dass diese Gebühren proportional gesenkt werden.

Das ändert nicht, welches Verfahren gilt. Ein Produkt der Klasse II braucht eine notifizierte Stelle, egal wer es herstellt. Aber die Kosten dieses Wegs sollen für ein Unternehmen mit zwölf Personen nicht dieselben sein wie für einen Konzern, und es lohnt sich, das zu sagen, wenn Sie ein Angebot anfragen.

Was Sie damit tun

1. Suchen Sie Ihr Produkt in den Anhängen nach seiner Funktion. Wenn zwei Einträge nah beieinanderliegen — die Abgrenzung bei Chips, die bei Virtualisierung —, lesen Sie beide und gehen Sie vom strengeren aus, bis Sie ihn ausschließen können.
2. Ist Ihr Produkt in Klasse II oder kritisch, beginnen Sie das Gespräch mit einer notifizierten Stelle jetzt. Der Vorlauf, nicht die Bewertung selbst, macht daraus ein Problem für 2026 statt für 2027.
3. Ist Ihr Produkt in Klasse I, planen Sie mit dem aufwendigeren Weg. Die Tür zur Selbstbewertung steht nur offen, wenn es eine harmonisierte Norm gibt und Sie sie vollständig anwenden.
4. Ist Ihr Produkt in der Standardkategorie, lehnen Sie sich nicht zurück. Sie müssen die grundlegenden Anforderungen trotzdem erfüllen und dokumentieren — und für Sie gilt trotzdem die Meldepflicht nach Art. 14, seit dem 11. September 2026, fünfzehn Monate, bevor irgendetwas von dieser Konformitätsarbeit fällig wird.

Die gesamte Verordnung gilt ab dem 11. Dezember 2027. Die Konformitätsbewertung ist der Teil, vor dem sich eine Warteschlange bildet.

Wenn Sie nicht sicher sind, in welcher Klasse Sie sind

Der kostenlose CRA-Readiness-Check stellt die Frage nach der Einstufung direkt, mit denselben Nummern der Anhänge wie oben, und sagt Ihnen, welche Konformitätsbewertungsverfahren Art. 32 für Ihre Antwort offenlässt. Er dauert etwa fünf Minuten und braucht kein Konto.