Produktkategorien des CRA: Standard, wichtig und kritisch

Drei Stufen, ein Satz grundlegender Anforderungen

Der Cyber Resilience Act stuft nicht die Pflichten der Hersteller ab, sondern die Art der Konformitätsbewertung (Artikel 32). Alle Produkte mit digitalen Elementen erfüllen dieselben grundlegenden Cybersicherheitsanforderungen aus Anhang I, behandeln Schwachstellen im Unterstützungszeitraum, melden aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, stellen eine Konformitätserklärung aus und bringen die CE-Kennzeichnung an. Mit der Kategorie ändert sich, wer prüft.

Kategorie	Wo gelistet	Konformitätsbewertung
Standard	nicht gelistet	interne Kontrolle (Modul A)
Wichtig, Klasse I	Anhang III	Modul A mit vollständig angewandten harmonisierten Normen, gemeinsamen Spezifikationen oder Zertifizierung; sonst Modul B+C oder H
Wichtig, Klasse II	Anhang III	Modul B+C, Modul H oder europäische Cybersicherheitszertifizierung
Kritisch	Anhang IV	europäisches Cybersicherheitszertifikat, wo ein delegierter Rechtsakt es verlangt; sonst wie Klasse II

Bei Klasse II und kritischen Produkten sowie bei Klasse I ohne vollständig angewandte Normen ist eine notifizierte Stelle beteiligt. Freie und quelloffene Software der Klassen I und II darf Modul A nutzen, wenn ihre technische Dokumentation öffentlich ist (Artikel 32 Absatz 5).

Die meisten Produkte sind Standard

Die Anhänge III und IV sind abschließende Listen von Produktkategorien; was nicht darauf steht, ist Standard. Die Open Regulatory Compliance Working Group (ORC WG), die der Kommission technische Hinweise zu den Kategoriebeschreibungen gegeben hat, sagt es klar: „Most products in scope of the CRA are not classified as Important or Critical.“ Standard heißt nicht ausgenommen: Es heißt Selbstbewertung gegen dieselben Anforderungen, und die Nachweislast liegt beim Hersteller.

Die Kernfunktion entscheidet

Die Durchführungsverordnung (EU) 2025/2392 enthält die technischen Beschreibungen der wichtigen und kritischen Kategorien. Ein Produkt gehört zu einer Kategorie, wenn seine Kernfunktion – die Funktion, ohne die es seinen bestimmungsgemäßen Zweck nicht erfüllt – der Beschreibung entspricht. Nebenfunktionen ändern die Kategorie nicht, und ein Produkt, das lediglich eine wichtige Komponente enthält (etwa ein Gerät mit Betriebssystem), ist selbst kein Betriebssystem.

Für die Dokumentation

Die technische Dokumentation nennt die Kernfunktion des Produkts und die Kategorie, die daraus folgt, mit Begründung. Diese eine Aussage entscheidet über den Weg der Konformitätsbewertung – und darüber, ob Modul A die Konformitätsvermutung vollständig angewandter Normen braucht. Eine Kategorie zu nennen, belegt allein nie die Konformität.