Wird relevant am 11. Dezember 2027
CRA-Produktklassen
Standard, wichtig, kritisch und was daran hängt
Für die Meldepflicht ist Ihre Produktklasse ohne Bedeutung. Für alles, was danach kommt, ist sie die wichtigste Weichenstellung: Sie entscheidet, ob Sie selbst bewerten dürfen oder eine Prüfstelle brauchen.
Die Einordnung
Zwei Stichtage, zwei Regelwerke: 2026 die Meldung, 2027 die Konformität
Der CRA wird gestaffelt anwendbar. Ab dem 11. September 2026 gilt Artikel 14 mit den Meldepflichten, und zwar für alle erfassten Produkte gleich. Am 11. Dezember 2027 folgt der Rest, und dort wird nach Klassen unterschieden.
Wer heute vor der Frage steht, ob er meldepflichtig ist, braucht die Klasse nicht zu kennen. Wer sie kennt, weiß dafür, wie viel Vorlauf er für 2027 einplanen muss.
GrundlageArt. 71 CRAArt. 69 Abs. 3 CRA
Die Einteilung
Die vier Stufen: wer selbst bewerten darf und wer eine Prüfstelle braucht
| Stufe | Beispiele | Verfahren ab Dezember 2027 |
|---|---|---|
| Standardprodukt rund neun von zehn | Buchhaltungssoftware, Computerspiele, die meisten mobilen Anwendungen, viele vernetzte Haushaltsgeräte. | Selbstbewertung, sofern die harmonisierten Normen angewandt werden. |
| Wichtig, Klasse I | Passwortmanager, Netzwerkverwaltung, Virtualisierung, Betriebssysteme, Router und Firewalls für den Privatgebrauch, Mikroprozessoren mit Sicherheitsfunktionen. | Selbstbewertung nur bei vollständiger Anwendung der harmonisierten Normen, sonst notifizierte Stelle. |
| Wichtig, Klasse II | Firewalls und Systeme zur Angriffserkennung für den industriellen Einsatz, Hypervisoren und Container-Laufzeiten für den industriellen Einsatz. | Notifizierte Stelle einzubeziehen. |
| Kritisch | Hardware-Sicherheitsmodule, Smartcards und ähnliche Elemente, Smart-Meter-Gateways. | Strengstes Verfahren, gegebenenfalls europäisches Zertifizierungsschema. |
GrundlageArt. 71 CRA
Der Umfang
Was kommt ab Dezember 2027 dazu?
CE, SBOM, technische Doku, Updates
Der zweite Teil der Verordnung ist der aufwendigere. Er verlangt unter anderem:
- CE-Kennzeichnung und EU-Konformitätserklärung für jedes Produkt mit digitalen Elementen
- eine technische Dokumentation, die die Erfüllung der Anforderungen nachweist und aktuell gehalten wird
- eine Stückliste der Softwarebestandteile in einem gängigen maschinenlesbaren Format
- sichere Voreinstellungen, ein Verfahren zur Behandlung von Schwachstellen und die Bereitstellung von Sicherheitsupdates
- einen festgelegten und angegebenen Unterstützungszeitraum, in der Regel mindestens fünf Jahre
Die Vorbereitung dafür läuft in Jahren, nicht in Wochen. Wer bei einer notifizierten Stelle landet, sollte außerdem einkalkulieren, dass deren Kapazitäten begrenzt sind und gegen Ende der Übergangsfrist knapp werden dürften.
GrundlageArt. 13 CRAArt. 71 CRA
Aufpassen
Altprodukte: für die Konformität geschont, für die Meldung nicht
Für den zweiten Teil gilt die Übergangsregel des Artikels 69 wirklich: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, brauchen keine CE-Kennzeichnung nach dieser Verordnung, solange sie nicht wesentlich verändert werden.
Für die Meldepflicht gilt das gerade nicht. Sie erfasst auch Altprodukte. Diese Asymmetrie ist der Grund, warum viele Hersteller sich für nicht betroffen halten: Sie haben die Übergangsregel gelesen und die Ausnahme davon überblättert.
GrundlageArt. 69 Abs. 2 CRAArt. 69 Abs. 3 CRA
Nachgefragt
Häufige Fragen zu Produktklassen und Konformitätsbewertung
- Beeinflusst die Produktklasse die Meldepflicht?
- Nein. Die Meldepflicht des Artikels 14 gilt ab dem 11. September 2026 für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, unabhängig von der Einstufung. Die Klasse entscheidet erst über das Konformitätsverfahren ab dem 11. Dezember 2027.
- Welche Produkte gelten als wichtig oder kritisch?
- Wichtige Produkte sind in zwei Klassen unterteilt. Zu Klasse I zählen unter anderem Passwortmanager, Netzwerkverwaltungssysteme, Virtualisierung, Betriebssysteme sowie Router und Firewalls für den Privatgebrauch. Klasse II umfasst besonders sicherheitskritische Kategorien wie Firewalls und Systeme zur Angriffserkennung für den industriellen Einsatz. Kritische Produkte sind beispielsweise Hardware-Sicherheitsmodule, Smartcards und Smart-Meter-Gateways.
- Was ändert sich am 11. Dezember 2027?
- Dann gilt der übrige Teil der Verordnung: CE-Kennzeichnung, Konformitätsbewertung, technische Dokumentation, die Stückliste der Softwarebestandteile, Anforderungen an sichere Voreinstellungen und die Pflicht, über einen festgelegten Unterstützungszeitraum Sicherheitsupdates bereitzustellen.
- Reicht die Selbstbewertung für unser Produkt?
- Für Standardprodukte, also die große Mehrheit, genügt ab Dezember 2027 die Selbstbewertung, sofern die harmonisierten Normen angewandt werden. Für wichtige Produkte der Klassen I und II sowie für kritische Produkte ist eine notifizierte Stelle einzubeziehen. Wer dort landet, sollte die Kapazitäten der Prüfstellen früh einplanen.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 71 und Art. 69 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 71 CRA
Zeitliche Anwendung: Artikel 14 gilt ab dem 11. September 2026, die Verordnung im Übrigen ab dem 11. Dezember 2027.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 69 Abs. 2 CRA
Übergangsregel für Altprodukte: Die Verordnung gilt nicht für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, es sei denn, sie werden ab diesem Zeitpunkt wesentlich verändert.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 69 Abs. 3 CRA
Ausnahme von dieser Übergangsregel: Die Meldepflichten des Artikels 14 gelten für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, also auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Der Termin, der zuerst kommt, ist der andere
So wichtig die Einstufung für 2027 ist: Die Frist, die heute läuft, ist die von 24 Stunden. Klären Sie zuerst, ob Sie meldepflichtig sind, und danach, in welche Klasse Ihr Produkt fällt.
Fünf Fragen im Browser. Die letzte Frage nimmt Ihre Produktklasse auf, damit das Ergebnis auch sagt, was 2027 auf Sie zukommt.