Produktklassen im Cyber Resilience Act

Der Cyber Resilience Act (CRA), offiziell Cyberresilienz-Verordnung, teilt Produkte in vier Gruppen: Standardprodukte, wichtige Produkte der Klasse I, wichtige Produkte der Klasse II und kritische Produkte. Die meisten vernetzten Geräte sind Standardprodukte, und der Hersteller bewertet sie selbst. Steht Ihr Produkt in Anhang III oder IV, brauchen Sie je nach Klasse womöglich oder in jedem Fall eine benannte Stelle (im Verordnungstext: notifizierte Stelle).

Die Anforderungen aus Anhang I sind für alle vier Gruppen gleich. Die Klasse ändert nur, wie Sie nachweisen, dass Sie sie erfüllen: das Verfahren der Konformitätsbewertung nach Artikel 32 der Verordnung (EU) 2024/2847.

Die Kernfunktion entscheidet

Ein Produkt ist „wichtig“, wenn es die Kernfunktion einer Kategorie aus Anhang III hat (Artikel 7 Absatz 1). Was es nebenbei auch kann, zählt nicht.

Die Kommission hat die Kategorien in der Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 technisch beschrieben. Darin stehen hilfreiche Beispiele:

• Eine Nachrichten-App mit eingebettetem Browser wird dadurch nicht zum Browser im Sinne des Anhangs III.
• Ein Router mit eingebauter Firewall hat trotzdem die Kernfunktion eines Routers.
• Ein Smartphone ist kein Betriebssystem und kein Passwort-Manager, auch wenn es beides enthält.

Auch der Einbau allein ändert die Klasse nicht. Verbauen Sie einen Mikrocontroller mit Sicherheitsfunktionen, wird Ihr Gerät dadurch nicht selbst zum wichtigen Produkt (Artikel 7 Absatz 1). Das ganze Gerät muss trotzdem die Anforderungen aus Anhang I erfüllen.

Wichtige Produkte, Klasse I (Anhang III)

Für Gerätehersteller sind diese Kategorien am häufigsten relevant:

Nr.	Kategorie
1	Identitätsmanagement und privilegierte Zugänge, einschließlich Lesegeräte für Authentifizierung und Zugangskontrolle, auch biometrische
10	Physische und virtuelle Netzschnittstellen
11	Betriebssysteme
12	Router, Modems für die Internetanbindung und Switches
13 und 14	Mikroprozessoren und Mikrocontroller mit sicherheitsrelevanten Funktionen
15	ASIC und FPGA mit sicherheitsrelevanten Funktionen
16	Virtuelle Assistenten für das smarte Zuhause mit allgemeinem Zweck
17	Smart-Home-Produkte mit Sicherheitsfunktionen, etwa Türschlösser, Sicherheitskameras, Babyphone-Systeme und Alarmanlagen
18	Vernetztes Spielzeug mit sozialer Interaktion (sprechen, filmen) oder Ortung
19	Am Körper getragene Produkte zur Gesundheitsüberwachung, die nicht unter das Medizinprodukterecht fallen, und Wearables für Kinder

Die übrigen Kategorien der Klasse I sind vor allem Software: Browser, Passwort-Manager, Virenscanner, VPN, Netzmanagement, SIEM, Bootmanager und PKI-Software.

Wichtige Produkte, Klasse II (Anhang III)

Nur vier Kategorien: Hypervisoren und Container-Laufzeitumgebungen, Firewalls und Systeme zur Erkennung und Abwehr von Angriffen (Intrusion Detection und Prevention), manipulationssichere Mikroprozessoren und manipulationssichere Mikrocontroller.

Kritische Produkte (Anhang IV)

Drei Kategorien: Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen und andere Geräte für fortgeschrittene Sicherheitszwecke wie sichere Kryptoverarbeitung, sowie Chipkarten und ähnliche Geräte, einschließlich Sicherheitselemente.

Welcher Weg für welche Klasse gilt

Klasse	Konformitätsbewertung (Artikel 32)
Standardprodukt	Selbstbewertung durch interne Kontrolle (Modul A) möglich
Klasse I	Modul A nur, wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder eine Zertifizierung mindestens auf Vertrauenswürdigkeitsstufe „mittel“ vollständig anwenden. Sonst EU-Baumusterprüfung mit Konformität zur Bauart (Modul B und C) oder umfassende Qualitätssicherung (Modul H), beides mit benannter Stelle
Klasse II	Immer mit Dritten: Modul B und C, Modul H oder, wo verfügbar, ein europäisches Zertifizierungsschema mindestens auf Vertrauenswürdigkeitsstufe „mittel“
Kritisch	Europäische Zertifizierung, wo vorgeschrieben (Artikel 8 Absatz 1); sonst wie Klasse II

Für Klasse I steckt darin eine Falle. Bis heute ist keine harmonisierte Norm zum CRA im Amtsblatt veröffentlicht. Solange das so bleibt, kann sich ein Hersteller der Klasse I nicht auf eine Norm stützen; Modul A bleibt dann nur über gemeinsame Spezifikationen oder eine passende Zertifizierung, sonst führt der Weg zur benannten Stelle. Behalten Sie die Normenreihe EN 40000 im Blick, die im Entwurf vorliegt.

Für Kleinst-, kleine und mittlere Unternehmen, auch Start-ups, sollen die Gebühren der Prüfstellen verhältnismäßig niedriger ausfallen (Artikel 32 Absatz 6).

Grenzfälle

Viele Geräte liegen nicht klar in einer Kategorie. Ein Wandthermostat mit App ist normalerweise ein Standardprodukt. Ein Thermostat, das auch die Alarmanlage scharf schaltet, könnte in die Kategorie 17 fallen. Ein Industrie-Gateway, das vor allem Netzwerke verbindet und routet, sollten Sie gegen die Kategorie 12 prüfen.

In solchen Fällen hilft nur der genaue Text der Durchführungsverordnung (EU) 2025/2392 und die ehrliche Frage, was die Kernfunktion Ihres Produkts ist. Sind Sie unsicher, sprechen Sie mit einer benannten Stelle oder einer Fachanwältin, bevor Sie den einfachen Weg wählen.

Was Proofsheet hier erstellt

Unser kostenloser Produktklassen-Check stellt Ihnen Fragen entlang der Durchführungsverordnung (EU) 2025/2392 und sagt Ihnen, in welche Klasse Ihr Produkt wahrscheinlich fällt. „Wahrscheinlich“ ist ernst gemeint: Die Einstufung treffen Sie, und bei Klasse II und kritischen Produkten verweist der Check auf eine benannte Stelle.

Wenn Sie Ihre wahrscheinliche Klasse kennen, laden Sie eine Datei hoch: Die App erstellt die Stückliste, bekannte CVEs für exakte Versionen und die Zuordnung zu den 22 Punkten aus Anhang I. Diese Zuordnung gilt für jede Klasse gleich, denn die Anforderungen sind dieselben. Proofsheet liefert technische Nachweise, kein rechtliches Zertifikat. Weiter lesen: Konformitätserklärung und Pflichten für Hersteller.