Welche CRA-Produktklasse gilt für mein Produkt?

Drei Klassen, drei Prüftiefen

Die Verordnung (EU) 2024/2847 ordnet Produkte mit digitalen Elementen nicht einheitlich, sondern nach Risikoklassen ein. Diese Einordnung entscheidet darüber, welches Konformitätsbewertungsverfahren anzuwenden ist, und damit über den Aufwand, den ein Hersteller bis zur CE-Kennzeichnung betreiben muss. Die drei Klassen sind: Standard-Produkte, wichtige Produkte (unterteilt in Klasse I und Klasse II nach Anhang III) und kritische Produkte nach Anhang IV.

Standard: Selbstbewertung durch den Hersteller

Der überwiegende Teil der Produkte mit digitalen Elementen fällt in die Standard-Klasse. Für diese Produkte kann der Hersteller die Konformität grundsätzlich im Wege der Selbstbewertung feststellen, ohne eine externe Stelle einzuschalten. Das entbindet jedoch nicht von den übrigen Pflichten: Die grundlegenden Cybersicherheits-Anforderungen, die technische Dokumentation, das Schwachstellen-Handling über den Support-Zeitraum sowie die SBOM-Pflicht gelten unabhängig von der Klasse.

Wichtig: Klasse I und Klasse II nach Anhang III

Produkte, die als "wichtig" eingestuft werden, unterliegen einer höheren Prüftiefe als Standard-Produkte. Die Verordnung unterscheidet hier zwischen Klasse I und Klasse II, wobei Klasse II tendenziell die strengeren Anforderungen an das Konformitätsbewertungsverfahren stellt. Die Zuordnung, welche konkreten Produktkategorien in Anhang III unter Klasse I beziehungsweise Klasse II fallen, ist im Einzelfall gegen den Verordnungstext zu prüfen. Eine pauschale Auflistung an dieser Stelle würde das Risiko einer falschen Selbsteinschätzung bergen.

Kritisch: Zertifizierung durch eine notifizierte Stelle

Die höchste Prüftiefe gilt für kritische Produkte nach Anhang IV. Für diese Kategorie reicht eine Selbstbewertung nicht aus, sondern es ist eine EU-Zertifizierung durch eine notifizierte Stelle erforderlich. Diese externe Prüfung bedeutet in der Praxis einen deutlich höheren Zeit- und Kostenaufwand im Vergleich zu Standard- oder wichtigen Produkten, da die Zertifizierungsstelle das Produkt unabhängig bewertet, bevor es in Verkehr gebracht werden darf.

Was die Klasse für die Praxis bedeutet

Klasse	Konformitätsbewertung	Prüftiefe
Standard	Selbstbewertung durch den Hersteller	Grundlegend
Wichtig, Klasse I / II (Anhang III)	Erhöhte Anforderungen, abhängig von der konkreten Einordnung	Erhöht
Kritisch (Anhang IV)	EU-Zertifizierung durch notifizierte Stelle	Höchste Stufe

Für die unternehmerische Planung folgt daraus: Je höher die Klasse, desto früher sollte die Konformitätsbewertung eingeplant werden, da externe Zertifizierungsverfahren Vorlaufzeit benötigen. Diese Vorlaufzeit ist bei der Terminplanung bis zum 11.12.2027 zu berücksichtigen, wenn die Hauptpflichten des CRA verbindlich werden.

Wie die Klassifizierung mit den übrigen Pflichten zusammenhängt

Unabhängig von der Klasse gelten für alle Produkte mit digitalen Elementen die grundlegenden Anforderungen der Verordnung: technische Dokumentation, Schwachstellen-Handling über den Support-Zeitraum und eine Software-Stückliste (SBOM). Die Klassifizierung entscheidet also nicht darüber, ob diese Pflichten gelten, sondern darüber, wie die Konformität mit ihnen nachgewiesen werden muss. Eine erste Orientierung, welche Rolle das eigene Produkt im CRA-Gefüge einnimmt, liefert der CRA-Betroffenheits-Check. Den vollständigen Fristen- und Pflichtenüberblick bündelt der Pillar-Artikel Cyber Resilience Act im Überblick.

Warum die Klassifizierung nicht auf die leichte Schulter genommen werden sollte

Eine falsche Selbsteinschätzung der Produktklasse kann in beide Richtungen problematisch sein. Wird ein Produkt fälschlich als Standard-Produkt eingeordnet, obwohl es tatsächlich unter Anhang III oder Anhang IV fällt, fehlt am Ende die erforderliche externe Prüfung, und das Produkt kann formal nicht rechtmäßig in Verkehr gebracht werden. Umgekehrt bedeutet eine zu vorsichtige Einordnung in eine höhere Klasse unnötigen Zeit- und Kostenaufwand für ein Konformitätsbewertungsverfahren, das eigentlich nicht erforderlich gewesen wäre. Beide Szenarien sprechen dafür, die Klassifizierung nicht schematisch, sondern anhand der konkreten Produktbeschreibung im Abgleich mit dem Verordnungstext vorzunehmen.

Zusammenspiel mit der zeitlichen Planung

Die Hauptpflichten des CRA, einschließlich der Konformitätsbewertung und der CE-Kennzeichnung, werden ab dem 11.12.2027 verbindlich. Für Produkte, die voraussichtlich in die Kategorie kritisch nach Anhang IV fallen, ist die Zertifizierung durch eine notifizierte Stelle regelmäßig der zeitaufwändigste Schritt im gesamten Compliance-Prozess. Unternehmen, die ein solches Produkt entwickeln oder vertreiben, sollten die Klassifizierung deshalb so früh wie möglich vornehmen, um ausreichend Vorlauf für die Zertifizierung einzuplanen. Bei Standard-Produkten ist der zeitliche Druck geringer, da die Selbstbewertung im eigenen Haus organisiert werden kann.

Dokumentation als gemeinsamer Nenner aller Klassen

Unabhängig davon, in welche Klasse ein Produkt fällt, verlangt die Verordnung eine technische Dokumentation, die die Einhaltung der grundlegenden Cybersicherheits-Anforderungen belegt. Diese Dokumentation bildet die Grundlage sowohl für die Selbstbewertung bei Standard-Produkten als auch für die externe Prüfung bei wichtigen und kritischen Produkten. Eine sauber geführte Dokumentation von Anfang an reduziert deshalb den Aufwand unabhängig davon, welche Klasse sich im Ergebnis der Prüfung als zutreffend erweist, und erleichtert auch spätere Anpassungen, falls sich die Einordnung durch Produktänderungen verschiebt.

Häufige Fragen

Kann sich die Produktklasse während der Entwicklung ändern?

Da die Klasse an die Produkteigenschaften und deren Zuordnung zu Anhang III oder IV anknüpft, kann eine Änderung der Produktfunktion auch die Einordnung verändern. Eine Prüfung sollte daher nicht nur einmalig, sondern bei wesentlichen Produktänderungen wiederholt werden.

Reicht die Selbstbewertung bei Standard-Produkten für alle Nachweise aus?

Die Selbstbewertung betrifft das Konformitätsbewertungsverfahren. Die übrigen Nachweispflichten wie technische Dokumentation und SBOM bestehen unabhängig davon und müssen ebenfalls erfüllt werden.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• ENISA, Cyber Resilience Act: https://www.enisa.europa.eu/topics/cyber-resilience-act (verifiziert 11.08.2026)