Welche CRA-Produktklasse gilt für mein Produkt?

Drei Klassen, drei Prüftiefen

Die Verordnung (EU) 2024/2847 ordnet Produkte mit digitalen Elementen nicht einheitlich, sondern nach Risikoklassen ein. Diese Einordnung entscheidet darüber, welches Konformitätsbewertungsverfahren anzuwenden ist, und damit über den Aufwand, den ein Hersteller bis zur CE-Kennzeichnung betreiben muss. Die drei Klassen sind: Standard-Produkte, wichtige Produkte (unterteilt in Klasse I und Klasse II nach Anhang III) und kritische Produkte nach Anhang IV.

Standard: Selbstbewertung durch den Hersteller

In die Standard-Klasse fallen alle Produkte mit digitalen Elementen, deren Kernfunktionalität keiner Produktkategorie aus Anhang III oder Anhang IV entspricht. Für diese Produkte kann der Hersteller die Konformität grundsätzlich im Wege der Selbstbewertung feststellen, ohne eine externe Stelle einzuschalten. Das entbindet jedoch nicht von den übrigen Pflichten: Die grundlegenden Cybersicherheits-Anforderungen, die technische Dokumentation, das Schwachstellen-Handling über den Support-Zeitraum sowie die SBOM-Pflicht gelten unabhängig von der Klasse.

Wichtig: Klasse I und Klasse II nach Anhang III

Produkte, die als "wichtig" eingestuft werden, unterliegen einer höheren Prüftiefe als Standard-Produkte. Die Verordnung unterscheidet hier zwischen Klasse I und Klasse II, wobei Klasse II tendenziell die strengeren Anforderungen an das Konformitätsbewertungsverfahren stellt. Die Zuordnung, welche konkreten Produktkategorien in Anhang III unter Klasse I beziehungsweise Klasse II fallen, ist im Einzelfall gegen den Verordnungstext zu prüfen. Eine pauschale Auflistung an dieser Stelle würde das Risiko einer falschen Selbsteinschätzung bergen.

Kritisch: europäisches Cybersicherheitszertifikat oder Klasse-II-Verfahren

Die höchste Prüftiefe gilt für kritische Produkte nach Anhang IV. Für diese Kategorie reicht eine Selbstbewertung nicht aus. Die Kommission kann per delegiertem Rechtsakt festlegen, dass bestimmte Produkte aus Anhang IV ein europäisches Cybersicherheitszertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel“ nach dem Cybersecurity Act (Verordnung (EU) 2019/881) benötigen (Art. 8 Abs. 1). Solange ein solcher Rechtsakt fehlt, gelten für kritische Produkte die Verfahren wie bei wichtigen Produkten der Klasse II, also eine EU-Baumusterprüfung durch eine notifizierte Stelle (Modul B mit C), eine umfassende Qualitätssicherung (Modul H) oder, soweit verfügbar, ein europäisches Cybersicherheitszertifizierungssystem mindestens der Stufe „mittel“ (Art. 8 Abs. 1 UAbs. 4, Art. 32 Abs. 3 und 4). Solange kein delegierter Rechtsakt nach Art. 8 Abs. 1 erlassen ist, unterscheiden sich die Verfahren für kritische Produkte damit nicht von denen für wichtige Produkte der Klasse II. Gegenüber der Selbstbewertung bei Standard-Produkten kommt in beiden Fällen eine externe Stelle hinzu, die vor dem Inverkehrbringen bewertet.

Was die Klasse für die Praxis bedeutet

Klasse	Konformitätsbewertung	Prüftiefe
Standard	Selbstbewertung durch den Hersteller	Grundlegend
Wichtig, Klasse I / II (Anhang III)	Erhöhte Anforderungen, abhängig von der konkreten Einordnung	Erhöht
Kritisch (Anhang IV)	Europäisches Cybersicherheitszertifikat, sofern per delegiertem Rechtsakt vorgeschrieben, sonst Klasse-II-Verfahren mit notifizierter Stelle	Höchste Stufe

Für die unternehmerische Planung folgt daraus: Je höher die Klasse, desto früher sollte die Konformitätsbewertung eingeplant werden, da externe Zertifizierungsverfahren Vorlaufzeit benötigen. Diese Vorlaufzeit ist bei der Terminplanung bis zum 11.12.2027 zu berücksichtigen, wenn die Hauptpflichten des CRA verbindlich werden.

Wie die Klassifizierung mit den übrigen Pflichten zusammenhängt

Unabhängig von der Klasse gelten für alle Produkte mit digitalen Elementen die grundlegenden Anforderungen der Verordnung: technische Dokumentation, Schwachstellen-Handling über den Support-Zeitraum und eine Software-Stückliste (SBOM). Die Klassifizierung entscheidet also nicht darüber, ob diese Pflichten gelten, sondern darüber, wie die Konformität mit ihnen nachgewiesen werden muss. Eine erste Orientierung, welche Rolle das eigene Produkt im CRA-Gefüge einnimmt, liefert der CRA-Betroffenheits-Check. Den vollständigen Fristen- und Pflichtenüberblick bündelt der Pillar-Artikel Cyber Resilience Act im Überblick.

Warum die Klassifizierung nicht auf die leichte Schulter genommen werden sollte

Eine falsche Selbsteinschätzung der Produktklasse kann in beide Richtungen problematisch sein. Wird ein Produkt fälschlich als Standard-Produkt eingeordnet, obwohl es tatsächlich unter Anhang III oder Anhang IV fällt, kann die erforderliche externe Prüfung fehlen, und das Produkt kann dann nicht rechtmäßig in Verkehr gebracht werden. Umgekehrt bedeutet eine zu vorsichtige Einordnung in eine höhere Klasse unnötigen Zeit- und Kostenaufwand für ein Konformitätsbewertungsverfahren, das eigentlich nicht erforderlich gewesen wäre. Beide Szenarien sprechen dafür, die Klassifizierung nicht schematisch, sondern anhand der konkreten Produktbeschreibung im Abgleich mit dem Verordnungstext vorzunehmen.

Zusammenspiel mit der zeitlichen Planung

Die Hauptpflichten des CRA, einschließlich der Konformitätsbewertung und der CE-Kennzeichnung, werden ab dem 11.12.2027 verbindlich. Für Produkte, die voraussichtlich unter Anhang III Klasse II oder Anhang IV fallen, ist eine externe Konformitätsbewertung einzuplanen, die von der Verfügbarkeit notifizierter Stellen abhängt; die Vorschriften über notifizierte Stellen (Kapitel IV) gelten seit dem 11.06.2026 (Art. 71 Abs. 2 CRA). Unternehmen, die ein solches Produkt entwickeln oder vertreiben, sollten die Klassifizierung deshalb so früh wie möglich vornehmen, um ausreichend Vorlauf für die Zertifizierung einzuplanen. Bei Standard-Produkten ist der zeitliche Druck geringer, da die Selbstbewertung im eigenen Haus organisiert werden kann.

Dokumentation als gemeinsamer Nenner aller Klassen

Unabhängig davon, in welche Klasse ein Produkt fällt, verlangt die Verordnung eine technische Dokumentation, die die Einhaltung der grundlegenden Cybersicherheits-Anforderungen belegt. Diese Dokumentation bildet die Grundlage sowohl für die Selbstbewertung bei Standard-Produkten als auch für die externe Prüfung bei wichtigen und kritischen Produkten. Eine sauber geführte Dokumentation von Anfang an reduziert deshalb den Aufwand unabhängig davon, welche Klasse sich im Ergebnis der Prüfung als zutreffend erweist, und erleichtert auch spätere Anpassungen, falls sich die Einordnung durch Produktänderungen verschiebt.

Häufige Fragen

Kann sich die Produktklasse während der Entwicklung ändern?

Die Klasse knüpft an die Kernfunktionalität des Produkts an: Entspricht sie einer Produktkategorie aus Anhang III oder IV, gilt das Produkt als wichtig beziehungsweise kritisch (Art. 7 Abs. 1, Art. 8 Abs. 1 CRA). Die bloße Integration einer solchen Komponente in ein anderes Produkt macht dieses nicht selbst zu einem wichtigen Produkt (Art. 7 Abs. 1 Satz 2 CRA). Eine Änderung der Produktfunktion kann die Einordnung daher verändern. Eine Prüfung sollte daher nicht nur einmalig, sondern bei wesentlichen Produktänderungen wiederholt werden.

Reicht die Selbstbewertung bei Standard-Produkten für alle Nachweise aus?

Die Selbstbewertung betrifft das Konformitätsbewertungsverfahren. Die übrigen Nachweispflichten wie technische Dokumentation und SBOM bestehen unabhängig davon und müssen ebenfalls erfüllt werden.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• EU-Kommission, Cyberresilienzgesetz: https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act (verifiziert: 18.09.2026)