Kurzdefinition: Der Cyber Resilience Act (CRA) stuft Produkte mit digitalen Elementen nach ihrem Risiko ab. Nach Art. 7 CRA gelten Produkte mit den Kernfunktionen einer in Anhang III aufgeführten Kategorie als wichtige Produkte und werden in Klasse I und Klasse II unterteilt; sie unterliegen strengeren Konformitätsbewertungsverfahren. Art. 8 CRA regelt darüber hinaus kritische Produkte. [N-CRA-7] [N-CRA-8]
Der Normwortlaut
Art. 7 Abs. 1 CRA bestimmt: „Produkte mit digitalen Elementen, die die Kernfunktionen einer in Anhang III aufgeführten Produktkategorie aufweisen, gelten als wichtige Produkte mit digitalen Elementen und unterliegen den in Artikel 32 Absätze 2 und 3 genannten Konformitätsbewertungsverfahren.“ Art. 8 Abs. 1 CRA ermächtigt die Kommission, für Produkte mit Kernfunktionen einer Anhang-IV-Kategorie ein europäisches Cybersicherheitszertifikat vorzuschreiben. [N-CRA-7] [N-CRA-8]
Was sind wichtige Produkte?
Produkte mit erhöhtem Risiko. Wichtige Produkte sind solche, deren Kernfunktion in Anhang III des CRA gelistet ist. Wegen ihres höheren Cybersicherheitsrisikos unterliegen sie strengeren Verfahren als gewöhnliche Produkte mit digitalen Elementen. [N-CRA-7]
Worin unterscheiden sich Klasse I und Klasse II?
In der Höhe des Risikos. Nach Art. 7 Abs. 2 CRA erfüllen die Kategorien mindestens eines von zwei Kriterien: eine für die Cybersicherheit anderer Produkte entscheidende Funktion oder eine Funktion mit erheblichem Risiko nachteiliger Auswirkungen. Klasse-II-Produkte tragen das höhere Risiko und unterliegen einem strengeren Konformitätsbewertungsverfahren. [N-CRA-7]
Wie werden die Kategorien festgelegt?
Über Anhang III und Durchführungsrechtsakte. Die Kommission präzisiert die technische Beschreibung der Klassen I und II durch Durchführungsrechtsakt und kann Anhang III durch delegierte Rechtsakte anpassen. So werden etwa Firewalls oder Intrusion-Detection-Systeme als wichtige Produkte erfasst. [N-CRA-7]
Was sind kritische Produkte?
Die höchste Risikostufe. Nach Art. 8 CRA kann die Kommission für Produkte mit Kernfunktionen einer Anhang-IV-Kategorie ein europäisches Cybersicherheitszertifikat mindestens der Stufe „mittel“ nach der Verordnung (EU) 2019/881 vorschreiben. Kriterium ist unter anderem eine kritische Abhängigkeit wesentlicher Einrichtungen. [N-CRA-8]
Welche Folgen hat die Einstufung?
Strengere Bewertung. Für gewöhnliche Produkte genügt regelmäßig die interne Selbstbewertung; wichtige Produkte der Klasse II und kritische Produkte erfordern eine Bewertung unter Einbindung Dritter beziehungsweise eine Zertifizierung. Die Einstufung entscheidet damit über Aufwand und Verfahren des Marktzugangs. [N-CRA-7] [N-CRA-8]
Häufige Fehlannahmen
- „Alle Produkte mit digitalen Elementen werden gleich behandelt.“ Nein. Wichtige und kritische Produkte unterliegen strengeren Verfahren. [N-CRA-7]
- „Klasse I und Klasse II sind gleich streng.“ Nein. Klasse II trägt das höhere Risiko und wird strenger bewertet. [N-CRA-7]
- „Die Integration eines wichtigen Produkts macht das Gesamtprodukt automatisch wichtig.“ Nein. Die bloße Integration führt für sich genommen nicht zur strengeren Bewertung des Gesamtprodukts. [N-CRA-7]
- „Kritische Produkte gibt es im CRA nicht.“ Doch. Art. 8 CRA regelt kritische Produkte nach Anhang IV. [N-CRA-8]
- „Die Produktkategorien stehen unveränderlich fest.“ Nein. Die Kommission kann Anhang III und IV durch delegierte Rechtsakte anpassen. [N-CRA-7] [N-CRA-8]
- „Für wichtige Produkte genügt immer die Selbstbewertung.“ Nein. Klasse-II-Produkte erfordern ein strengeres Verfahren. [N-CRA-7]
Was die Geschäftsleitung tun sollte
- Produkte einordnen. Prüfen, ob eigene Produkte Kernfunktionen aus Anhang III oder IV aufweisen.
- Verfahren wählen. Für wichtige und kritische Produkte das passende Konformitätsbewertungsverfahren einplanen.
- Rechtsakte verfolgen. Durchführungs- und delegierte Rechtsakte zu den Anhängen beobachten.
- Marktzugang planen. Zeit und Ressourcen für strengere Bewertungen einkalkulieren.
Für die Geschäftsleitung
Der CRA macht die Risikoklasse zum Türöffner des Marktzugangs: Je sicherheitskritischer die Kernfunktion, desto strenger das Bewertungsverfahren. Wer Produkte mit digitalen Elementen herstellt, sollte früh klären, ob sie als wichtig oder kritisch gelten — denn davon hängen Aufwand, Zeitplan und CE-Kennzeichnung ab.
Quellen
- [N-CRA-7] Art. 7 CRA (VO (EU) 2024/2847, Wichtige Produkte mit digitalen Elementen). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-8] Art. 8 CRA (VO (EU) 2024/2847, Kritische Produkte mit digitalen Elementen). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
