1. Produktumfang und verantwortlichen Wirtschaftsakteur bestimmen
Ein CRA-Berater sollte Produktumfang, rechtliche Rolle und Konformitätsbewertungsverfahren klären, bevor Prüfungen beauftragt oder Erklärungen erstellt werden. Das Ergebnis ist eine begründete Entscheidung je Produktfamilie, nicht das Angebot eines pauschalen Zertifikats.
Die Verordnung (EU) 2024/2847 ist in Kraft. Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten seit dem 11. September 2026; die meisten übrigen Pflichten ab dem 11. Dezember 2027. Diese Phasen sind zu unterscheiden.
1. Produktumfang und verantwortlichen Wirtschaftsakteur bestimmen
Klären Sie, was tatsächlich auf dem EU-Markt angeboten wird und durch wen. Bezeichnungen wie „Plattform“ oder „IoT“ entscheiden nicht über den Anwendungsbereich.
- Erfassen Sie Hardware, Software, separat angebotene Komponenten, Versionen, Zweck, Schnittstellen und für die Funktionen notwendige entfernte Datenverarbeitung.
- Bestimmen Sie Hersteller, Markeninhaber, Einführer und Händler; prüfen Sie Auftragsentwicklung und wesentliche Änderungen, statt sämtliche Pflichten pauschal dem Fertigungsbetrieb zuzuschreiben.
- Prüfen Sie gewerbliche Bereitstellung, Ausnahmen und sektorspezifische EU-Regeln; bei Open Source zählt das tatsächliche Geschäftsmodell, nicht nur die Lizenz.
2. Entscheidungsmatrix: Kategorie ist nicht Prüfaufwand
Vergleichen Sie die Hauptfunktion mit Anhang III (wichtige Produkte) und Anhang IV (kritische Produkte) samt technischen Kategoriebeschreibungen der Kommission, bevor Artikel 32 angewandt wird.
| Produktkategorie | Strategischer Bewertungsweg |
|---|---|
| Standardkategorie | Interne Kontrolle nach Modul A ist möglich; ein externes Prüflabor ist nicht automatisch vorgeschrieben. |
| Wichtig, Klasse I | Modul A ist bei vollständiger Erfüllung der einschlägigen Bedingungen zu harmonisierten Normen, gemeinsamen Spezifikationen oder geeigneter Zertifizierung möglich; andernfalls ist B+C oder H mit notifizierter Stelle erforderlich, sofern nicht die Sonderregelung für freie und quelloffene Software nach Artikel 32 Absatz 5 greift. |
| Wichtig, Klasse II | Planen Sie B+C oder H mit notifizierter Stelle oder ein ausdrücklich anwendbares qualifiziertes EU-Cybersicherheitszertifizierungssystem, sofern rechtlich verfügbar; prüfen Sie daneben die Sonderregelung für freie und quelloffene Software nach Artikel 32 Absatz 5. |
| Kritisch (Anhang IV) | Gehen Sie grundsätzlich von einer notifizierten Stelle aus; prüfen Sie Artikel 32 und rechtlich verfügbare Zertifizierungsalternativen vor der Festlegung. |
Ausnahme für Produkte, die als freie und quelloffene Software einzustufen sind: Nach Artikel 32 Absatz 5 dürfen Hersteller von Produkten nach Anhang III ein Verfahren nach Artikel 32 Absatz 1 – einschließlich Modul A – wählen, sofern die technische Dokumentation nach Artikel 31 zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich ist. Dies ist keine generelle Ausnahme vom CRA.
Bei Klasse I genügt weder der Verweis auf einen Normentwurf noch die Prüfung einer einzelnen Klausel als Nachweis für Modul A. Halten Sie Kategoriegrundlage, technische Bewertung und offene Annahmen fest.
3. Welche Tatsachen die Empfehlung ändern
Das Verfahren folgt der Klassifikation, nicht einem Produktnamen oder einem bereits vorhandenen CE-Zeichen.
- Kernfunktion der Sicherheit: Eine Firewall-Funktion kann relevanter sein als die Gerätebezeichnung; die Integration einer Komponente ändert die Einstufung des Endprodukts nicht automatisch.
- Bereitstellungsmodell: separat vermarktete Bauteile, eingebettete Software, Cloud-Abhängigkeit, nichtkommerzieller Open Source und wesentliche Änderungen nach Markteinführung erfordern unterschiedliche Prüfungen.
- Normenstatus: Unterscheiden Sie einschlägig veröffentlichte harmonisierte Normen von Entwürfen, freiwilligen Normen und Nachweisen ohne Wirkung auf die gesetzlichen Verfahrensbedingungen.
4. Lückenanalyse: aus jedem Befund eine Entscheidung ableiten
Vergleichen Sie die einschlägigen Anforderungen des Anhangs I mit vorhandenen Kontrollen und belastbaren Nachweisen. Ein fehlender Prozess ist nicht dasselbe wie ein fehlendes Dokument.
| Lücke oder Auslöser | Nachweis und Entscheidung |
|---|---|
| Unklare Einstufung | Verfahren offenlassen; zunächst Architektur, Verwendungszweck und Anhang-Einstufung beschaffen. |
| Risiken der Sicherheitsarchitektur | Bedrohungsmodell, sichere Voreinstellungen, Zugangskontrollen und Tests mit der produktspezifischen Cybersicherheitsrisikobewertung verknüpfen. |
| Unbelegte Schwachstellenbehandlung | Meldeverantwortung, Eingangskanal, koordinierte Offenlegung, Abhilfen, Sicherheitsupdates und Begründung des Supportzeitraums prüfen. |
| Schwache Nachweiskette | Komponentenverzeichnis/SBOM, Lieferantennachweise, Testumfang, Versionen und technische Unterlagen abgleichen; notwendige Erneuerungen identifizieren. |
Priorisieren Sie Lücken, die den Rechtsweg ändern oder Risikokontrollen verhindern. Dokumentieren Sie Lücke, Verantwortlichen, Nachweis, Entscheidung und verbleibende Unsicherheit getrennt.
5. Nachweise wiederverwenden, nicht ungeprüft Schlussfolgerungen übernehmen
Penetrationstests, ISO/IEC-27001-Unterlagen, Lieferantenberichte und CE-Dokumente können Doppelarbeit mindern, ersetzen jedoch allein keinen CRA-Konformitätsnachweis.
- Berichte nur für passende Produkte/Versionen, Risiken, Anforderungen und Methoden übernehmen; veraltete Abdeckung und Wiederholungsprüfungen vermerken.
- Fremdkomponenten und Softwareabhängigkeiten in die eigene Herstellerbewertung aufnehmen; Lieferantenzertifikate übertragen die rechtliche Verantwortung nicht automatisch.
- Risikobewertung, technische Dokumentation und Schwachstellenprozesse auf den gewählten Konformitätsweg abstimmen.
6. Entscheidungen vor der Umsetzung ordnen
Strategische Beratung sollte einen nachvollziehbaren Plan liefern, keine Zusage automatischer Genehmigung.
- Produktbezogenes Verzeichnis zu Geltung, Rollen und Ausnahmen aufbauen; offene Einstufungen markieren.
- Schriftliche Verfahrensbegründung mit Anhängen, Normenstatus und gewähltem Modul erstellen, einschließlich Abhängigkeit von notifizierten Stellen.
- Lücken zu Anhang I, Unterlagen und Supportprozessen priorisieren; Teams und Nachweiswiederverwendung festlegen.
- Den seit 11. September 2026 geltenden Meldeweg gesondert aktivieren und anschließend Konformitätsarbeiten für den 11. Dezember 2027 unter Beachtung von Übergängen und Änderungen planen.
7. Wo Beratung endet und Umsetzung beginnt
Hier geht es um die Verfahrenswahl vor der Umsetzung. Durchführung, Prüfkoordination und technische Dokumentation sind ein separater Leistungsumfang; Budgets erfordern eine eigene Kostentreiberanalyse. Verlangen Sie vor der Beauftragung eine begründete Klassifikation mit offenen Fragen.
Umsetzung der CRA-Konformität · CRA-Kosten und Budgetplanung
Offizielle Primärquellen
Häufige Fragen
Fällt ein SaaS-Backend für EU-Kunden automatisch unter den CRA?
Nein. Entscheidend ist, ob entfernte Datenverarbeitung zum Produkt mit digitalen Elementen gehört und für dessen Funktionen nötig ist. Eigenständige Dienstleistungen sind nicht schlicht Hardware; Architektur und Verträge prüfen.
Darf Klasse I immer selbst bewertet werden?
Nein. Prüfen Sie die genauen Voraussetzungen des Artikels 32 Absatz 2 zu harmonisierten Normen, gemeinsamen Spezifikationen oder geeigneter Zertifizierung. Sind diese nicht erfüllt, ist grundsätzlich ein Verfahren mit notifizierter Stelle erforderlich, es sei denn, die Sonderregelung für freie und quelloffene Software nach Artikel 32 Absatz 5 greift.
Schließt Open-Source-Code das Endprodukt aus?
Nein. Gewerbliche Vermarktung und die Rolle des Unternehmens zählen. Nichtkommerzielle Tätigkeiten mit freier und quelloffener Software sowie Organisationen, die deren Entwicklung dauerhaft unterstützen (Open-Source-Software-Stewards), sind getrennt zu bewerten.
Was gilt für bereits in der EU verkaufte Geräte?
Die Hersteller-Meldepflichten gelten seit 11. September 2026 auch für erfasste bereits angebotene Produkte. Für die Pflichten ab 2027 sind erstmaliges Inverkehrbringen, spätere wesentliche Änderungen und Übergangsregeln gesondert zu prüfen.
Ersetzt ein Penetrationstest oder ISO-Zertifikat die CRA-Bewertung?
Nein. Nachweise dürfen genutzt werden, doch Geltung, Risikobewertung, Verfahrensbedingungen, Konformitätsbewertung und Lebenszykluspflichten sind eigenständig nachzuweisen.