Produktklassen im CRA: Standard, Klasse I, Klasse II
2026-08-01
Wie die Einstufung nach Anhang III und IV funktioniert, welche Produkte kritisch sind und was die Klasse für Konformitätsbewertung und Fristen bedeutet.
Drei Stufen mit unterschiedlichem Aufwand
Rund 90 Prozent der Produkte gelten als Standardprodukte. Für sie genügt ab Dezember 2027 die Selbstbewertung des Herstellers. Wichtige Produkte der Klasse I und kritische Produkte der Klasse II sind in den Anhängen III und IV der Verordnung aufgelistet.
Die Einstufung hängt von der Funktion ab, nicht von der Unternehmensgröße oder der Branche.
Beispiele für Klasse I
Zu Klasse I zählen unter anderem Identitäts- und Zugriffsmanagement-Software, Passwort-Manager, VPN-Clients, Router, Modems und Switches, Produkte mit kryptografischen Funktionen sowie Software zur Verwaltung von Konfigurationen und Schwachstellen.
Beispiele für Klasse II
Klasse II umfasst unter anderem Betriebssysteme, Bootloader, Chipsatz-Firmware, zentrale Identitäts-Infrastrukturen wie Single-Sign-On-Systeme, Industriesteuerungen auf SPS- und SCADA-Ebene sowie Viren- und Endgeräteschutz.
Für Klasse II ist ab Dezember 2027 eine Konformitätsbewertung durch eine benannte Stelle vorgeschrieben. Diese Stellen werden voraussichtlich knapp — Hersteller sollten den Kontakt frühzeitig aufnehmen.
Was die Klasse nicht ändert
Die Meldepflicht ab dem 11. September 2026 gilt für alle Produkte gleichermaßen, unabhängig von der Klasse. Auch ein Standardprodukt braucht eine Meldestelle, einen dokumentierten Prozess und die Einhaltung der Fristen von 24 Stunden, 72 Stunden und 14 Tagen.
Häufige Fragen
Welche Produkte gehören zur CRA-Klasse II?
Unter anderem Betriebssysteme, Bootloader, Chipsatz-Firmware, zentrale Identitäts- und Zugriffsinfrastrukturen, Industriesteuerungen (SPS, SCADA) und Virenschutz — aufgeführt in Anhang IV der Verordnung.
Brauchen Standardprodukte eine externe Prüfung?
Nein. Für Standardprodukte genügt ab Dezember 2027 die interne Selbstbewertung des Herstellers. Erst für Klasse II ist eine benannte Stelle vorgeschrieben.
Hängt die Meldepflicht ab September 2026 von der Klasse ab?
Nein. Die Meldepflicht gilt für alle Produkte mit digitalen Elementen gleichermaßen — auch für Standardprodukte.