Produktklassen im CRA: Standard, Klasse I, Klasse II
Stand: 1. August 2026
Wie die Einstufung nach Anhang III und IV funktioniert, welche Produkte kritisch sind und was die Klasse für Konformitätsbewertung und Fristen bedeutet.
Drei Stufen mit unterschiedlichem Aufwand
Rund 90 Prozent der Produkte gelten als Standardprodukte. Für sie genügt ab Dezember 2027 die Selbstbewertung des Herstellers. Wichtige Produkte der Klasse I und kritische Produkte der Klasse II sind in den Anhängen III und IV der Verordnung aufgelistet.
Die Einstufung hängt von der Funktion ab, nicht von der Unternehmensgröße oder der Branche.
Beispiele für Klasse I
Zu Klasse I zählen unter anderem Identitäts- und Zugriffsmanagement-Software, Passwort-Manager, VPN-Clients, Router, Modems und Switches, Produkte mit kryptografischen Funktionen sowie Software zur Verwaltung von Konfigurationen und Schwachstellen.
Beispiele für Klasse II
Klasse II umfasst unter anderem Betriebssysteme, Bootloader, Chipsatz-Firmware, zentrale Identitäts-Infrastrukturen wie Single-Sign-On-Systeme, Industriesteuerungen auf SPS- und SCADA-Ebene sowie Viren- und Endgeräteschutz.
Für Klasse II ist ab Dezember 2027 eine Konformitätsbewertung durch eine benannte Stelle vorgeschrieben. Diese Stellen werden voraussichtlich knapp. Hersteller sollten den Kontakt frühzeitig aufnehmen.
Was die Klasse nicht ändert
Die Meldepflicht gilt seit dem 11. September 2026 für alle Produkte gleichermaßen, unabhängig von der Klasse. Auch ein Standardprodukt braucht eine Meldestelle, einen dokumentierten Prozess und die Einhaltung der Fristen: 24 Stunden, 72 Stunden, Abschlussbericht 14 Tage nach Fix.
Häufige Fragen
Welche Produkte gehören zur CRA-Klasse II?
Unter anderem Betriebssysteme, Bootloader, Chipsatz-Firmware, zentrale Identitäts- und Zugriffsinfrastrukturen, Industriesteuerungen (SPS, SCADA) und Virenschutz, aufgeführt in Anhang IV der Verordnung.
Brauchen Standardprodukte eine externe Prüfung?
Nein. Für Standardprodukte genügt ab Dezember 2027 die interne Selbstbewertung des Herstellers. Erst für Klasse II ist eine benannte Stelle vorgeschrieben.
Hängt die seit September 2026 geltende Meldepflicht von der Klasse ab?
Nein. Die Meldepflicht gilt für alle Produkte mit digitalen Elementen gleichermaßen, auch für Standardprodukte.
Quelle
Verordnung (EU) 2024/2847 im Volltext auf eur-lex.europa.eu
Verbindlich ist ausschließlich der Verordnungstext in seiner jeweils geltenden Fassung.