Die CRA-Produktklasse richtet sich nach der Hauptfunktion des Produkts und den Kategorien der Verordnung (EU) 2024/2847. Wichtige Produkte stehen in Anhang III, kritische Produkte in Anhang IV. Die Einordnung beeinflusst das Konformitätsbewertungsverfahren. Beginnen Sie deshalb mit der tatsächlichen Funktion und der vorgesehenen Verwendung. Eine Verkaufsbezeichnung oder die Größe des Herstellers reicht für die Entscheidung nicht aus.
Die vier Wege im Überblick
| Einordnung | Beispiele zur Orientierung | Bedeutung für das Verfahren |
|---|---|---|
| Standardfall | Gewöhnliche smarte Steckdosen, Leuchten, Sensoren, viele Anwendungen | Selbstbewertung grundsätzlich möglich |
| Wichtige Produkte Klasse I | Router, Betriebssysteme, VPN, Passwortmanager, vernetzte Sicherheitsprodukte | Selbstbewertung nur unter den einschlägigen Voraussetzungen, sonst dritte Stelle |
| Wichtige Produkte Klasse II | Hypervisoren, Container-Laufzeiten, Firewalls, IDS/IPS, bestimmte manipulationsresistente Prozessoren | Bewertung durch Dritte erforderlich |
| Kritische Produkte | Hardware-Sicherheitsmodule, Smart-Meter-Gateways, Smartcards | Anwendbares Verfahren gesondert prüfen |
Die Beispiele sind eine erste Orientierung. Maßgeblich bleiben der vollständige Wortlaut der Anhänge, anwendbare Spezifikationen und die angebotenen Funktionen. Ein kurzer Fragebogen liefert keine bindende Einordnung. Wenn eine Produktfamilie verschiedene Hauptfunktionen umfasst, können mehrere Klassifizierungen und Bewertungspläne erforderlich werden. Halten Sie offene Annahmen fest, bevor Sie Prüfleistungen oder einen Projektabschluss terminieren.
Smart Home ist nicht immer der Standardfall
Sicherheitskameras, intelligente Türschlösser und Babyphones sind Beispiele für wichtige Produkte Klasse I im Bereich vernetzter Produkte mit Sicherheitsfunktionen. Ein gewöhnlicher vernetzter Lichtschalter oder eine einfache smarte Steckdose kann dagegen ein Kandidat für den Standardfall sein. Bei kombinierten Funktionen muss die Einordnung anhand des konkreten Produkts geprüft werden. Die einfachste Teilfunktion darf nicht stellvertretend für das gesamte Produkt verwendet werden.
Auch vernetztes Spielzeug mit interaktiven oder ortungsbezogenen Funktionen sowie bestimmte Gesundheits- und Kinder-Wearables sind relevante Klasse-I-Beispiele. Beschreiben Sie vorgesehene Nutzer, Datenflüsse und erforderliche Datenfernverarbeitung. Änderungen am Verwendungszweck können die Einordnung beeinflussen. Die Begründung gehört deshalb in die Produkt- und Releaseprüfung, nicht nur in einen einmalig ausgefüllten Fragebogen.
Klasse I hat ein bedingtes Verfahren
Die Möglichkeit zur Selbstbewertung hängt bei Klasse I von den einschlägigen Voraussetzungen ab. Dazu kann die vollständige Anwendung relevanter harmonisierter Normen, gemeinsamer Spezifikationen oder anderer zulässiger Verfahrensbedingungen gehören. Werden diese Voraussetzungen nicht erfüllt, ist eine dritte Stelle einzubeziehen. Artikel 32 regelt die Verfahren im Zusammenhang mit der jeweiligen Kategorie.
Prüfen Sie den aktuellen Stand, bevor Sie eine konkrete Route festlegen. Ein verfügbarer Normentwurf hat nicht automatisch dieselbe Wirkung wie eine im Amtsblatt veröffentlichte harmonisierte Norm. Ebenso lässt sich die Wirkung einer Norm unter einer anderen Richtlinie nicht ungeprüft auf den CRA übertragen. Zum Stand des Briefings vom Oktober 2026 ist keine harmonisierte CRA-Norm genannt; die Reihe EN 40000 befindet sich in Erarbeitung. Für eine reale Entscheidung bleibt der aktuelle Amtsblattstand gesondert zu verifizieren.
Klasse II und kritische Produkte
Klasse II umfasst unter anderem die genannten Sicherheits- und Virtualisierungsfunktionen. Hier ist eine Konformitätsbewertung durch Dritte erforderlich. Stimmen Sie Nachweise, Prüfungen und den konkreten Umfang mit einer entsprechend benannten Stelle ab. Ein Sicherheitsberater oder ein beliebiges Prüflabor kann nicht automatisch jede gesetzlich vorgesehene Bewertungsaufgabe übernehmen. Zuständigkeit und Tätigkeitsumfang müssen zum Produkt passen.
Bei kritischen Produkten aus Anhang IV sind das anwendbare europäische Verfahren und die relevanten Bedingungen gesondert zu prüfen. Ein allgemeiner Sicherheitsprüfbericht ersetzt diese Klärung nicht. Wenn Verfahren oder Übergangsbedingungen noch offen sind, behandeln Sie sie als konkrete Projektabhängigkeit. Eine scheinbar eindeutige Aussage ohne aktuelle Grundlage hilft weder der Entwicklung noch der späteren Prüfung.
Aus der Klasse einen Arbeitsplan machen
Das Verfahren beeinflusst externe Bewertung, Zeitplan und Kosten. Auch im Standardfall sind grundlegende Anforderungen, Risikobewertung, technische Dokumentation und laufender Umgang mit Schwachstellen erforderlich. Selbstbewertung bedeutet weder fehlende Nachweise noch fehlende Verantwortung. Bei Klasse I und II kommt je nach Verfahren externe Beteiligung hinzu; die technische Arbeit am Produkt bleibt bestehen.
Roja bereitet Nachweise vor und unterstützt bei Änderungen am Produktcode. Wir sind keine benannte Stelle. Geeignete Labore übernehmen vereinbarte Tests, die zuständige Stelle ihre jeweilige Bewertungsaufgabe. Der Hersteller entscheidet und unterzeichnet die EU-Konformitätserklärung. Trennen Sie diese Rollen im Projektplan und halten Sie fest, welche Unterlagen für die externe Prüfung noch fehlen.
Die Einordnung überprüfbar dokumentieren
Ein guter Klassifizierungsvermerk nennt Produkt und Version, Hauptfunktion, Verwendungszweck sowie die geprüften Kategorien. Er erklärt die Zuordnung und dokumentiert verbleibende Fragen. Bei mehreren Firmwarezweigen oder einer notwendigen Begleit-App muss er die Produktgrenze verständlich machen. Verknüpfen Sie ihn mit Architektur, Komponentenübersicht und den aktuellen Nutzerinformationen.
Besprechen Sie neue Funktionen im Releaseprozess erneut. Ein verändertes Sicherheitsmerkmal oder eine neue Zielgruppe kann eine frühere Annahme infrage stellen. Bewahren Sie deshalb nicht nur das Ergebnis, sondern auch seine Begründung auf. Der CRA-Leitfaden ordnet die Klasse in den Lebenszyklus ein. Die SBOM-Seite und die Meldepflicht nach Artikel 14 verbinden sie mit der laufenden technischen Arbeit.
Häufige Fragen
Kann ein Klasse-I-Produkt immer selbst bewertet werden?
Nein. Die Selbstbewertung ist an die einschlägigen Voraussetzungen gebunden. Sind diese nicht erfüllt, ist eine dritte Stelle einzubeziehen.
Sind Sicherheitskameras und Babyphones gewöhnliche Standardprodukte?
Sie sind Klasse-I-Beispiele für vernetzte Produkte mit Sicherheitsfunktionen. Die genaue Einordnung ist anhand der konkreten Hauptfunktion und der vollständigen Kategorien zu prüfen.
Quellen
- Verordnung (EU) 2024/2847 – deutsche Fassung auf EUR-Lex
- ENISA: Fragen zur Single Reporting Platform
Allgemeine technische Informationen, geprüft am oben genannten Datum. Produktbezogene Auslegung, aktuelle Normen und das anwendbare Verfahren sind vor einer Konformitätsentscheidung gesondert zu prüfen.