Der Cyber Resilience Act, Verordnung (EU) 2024/2847, stellt an jedes Produkt mit digitalen Elementen im Anwendungsbereich dieselben grundlegenden Anforderungen. Was sich je nach Produkt unterscheidet, ist, wie Sie nachweisen, dass Sie sie erfüllen. Artikel 32 lässt die meisten Hersteller selbst bewerten; für die in Anhang III aufgeführten Produkte engt er die Möglichkeiten ein, und für die drei Kategorien in Anhang IV verweist er auf die europäische Zertifizierung. Nach der Frage des Anwendungsbereichs, die wir gesondert aufgeschrieben haben, lautet die nächste also: Steht mein Produkt auf einer der Listen?

Dieser Artikel gibt beide Listen wörtlich wieder. Es gibt ihn, weil die Listen, die im Netz kursieren, oft aus dem Kommissionsvorschlag von 2022 stammen, der 23 Zeilen in Klasse I und 15 in Klasse II hatte, Betriebssysteme, Allzweck-Mikroprozessoren und Public-Key-Infrastrukturen in Klasse II einordnete und alles anders nummerierte. Der endgültige Text ist kürzer und anders, und ein Hersteller, der gegen den Vorschlag einstuft, bekommt die falsche Antwort.

Die drei Stufen, und was jede ändert

Alles im Anwendungsbereich, das auf keiner Liste steht, ist Standard. Nach Artikel 32 Absatz 1 kann ein Standardprodukt vom Hersteller allein im Verfahren der internen Fertigungskontrolle (Modul A des Anhangs VIII) bewertet werden oder, wenn der Hersteller es vorzieht, über einen der Wege mit Drittstelle.

Wichtig, Klasse I (Anhang III, 19 Kategorien). Die Selbstbewertung bleibt nur möglich, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung mit Vertrauenswürdigkeitsstufe mindestens „mittel“ anwendet, und zwar vollständig. Wo es diese nicht gibt oder sie nur teilweise angewandt werden, verlangt Artikel 32 Absatz 2 eine notifizierte Stelle: EU-Baumusterprüfung mit anschließender Konformität mit der Bauart (Module B und C) oder umfassende Qualitätssicherung (Modul H). Stand September 2026 ist keine harmonisierte Norm zum CRA im Amtsblatt veröffentlicht, also lautet die praktische Antwort für ein Produkt der Klasse I heute: notifizierte Stelle; und auch nach dem CRA ist noch keine Stelle notifiziert, sodass es vorerst keinen Weg gibt, den man abschließen könnte, nur eine Dokumentation, die man vorbereiten kann.

Wichtig, Klasse II (Anhang III, 4 Kategorien). Artikel 32 Absatz 3: eine notifizierte Stelle nach den Modulen B und C oder Modul H, oder ein europäisches Schema für die Cybersicherheitszertifizierung mit Vertrauenswürdigkeitsstufe mindestens „mittel“. Selbstbewertung ist keine Option.

Kritisch (Anhang IV, 3 Kategorien). Artikel 32 Absatz 4: ein europäisches Schema für die Cybersicherheitszertifizierung, wo die Kommission eines nach Artikel 8 Absatz 1 vorgeschrieben hat; andernfalls die Verfahren der Klasse II.

Zwei Dinge ändert die Stufe nicht. Die grundlegenden Anforderungen in Anhang I sind für alle vier Stufen dieselben. Und die Meldepflicht aus Artikel 14, in Kraft seit dem 11. September 2026, gilt für ein Standardprodukt genauso wie für ein kritisches: 24 Stunden bis zur Frühwarnung, 72 bis zur Meldung, an das CSIRT Ihres Mitgliedstaats und an die ENISA.

Anhang III, Klasse I: wichtige Produkte

Fundstelle Wortlaut der Verordnung
Anhang III, Klasse I, Nummer 1 Identitätsmanagementsysteme sowie Software und Hardware für die Verwaltung privilegierter Zugänge bzw. Zugriffe, einschließlich Lesegeräte für die Authentifizierung und Zugangskontrolle, auch biometrische Lesegeräte
Anhang III, Klasse I, Nummer 2 eigenständige und eingebettete Browser
Anhang III, Klasse I, Nummer 3 Passwort-Manager
Anhang III, Klasse I, Nummer 4 Software für die Suche, Entfernung und Quarantäne von Schadsoftware
Anhang III, Klasse I, Nummer 5 Produkte mit digitalen Elementen mit der Funktion eines virtuellen privaten Netzes (VPN)
Anhang III, Klasse I, Nummer 6 Netzmanagementsysteme
Anhang III, Klasse I, Nummer 7 Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen (SIEM)
Anhang III, Klasse I, Nummer 8 Bootmanager
Anhang III, Klasse I, Nummer 9 Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate
Anhang III, Klasse I, Nummer 10 physische und virtuelle Netzschnittstellen
Anhang III, Klasse I, Nummer 11 Betriebssysteme
Anhang III, Klasse I, Nummer 12 Router, Modems für die Internetanbindung und Switches
Anhang III, Klasse I, Nummer 13 Mikroprozessoren mit sicherheitsrelevanten Funktionen
Anhang III, Klasse I, Nummer 14 Mikrocontroller mit sicherheitsrelevanten Funktionen
Anhang III, Klasse I, Nummer 15 anwendungsspezifische integrierte Schaltungen (ASIC) und FPGA (Field Programmable Gate Array) mit sicherheitsrelevanten Funktionen
Anhang III, Klasse I, Nummer 16 virtuelle Assistenten für die intelligente häusliche Umgebung mit allgemeinem Zweck
Anhang III, Klasse I, Nummer 17 Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen
Anhang III, Klasse I, Nummer 18 mit dem Internet verbundenes Spielzeug, das unter die Richtlinie 2009/48/EG des Europäischen Parlaments und des Rates fällt und über Funktionen zur sozialen Interaktion (z. B. sprechen oder filmen) oder zur Ortung verfügt
Anhang III, Klasse I, Nummer 19 am Körper tragbare Produkte, die zum Zwecke der Gesundheitsüberwachung (z. B. Tracking) bestimmt sind und nicht unter die Verordnungen (EU) 2017/745 oder (EU) 2017/746 fallen, oder am Körper tragbare Produkte, die für die Verwendung durch und für Kinder bestimmt sind

Anhang III, Klasse II: wichtige Produkte

Fundstelle Wortlaut der Verordnung
Anhang III, Klasse II, Nummer 1 Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen
Anhang III, Klasse II, Nummer 2 Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme
Anhang III, Klasse II, Nummer 3 manipulationssichere Mikroprozessoren
Anhang III, Klasse II, Nummer 4 manipulationssichere Mikrocontroller

Anhang IV: kritische Produkte

Fundstelle Wortlaut der Verordnung
Anhang IV, Nummer 1 Hardwaregeräte mit Sicherheitsboxen
Anhang IV, Nummer 2 Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung
Anhang IV, Nummer 3 Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente

Die Listen lesen

Sie beschreiben Funktionen, nicht Produktarten. „Produkte mit digitalen Elementen mit der Funktion eines virtuellen privaten Netzes“ erfasst einen Router mit VPN-Funktion, eine VPN-App und eine VPN-Bibliothek. „Mikroprozessoren mit sicherheitsrelevanten Funktionen“ ist enger als „Mikroprozessoren“, die der Vorschlag pauschal aufgeführt hatte. Lesen Sie die Zeile als eine Funktion, die Ihr Produkt ausführt, nicht als eine Kategorie, in der es verkauft wird.

Klasse II ist klein und konkret. Vier Zeilen: Hypervisoren und Container-Runtimes, Firewalls und Intrusion-Detection- oder -Prevention-Systeme, manipulationssichere Mikroprozessoren, manipulationssichere Mikrocontroller. Betriebssysteme, die der Vorschlag in Klasse II hatte, stehen im endgültigen Text in Klasse I.

Verbraucherprodukte stehen auf der Liste. Intelligente Türschlösser, Sicherheitskameras, Babyphone und Alarmanlagen, Allzweck-Assistenten für das intelligente Zuhause, vernetztes Spielzeug mit sozialer Interaktion oder Ortung und Wearables zur Gesundheitsüberwachung oder für Kinder sind alle Klasse I. Ein Hardware-Start-up, das eine Kamera mit App ausliefert, ist Hersteller eines wichtigen Produkts.

Open Source hat einen eigenen Weg. Artikel 32 Absatz 5: Ein freies und quelloffenes Produkt in einer Kategorie des Anhangs III darf weiterhin das Selbstbewertungsverfahren nutzen, sofern die technische Dokumentation beim Inverkehrbringen öffentlich zugänglich gemacht wird.

Gebühren müssen die Größe berücksichtigen. Artikel 32 Absatz 6 verlangt, dass die Gebühren für Konformitätsbewertungsverfahren den besonderen Interessen und Bedürfnissen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen, einschließlich Start-ups, Rechnung tragen und entsprechend verringert werden. Fragen Sie die notifizierte Stelle danach, bevor Sie ein Angebot annehmen.

Was Sie festhalten

Die Einstufung ist Teil der Feststellung des Anwendungsbereichs und gehört in die technische Dokumentation. Eine Zeile pro Produkt: Standard, oder der Anhang und die Nummer, unter die es fällt, mit zitiertem Wortlaut, und der Weg nach Artikel 32, der daraus folgt. Ließe sich ein Produkt in eine Zeile hineinlesen, schreiben Sie auf, warum Sie zu dem Schluss gekommen sind, dass es das tut oder nicht, denn diese Begründung ist das Erste, was eine Marktüberwachungsbehörde liest, und in den meisten Mitgliedstaaten ist diese Behörde noch nicht benannt.

Die Daten: Die Meldepflicht aus Artikel 14 gilt jetzt. Anhang I, die technische Dokumentation, die Konformitätsbewertung und die CE-Kennzeichnung gelten ab dem 11. Dezember 2027, und nach Artikel 69 unterliegt ein Produkt, das vor diesem Datum bereits auf dem Markt ist, ihnen nur, wenn es danach wesentlich verändert wird.

Seit dem 21. Dezember 2025 hat jede der 26 Kategorien eine technische Beschreibung in der Durchführungsverordnung (EU) 2025/2392 der Kommission, und die Leitlinien der Kommission vom 27. Juli 2026 sagen, dass allein die Kernfunktionalität die Einstufung bestimmt: alle 26 Beschreibungen wörtlich, mit den sechs Regeln und ihren Beispielen.

Quellen

  • Verordnung (EU) 2024/2847, Anhang III und Anhang IV (Wortlaut wörtlich, Fußnotenzeichen entfernt), Artikel 32 Absätze 1 bis 6, Artikel 8 Absatz 1, Artikel 14, Artikel 69, Artikel 71 Absatz 2, Anhang VIII für die Module. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026.
  • Der Kommissionsvorschlag von 2022, COM(2022) 454, für den früheren Anhang III, den manche Seiten noch wiedergeben.

Das ist keine Rechtsberatung. Die Listen sind zitiert, damit Sie gegen den Text einstufen können und nicht gegen unsere Lesart davon.