Artikel 32(1) des Cyber Resilience Act, Verordnung (EU) 2024/2847, lässt einen Hersteller die Konformität durch „das Verfahren der internen Kontrolle (auf der Grundlage von Modul A) gemäß Anhang VIII“ nachweisen, und für ein Produkt, das nicht in Anhang III oder IV steht, ist das der Weg, den fast alle nehmen werden. Welche Stufe ein Produkt hat, entscheidet, ob Modul A verfügbar ist; dieser Artikel handelt davon, was es enthält, wenn es das ist. Die Verordnung gibt ihm fünf Punkte in Anhang VIII Teil I. Die FAQ der Kommission zur Umsetzung, Version 1.4 vom 4. September 2026, Abschnitt 6, machen daraus eine Liste von Tätigkeiten und beantworten die Fragen, die folgen: welche Methodik, wie die Dokumentation aussehen muss, wo die CE-Kennzeichnung bei Software hingehört, was die Erklärung sagt und wann harmonisierte Normen existieren werden, gegen die man selbst bewerten kann.

Wer Modul A nutzen darf

Der FAQ-Eintrag 6.1 nennt drei Fälle. Jedes Produkt, „das nicht die Kernfunktionalität einer Kategorie wichtiger oder kritischer Produkte hat“, die Standardkategorie. Wichtige Produkte der Klasse I, „wenn eine harmonisierte Norm gemäß Artikel 32(2) angewandt wurde“. Und wichtige Produkte der Klasse I oder II, die freie und quelloffene Software sind, „sofern die technische Dokumentation gemäß Artikel 32(5) öffentlich zugänglich gemacht wird“. Produkte der Klasse II, die nicht quelloffen sind, und kritische Produkte brauchen eine notifizierte Stelle oder ein Zertifizierungsschema, und eine notifizierte Stelle nach der Verordnung existierte am Tag des Beginns der Meldepflicht nicht.

Die fünf Punkte des Anhangs VIII Teil I

Punkt 1 definiert das Verfahren: Interne Kontrolle ist das Verfahren, bei dem „der Hersteller die in den Nummern 2, 3 und 4 dieses Teils genannten Pflichten erfüllt und in alleiniger Verantwortung gewährleistet und erklärt, dass die Produkte mit digitalen Elementen alle grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I erfüllen und der Hersteller die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II erfüllt“. Beide Hälften des Anhangs I, die Produkteigenschaften und der Prozess der Schwachstellenbehandlung, und „alleinige Verantwortung“.

Punkt 2: „Der Hersteller erstellt die in Anhang VII beschriebene technische Dokumentation.“

Punkt 3, zu Konzeption, Entwicklung, Herstellung und Schwachstellenbehandlung: „Der Hersteller trifft alle erforderlichen Maßnahmen, damit die Prozesse der Konzeption, Entwicklung, Herstellung und Schwachstellenbehandlung und ihre Überwachung die Übereinstimmung der hergestellten oder entwickelten Produkte mit digitalen Elementen und der vom Hersteller eingerichteten Prozesse mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teile I und II gewährleisten.“ Dieser Satz ist alles, was „Bewertung“ in Modul A bedeutet: Maßnahmen, Prozesse und ihre Überwachung, auf Seiten des Herstellers.

Punkt 4: die CE-Kennzeichnung „an jedem einzelnen Produkt mit digitalen Elementen anbringen, das die geltenden Anforderungen erfüllt“, und „für jedes Produkt mit digitalen Elementen eine schriftliche EU-Konformitätserklärung gemäß Artikel 28 ausstellen und sie zusammen mit der technischen Dokumentation 10 Jahre nach dem Inverkehrbringen des Produkts mit digitalen Elementen oder für den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist, für die nationalen Behörden bereithalten“.

Punkt 5: Ein Bevollmächtigter darf Punkt 4 im Namen des Herstellers erfüllen, „sofern die entsprechenden Pflichten im Auftrag festgelegt sind“.

Die Tätigkeiten, die die FAQ auflisten

Eintrag 6.1 fasst das Verfahren als fünf Tätigkeiten: „die notwendigen Cybersicherheits-Minderungsmaßnahmen im Produkt nach der Risikobewertung umsetzen“; „durch Tests oder andere Mechanismen“ prüfen, dass das Produkt die einschlägigen grundlegenden Anforderungen erfüllt; die technische Dokumentation erstellen; sobald der Hersteller „in der Lage ist, nachzuweisen“, dass das Produkt konform ist, die CE-Kennzeichnung anbringen und „eine Konformitätserklärung ausstellen und unterzeichnen“; und „sicherstellen, dass die Herstellung der verschiedenen Einheiten des Produkts mit digitalen Elementen die Übereinstimmung nicht verändert“. Bei Software ist das Letzte der Release-Prozess: Das, was einen bewerteten Build in die Kopien verwandelt, die Kunden herunterladen, darf nicht ändern, was bewertet wurde, dieselbe Disziplin, die die wesentliche Änderung Release für Release verlangt.

Keine Methodik ist vorgeschrieben, und Tests sind nicht deterministisch

Eintrag 6.5 sagt, was viele Werkzeuganbieter lieber nicht hörten: „Der CRA schreibt keine bestimmte Bewertungsmethodik vor, auch keine Tests.“ Die Anwendung einer harmonisierten Norm oder technischen Spezifikation ist „gängige Praxis“, keine Pflicht. Tests dürfen „in eigenen Laboren, sofern vorhanden, oder in externen“ durchgeführt werden, die Verordnung „legt keine besonderen Anforderungen an Labore fest“, und „der Hersteller trägt die alleinige Verantwortung für die Konformitätsbewertung“. Marktüberwachungsbehörden „können bei den einschlägigen Inspektionen Tests oder Bewertungsverfahren durchführen“, dürfen die Methodik des Herstellers verwenden, „insbesondere wenn diese Methodik Teil einer harmonisierten Norm ist“, und „können auf begründeter Grundlage eine andere Methodik anwenden“. Der letzte Satz der FAQ zu diesem Punkt ist der, den man behalten sollte: „Cybersicherheitstests sind nicht deterministisch wie in anderen NLF-regulierten Bereichen, und die Ergebnisse sind möglicherweise nicht eindeutig.“ Die Verteidigung ist eine dokumentierte Methode und der Nachweis, sie angewandt zu haben, nicht ein bestimmtes Werkzeug.

Die technische Dokumentation: jede Sprache, nicht öffentlich, umfassend und klar

Eintrag 6.6: Die Dokumentation „muss die in Anhang VII festgelegten Elemente enthalten“, Punkt für Punkt. Sie „ist nicht nur ein internes Arbeitsergebnis, sondern kann von den Marktüberwachungsbehörden angefordert werden“, weshalb „sie umfassend und klar sein muss“, und der Hersteller „muss nachweisen können, dass das Produkt so konzipiert, entwickelt und hergestellt wurde, dass es die grundlegenden Anforderungen erfüllt“, was „Spezifikationen der Prozesse der Schwachstellenbehandlung einschließt“. Sie „kann in jeder Sprache verfasst werden“, aber wenn eine Behörde sie anfordert, „muss sie in einer für diese Behörde leicht verständlichen Sprache vorgelegt werden“. Und es besteht „keine Pflicht, die technische Dokumentation den Kunden des Herstellers oder der Öffentlichkeit zugänglich zu machen“, mit einer Ausnahme: Open-Source-Hersteller von Produkten der Klasse I oder II, die nach Artikel 32(5) selbst bewerten, deren Dokumentation öffentlich sein muss.

Die CE-Kennzeichnung, bei Software

Eintrag 6.7 mit Artikel 30(1): Bei Produkten „in Form von Software wird die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung gemäß Artikel 28 oder auf der Website angebracht, die das Softwareprodukt begleitet. Im letzteren Fall muss der betreffende Abschnitt der Website für Verbraucher leicht und unmittelbar zugänglich sein.“ Die Kennzeichnung ist „eine einfache visuelle Eigenerklärung“, sie „darf nicht angebracht werden, wenn der Hersteller kein Konformitätsbewertungsverfahren mit positivem Ergebnis durchgeführt hat“, und auf physischen Produkten ist sie mindestens 5 mm groß. Der Artikel zur CE-Kennzeichnung hat den Rest.

Die Konformitätserklärung: zwei Formen, eine je Produkt

Eintrag 6.8 mit Artikel 28 und den Anhängen V und VI. Die vollständige Erklärung folgt Anhang V: Name und Typ des Produkts und „alle zusätzlichen Informationen, die die eindeutige Identifizierung ermöglichen“, Name und Anschrift des Herstellers, „eine Erklärung, dass die EU-Konformitätserklärung in alleiniger Verantwortung des Anbieters ausgestellt wird“, der Gegenstand der Erklärung, die Erklärung der Übereinstimmung mit den einschlägigen Harmonisierungsrechtsvorschriften der Union, „Verweise auf die einschlägigen verwendeten harmonisierten Normen oder sonstigen gemeinsamen Spezifikationen oder Cybersicherheitszertifizierungen, für die die Konformität erklärt wird“, die notifizierte Stelle, wo eine beteiligt war, und eine Unterschrift mit Ort, Datum, Name und Funktion. Die vereinfachte Erklärung nach Anhang VI ist ein Satz mit der Adresse der vollständigen: „Hiermit erklärt … [Name des Herstellers], dass das Produkt mit digitalen Elementen des Typs … der Verordnung (EU) 2024/2847 entspricht. Der vollständige Text der EU-Konformitätserklärung ist unter der folgenden Internetadresse verfügbar: …“.

Drei FAQ-Punkte dazu: Die Erklärung „ist ein Dokument, das an das einzelne Produkt gebunden ist und nicht nur an den Typ oder das Modell“, obwohl „sie die eindeutige Kennung nicht enthalten muss“; „eine neue Version des Produkts kann eine neue Konformitätserklärung erfordern, insbesondere wenn sie eine wesentliche Änderung umsetzt“; und wo mehrere Rechtsakte der Union gelten, verlangt Artikel 28(3) „eine einzige Konformitätserklärung für alle diese Rechtsakte der Union“, die „ein Dossier aus den einschlägigen einzelnen Konformitätserklärungen sein kann“.

Harmonisierte Normen: woran Selbstbewertung gemessen wird

Bis die Fundstelle einer harmonisierten Norm im Amtsblatt veröffentlicht ist, bedeutet Modul A, direkt gegen Anhang I zu bewerten und „die gewählten Lösungen“ zu dokumentieren, wie Anhang VII Nummer 5 es ausdrückt. Eintrag 6.10 gibt den Plan. Der Normungsauftrag M/606 hat CEN, CENELEC und ETSI um 15 horizontale Normen gebeten, gebündelt in drei Lieferungen: eine zur Konzeption, Entwicklung und Herstellung von Produkten, „so dass sie ein dem Risiko angemessenes Cybersicherheitsniveau gewährleisten“, und eine zur Schwachstellenbehandlung, beide „von den ESOs bis zum 30. August 2026 anzunehmen“; und eine zu den Produkteigenschaften in Anhang I Teil I, „von den ESOs bis zum 30. Oktober 2027 anzunehmen“. Er hat 26 vertikale Normen angefordert, „die die ESOs in 31 getrennten Lieferungen bearbeiten“, für die Kategorien der Anhänge III und IV, „von den ESOs bis zum 30. Oktober 2026 anzunehmen“. Annahme durch die Normungsorganisationen ist keine Veröffentlichung: Nach Artikel 27(6) bewertet die Kommission jede Norm dann nach der Verordnung (EU) Nr. 1025/2012, bevor sie sie anführt. Ein im Juli 2026 veröffentlichter Entwurf zur Änderung des Auftrags verschiebt die Daten für 2026 um etwa zwei Monate nach hinten, und der eigene Satz der FAQ zu diesem Punkt bleibt unverändert: „Die Anwendung harmonisierter Normen ist freiwillig“, und Konformität „durch andere technische Mittel“, dokumentiert in der technischen Dokumentation, bleibt offen.

Für ein Standardprodukt heißt das, dass die Selbstbewertung, die Sie 2027 durchführen, die ist, die Anhang VIII beschreibt, mit oder ohne Norm: die Risikobewertung, die Maßnahmen, die Prüfung, die Dokumentation, die Kennzeichnung, die Erklärung. Für ein Produkt der Klasse I heißt es, dass der Weg der Selbstbewertung sich erst öffnet, wenn die vertikale Norm für seine Kategorie angeführt ist, und die in der Zwischenzeit gegen Anhang I aufgebaute Dokumentation das ist, was die notifizierte Stelle, wenn es eine gibt, lesen wird.

Was aufzubewahren ist

Die Modul-A-Aufzeichnung für ein Produkt ist kurz: die Risikobewertung und die Maßnahmen, zu denen sie geführt hat; die Methode, mit der jede grundlegende Anforderung geprüft wurde, und ihre Ergebnisse, datiert; die technische Dokumentation nach Anhang VII; die Erklärung in der Form des Anhangs V, unterzeichnet, mit dem Satz aus Anhang VI, wo er das Produkt begleitet; der Ort der CE-Kennzeichnung, Erklärung oder Website; und die Release-Kontrolle, die ausgelieferte Kopien gleich dem bewerteten Build hält. StandardOS führt die technische Dokumentation und ihre Nachweise als lebende Aufzeichnungen mit der zehnjährigen Aufbewahrung, die Anhang VIII Nummer 4.2 festlegt, länger als die meisten Unternehmen irgendetwas aufbewahren.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 27(1) und (6), Artikel 28, Artikel 30(1), Artikel 32(1), (2) und (5), Anhang V, Anhang VI, Anhang VII Nummer 5, Anhang VIII Teil I.
  • Europäische Kommission, FAQ zum Cyber Resilience Act, Version 1.4 vom 4. September 2026, Einträge 6.1, 6.5, 6.6, 6.7, 6.8, 6.9 und 6.10.
  • Europäische Kommission, Normungsauftrag M/606, C(2025) 618, und der Änderungsentwurf vom Juli 2026.

Dies ist keine Rechtsberatung. Anhang VIII Teil I sind fünf Punkte auf einer Seite, und Abschnitt 6 der FAQ sind acht; zusammen sind sie die Definition von „Selbstbewertung“ und lesenswert, bevor man ein Werkzeug kauft, das sie verspricht.