Der Cyber Resilience Act, Verordnung (EU) 2024/2847, teilt Produkte mit digitalen Elementen in vier Stufen ein. Alles im Anwendungsbereich ist „Standard“, es sei denn, es hat die Kernfunktionalität einer der 19 Kategorien der Klasse I oder der 4 Kategorien der Klasse II des Anhangs III, was es „wichtig“ macht, oder einer der 3 Kategorien des Anhangs IV, was es „kritisch“ macht. Die Stufe entscheidet über das Konformitätsbewertungsverfahren, nicht darüber, ob die Verordnung gilt. Die Anhänge nennen jede Kategorie in einer Zeile. Artikel 7(4) beauftragte die Kommission, die technische Beschreibung jeder Kategorie festzulegen, und die Durchführungsverordnung (EU) 2025/2392 der Kommission vom 28. November 2025 tut das in zwei Anhängen: veröffentlicht im Amtsblatt am 1. Dezember 2025, in Kraft seit dem 21. Dezember 2025.
Die Beschreibungen sind der Text, an dem eine notifizierte Stelle und eine Marktüberwachungsbehörde die Einstufung messen. Die Leitlinien der Kommission zur Anwendung der Verordnung, C(2026) 5252 vom 27. Juli 2026, Abschnitt 6, sagen, wie man sie liest. Dieser Artikel gibt beides: die sechs Regeln der Leitlinien mit ihren Beispielen und alle 26 Beschreibungen wörtlich, im Wortlaut des Amtsblatts für diese Sprache.
Der Test: Kernfunktionalität
Randnummer 139 der Leitlinien: „Die Kernfunktionalität eines Produkts mit digitalen Elementen bezeichnet die Hauptmerkmale und technischen Fähigkeiten dieses Produkts, ohne die es seine Zweckbestimmung nicht erfüllen könnte.“ Sie wird „im Lichte des konkreten Kontexts und der Nutzungsbedingungen des Produkts“ beurteilt, unter Berücksichtigung „der Informationen, die der Hersteller in der Gebrauchsanweisung, in Werbe- oder Verkaufsunterlagen und -aussagen sowie in der technischen Dokumentation bereitstellt“. Erwägungsgrund 2 der Durchführungsverordnung sagt dasselbe in einem Satz: Nach den Artikeln 7(1) und 8(1) „bestimmt die Kernfunktionalität eines Produkts mit digitalen Elementen, ob dieses Produkt mit digitalen Elementen der technischen Beschreibung einer Kategorie entspricht“.
Sechs Regeln folgen daraus, jede mit einem Beispiel in den Leitlinien.
1. Nebenfunktionen ändern die Stufe nicht. Randnummer 140: Produkte „erfüllen oft, wenn nicht immer, zusätzliche Funktionen, die nicht zur Kernfunktionalität des Produkts beitragen“, und das Ausführen von Funktionen, „die über die in der Beschreibung einer Kategorie genannten hinausgehen oder zu ihnen hinzukommen“, „hindert das Produkt an sich nicht daran, eine solche Kernfunktionalität zu haben“. Erwägungsgrund 4 der Durchführungsverordnung gibt das Beispiel: Betriebssysteme „enthalten oft Software, die Nebenfunktionen ausführt, die in der technischen Beschreibung dieser Produktkategorie nicht enthalten sind, etwa Taschenrechner oder einfache Grafikeditoren“.
2. Ein wichtiges oder kritisches Produkt zu integrieren macht Sie nicht zu einem. Randnummer 141, unter Verweis auf Artikel 7(1): „Die bloße Integration eines wichtigen oder kritischen Produkts mit digitalen Elementen macht das Produkt mit digitalen Elementen an sich nicht zu einem wichtigen oder kritischen Produkt.“ Beispiel 58 ist ein Smartphone: Es integriert ein Betriebssystem, aber „das Smartphone als Ganzes hat eine andere Kernfunktionalität“. Erwägungsgrund 3 der Durchführungsverordnung verwendet eine Nachrichten-App mit eingebettetem Browser, die dadurch kein Browser wird, während der Hersteller weiterhin „die Sicherheit des gesamten Produkts bewerten muss, gegebenenfalls unter Berücksichtigung der Sicherheit der Komponenten“.
3. Wesentlich mehr oder wesentlich weniger ist ein anderes Produkt. Randnummer 142: Ein Produkt kann einer Kategorie ähneln, „doch seine Kernfunktionalität kann diese wesentlich übersteigen oder wesentlich dahinter zurückbleiben“. Beispiel 59: SOAR-Software kann, was ein SIEM tut, aber ihre Kernfunktionalität „geht wesentlich über die eines SIEM hinaus, einschließlich Diensten wie der Reaktion auf Vorfälle“, weshalb sie „in der Regel nicht als Produkt mit der Kernfunktionalität von SIEM-Systemen gilt“. Beispiel 60: Werkzeuge zur Protokollsammlung und -visualisierung, die Dashboards zeigen, „führen keine Datenkorrelation durch und liefern keine verwertbaren Sicherheitserkenntnisse“, bleiben also hinter einem SIEM zurück. Zusatzfunktionen, die eine passende Kernfunktionalität „lediglich ergänzen oder erweitern“, nehmen das Produkt nicht heraus.
4. Sie können sich nicht herausbeschreiben. Randnummer 143: Ein Hersteller „darf die Kernfunktionalität nicht falsch darstellen“, um einem strengeren Regime zu entgehen, „z. B. indem er die Rolle bestimmter Funktionen überbetont oder herunterspielt“, und „klare Widersprüche zwischen Werbematerial, Gebrauchsanweisung und technischer Dokumentation“ sind es, woran sich das zeigen würde.
5. Eine Kernfunktionalität je Produkt, in die technische Dokumentation geschrieben. Randnummer 144: Ein Produkt „darf für die Bestimmung des anwendbaren Konformitätsbewertungsregimes nicht mehr als eine Kernfunktionalität haben“, und da Anhang VII verlangt, Zweckbestimmung und Konformitätsverfahren zu beschreiben, „sollte die Kernfunktionalität des Produkts daher eindeutig benannt werden“.
6. Separat verkaufte Module sind eigene Produkte. Randnummer 145: Wo Module einer Suite „zum separaten Kauf, zur separaten Lizenzierung oder zum separaten Abonnement angeboten werden“, „stellen sie eigenständige Produkte mit digitalen Elementen dar“, die nach ihrer eigenen Kernfunktionalität eingestuft werden. Beispiel 61 ist eine Sicherheits-Suite, deren SIEM-Modul Klasse I ist, deren Intrusion-Detection-Modul Klasse II ist und deren Analysemodul Standard ist. Module, „die ausschließlich als Komponenten eines integrierten Produkts mit digitalen Elementen geliefert und nicht separat bereitgestellt werden“, werden auf Ebene des integrierten Produkts eingestuft.
Was die Stufe ändert, und was nicht
Abschnitt 6.2 wiederholt Artikel 32. Standardprodukte haben immer das interne Kontrollverfahren, Modul A. Produkte der Klasse I haben es nur, wo eine harmonisierte Norm, eine gemeinsame Spezifikation oder ein Zertifizierungsschema mit Vertrauenswürdigkeitsstufe „substanziell“ vollständig angewandt wird; Randnummer 149 ergänzt, dass „der Anwendungsbereich der Norm mindestens alle mit der Kernfunktionalität des Produkts verbundenen Cybersicherheitsrisiken abdecken muss“, und Randnummer 151, dass Risiken zusätzlicher Funktionen dann „auf andere Weise“ abgedeckt und dokumentiert werden müssen. Beispiel 62 ist ein Antivirenprogramm mit Festplattenbereinigung und Anti-Tracking-Funktion: eine harmonisierte Norm für den Kern, zusätzliche Maßnahmen für den Rest, und das interne Kontrollverfahren für das Ganze. Beispiel 63 ist ein Router mit integrierter Firewall: eingestuft als Router, Klasse I, obwohl Firewalls Klasse II sind, denn „es ist die Kernfunktionalität des Produkts mit digitalen Elementen als Ganzes und nicht die Funktionalität der einzeln betrachteten integrierten Komponenten, die“ die Stufe bestimmt (Randnummer 152). Produkte der Klasse II und kritische Produkte brauchen eine notifizierte Stelle oder ein Zertifizierungsschema, mit der Open-Source-Ausnahme des Artikels 32(5). Randnummer 146 merkt an, dass Verstöße gegen Artikel 32 „Geldbußen gemäß Artikel 64(3) nach sich ziehen können“.
Nichts davon berührt die Meldepflicht: Artikel 14 gilt für jede Stufe gleich.
Die 26 Beschreibungen, wörtlich
Die Kategorienamen sind Anhang III und IV der Verordnung; die Beschreibungen sind Anhang I und II der Durchführungsverordnung, Fußnotenzeichen entfernt, Absätze zusammengefügt. Wo das Amtsblatt „zu dieser Kategorie gehören unter anderem“ sagt, zählt es Beispiele auf und definiert nicht die Kategorie.
| Ref. | Kategorie (Anhang III / IV) | Technische Beschreibung (Durchführungsverordnung 2025/2392) |
|---|---|---|
| III.I.1 | Identitätsmanagementsysteme sowie Software und Hardware für die Verwaltung privilegierter Zugänge, einschließlich Lesegeräte für die Authentifizierung und Zugangskontrolle, auch biometrische Lesegeräte | Identitätsmanagementsysteme sind Produkte mit digitalen Elementen, die Mechanismen für die Authentifizierung oder Autorisierung bieten wie auch Mechanismen für das Lebenszyklusmanagement von Identitätsnachweisen natürlicher Personen, juristischer Personen, von Geräten oder Systemen, wie etwa Identitätsregistrierung, -bereitstellung, -pflege und Streichung von Registrierungsdaten, bieten können. Zu diesen Systemen gehören Zugangsverwaltungssysteme, die den Zugang für natürliche Personen, juristische Personen, Geräte oder Systeme zu digitalen Ressourcen oder physischen Standorten kontrollieren. Software für die Verwaltung privilegierter Zugänge ist ein Zugangsverwaltungssystem, das die Zugangsrechte zu IT- oder OT-Systemen und sensiblen Informationen innerhalb einer Organisation kontrolliert und überwacht, einschließlich Systemen zur Durchsetzung differenzierter Zugangskontrollkonzepte für privilegierte Nutzer. Zu dieser Kategorie gehören unter anderem Lesegeräte für die Authentifizierung und Zugangskontrolle, biometrische Lesegeräte, Single-Sign-On-Software, föderierte Identitätsmanagementsoftware, Einmalpasswort-Software, Hardware-Authentifizierungsgeräte wie Generatoren für Transaktionsnummern (TAN-Generatoren), Authentifizierungssoftware und Multi-Faktor-Authentifizierungssoftware. |
| III.I.2 | eigenständige und eingebettete Browser | Softwareprodukte mit digitalen Elementen, die es Endnutzern ermöglichen, auf Webinhalte und -dienste zuzugreifen, diese bereitzustellen und zu nutzen, die auf Servern gehostet werden, welche mit Netzwerken wie beispielsweise dem Internet verbunden sind. Sie umfassen üblicherweise eine Browser-Engine für die Interpretation und das Anzeigen von Inhalten in Auszeichnungssprachen (z. B. HTML), die Unterstützung von Netzwerkprotokollen (z. B. HTTP, HTTPS), die Fähigkeit zur Ausführung von Skripten und zur Verwaltung von Nutzereingaben sowie die Speicherung vorübergehender oder dauerhafter Daten von Websites (Cookies). Diese Kategorie umfasst unter anderem eigenständige Anwendungen, die die Funktionen von Browsern erfüllen, eingebettete Browser, die für die Integration in ein anderes System oder eine andere Anwendung bestimmt sind, sowie Browser mit integrierten KI-Agenten. |
| III.I.3 | Passwort-Manager | Produkte mit digitalen Elementen, die Passwörter lokal auf einem Gerät oder auf einem entfernten Server speichern, einschließlich Tätigkeiten wie der Generierung von Passwörtern sowie der gemeinsamen Nutzung von Passwörtern und der Integration in lokale Anwendungen oder Anwendungen Dritter für die Nutzung von Passwörtern. Diese Kategorie umfasst unter anderem lokale Passwort-Manager, Passwort-Manager, die als Browser-Erweiterungen bereitgestellt werden, Passwort-Manager für Unternehmen sowie hardwarebasierte Passwort-Manager. |
| III.I.4 | Software für die Suche, Entfernung und Quarantäne von Schadsoftware | Softwareprodukte mit digitalen Elementen, üblicherweise als Antiviren- oder Anti-Malware-Software bezeichnet, die Schadsoftware oder -codes auf Geräten erkennen oder suchen oder diese Software oder diese Codes entfernen oder unter Quarantäne stellen, um die Integrität, Vertraulichkeit oder Verfügbarkeit solcher Geräte zu wahren. Im Zusammenhang mit dieser Produktkategorie bezeichnet Schadsoftware eine Software, die bösartige Merkmale oder Fähigkeiten aufweist, die dem Nutzer und/oder dem Computersystem direkt oder indirekt Schaden zufügen können wie etwa Viren, Würmer, Ransomware, Spähsoftware und Trojaner. Zu dieser Kategorie gehört unter anderem Software, die Schadsoftware in Echtzeit oder manuell aufspürt oder sucht, sowie Rootkit-Aufspür-Software und Notfall-CD-Software mit der Kernfunktion, Schadsoftware zu suchen, zu entfernen oder in Quarantäne zu stellen. |
| III.I.5 | Produkte mit digitalen Elementen mit der Funktion eines virtuellen privaten Netzes (VPN) | Produkte mit digitalen Elementen, die einen logischen verschlüsselten Tunnel einrichten, der aus den Systemressourcen eines physischen oder virtuellen Netzes hergestellt wird. Zu dieser Kategorie gehören unter anderem VPN-Clients, VPN-Server und VPN-Gateways. |
| III.I.6 | Netzmanagementsysteme | Produkte mit digitalen Elementen, die verbundene Netzkomponenten wie Server, Router, Switches, Arbeitsplatzrechner, Drucker oder mobile Geräte verwalten, indem sie sie überwachen und ihren Netzbetrieb und ihre Konfiguration kontrollieren. Diese Kategorie umfasst unter anderem Ende-zu-Ende-Managementsysteme und spezielle Konfigurationsmanagementsysteme wie etwa Controller für softwaredefinierte Netzwerke. |
| III.I.7 | Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen (SIEM) | Produkte mit digitalen Elementen, die Daten aus verschiedenen Quellen erheben, diese Daten analysieren und in Korrelation setzen und sie zu sicherheitsrelevanten Zwecken, etwa zur Erkennung von Bedrohungen und Vorfällen, zur forensischen Analyse oder hinsichtlich der Einhaltung von Vorschriften, als verwertbare Informationen bereitstellen. |
| III.I.8 | Bootmanager | Softwareprodukte mit digitalen Elementen, die den Vorgang des Systemstarts nach dem Einschalten/Neustart des Systems steuern, indem sie die Hardware initialisieren, die Betriebssystemumgebung oder Systemressourcen laden bzw. die Steuerung an diese abgeben und Bootoptionen auswählen. Zu dieser Kategorie gehören unter anderem UEFI-Firmware oder einstufige und mehrstufige Bootloader. |
| III.I.9 | Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate | Produkte mit digitalen Elementen, die als Teil einer Public-Key-Infrastruktur (PKI) verwendet werden und die die Validierung, Erstellung, Ausstellung, Verbreitung, den Stand der Veröffentlichung, die Erneuerung oder den Widerruf digitaler Zertifikate oder die Erzeugung, Speicherung, Hinterlegung, den Austausch, die Vernichtung oder Rotation von kryptografischen Schlüsseln, die mit solchen digitalen Zertifikaten verbunden sind, verwalten. Diese Kategorie umfasst unter anderem Schlüsselmanagementsysteme, Managementsysteme für digitale Zertifikate, Online Certificate Status Protocol Responder und ganzheitliche PKI-Lösungen. |
| III.I.10 | physische und virtuelle Netzschnittstellen | Physische Netzschnittstellen sind Produkte mit digitalen Elementen, die ein Gerät über eine von den Schnittstellentreibern – die üblicherweise Teil der Sicherungsschicht sind – bereitgestellte Anwendungsprogrammierschnittstelle (API) direkt mit einem Netz verbinden, und verfügen über Hardware-Adapter zu den Übertragungsmedien mit entsprechender Firmware – die üblicherweise Teil der Bitübertragungsschicht und der Sicherungsschicht sind. Virtuelle Netzschnittstellen sind Produkte mit digitalen Elementen, die ein Gerät direkt oder indirekt über eine API mit einem Netz verbinden, wobei diese API die von Treibern physischer Netzschnittstellen bereitgestellte Schnittstelle emuliert, die üblicherweise Teil der Sicherungsschicht sind. Diese Kategorie umfasst unter anderem drahtgebundene und drahtlose Netzschnittstellenkarten, Controller und Adapter wie WLAN, Ethernet, IrDA, USB, Bluetooth, NearLink, Zigbee oder Feldbus sowie rein virtuelle eigenständige Produkte wie virtuelle Netzschnittstellenkarten, Container-Netzschnittstellen und VPN-Schnittstellen. |
| III.I.11 | Betriebssysteme | Softwareprodukte mit digitalen Elementen, die eine abstrakte Schnittstelle der zugrunde liegenden Hardware bereitstellen und die Ausführung von Software steuern und Dienste wie Rechenressourcenmanagement und -konfiguration, Planung, Ein-Ausgabe-Steuerung, Datenverwaltung und Bereitstellung einer Schnittstelle für die Interaktion von Anwendungen mit Systemressourcen und Peripheriegeräten erbringen können. Zu dieser Kategorie gehören unter anderem Echtzeit-Betriebssysteme, allgemeine und spezielle Betriebssysteme. |
| III.I.12 | Router, Modems für die Internetanbindung und Switches | Router sind Produkte mit digitalen Elementen, die den Datenfluss zwischen verschiedenen Netzen durch die Auswahl von Pfaden oder Routen unter Verwendung von Routingprotokoll-Mechanismen und -Algorithmen ermöglichen und steuern und üblicherweise Teil der Vermittlungsschicht sind. Zu dieser Kategorie gehören unter anderem drahtgebundene und drahtlose Router, virtuelle Router und Router mit oder ohne Modems. Modems für die Internetanbindung sind Hardwareprodukte mit digitalen Elementen, die digitale Modulations- und Demodulationsverfahren verwenden, um analoge Signale von digitalen Signalen und in digitale Signale für die IP-gestützte Kommunikation umzuwandeln. Zu dieser Kategorie gehören unter anderem Glasfasermodems, DSL-Modems, Kabelmodems (DOCSIS), Satellitenmodems und zellulare Modems. Switches sind Produkte mit digitalen Elementen, die die Konnektivität zwischen vernetzten Geräten durch Paketweiterleitungsmechanismen ermöglichen, über eine Managementebene verfügen und die üblicherweise Teil der Sicherungsschicht oder der Vermittlungsschicht sind. Diese Kategorie umfasst unter anderem Managed Switches, Smart Switches, Multilayer Switches, Virtual Security Switches, programmierbare Switches für softwaredefinierte Netzwerke und Bridges wie etwa drahtlose Zugangspunkte. |
| III.I.13 | Mikroprozessoren mit sicherheitsrelevanten Funktionen | Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die als Hauptprozessor fungieren und externer Speicher und Peripheriegeräten bedürfen, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben dem Mikroprozessor selbst zu sichern, wie etwa eine sichere Boot Chain, Virtualisierung oder sichere Kommunikationsschnittstellen. |
| III.I.14 | Mikrocontroller mit sicherheitsrelevanten Funktionen | Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die als Hauptprozessor fungieren und einen Speicher integrieren, wodurch der Mikrocontroller programmierbar wird, sowie um andere Peripheriegeräte, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben dem Mikrocontroller selbst zu sichern, wie etwa sichere Bootketten, Virtualisierung oder sichere Kommunikationsschnittstellen. |
| III.I.15 | anwendungsspezifische integrierte Schaltungen (ASIC) und FPGA (Field Programmable Gate Array) mit sicherheitsrelevanten Funktionen | Anwendungsspezifische integrierte Schaltungen (ASIC) mit sicherheitsrelevanten Funktionen sind Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die vollständig oder teilweise maßgeschneidert sind und dazu konzipiert wurden, eine bestimmte Funktion auszuführen oder eine bestimmte Anwendung zu implementieren, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben den ASIC selbst zu sichern, wie etwa sichere Bootketten, Virtualisierung oder sichere Kommunikationsschnittstellen. FPGAs (Field Programmable Gate Arrays) mit sicherheitsrelevanten Funktionen sind Produkte mit digitalen Elementen, bei denen es sich um integrierte Schaltungen handelt, die durch eine Matrix konfigurierbarer Logikblöcke gekennzeichnet sind und nach der Herstellung zur Ausführung einer bestimmten Funktion oder zur Implementierung einer bestimmten Anwendung reprogrammierbar sind, einschließlich Mikrocode und anderer Low-Level-Firmware. Darüber hinaus stellen sie sicherheitsrelevante Funktionen wie Verschlüsselung, Authentifizierung, sichere Schlüsselspeicherung, Zufallszahlengenerierung, vertrauenswürdige Ausführungsumgebung oder andere hardwarebasierte Sicherheitsmechanismen bereit, die darauf abzielen, andere Produkte, Netze oder Dienste neben den FPGAs selbst zu sichern, wie etwa sichere Bootketten, Virtualisierung oder sichere Kommunikationsschnittstellen. |
| III.I.16 | virtuelle Assistenten für die intelligente häusliche Umgebung mit allgemeinem Zweck | Produkte mit digitalen Elementen, die – direkt oder über andere Geräte – via öffentliches Internet kommunizieren, die Anforderungen, Aufgaben oder Fragen auf der Grundlage natürlicher Sprache bearbeiten, etwa durch Audio- oder schriftliche Eingaben, und die auf der Grundlage dieser Anforderungen, Aufgaben oder Fragen Zugang zu anderen Diensten gewähren oder die Funktionen vernetzter Geräte in Wohnumgebungen steuern. Diese Kategorie umfasst unter anderem intelligente Lautsprecher mit einem integrierten virtuellen Assistenten und eigenständige virtuelle Assistenten, die dieser Beschreibung entsprechen. |
| III.I.17 | Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen | Produkte mit digitalen Elementen, die die physische Sicherheit von Verbrauchern in einer Wohnumgebung schützen und die von anderen Systemen ferngesteuert oder aus der Ferne verwaltet werden können, sowie Hardware und Software, die die zentrale Steuerung solcher Produkte ermöglichen. Zu dieser Kategorie gehören unter anderem intelligente Türschlösser, Babyüberwachungssysteme, Alarmanlagen und Heimüberwachungskameras. |
| III.I.18 | mit dem Internet verbundenes Spielzeug, das unter die Richtlinie 2009/48/EG des Europäischen Parlaments und des Rates ( 1 ) fällt und über Funktionen zur sozialen Interaktion (z. B. sprechen oder filmen) oder zur Ortung verfügt | Mit dem Internet verbundenes Spielzeug, das über Funktionen zur sozialen Interaktion verfügt, sind Produkte mit digitalen Elementen, die unter die Richtlinie 2009/48/EG fallen, via öffentliches Internet – direkt oder über andere Geräte – kommunizieren und über eingebettete Technologien verfügen, die eine eingehende und ausgehende Kommunikation ermöglichen, wie etwa Tastatur, Mikrofon, Lautsprecher oder Kamera. Mit dem Internet verbundenes Spielzeug, das über Funktionen zur Ortung verfügt, sind Produkte mit digitalen Elementen, die unter die Richtlinie 2009/48/EG fallen, via öffentliches Internet – direkt oder über andere Geräte – kommunizieren und über Technologien verfügen, die die Ortung oder Rückschlüsse auf geografische Standorte von Spielzeugen oder deren Benutzer ermöglichen. Wenn das Spielzeug lediglich die Nähe des Benutzers oder anderer Spielzeuge mittels Sensortechnik erkennt, gilt es nicht als mit Ortungsfunktionen ausgestattet. |
| III.I.19 | am Körper tragbare Produkte, die zum Zwecke der Gesundheitsüberwachung (z. B. Tracking) bestimmt sind und nicht unter die Verordnung (EU) 2017/745 ( 2 ) oder (EU) 2017/746 des Europäischen Parlaments und des Rates ( 3 ) fallen, oder am Körper tragbare Produkte, die für die Verwendung durch und für Kinder bestimmt sind | Am Körper tragbare Produkte, die zum Zwecke der Gesundheitsüberwachung bestimmt sind, sind Produkte mit digitalen Elementen, die direkt oder über Kleidung oder Accessoires am Körper getragen werden und regelmäßig oder kontinuierlich Informationen, einschließlich Körpermessdaten, die für die Gesundheit des Nutzers relevant sind, erfassen und weiterverarbeiten können, und die nicht unter die Verordnung (EU) 2017/745 oder die Verordnung (EU) 2017/746 fallen. Diese Kategorie umfasst unter anderem Fitness-Tracker, Smartwatches, intelligenten Schmuck, intelligente Kleidung und intelligente Sportbekleidung, die dieser Beschreibung entsprechen. Am Körper tragbare Produkte, die von Kindern verwendet werden oder für diese bestimmt sind, sind Produkte mit digitalen Elementen, die direkt oder über Kleidung oder Accessoires von Personen unter 14 Jahren getragen oder am Körper angebracht werden können. Zu dieser Kategorie gehören unter anderem am Körper getragene Produkte für die Sicherheit von Kindern. |
| III.II.1 | Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen | Hypervisoren sind Softwareprodukte mit digitalen Elementen, die Rechenressourcen abstrahieren und/oder zuweisen und die Ausführung, Verwaltung und Orchestrierung virtueller Maschinen ermöglichen, die logisch voneinander und/oder von der physischen Hardware getrennt sind. Hypervisoren können direkt auf Hardware (Bare Metal), auf einem Betriebssystem oder innerhalb einer anderen virtuellen Maschine (geschachtelte Virtualisierung) betrieben werden. Im Zusammenhang mit dieser Produktkategorie ist eine virtuelle Maschine eine softwaredefinierte logische Trennung einer Rechenumgebung, die virtuelle Hardware-Ressourcen (z. B. CPU, Arbeitsspeicher, Speicher, Netzschnittstellen) umfasst und üblicherweise über ein eigenes Betriebssystem verfügt. Zu dieser Kategorie gehören unter anderem Typ-1-Hypervisoren (Bare Metal), Typ-2-Hypervisoren (in einem Betriebssystem gehostet) und Hybrid-Hypervisoren. Container-Runtime-Systeme sind Softwareprodukte mit digitalen Elementen, die die Ausführung und den Lebenszyklus von Containern, die über ein einziges Host-Betriebssystem laufen, als isolierte Prozesse steuern, Ressourcen zuweisen und die Verwaltung und Orchestrierung einzelner Container ermöglichen. Im Zusammenhang mit dieser Produktkategorie ist ein Container eine softwaregestützte Ausführungsumgebung, in der eine oder mehrere Softwarekomponenten und deren Abhängigkeiten in einem einzigen Paket zusammengefasst sind, sodass sie unabhängig und einheitlich ausgeführt werden können. |
| III.II.2 | Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme | Firewalls sind Produkte mit digitalen Elementen, die ein verbundenes Netz oder System vor unbefugtem Zugriff schützen, indem sie den ein- und ausgehenden Datenverkehr dieses Netzes überwachen und einschränken. Zu dieser Kategorie gehören unter anderem Netzwerk-Firewalls und Anwendungs-Firewalls (wie etwa Webanwendungs-Firewalls) oder Filter und Anti-Spam-Gateways. Intrusion-Detection-Systeme sind Produkte mit digitalen Elementen, die den Datenverkehr nach dessen Eintritt in die Netzwerkumgebung auf verdächtige Aktivität überwachen und erkennen oder feststellen, ob ein Angriff auf ein verbundenes Netz oder System versucht wurde, stattfindet oder stattgefunden hat. Zu dieser Kategorie gehören unter anderem netzgestützte Intrusion-Detection-Systeme und hostbasierte Intrusion-Detection-Systeme. Intrusion-Prevention-Systeme sind Produkte mit digitalen Elementen, die aus einem Intrusion-Detection-System bestehen, das aktiv auf einen Angriff auf ein verbundenes Netz oder System reagiert. Zu dieser Kategorie gehören unter anderem netzgestützte Intrusion-Prevention-Systeme und hostbasierte Intrusion-Prevention-Systeme. |
| III.II.3 | manipulationssichere Mikroprozessoren | Produkte mit digitalen Elementen, bei denen es sich um Mikroprozessoren mit sicherheitsrelevanten Funktionen, wie etwa Manipulationserkennung, -widerstandsfähigkeit oder -reaktion, gemäß Klasse I Nummer 13 des vorliegenden Anhangs handelt und die zusätzlich so konzipiert sind, dass sie den Schutz gemäß AVA_VAN-Stufe 2 oder 3 bieten, wie in den Gemeinsamen Kriterien und der Gemeinsamen Evaluierungsmethodik festgelegt. |
| III.II.4 | manipulationssichere Mikrocontroller | Produkte mit digitalen Elementen, bei denen es sich um Mikrocontroller mit sicherheitsrelevanten Funktionen, wie etwa Manipulationserkennung, -widerstandsfähigkeit oder -reaktion, gemäß Klasse I Nummer 14 des vorliegenden Anhangs handelt und die zusätzlich so konzipiert sind, dass sie Schutz gemäß AVA_VAN-Stufe 2 oder 3 bieten, wie in den Gemeinsamen Kriterien und der Gemeinsamen Evaluierungsmethodik festgelegt. |
| IV.1 | Hardwaregeräte mit Sicherheitsboxen | Hardwareprodukte mit digitalen Elementen, die sensible Daten sicher speichern, verarbeiten oder verwalten oder kryptografische Vorgänge ausführen, aus mehreren diskreten Bauelementen bestehen, über eine physische Hardwarehülle verfügen und Manipulationserkennung, -widerstandsfähigkeit oder -reaktion als Abwehrmittel gegen physische Angriffe bieten. Zu dieser Kategorie gehören unter anderem physische Zahlungsterminals, Hardware-Sicherheitsmodule, die kryptografische Elemente erzeugen und verwalten, sowie Fahrtenschreiber, die der vorstehenden Beschreibung entsprechen. |
| IV.2 | Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates ( 1 ) sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung | Smart-Meter-Gateways sind Produkte mit digitalen Elementen, die die Kommunikation zwischen Komponenten in intelligenten Messsystemen (im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944) oder an diese angeschlossenen Komponenten und befugten Dritten wie Versorgungsunternehmen steuern. Smart-Meter-Gateways erfassen, verarbeiten und speichern Messdaten oder personenbezogene Daten, schützen Daten- und Informationsflüsse durch Unterstützung spezifischer kryptografischer Anforderungen wie Verschlüsselung und Entschlüsselung von Daten, umfassen Firewall-Funktionen und stellen Hilfsmittel zur Steuerung anderer Geräte bereit. Diese Kategorie umfasst unter anderem Smart-Meter-Gateways im Zusammenhang mit intelligenten Messsystemen zur Messung von Elektrizität im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944. Sie kann auch intelligente Smart-Meter-Gateways umfassen, die im Rahmen anderer intelligenter Messsysteme zur Messung des Verbrauchs anderer Energiequellen wie Gas oder Wärme verwendet werden, sofern das Gateway dieser Beschreibung entspricht. |
| IV.3 | Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente | Sicherheitselemente sind Mikrocontroller oder Mikroprozessoren mit sicherheitsrelevanten Funktionen wie etwa Manipulationserkennung, -widerstandsfähigkeit oder -reaktion. Sie speichern, verarbeiten oder verwalten üblicherweise kryptografische Vorgänge oder sensible Daten wie Identitätsnachweise oder Zahlungsdaten. Sicherheitselemente sind so konzipiert, dass sie Schutz mindestens auf AVA_VAN-Stufe 4 bieten, wie in den Gemeinsamen Kriterien oder der Gemeinsamen Evaluierungsmethodik festgelegt. Sie können diskrete Bauelemente aus Silizium sein oder in Ein-Chip-Systeme (System-on-a-Chip, SoC) integriert werden. Sicherheitselemente können eine Anwendungsumgebung oder ein Betriebssystem sowie eine oder mehrere Anwendungen umfassen. Zu dieser Kategorie gehören unter anderem Trusted Platform Modules (TPMs) und die embedded Universal Integrated Circuit Card (eUICC). Chipkarten oder ähnliche Geräte sind Sicherheitselemente, die in ein Trägermaterial wie etwa Kunststoff oder Holz in Form einer Karte integriert sind, oder Sicherheitselemente, die in Trägermaterialien in anderer Form integriert sind. Zu dieser Kategorie gehören unter anderem Ausweis- und Reisedokumente, qualifizierte Signaturkarten, austauschbare UICCs, physische Zahlungskarten, physische Zugangskarten, Karten für digitale Fahrtenschreiber oder Armbänder mit integrierten Sicherheitselementen für Zahlungen. |
Was festzuhalten ist
Für jedes Produkt, das Sie in Verkehr bringen: die Kernfunktionalität in einem Satz, in den Worten der Beschreibung, der sie entspricht, oder die Feststellung, dass sie keiner entspricht; die Nebenfunktionen, die Sie nach Regel 1 beiseitelegen; die integrierten Komponenten, die selbst gelistet sind, beiseitegelegt nach Regel 2; wo das Produkt einer Kategorie ähnelt, ob es sie übersteigt oder hinter ihr zurückbleibt und warum, nach Regel 3; und bei einer Suite, welche Module separat verkauft werden. Diese Seite ist die Einstufung, die eine notifizierte Stelle verlangen wird, der Input für die Anwendbarkeitsbestimmung, die jetzt unter jeder Kategorie die Beschreibung zeigt, und der Grund, warum Ihre technische Dokumentation ein Konformitätsverfahren nennt und kein anderes.
Quellen
- Verordnung (EU) 2024/2847, Artikel 7(1) und (4), Artikel 8(1), Artikel 32, Artikel 64(3), Anhang III, Anhang IV, Anhang VII.
- Durchführungsverordnung (EU) 2025/2392 der Kommission vom 28. November 2025, Erwägungsgründe 1 bis 5, Artikel 1 bis 3, Anhang I und Anhang II, abgelesen beim Amt für Veröffentlichungen am 12. September 2026.
- Europäische Kommission, Leitlinien der Kommission zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 final vom 27. Juli 2026, Anhang, Abschnitt 6, Randnummern 136 bis 152 und Beispiele 57 bis 63.
Dies ist keine Rechtsberatung. Die Beschreibungen sind die Worte des Gesetzes selbst und die Beispiele die der Kommission; die Einstufung Ihres Produkts ist Ihre, und sie ist das Erste, was eine Marktüberwachungsbehörde lesen wird.