Brauchen wir immer eine notifizierte Stelle?

Nein. Für den Großteil der Produkte genügt das interne Kontrollverfahren, also eine Bewertung in Eigenregie ohne externe Stelle. Erst bei den vom CRA besonders eingestuften Produktkategorien, also bei wichtigen und kritischen Produkten mit digitalen Elementen, verschärfen sich die Anforderungen. Die Einordnung Ihres Produkts in diese Kategorien ist deshalb die erste Frage, nicht die letzte.

Was wird eigentlich bewertet, das Produkt oder auch die Verfahren?

Ausdrücklich beides: das Produkt und die vom Hersteller festgelegten Verfahren. Der Umgang mit Schwachstellen nach Anhang I Teil II ist also Gegenstand der Bewertung. Ein technisch einwandfreies Produkt ohne belastbaren Schwachstellenprozess erfüllt die Anforderungen nicht.

Muss die Bewertung nach einer Änderung wiederholt werden?

Bei einer wesentlichen Änderung ja, in dem Umfang, den die Änderung berührt. Gewöhnliche Fehlerkorrekturen und Sicherheitsupdates lösen keine erneute Bewertung aus. Sie stellen die Konformität wieder her, statt sie zu verändern.

Cyber Resilience Act

Konformitätsbewertung

Legaldefinition Art. 3 Nr. 27 CRA

„das Verfahren, mit dem überprüft wird, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt werden“

Verordnung (EU) 2024/2847, Art. 3 Nr. 27 CRA

Die Konformitätsbewertung ist das Verfahren, mit dem ein Hersteller feststellt und belegt, dass sein Produkt die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllt. Sie ist die Voraussetzung für die EU-Konformitätserklärung und die CE-Kennzeichnung.

Wichtig ist der Gegenstand: Bewertet wird das Produkt und die vom Hersteller festgelegten Verfahren. Anhang I besteht aus zwei Teilen (Produkteigenschaften in Teil I, Umgang mit Schwachstellen in Teil II), und beide gehören zur Bewertung.

Die vier Verfahren

Artikel 32 nennt vier Konformitätsbewertungsverfahren. Drei davon beruhen auf den Modulen aus Anhang VIII:

Internes Kontrollverfahren (Modul A): Der Hersteller bewertet selbst, ohne externe Stelle. Er erstellt die technische Dokumentation, führt die Bewertung durch und erklärt die Konformität.
EU-Baumusterprüfung mit anschließender Konformität zum Baumuster (Module B und C): Eine notifizierte Stelle prüft ein Baumuster; der Hersteller stellt danach sicher, dass die Serie diesem Muster entspricht.
Umfassende Qualitätssicherung (Modul H): Eine notifizierte Stelle bewertet und überwacht das Qualitätssicherungssystem des Herstellers insgesamt.

Als vierter Weg tritt, sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung nach Artikel 27 Absatz 9 hinzu. Welcher Weg zulässig ist, hängt von der Produktkategorie ab. Für den Großteil der Produkte genügt Modul A. Für die als wichtig oder kritisch eingestuften Kategorien sieht der Cyber Resilience Act (CRA) strengere Anforderungen vor. Dort kommt eine notifizierte Stelle ins Spiel, sofern die Konformität nicht auf anderem Weg vermutet werden kann.

Die Abkürzung über harmonisierte Normen

Wer eine Harmonisierte Norm vollständig anwendet, kann sich auf die Konformitätsvermutung stützen: Das Produkt gilt insoweit als konform mit den Anforderungen, die die Norm abdeckt. Das vereinfacht den Nachweis erheblich, weil nicht jede Anforderung einzeln hergeleitet werden muss.

Der praktische Haken: Die harmonisierten Normen zum CRA befinden sich noch in Entstehung. Bis sie vorliegen, muss die Erfüllung der Anforderungen anders belegt werden, etwa über anerkannte Normen ohne Harmonisierungsstatus oder über eine eigene, sauber dokumentierte Herleitung.

Was am Ende vorliegen muss

Unabhängig vom gewählten Verfahren steht am Ende ein nachprüfbares Ergebnis: eine Technische Dokumentation, die die Bewertung trägt, und eine EU-Konformitätserklärung. Beides ist für Marktüberwachungsbehörden mindestens zehn Jahre nach dem Inverkehrbringen aufzubewahren. Dauert der Unterstützungszeitraum länger, gilt dessen Dauer.

Für die Planung heißt das: Die Bewertung ist kein Ereignis kurz vor dem Marktstart, sondern ein Prozess, der die Entwicklung begleitet. Ihre Belege entstehen dort, wo entschieden wird, und nicht rückwirkend.

Fragen aus der Praxis

: Nein. Für den Großteil der Produkte genügt das interne Kontrollverfahren, also eine Bewertung in Eigenregie ohne externe Stelle. Erst bei den vom CRA besonders eingestuften Produktkategorien, also bei wichtigen und kritischen Produkten mit digitalen Elementen, verschärfen sich die Anforderungen. Die Einordnung Ihres Produkts in diese Kategorien ist deshalb die erste Frage, nicht die letzte.
: Ausdrücklich beides: das Produkt und die vom Hersteller festgelegten Verfahren. Der Umgang mit Schwachstellen nach Anhang I Teil II ist also Gegenstand der Bewertung. Ein technisch einwandfreies Produkt ohne belastbaren Schwachstellenprozess erfüllt die Anforderungen nicht.
: Bei einer wesentlichen Änderung ja, in dem Umfang, den die Änderung berührt. Gewöhnliche Fehlerkorrekturen und Sicherheitsupdates lösen keine erneute Bewertung aus. Sie stellen die Konformität wieder her, statt sie zu verändern.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.