Konformitätsbewertungsverfahren

Die Konformitätsbewertungsverfahren des Cyber Resilience Acts (CRA) stehen in Artikel 32; Anhang VIII führt die Module im Wortlaut aus. Es sind vier: das interne Kontrollverfahren (Modul A), die EU-Baumusterprüfung mit anschließender interner Fertigungskontrolle (Module B und C), die Konformität auf der Grundlage einer umfassenden Qualitätssicherung (Modul H) und, sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung nach Artikel 27 Absatz 9.

Geprüft wird in den Modulen A, B, C und H dasselbe: das Produkt gegen Anhang I Teil I und die vom Hersteller festgelegten Verfahren gegen Anhang I Teil II. Unterschiedlich sind die Prüftiefe und die Frage, ob ein Dritter beteiligt ist. Beim Zertifikat als viertem Weg hängt der Umfang davon ab, welche Anforderungen das Schema abdeckt.

Wer welches Verfahren wählen darf

• Nicht eingestufte Produkte, also die große Mehrheit: Alle vier Verfahren des Artikels 32 Absatz 1 stehen offen. In der Praxis ist es Modul A.
• Klasse I aus Anhang III: Modul A bleibt möglich, solange harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema mindestens der Stufe „mittel“ vollständig angewandt werden. Teilweise Anwendung oder fehlende Normen führen nach Artikel 32 Absatz 2 zu den Modulen B und C oder zu Modul H.
• Klasse II: immer mit einem Dritten, also Module B und C, Modul H oder ein Schema mindestens der Stufe „mittel“. Nach Erwägungsgrund 91 gilt das auch bei vollständiger Anwendung harmonisierter Normen.
• Kritische Produkte aus Anhang IV: ein europäisches Zertifizierungsschema, sofern die Kommission es nach Artikel 8 Absatz 1 verbindlich vorgeschrieben hat, andernfalls die Verfahren der Klasse II.

Kritische Produkte durchlaufen also einen strengeren Weg, ohne dass sich die Anforderungen selbst ändern. Für Klasse I entscheidet, ob der Hersteller die betreffende Anforderung mit einer harmonisierten Norm, einer gemeinsamen Spezifikation oder einem Zertifizierungsschema vollständig abdecken kann. Erwägungsgrund 80 nennt die rechtzeitige Verfügbarkeit harmonisierter Normen gerade hier wichtig, weil sie das interne Kontrollverfahren offenhält und Engpässe und Verzögerungen bei den Tätigkeiten der Konformitätsbewertungsstellen umgehen hilft.

Die vier Module im Überblick

Die Module unterscheiden sich darin, wer prüft und woran die Prüfung ansetzt.

• Modul A: interne Kontrolle: interne Kontrolle ohne notifizierte Stelle. Der Hersteller erstellt die Technische Dokumentation, erklärt die Konformität in eigener Verantwortung und bringt die CE-Kennzeichnung an. Der Regelfall für nicht eingestufte Produkte und für Klasse-I-Produkte, deren Anforderungen eine Norm vollständig abdeckt.
• Modul B: EU-Baumusterprüfung: EU-Baumusterprüfung durch eine notifizierte Stelle. Untersucht und bescheinigt wird ein konkretes Baumuster samt den Verfahren zur Schwachstellenbehandlung.
• Modul C: Konformität mit dem Baumuster: schließt an Modul B an und betrifft die Herstellung. Der Hersteller sorgt dafür, dass die ausgelieferten Produkte dem bescheinigten Baumuster entsprechen. Allein steht dieses Modul nie.
• Modul H: umfassende Qualitätssicherung: umfassende Qualitätssicherung. Bewertet und laufend überwacht wird kein Baumuster, sondern das Qualitätssicherungssystem für Konzeption, Entwicklung, Endabnahme und Schwachstellenbehandlung. Es kann ganze Produktkategorien tragen und lohnt dort, wo viele Modelle und häufige Änderungen zusammenkommen.

Am fertigen Produkt wird der Unterschied ebenfalls sichtbar. Die Kennnummer der notifizierten Stelle folgt der CE-Kennzeichnung nur, wenn die Stelle am Verfahren nach Modul H beteiligt ist (Artikel 30 Absatz 4). Nach den Modulen B und C steht die CE-Kennzeichnung allein, obwohl auch dort eine Stelle geprüft hat.

Das Zertifikat als vierter Weg

Der vierte Weg trägt einen eigenen Namen: Europäisches Schema für die Cybersicherheitszertifizierung. Ein danach ausgestelltes europäisches Cybersicherheitszertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel“ hebt die Pflicht auf, eine Konformitätsbewertung durch Dritte nach Artikel 32 Absatz 2 Buchstaben a und b sowie Artikel 32 Absatz 3 Buchstaben a und b durchführen zu lassen. Zwei Einschränkungen gehören dazu. Die Befreiung reicht nur so weit, wie das Zertifikat die Anforderungen abdeckt, und sie greift nur bei Schemata, die die Kommission durch delegierten Rechtsakt nach Artikel 27 Absatz 9 dafür ausgewiesen hat.

Ausnahme für quelloffene Produkte

Eine zweite Abkürzung steht in Artikel 32 Absatz 5. Hersteller von Produkten, die als Freie und quelloffene Software gelten und zugleich in eine Kategorie des Anhangs III fallen, dürfen jedes Verfahren des Artikels 32 Absatz 1 nutzen, also auch Modul A, obwohl die Einstufung sonst zu den Modulen B und C oder zu Modul H führen würde. Bedingung ist, dass die technische Dokumentation zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich gemacht wird. Erleichtert wird damit der Weg, nicht der Maßstab. Anhang I gilt unverändert.

Was der CRA offenlässt

Drei Fragen, die in der Planung sofort auftauchen, beantwortet die Verordnung nicht. Sie nennt keine Frist, innerhalb derer eine notifizierte Stelle ein Verfahren abzuschließen hat. Sie setzt keine Gültigkeitsdauer für die EU-Baumusterprüfbescheinigung fest, sondern überlässt es der Stelle, Bedingungen aufzunehmen. Und sie regelt nicht, wie ein späterer Wechsel zwischen den Modulen abläuft.

Ausdrücklich geregelt ist dagegen eine Erleichterung für kleine Anbieter. Kleinst- und Kleinunternehmen dürfen alle Elemente der technischen Dokumentation in einem vereinfachten Format vorlegen, für das die Kommission ein Formular festlegt, und notifizierte Stellen müssen dieses Formular akzeptieren (Artikel 33 Absatz 5). Wer eine Stelle braucht, sollte den Termin trotzdem früh belegen. Das Kapitel über die Notifizierung von Konformitätsbewertungsstellen (Artikel 35 bis 51) gilt bereits ab dem 11. Juni 2026, die Pflicht zur Konformitätsbewertung dagegen erst ab dem allgemeinen Geltungsbeginn am 11. Dezember 2027 (Artikel 71 Absatz 2).