Können wir ein vorhandenes Common-Criteria-Zertifikat anrechnen lassen?

Nur, wenn es aus einem europäischen Schema nach der Verordnung (EU) 2019/881 stammt. Die Konformitätsvermutung des Artikels 27 Absatz 8 knüpft an ein Zertifikat aus einem solchen Schema an, nicht an ein rein nationales Zertifikat. Für die Kategorien des Anhangs IV kommt dafür vor allem das EUCC in Betracht. Und die Vermutung reicht nur so weit, wie das Zertifikat die Anforderungen des Anhangs I tatsächlich abdeckt. Das Schwachstellenmanagement aus Anhang I Teil II ist in einer reinen Produktzertifizierung häufig nicht enthalten.

Was passiert, wenn die Zertifizierungspflicht erst nach unserem Marktstart kommt?

Der delegierte Rechtsakt muss einen Übergangszeitraum von mindestens sechs Monaten vorsehen, außer bei äußerster Dringlichkeit. Die Pflicht knüpft am Inverkehrbringen an und betrifft damit Ihre künftigen Auslieferungen, nicht rückwirkend jedes bereits verkaufte Exemplar. Achten Sie aber auf die wesentliche Änderung. Wird das Produkt danach wesentlich geändert, ist die Konformität erneut zu prüfen und das Produkt gegebenenfalls einer neuen Konformitätsbewertung zu unterziehen, dann nach dem zu diesem Zeitpunkt geltenden Nachweisweg. Sechs Monate sind für eine Erstzertifizierung knapp bemessen.

Unser Produkt fällt zugleich unter eine Kategorie des Anhangs III. Welcher Weg gilt?

Eine ausdrückliche Vorrangregel enthält die Verordnung nicht. Praktisch löst sich die Frage über den Umfang der Verfahren. Artikel 32 Absatz 4 verweist auf die Verfahren des Artikels 32 Absatz 3, und diese sind mindestens so anspruchsvoll wie die des Artikels 32 Absatz 2. Wer den Weg für kritische Produkte geht, deckt die andere Einstufung damit ab. Halten Sie beide Einordnungen in der technischen Dokumentation fest, damit die Marktüberwachung die Verfahrenswahl nachvollziehen kann.

Cyber Resilience Act

Kritische Produkte mit digitalen Elementen

Praxisbegriff

Kritische Produkte mit digitalen Elementen sind Produkte, die die Kernfunktionen einer der drei Kategorien aufweisen, die Anhang IV des Cyber Resilience Acts (CRA) auflistet. Es ist die kleinste Produktgruppe der Verordnung und zugleich die einzige, für die eine Zertifizierung verbindlich vorgeschrieben werden kann.

Die Einstufung ändert nicht, welche Anforderungen ein Produkt erfüllen muss. Die grundlegenden Cybersicherheitsanforderungen aus Anhang I gelten für jedes Produkt mit digitalen Elementen gleichermaßen. Sie ändert, auf welchem Weg die Erfüllung nachzuweisen ist, und dieser Weg führt bei kritischen Produkten stets über eine dritte Stelle.

Die drei Kategorien des Anhangs IV

Hardwaregeräte mit Sicherheitsboxen
Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung
Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente

Eine Unterteilung in Klassen kennt Anhang IV nicht. Die Kategorienamen allein tragen die Einordnung allerdings nicht. Artikel 7 Absatz 4 verpflichtet die Kommission, bis zum 11. Dezember 2025 einen Durchführungsrechtsakt zu erlassen, der auch für diese drei Kategorien die technische Beschreibung festlegt. In Grenzfällen entscheidet diese Beschreibung darüber, ob ein Gerät als Chipkarte oder als Sicherheitselement zählt.

Was „kritisch“ hier bedeutet

Gemeint ist weder kritische Infrastruktur noch die Bedeutung des Produkts für das eigene Geschäft. Artikel 8 Absatz 2 legt fest, wann eine Kategorie überhaupt in Anhang IV gehört. Sie muss mindestens eines dieser beiden Kriterien erfüllen:

Wesentliche Einrichtungen im Sinne des Artikels 3 der Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) hängen kritisch von der Produktkategorie ab.
Sicherheitsvorfälle und ausgenutzte Schwachstellen in dieser Kategorie könnten zu schwerwiegenden Störungen kritischer Lieferketten im gesamten Binnenmarkt führen.

Zusätzlich berücksichtigt die Kommission die Kriterien des Artikels 7 Absatz 2, nach denen sich auch die wichtigen Produkte mit digitalen Elementen bestimmen. Kritisch ist damit eine Steigerung und keine eigene Logik. Zur Funktion für die Cybersicherheit oder zur zentralen Systemfunktion tritt die kritische Abhängigkeit oder die Wirkung auf Lieferketten hinzu.

Erwägungsgrund 46 begründet die Auswahl auch mit der Marktlage. Die drei Kategorien nutzen bereits häufig verschiedene Formen der Zertifizierung und werden von dem auf gemeinsamen Kriterien beruhenden europäischen Schema für die Cybersicherheitszertifizierung (EUCC) erfasst, das die Durchführungsverordnung (EU) 2024/482 festlegt.

Kernfunktion, nicht Bestandteil

Artikel 8 Absatz 1 stellt auf die Kernfunktionen einer Kategorie ab. Ein Gerät, das ein Sicherheitselement lediglich enthält, weist damit noch nicht die Kernfunktion dieser Kategorie auf. Das Sicherheitselement bleibt eines, sobald es eigenständig in Verkehr gebracht wird.

Ausdrücklich steht das im Text nur für Anhang III. Artikel 7 Absatz 1 Satz 2 sagt dort, dass die Integration eines solchen Produkts das aufnehmende Produkt nicht in die betreffenden Verfahren zieht. Artikel 8 enthält keinen entsprechenden Satz. Wer eine Sicherheitsbox, ein Smart-Meter-Gateway oder ein Sicherheitselement verbaut, sollte die eigene Einordnung deshalb begründet dokumentieren und nicht als selbstverständlich behandeln.

Der Nachweisweg nach Artikel 32 Absatz 4

Für kritische Produkte kennt der CRA zwei Wege. Der erste ist ein europäisches Schema für die Cybersicherheitszertifizierung nach Artikel 8 Absatz 1. Sind dessen Bedingungen nicht erfüllt, greift der zweite, nämlich eines der Verfahren des Artikels 32 Absatz 3:

EU-Baumusterprüfverfahren nach Modul B, gefolgt von der Konformität mit dem Baumuster auf Grundlage der internen Fertigungskontrolle nach Modul C
Konformitätsbewertung auf Grundlage einer umfassenden Qualitätssicherung nach Modul H
sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung nach Artikel 27 Absatz 9, mindestens auf der Vertrauenswürdigkeitsstufe „mittel“

Das interne Kontrollverfahren nach Modul A steht kritischen Produkten in keiner Konstellation offen. Auch die Erleichterung für freie und quelloffene Software hilft nicht weiter, weil Artikel 32 Absatz 5 allein die Kategorien des Anhangs III nennt.

Wann die Zertifizierung verpflichtend wird

Artikel 8 Absatz 1 gibt der Kommission die Befugnis, per delegiertem Rechtsakt ein europäisches Cybersicherheitszertifikat mindestens der Stufe „mittel“ vorzuschreiben. Daran hängen mehrere Bedingungen. Ein passendes Schema nach der Verordnung (EU) 2019/881 muss angenommen und den Herstellern verfügbar sein, die Kommission muss die möglichen Auswirkungen auf den Markt bewerten und die Interessenträger konsultieren, darunter die Europäische Gruppe für die Cybersicherheitszertifizierung.

Die geforderte Vertrauenswürdigkeitsstufe muss im Verhältnis zum Cybersicherheitsrisiko stehen und die Zweckbestimmung berücksichtigen, einschließlich der kritischen Abhängigkeit wesentlicher Einrichtungen. Nach Erwägungsgrund 47 kann in empfindlichen oder kritischen Umgebungen die höchste Stufe erforderlich sein. Solche Rechtsakte müssen einen Übergangszeitraum von mindestens sechs Monaten vorsehen, außer bei äußerster Dringlichkeit.

Auch die Liste selbst ist beweglich. Artikel 8 Absatz 2 erlaubt der Kommission, Kategorien hinzuzufügen oder zu streichen; ein Verschieben zwischen Klassen gibt es hier mangels Klassen nicht. Für diese Rechtsakte gilt dieselbe Mindestfrist von sechs Monaten, und nach Artikel 9 werden die Interessenträger vorher konsultiert.

Was das für die Planung heißt

Die Verordnung gilt ab dem 11. Dezember 2027. Kapitel IV über die Notifizierung von Konformitätsbewertungsstellen (Artikel 35–51) gilt bereits ab dem 11. Juni 2026, damit die Stellen rechtzeitig benannt sind.

Für kritische Produkte ist genau das der Engpass. Wer eine notifizierte Stelle oder eine Konformitätsbewertungsstelle eines Zertifizierungsschemas braucht, hängt von deren Kapazität ab. Die Terminplanung sollte deshalb nicht am 11. Dezember 2027 ansetzen, sondern deutlich davor.

Fragen aus der Praxis

: Nur, wenn es aus einem europäischen Schema nach der Verordnung (EU) 2019/881 stammt. Die Konformitätsvermutung des Artikels 27 Absatz 8 knüpft an ein Zertifikat aus einem solchen Schema an, nicht an ein rein nationales Zertifikat. Für die Kategorien des Anhangs IV kommt dafür vor allem das EUCC in Betracht. Und die Vermutung reicht nur so weit, wie das Zertifikat die Anforderungen des Anhangs I tatsächlich abdeckt. Das Schwachstellenmanagement aus Anhang I Teil II ist in einer reinen Produktzertifizierung häufig nicht enthalten.
: Der delegierte Rechtsakt muss einen Übergangszeitraum von mindestens sechs Monaten vorsehen, außer bei äußerster Dringlichkeit. Die Pflicht knüpft am Inverkehrbringen an und betrifft damit Ihre künftigen Auslieferungen, nicht rückwirkend jedes bereits verkaufte Exemplar. Achten Sie aber auf die wesentliche Änderung. Wird das Produkt danach wesentlich geändert, ist die Konformität erneut zu prüfen und das Produkt gegebenenfalls einer neuen Konformitätsbewertung zu unterziehen, dann nach dem zu diesem Zeitpunkt geltenden Nachweisweg. Sechs Monate sind für eine Erstzertifizierung knapp bemessen.
: Eine ausdrückliche Vorrangregel enthält die Verordnung nicht. Praktisch löst sich die Frage über den Umfang der Verfahren. Artikel 32 Absatz 4 verweist auf die Verfahren des Artikels 32 Absatz 3, und diese sind mindestens so anspruchsvoll wie die des Artikels 32 Absatz 2. Wer den Weg für kritische Produkte geht, deckt die andere Einstufung damit ab. Halten Sie beide Einordnungen in der technischen Dokumentation fest, damit die Marktüberwachung die Verfahrenswahl nachvollziehen kann.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.