Wichtige Produkte mit digitalen Elementen

Wichtige Produkte mit digitalen Elementen sind die Produktkategorien, die der Cyber Resilience Act (CRA) in Anhang III namentlich aufführt. Artikel 7 Absatz 1 knüpft die Einstufung an ein einziges Merkmal: Ein Produkt gilt als wichtig, wenn es die Kernfunktionen einer dort aufgeführten Kategorie aufweist. Daran hängen die strengeren Konformitätsbewertungsverfahren des Artikels 32 Absätze 2 und 3.

Was ein Produkt inhaltlich leisten muss, ändert die Einstufung nicht. Die grundlegenden Cybersicherheitsanforderungen aus Anhang I gelten für jedes Produkt mit digitalen Elementen gleichermaßen. Die Einstufung entscheidet allein darüber, auf welchem Weg die Erfüllung nachzuweisen ist, und damit über Vorlaufzeit, Kosten und die Frage, ob ein Dritter beteiligt werden muss. Neben den wichtigen Produkten kennt der CRA noch die kritischen Produkte mit digitalen Elementen nach Artikel 8 und Anhang IV, für die ein eigenes Regime gilt.

Kernfunktion, nicht Bestandteil

Maßgeblich ist, ob ein Produkt die Kernfunktion einer Kategorie aufweist, nicht ob es sie irgendwo enthält. Erwägungsgrund 45 führt das am Beispiel der Firewall aus: Weil Klasse II die Kategorie über die Kernfunktion definiert, unterliegen Firewalls sowie Intrusion-Detection- und Intrusion-Prevention-Systeme der obligatorischen Bewertung durch Dritte. Für andere Produkte, die nicht als wichtige Produkte eingestuft sind und eine Firewall lediglich mitbringen, gilt das ausdrücklich nicht.

Artikel 7 Absatz 1 Satz 2 sagt dasselbe für die Gegenrichtung. Die Integration eines Produkts, das die Kernfunktionen einer Kategorie des Anhangs III aufweist, führt für sich genommen nicht dazu, dass auch das aufnehmende Produkt den Verfahren nach Artikel 32 Absätze 2 und 3 unterliegt. Ein Gerät wird also nicht dadurch zum Klasse-I-Produkt, dass ein Betriebssystem darauf läuft.

Warum gerade diese Kategorien

Die Liste ist nicht frei zusammengestellt. Nach Artikel 7 Absatz 2 erfüllt jede Kategorie mindestens eines von zwei Kriterien:

• Das Produkt erfüllt in erster Linie Funktionen, die für die Cybersicherheit anderer Produkte, Netze oder Dienste entscheidend sind, einschließlich der Sicherung von Authentifizierung und Zugang, der Prävention und Erkennung von Eindringen, der Endpunktsicherheit oder des Netzschutzes.
• Das Produkt erfüllt eine Funktion, die ein erhebliches Risiko nachteiliger Auswirkungen birgt, gemessen an deren Intensität und der Fähigkeit, eine große Zahl anderer Produkte oder die Gesundheit oder Sicherheit seiner Nutzer durch direkte Manipulation zu stören, zu steuern oder zu schädigen. Als Beispiel nennt die Verordnung eine zentrale Systemfunktion, einschließlich Netzmanagement, Konfigurationskontrolle, Virtualisierung oder Verarbeitung personenbezogener Daten.

Diese Kriterien hat die Kommission zu berücksichtigen, wenn sie die Liste ändert. Für die eigene Einordnung sind sie ein Auslegungsmaßstab, kein zusätzlicher Tatbestand: Ein Produkt, das unter keine Kategorie des Anhangs III fällt, wird nicht dadurch zum wichtigen Produkt, dass eines der beiden Kriterien auf es zutrifft.

Klasse I: 19 Kategorien

• Identitätsmanagementsysteme sowie Software und Hardware für die Verwaltung privilegierter Zugänge, einschließlich Lesegeräten für Authentifizierung und Zugangskontrolle, auch biometrischer
• eigenständige und eingebettete Browser
• Passwort-Manager
• Software für die Suche, Entfernung und Quarantäne von Schadsoftware
• Produkte mit der Funktion eines virtuellen privaten Netzes (VPN)
• Netzmanagementsysteme
• Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen (SIEM)
• Bootmanager
• Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate
• physische und virtuelle Netzschnittstellen
• Betriebssysteme
• Router, Modems für die Internetanbindung und Switches
• Mikroprozessoren mit sicherheitsrelevanten Funktionen
• Mikrocontroller mit sicherheitsrelevanten Funktionen
• anwendungsspezifische integrierte Schaltungen (ASIC) und FPGA mit sicherheitsrelevanten Funktionen
• virtuelle Assistenten für die intelligente häusliche Umgebung mit allgemeinem Zweck
• Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen
• mit dem Internet verbundenes Spielzeug im Sinne der Richtlinie 2009/48/EG mit Funktionen zur sozialen Interaktion oder zur Ortung
• am Körper tragbare Produkte zur Gesundheitsüberwachung, soweit die Verordnungen (EU) 2017/745 oder (EU) 2017/746 nicht gelten, oder am Körper tragbare Produkte für Kinder

Klasse II: vier Kategorien

• Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen
• Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme
• manipulationssichere Mikroprozessoren
• manipulationssichere Mikrocontroller

Der Unterschied zwischen den Klassen liegt in der Tragweite eines Sicherheitsvorfalls. Nach Erwägungsgrund 44 kann ein Vorfall bei einem Produkt der Klasse II größere negative Auswirkungen haben als bei einem Produkt der Klasse I. Als Anhaltspunkt dafür nennt der Erwägungsgrund, dass Produkte der Klasse II entweder eine Cybersicherheitsfunktion übernehmen oder eine andere Funktion mit einem höheren Risiko nachteiliger Auswirkungen als in Klasse I, oder beides.

Was aus der Klasse folgt

Für alle Produkte, die in keinem der beiden Anhänge stehen, bleibt das interne Kontrollverfahren nach Modul A offen (Artikel 32 Absatz 1). Für wichtige Produkte verengt sich die Wahl:

• Klasse I: Modul A bleibt möglich, solange der Hersteller eine Harmonisierte Norm, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig anwendet. Hat er sie nicht oder nur zum Teil angewandt, oder existieren sie für die Kategorie schlicht nicht, sind die Module B und C oder Modul H zu durchlaufen (Artikel 32 Absatz 2).
• Klasse II: Ein Dritter ist immer beteiligt. Zur Wahl stehen die EU-Baumusterprüfung mit anschließender interner Fertigungskontrolle (Module B und C), die umfassende Qualitätssicherung (Modul H) oder, sofern verfügbar und anwendbar, ein europäisches Zertifizierungsschema mindestens der Stufe „mittel“ (Artikel 32 Absatz 3). Die vollständige Anwendung harmonisierter Normen ändert daran nichts.

In Klasse I entscheidet damit die Normenlage darüber, ob eine notifizierte Stelle gebraucht wird. Erwägungsgrund 80 nennt genau das als Grund, weshalb harmonisierte Normen rechtzeitig vorliegen sollten: Ihre Verfügbarkeit erlaubt es Herstellern der Klasse I, die Bewertung im internen Kontrollverfahren durchzuführen, und kann so dazu beitragen, Engpässe und Verzögerungen bei den Konformitätsbewertungsstellen zu umgehen. Wie die einzelnen Konformitätsbewertungsverfahren ablaufen, regelt Anhang VIII.

Erleichterung für quelloffene Software

Artikel 32 Absatz 5 enthält eine Ausnahme für Produkte, die als Freie und quelloffene Software gelten und in eine Kategorie des Anhangs III fallen. Ihre Hersteller können die Verfahren nach Artikel 32 Absatz 1 nutzen, also auch das interne Kontrollverfahren, sofern die technische Dokumentation zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich gemacht wird. Die Erleichterung erfasst beide Klassen des Anhangs III. Auf Anhang IV erstreckt sie sich nicht.

Zusammentreffen mit der KI-Verordnung

Ist ein wichtiges Produkt zugleich ein Hochrisiko-KI-System nach Artikel 6 der Verordnung (EU) 2024/1689 und käme dort das Konformitätsbewertungsverfahren auf Grundlage einer internen Kontrolle zur Anwendung, so gelten für die grundlegenden Cybersicherheitsanforderungen des CRA dessen eigene Verfahren (Artikel 12 Absatz 3). Erfasst sind wichtige Produkte, die den Verfahren nach Artikel 32 Absatz 2 Buchstaben a und b oder nach Artikel 32 Absatz 3 unterliegen. Die strengere Prüfung lässt sich über die KI-Verordnung also nicht umgehen.

Die Liste bleibt in Bewegung

Anhang III ist nicht auf Dauer festgeschrieben. Artikel 7 Absatz 3 ermächtigt die Kommission, per delegiertem Rechtsakt eine Kategorie aufzunehmen und zu definieren, sie zwischen den Klassen zu verschieben oder sie zu streichen. Solche Rechtsakte sehen gegebenenfalls einen Übergangszeitraum von mindestens 12 Monaten vor, bevor die Verfahren nach Artikel 32 Absätze 2 und 3 zur Anwendung kommen; kürzer darf er nur aus Gründen äußerster Dringlichkeit ausfallen. Ein Produkt kann seine Einstufung also verlieren oder erhalten, ohne dass sich an ihm selbst etwas geändert hat.

Die Kategorienamen allein tragen die Einordnung in Randfällen nicht. Artikel 7 Absatz 4 verpflichtet die Kommission, bis zum 11. Dezember 2025 einen Durchführungsrechtsakt mit der technischen Beschreibung der Kategorien aus Anhang III und Anhang IV zu erlassen. Erst diese Beschreibung sagt, was etwa ein Netzmanagementsystem im Sinne der Verordnung ist. Wer einordnet, sollte deshalb mit deren Wortlaut arbeiten und nicht mit dem Kategorienamen. Nach Artikel 9 Absatz 1 Buchstabe b konsultiert die Kommission bei der Ausarbeitung der technischen Beschreibungen zu Anhang III gegebenenfalls die Interessenträger.