Wichtige und kritische CRA-Produktkategorien
Sytance · Aktualisiert
Wichtige und kritische Produkte sind Produkte mit digitalen Elementen im Anwendungsbereich des CRA, deren Kernfunktionalität einer Kategorie in Anhang III oder IV entspricht. Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält die technischen Beschreibungen, anhand derer diese Kategorienamen auszulegen sind.
Technische Beschreibungen nach Verordnung 2025/2392
Bis zum 11. Dezember 2025 erlässt die Kommission einen Durchführungsrechtsakt, in dem die technischen Beschreibungen der Kategorien von Produkten mit digitalen Elementen der Klassen I und II nach Anhang III sowie die technischen Beschreibungen der Kategorien von Produkten mit digitalen Elementen nach Anhang IV festgelegt werden. Dieser Durchführungsrechtsakt wird nach dem Prüfverfahren gemäß Artikel 62 Absatz 2 erlassen.
Verordnung (EU) 2024/2847, Artikel 7 Absatz 4
Die Verordnung 2025/2392 ist dieser Durchführungsrechtsakt. Sie ersetzt Anhang III oder IV nicht. Sie erläutert die Kategorienamen in technischen Begriffen, damit dasselbe Produkt in der gesamten EU einheitlich klassifiziert wird.
Die technischen Beschreibungen und ihre Auslegung werden erläutert in Technische Beschreibungen nach Verordnung 2025/2392.
Kernfunktionalität
Die FAQ der Kommission bringt es auf den Punkt: Der Hersteller sollte die Kernfunktionalität des Produkts prüfen. Ein einzelnes Merkmal reicht nicht aus. Ein Produkt mit einem anderen Hauptzweck wird nicht allein deshalb als wichtig oder kritisch klassifiziert, weil es eine aufgeführte Funktion enthält, einbettet oder nachbilden kann.
Komponente innerhalb eines Produkts
Ein eingebetteter Browser macht aus einer Nachrichten-App nicht automatisch ein Browserprodukt.
Sicherheitshardware innerhalb eines Geräts
Ein Secure Element in einem Laptop macht aus dem Laptop nicht automatisch ein Secure-Element-Produkt.
Ähnliche Fähigkeit
SOAR-Software kann SIEM-ähnliche Aufgaben übernehmen, ohne dass SIEM ihre Kernfunktionalität ist.
Wichtige Produkte
Anhang III unterteilt wichtige Produkte in Klasse I und Klasse II. Klasse II ist die strengere Klasse. Die folgende Liste enthält die Kategorienamen; die technischen Beschreibungen stehen in der Verordnung 2025/2392.
Anhang III führt die folgenden Kategorien der Klasse I auf:
- Identitätsverwaltungssysteme und Software und Hardware für die Verwaltung privilegierter Zugriffe, einschließlich Authentifizierungs- und Zutrittskontrolllesern sowie biometrischen Lesern
- Eigenständige und eingebettete Browser
- Passwortmanager
- Software zum Erkennen, Entfernen oder Isolieren von Schadsoftware
- Produkte mit digitalen Elementen, deren Funktion ein virtuelles privates Netzwerk (VPN) ist
- Netzwerkmanagementsysteme
- Systeme für Sicherheitsinformationen und Ereignismanagement (SIEM)
- Bootmanager
- Software für öffentliche Schlüssel-Infrastrukturen und die Ausstellung digitaler Zertifikate
- Physische und virtuelle Netzwerkschnittstellen
- Betriebssysteme
- Router, Modems für den Internetanschluss und Switches
- Mikroprozessoren mit sicherheitsbezogenen Funktionen
- Mikrocontroller mit sicherheitsbezogenen Funktionen
- Anwendungsspezifische integrierte Schaltungen (ASIC) und feldprogrammierbare Gate-Arrays (FPGA) mit sicherheitsbezogenen Funktionen
- Allgemeine virtuelle Assistenten für Smart Homes
- Smart-Home-Produkte mit Sicherheitsfunktionen, darunter intelligente Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmsysteme
- Internetverbundene Spielzeuge im Anwendungsbereich der Richtlinie 2009/48/EG des Europäischen Parlaments und des Rates mit interaktiven sozialen Funktionen (z. B. Sprechen oder Filmen) oder Funktionen zur Standortverfolgung
- Persönliche Wearables zum Tragen am oder Platzieren auf dem menschlichen Körper mit einem Zweck der Gesundheitsüberwachung (z. B. Tracking), auf die die Verordnungen (EU) 2017/745 oder (EU) 2017/746 des Europäischen Parlaments und des Rates nicht anwendbar sind, oder persönliche Wearables, die für die Nutzung durch und für Kinder bestimmt sind
Anhang III führt die folgenden Kategorien der Klasse II auf:
- Hypervisoren und Containerlaufzeitsysteme, die die virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen
- Firewalls, Systeme zur Erkennung und Verhinderung von Angriffen
- Manipulationssichere Mikroprozessoren
- Manipulationssichere Mikrocontroller
Kritische Produkte
Anhang IV ist kürzer als Anhang III. Er umfasst Produkte mit besonders konzentrierter Sicherheitsfunktion, darunter manipulationssichere Hardware, Smart-Meter-Gateways, Smartcards und Secure Elements.
- Hardwaregeräte mit Sicherheitsgehäusen
- Smart-Meter-Gateways in intelligenten Messsystemen nach Artikel 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates sowie andere Geräte für erweiterte Sicherheitszwecke, einschließlich sicherer Kryptoverarbeitung
- Smartcards oder ähnliche Geräte, einschließlich Secure Elements
Auswirkungen der Kategorie
Die Produktkategorie bestimmt, welche Bewertungsverfahren zum Nachweis der Konformität mit Anhang I verwendet werden können. Sie entscheidet weder darüber, ob das Produkt in den Anwendungsbereich fällt, noch ersetzt sie die Cybersicherheitsrisikobewertung.
- Wichtige Produkte der Klasse I können die interne Kontrolle nur für Anforderungen nutzen, die durch angewandte harmonisierte Normen, gemeinsame Spezifikationen oder ein anwendbares Zertifizierungsschema abgedeckt sind; andernfalls ist ein strengeres Verfahren erforderlich.
- Wichtige Produkte der Klasse II verwenden Modul B plus C, Modul H oder ein anwendbares europäisches Cybersicherheitszertifizierungsschema.
- Für kritische Produkte gilt die Zertifizierung nach Artikel 8 Absatz 1, wenn dieses Verfahren ausgelöst wird; andernfalls gelten die Verfahren der Klasse II nach Artikel 32 Absatz 3.
- Wichtige freie und Open-Source-Software nach Anhang III kann die Verfahren nach Artikel 32 Absatz 1 nutzen, wenn die technische Dokumentation nach Artikel 31 bei Bereitstellung des Produkts auf dem Markt öffentlich ist.
Die Einzelheiten der Verfahren werden erläutert in Konformitätsbewertung.