Produktklassifizierung nach der EU-Cyberresilienz-Verordnung
Sytance · Aktualisiert
Die CRA-Klassifizierung ist die Kategorie, die einem Produkt mit digitalen Elementen im Anwendungsbereich zugewiesen wird. Ein Produkt bleibt in der Standardkategorie, sofern seine Kernfunktionalität nicht einer wichtigen Kategorie in Anhang III oder einer kritischen Kategorie in Anhang IV entspricht.
Ergebnisse der Klassifizierung
Die Klassifizierung folgt auf die Prüfung des Anwendungsbereichs. Fragen Sie zuerst, ob das Produkt ein Produkt mit digitalen Elementen ist, das auf dem EU-Markt bereitgestellt wird und nicht nach Artikel 2 ausgeschlossen ist. Ordnen Sie das Produkt anschließend der CRA-Kategorie zu, die seiner Kernfunktionalität entspricht.
Standardkategorie
Die Auffangkategorie für Produkte im Anwendungsbereich, deren Kernfunktionalität keiner Kategorie in Anhang III oder Anhang IV entspricht.
Wichtig, Klasse I
Kategorien der Klasse I in Anhang III sind wichtige Produkte. Der CRA unterscheidet sie von Produkten der Klasse II.
Wichtig, Klasse II
Produkte der Klasse II in Anhang III sind wichtige Produkte, für die strengere Konformitätsbewertungsverfahren gelten.
Kritische Produkte
Kategorien in Anhang IV sind kritische Produkte. Sie bilden eine separate Liste neben den wichtigen Produkten in Anhang III.
Kernfunktionalität
Produkte mit digitalen Elementen, deren Kernfunktionalität einer in Anhang III aufgeführten Produktkategorie entspricht, gelten als wichtige Produkte mit digitalen Elementen und unterliegen den in Artikel 32 Absätze 2 und 3 genannten Konformitätsbewertungsverfahren. Die Integration eines Produkts mit digitalen Elementen, dessen Kernfunktionalität einer in Anhang III aufgeführten Produktkategorie entspricht, führt für sich genommen nicht dazu, dass das Produkt, in das es integriert ist, den in Artikel 32 Absätze 2 und 3 genannten Konformitätsbewertungsverfahren unterliegt.
Verordnung (EU) 2024/2847, Artikel 7 Absatz 1
Die Artikel 7 und 8 verwenden denselben Grundgedanken: Das Produkt muss die Kernfunktionalität einer aufgeführten Kategorie haben. Bewertet wird, wozu das Produkt als Ganzes auf den Markt gebracht wird. Es reicht nicht aus, dass das Produkt eine Funktion, Bibliothek, einen Halbleiter oder ein Modul enthält, das selbst einer aufgeführten Kategorie entsprechen könnte.
Das gilt in beide Richtungen. Zusätzliche Funktionen verhindern nicht, dass ein Produkt als wichtig eingestuft wird, wenn seine Hauptfunktion weiterhin einer Kategorie in Anhang III entspricht. Ein Router kann Firewallfunktionen umfassen und dennoch nach seiner Router-Kernfunktionalität klassifiziert werden. Ein Produkt mit einem anderen Hauptzweck wird jedoch nicht allein deshalb zu einem aufgeführten Produkt, weil es einige derselben Aufgaben erfüllen kann.
Integrierte Komponenten
Eine Nachrichten-App wird nicht allein dadurch zu einem Browserprodukt, dass sie eine Browserkomponente einbettet. Ein Laptop wird nicht allein dadurch zu einem Secure-Element-Produkt, dass er ein Secure Element enthält.
Überlappende Funktionen
SOAR-Software kann über SIEM-ähnliche Funktionen verfügen. Die FAQ der Kommission ordnet SOAR jedoch in der Regel nicht der SIEM-Kategorie zu, wenn die Kernfunktionalität eine andere ist.
Wichtige Produkte in Anhang III
Anhang III führt wichtige Produkte mit digitalen Elementen auf und unterteilt sie in die Klassen I und II. Die Verordnung 2025/2392 enthält die technische Beschreibung jeder aufgeführten Kategorie. Das Ergebnis ist eine Kategorienentscheidung und keine allgemeine Rangfolge aller Cybersicherheitsrisiken.
Klasse I
Wichtige Produkte, für die weiterhin eine interne Kontrolle möglich ist, wenn die einschlägigen Normen, gemeinsamen Spezifikationen oder ein Zertifizierungsverfahren angewendet werden.
Klasse II
Wichtige Produkte, für die strengere Konformitätsverfahren anzuwenden sind.
Kritische Produkte in Anhang IV
Anhang IV führt kritische Produkte mit digitalen Elementen auf. Die Liste ist enger gefasst als Anhang III und konzentriert sich auf Produkte mit Funktionen wie Sicherheitsboxen, Smart-Meter-Gateways, sicherer Kryptoverarbeitung, Chipkarten oder Secure Elements. Artikel 8 kann die Zertifizierung für diese Produkte durch einen delegierten Rechtsakt relevant machen.
Referenz für technische Beschreibungen
Die Durchführungsverordnung (EU) 2025/2392 der Kommission enthält technische Beschreibungen für die Kategorien in Anhang III und IV; die ausführlichen Auslegungsregeln und vollständigen Beschreibungen werden erläutert unter Technische Beschreibungen der Verordnung 2025/2392.
Klassifizierung und Konformität
Die Klassifizierung belegt nicht die Konformität mit Anhang I. Sie zeigt dem Hersteller, welches Verfahren nach Artikel 32 verfügbar oder vorgeschrieben sein kann. Die Verfahren werden erläutert unter Konformitätsbewertung.
Klassifizierung und Risikobewertung
Die FAQ der Kommission unterscheidet die Klassifizierung von der Cybersicherheitsrisikobewertung des Herstellers. Für ein Produkt in der Standardkategorie ebenso wie für ein wichtiges oder kritisches Produkt müssen die Anforderungen in Anhang I weiterhin risikobasiert angewendet werden.
Zwei Produkte können derselben Kategorie angehören und dennoch unterschiedliche Sicherheitsmaßnahmen erfordern, weil sich ihr vorgesehener Verwendungszweck, die vorhersehbare Nutzung und die Nutzungsbedingungen unterscheiden. Die Klassifizierung bestimmt das Konformitätsverfahren; die Risikobewertung erläutert, wie das Produkt und die Prozesse des Herstellers die CRA-Anforderungen für dieses Produkt erfüllen.