Der Cyber Resilience Act (CRA) macht Cybersicherheit zur Marktzugangsvoraussetzung für Produkte mit digitalen Elementen. Der Nachweis erfolgt über eine Konformitätsbewertung und eine EU-Konformitätserklärung. Nur wenn diese vorliegt, darf eine CE-Kennzeichnung am Produkt angebracht werden. Wir erklären die einzelnen Verfahren, ihre Voraussetzungen und was die Konformitätserklärung nach CRA enthalten muss.
In aller Kürze
- Der CRA kennt drei Hauptmodule für die Konformitätsbewertung: Modul A (Selbstbewertung), Modul B+C (EU-Baumusterprüfung mit notifizierter Stelle) und Modul H (umfassende Qualitätssicherung).
- Das anzuwendende Modul richtet sich nach der Produktkategorie: Standard, wichtig Klasse I, wichtig Klasse II (Anhang III) oder kritisch (Anhang IV).
- Die Konformitätserklärung umfasst bestimmte Mindestinhalte, vereinfachte und normenübergreifende Erklärungen sind teilweise zulässig.
- Die CE-Kennzeichnung darf erst nach Abschluss der Konformitätsbewertung und Ausstellung der EU-Konformitätserklärung angebracht werden.
Was ist die Konformitätsbewertung nach Art. 32 CRA?
Die Konformitätsbewertung ist das formale Verfahren, mit dem ein Hersteller nachweist, dass sein Produkt mit digitalen Elementen die wesentlichen Cybersicherheitsanforderungen des CRA (Verordnung (EU) 2024/2847) erfüllt. Rechtsgrundlage ist Art. 32 CRA, der verschiedene Bewertungsmodule vorsieht – in Anlehnung an das modulare System des europäischen Produktsicherheitsrechts (Beschluss Nr. 768/2008/EG).
Welches Verfahren ein Hersteller durchlaufen muss, hängt von der Produktkategorie ab: Standardprodukte, wichtige Produkte der Klasse I und Klasse II (Anhang III CRA) sowie kritische Produkte (Anhang IV CRA) unterliegen unterschiedlich strengen Anforderungen.
Die Wahl des richtigen Moduls ist keine rein formale Frage: Sie bestimmt, welche Schritte, welche Nachweise und – entscheidend – ob eine notifizierte Stelle eingebunden werden muss. Fehler bei der Modulwahl können zur Ungültigkeit des gesamten Konformitätsnachweises führen.
Tipp: Lesen Sie dazu auch unseren Ratgeber zu den Dokumentationsanforderungen unter dem CRA.
Konformitätsbewertungsverfahren nach Anhang VIII CRA
Die folgende Übersicht bietet eine erste Orientierung der Verfahren zur Konformitätsbewertung nach CRA. Unter der Tabelle finden Sie jeweils eine detaillierte Erklärung.
| Notifizierte Stelle | Kernanforderung / Rechtsgrundlage | |
|---|---|---|
| Standardprodukte | ||
| Modul A – Interne Kontrolle | Nicht erforderlich | Technische Dokumentation gemäß Anhang VII + Selbsterklärung |
| Modul B+C – EU-Baumusterprüfung | Erforderlich | EU-Baumusterprüfbescheinigung (Art. 32 Abs. 2, 3 CRA) |
| Modul H – Umfassende Qualitätssicherung | Erforderlich | Genehmigtes QMS + Audit (Art. 32 Abs. 2, 3, 4b CRA) |
| Sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung nach Art. 27 Abs. 9 CRA welches für den CRA anerkannt wurde (momentan gibt es noch keins) | Erforderlich, um die Zertifizierung zu erhalten | Art. 27 Abs. 9 CRA |
| Wichtige Produkte – Klasse I (Anh. III), mit harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe mittel | ||
| Modul A – Interne Kontrolle | Nicht erforderlich | Technische Dokumentation gemäß Anhang VII + Selbsterklärung |
| Modul B+C – EU-Baumusterprüfung | Erforderlich | EU-Baumusterprüfbescheinigung (Art. 32 Abs. 2, 3 CRA) |
| Modul H – Umfassende Qualitätssicherung | Erforderlich | Genehmigtes QMS + Audit (Art. 32 Abs. 2, 3, 4b CRA) |
| Sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung welches für den CRA anerkannt wurde (momentan gibt es noch keins). | Erforderlich um die Zertifizierung zu erhalten | Art. 27 Abs. 9 CRA |
| Wichtige Produkte – Klasse I (Anhang III), ohne harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe mittel | ||
| Modul B+C – EU-Baumusterprüfung | Erforderlich | EU-Baumusterprüfbescheinigung (Art. 32 Abs. 2, 3 CRA) |
| Modul H – Umfassende Qualitätssicherung | Erforderlich | Genehmigtes QMS + Audit (Art. 32 Abs. 2, 3, 4b CRA) |
| Wichtige Produkte – Klasse II (Anhang III) | ||
| Modul B+C – EU-Baumusterprüfung | Erforderlich | EU-Baumusterprüfbescheinigung (Art. 32 Abs. 2, 3 CRA) |
| Modul H – Umfassende Qualitätssicherung | Erforderlich | Genehmigtes QMS + Audit (Art. 32 Abs. 2, 3, 4b CRA) |
| Sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung mindestens auf der Vertrauenswürdigkeitsstufe mittel, welches für den CRA anerkannt wurde (momentan gibt es noch keins). | Erforderlich, um die Zertifizierung zu erhalten | Art. 27 Abs. 9 CRA |
| Kritische Produkte (Anhang IV) | ||
| Vorrangig eine EU-Cybersicherheitszertifizierung (Art. 8 Abs. 1 CRA) | Erforderlich | Zertifikat ≥ mittel; Vorrang vor allen anderen Konformitätsbewertungsverfahren |
| Modul B+C – EU-Baumusterprüfung | Erforderlich | EU-Baumusterprüfbescheinigung (Art. 32 Abs. 2, 3 CRA) |
| Modul H – Umfassende Qualitätssicherung | Erforderlich | Genehmigtes QMS + Audit (Art. 32 Abs. 2, 3, 4b CRA) |
| Sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung mindestens auf der Vertrauenswürdigkeitsstufe mittel, welches für den CRA anerkannt wurde (momentan gibt es noch keins). | Erforderlich um die Zertifizierung zu erhalten | Art. 27 Abs. 9 CRA |
Modul A – Interne Kontrolle
Modul A steht Herstellern von Standardprodukten und bestimmten wichtigen Produkte der Klasse I, sofern sie harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe mittel vollständig angewandt haben offen.
Es ist das einzige Verfahren, bei dem die Konformität vollständig eigenverantwortlich ohne Einbindung einer notifizierten Stelle nachgewiesen werden kann.
Ablauf
Der Hersteller erstellt die technische Dokumentation nach Art. 31 im Vermessen mit Anhang VII CRA, führt auf dieser Grundlage eine eigenverantwortliche Bewertung der Konformität mit den wesentlichen Cybersicherheitsanforderungen aus Anhang I durch und stellt anschließend eine EU-Konformitätserklärung aus. Erst danach darf er die CE-Kennzeichnung anbringen.
Modul A ist keine reine Formalität. Der Hersteller muss die Konformität tatsächlich und nachvollziehbar bewerten. Marktüberwachungsbehörden – in Deutschland das BSI – können eine Selbsterklärung anfechten, wenn die technische Dokumentation unzureichend ist oder das Produkt die Anforderungen nicht erfüllt. Zwar ist keine Einbindung einer Drittstelle erforderlich, doch ist es aus Gründen des Risikomanagements oft ratsam, freiwillige Tests oder ein externes Audit in Betracht zu ziehen.
Modul A auch für wichtige Produkte der Klasse I?
Art. 32 Abs. 2 CRA sieht für wichtige Produkte der Klasse I (Anhang III CRA) eine Ausnahme vor: Sie dürfen Modul A anwenden, sofern sie bei der Konformitätsbewertung mindestens eines der folgenden Instrumente vollständig anwenden:
- harmonisierte Normen, die die wesentlichen Cybersicherheitsanforderungen des CRA abdecken,
- gemeinsame Spezifikationen im Sinne von Art. 27 CRA oder
- ein europäisches Cybersicherheitszertifizierungsschema mindestens der Vertrauenswürdigkeitsstufe mittel nach Art. 27 Abs. 9 CRA.
Ist keine dieser drei Grundlagen vorhanden oder werden sie nur teilweise angewandt, müssen Hersteller wichtiger Produkte der Klasse I auf Modul B+C oder Modul H zurückgreifen (Art. 32 Abs. 2 CRA).
Modul B+C – EU-Baumusterprüfung und interne Fertigungskontrolle
Das Verfahren gliedert sich in zwei Phasen:
Modul B – EU-Baumusterprüfung
Die notifizierte Stelle prüft einen repräsentativen Prototyp (das Baumuster) des Produkts auf die Einhaltung der wesentlichen Cybersicherheitsanforderungen aus Anhang I CRA. Die Prüfung umfasst eine Bewertung der technischen Dokumentation sowie – soweit erforderlich – physische oder technische Tests. Ergibt die Prüfung eine positive Bewertung, stellt die notifizierte Stelle eine EU-Baumusterprüfbescheinigung aus. Diese ist die Grundlage für das nachgelagerte Modul C.
Modul C – Interne Fertigungskontrolle
Auf Basis der EU-Baumusterprüfbescheinigung stellt der Hersteller im Modul C sicher, dass die Serienproduktion mit dem geprüften Baumuster übereinstimmt. Die Überwachung erfolgt intern ohne erneute Einbindung der notifizierten Stelle.
Erst nach Abschluss beider Verfahrensschritte darf der Hersteller die EU-Konformitätserklärung ausstellen und die CE-Kennzeichnung anbringen.
Expertentipp: Die Wahl der notifizierten Stelle ist strategisch: Nicht jede notifizierte Stelle ist für alle Produktkategorien akkreditiert. Hersteller sollten frühzeitig prüfen, welche Stellen für ihr Produkt in Frage kommen und welche Vorlaufzeiten für die Baumusterprüfung eingeplant werden müssen.
Modul H – Umfassende Qualitätssicherung
Modul H ist die aufwändigste, aber auch umfassendste Option: Die notifizierte Stelle bewertet und überwacht nicht nur ein einzelnes Produktmuster, sondern den gesamten Entwicklungs- und Produktionsprozess.
Ablauf
Der Hersteller muss ein Qualitätsmanagementsystem (QMS) einrichten, das Konzeption, Entwicklung, Herstellung, Endprüfung und Auslieferung vollständig abdeckt. Dieses QMS wird von der notifizierten Stelle geprüft und genehmigt. Im Anschluss führt die notifizierte Stelle regelmäßige Überwachungsaudits durch, um die dauerhafte Wirksamkeit des Systems sicherzustellen.
Nach erfolgreicher Erstzertifizierung stellt der Hersteller die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an. Alle Unterlagen – einschließlich QMS-Dokumentation, Auditberichte und EU-Konformitätserklärung – sind mindestens zehn Jahre aufzubewahren.
Praktische Hinweise zu Modul H
- Ein nach ISO 9001 oder ISO/IEC 27001 zertifiziertes Managementsystem kann eine gute Ausgangsbasis bilden, ersetzt aber nicht die spezifische CRA-Konformitätsbewertung.
- Hersteller, die bereits ein AI-Management-System (AIMS) nach ISO 42001 betreiben, können Synergien nutzen – die Anforderungen überschneiden sich insbesondere bei Risikobewertung, Dokumentation und Lebenszyklusmanagement.
- Die kontinuierliche Überwachung durch die notifizierte Stelle bedeutet einen dauerhaften Ressourcenaufwand, der in der Projektplanung berücksichtigt werden muss.
Tipp: Lesen Sie dazu auch unseren Vergleich von CRA und AI Act, insbesondere zum Zusammenspiel von Konformitätsbewertungen unter beiden Regelwerken.
Kritische Produkte (Anhang IV CRA): Pflicht-Zertifizierung hat Vorrang
Für kritische Produkte mit digitalen Elementen (Anhang IV CRA) gilt eine besondere Regelung: Gemäß Art. 32 Abs. 4 CRA wird der Nachweis der Konformität primär über ein europäisches Cybersicherheitszertifizierungsschema nach Art. 8 Abs. 1 CRA erbracht. Dies ist kein bloßes Wahlrecht, sondern eine gesetzliche Rangfolge:
- Primär: Europäisches Cybersicherheitszertifizierungsschema gemäß Art. 8 Abs. 1 CRA, sofern die Kommission ein entsprechendes Schema per delegierter Rechtsakt als verbindlich festgelegt hat.
- Subsidiär: Nur wenn die Bedingungen des Art. 8 Abs. 1 CRA nicht erfüllt sind – etwa weil (noch) kein einschlägiges Schema verfügbar ist –, können Hersteller kritischer Produkte auf die Verfahren aus Art. 32 Abs. 3 CRA zurückgreifen: Modul B+C, Modul H oder eine Zertifizierung nach Art. 27 Abs. 9 CRA mindestens der Vertrauenswürdigkeitsstufe mittel.
In der Praxis bedeutet das: Bis die Kommission einschlägige verpflichtende Schemata für Anhang-IV-Produkte festgelegt hat, können Hersteller kritischer Produkte die subsidiären Verfahren nutzen.
In Zukunft relevante Schemata können insbesondere folgende sein:
- EUCC (European Union Common Criteria-based Cybersecurity Certification Scheme) – für Hardwarekomponenten und Software mit hohen Sicherheitsanforderungen
- EUCS (EU Cybersecurity Certification Scheme for Cloud Services) – für Cloud-Dienste, die als Teil eines Produkts mit digitalen Elementen erbracht werden
Jedoch, aktuell fehlen noch delegierte Rechtsakte der EU-Kommission, es offiziell noch keine Europäisches Cybersicherheitszertifizierungsschema gemäß Art. 8 Abs. 1 CRA gibt.
Hinweis: Das Zertifikat ersetzt nicht die technische Dokumentation nach Anhang VII CRA. Dokumentationspflichten bleiben vollständig bestehen. Ein Zertifikat ist ein zusätzlicher Konformitätsnachweis, keine Alternative zur Dokumentation.
Darüber hinaus hebt ein gültiges Cybersicherheitszertifikat mindestens der Stufe mittel nach Art. 27 Abs. 9 CRA die Pflicht des Herstellers auf, für die abgedeckten Anforderungen eine Konformitätsbewertung durch Dritte durchführen zu lassen – und zwar auch für wichtige Produkte der Klasse I und II (Art. 27 Abs. 9 a.E. CRA).
Was umfasst die EU-Konformitätserklärung nach Art. 28 CRA?
Nach Abschluss der Konformitätsbewertung stellt der Hersteller eine EU-Konformitätserklärung (Declaration of Conformity – DoC) aus. Sie ist die formale Erklärung, dass das Produkt die wesentlichen CRA-Anforderungen erfüllt und die erforderlichen Verfahren durchgeführt wurden. Die DoC bildet die rechtliche Grundlage für die CE-Kennzeichnung nach Art. 30 CRA.
Mindestinhalt der CRA-Konformitätserklärung
Art. 28 Abs. 2 CRA legt den Mindestinhalt der vollständigen EU-Konformitätserklärung verbindlich fest (Muster: Anhang V CRA):
| Pflichtangabe | Inhalt / Erläuterung |
|---|---|
| Produktidentifikation | Name, Typ und alle Angaben zur eindeutigen Identifizierung des Produkts mit digitalen Elementen |
| Hersteller | Name und Anschrift des Herstellers oder seines Bevollmächtigten |
| Verantwortungserklärung | Erklärung, dass der Hersteller die alleinige Verantwortung für die Ausstellung der Konformitätserklärung trägt |
| Erklärungsgegenstand | Bezeichnung des Produkts mit digitalen Elementen zwecks Rückverfolgbarkeit, ggf. mit Foto |
| Konformitätserklärung | Erklärung, dass der beschriebene Gegenstand den einschlägigen Harmonisierungsvorschriften der Union entspricht |
| Normverweise | Verweise auf harmonisierte Normen, gemeinsame Spezifikationen oder ein EU-Cybersecurity-Zertifikat |
| Notifizierte Stelle (ggf.) | Name und Kennnummer der notifizierten Stelle sowie Beschreibung des Verfahrens und Kennnummer der Bescheinigung |
| Ausstellungsort und -datum | Ort und Datum der Ausstellung |
| Unterschrift | Name, Funktion und Unterschrift der verantwortlichen Person |
Vereinfachte CRA-Konformitätserklärung
Der Hersteller kann auch eine vereinfachte Fassung der EU-Konformitätserklärung ausstellen (Muster in Anhang VI CRA). In diesem Fall muss die genaue Internetadresse angegeben sein, unter der die vollständige Konformitätserklärung jederzeit abrufbar ist (Art. 13 Abs. 20 CRA).
Zusammengefasste Konformitätserklärung bei Geltung mehrerer Rechtsakte
Greifen neben dem CRA weitere EU-Rechtsakte – etwa der AI Act (Verordnung (EU) 2024/1689) für Hochrisiko-KI-Systeme –, ermöglicht Art. 28 Abs. 7 CRA eine zusammengefasste Konformitätserklärung. Diese muss inhaltlich vollständig und für alle betroffenen Rechtsakte konsistent sein.
Wie erfolgt die CE-Kennzeichnung nach Art. 30 CRA?
Die CE-Kennzeichnung ist das sichtbare Zeichen dafür, dass ein Produkt mit digitalen Elementen die wesentlichen Anforderungen des CRA erfüllt. Sie darf erst angebracht werden, wenn:
- die Konformitätsbewertung nach Art. 32 CRA erfolgreich abgeschlossen wurde,
- die technische Dokumentation nach Art. 31 im Vermessen mit Anhang VII CRA vorliegt, und
- die EU-Konformitätserklärung nach Art. 28 CRA ausgestellt wurde.
Die CE-Kennzeichnung muss sichtbar, lesbar und dauerhaft am Produkt oder – sofern dies nicht möglich ist – an der Verpackung oder in den Begleitunterlagen angebracht werden. Neben dem CE-Zeichen muss die Kennnummer der notifizierten Stelle angegeben werden, sofern eine solche am Verfahren beteiligt war.
Achtung: Das Anbringen der CE-Kennzeichnung ohne gültige Konformitätsbewertung ist nach Art. 64 CRA eine sanktionsbewehrte Ordnungswidrigkeit. Für Irreführungen über die Konformität sieht der CRA empfindliche Bußgelder vor.
Bis wann muss die Konformitätsbewertung abgeschlossen sein?
Die Pflicht zur Konformitätsbewertung greift für Produkte, die ab dem 11. Dezember 2027 neu in den Verkehr gebracht werden. Produkte, die vor diesem Stichtag in den Verkehr gebracht wurden, werden erst dann CRA-pflichtig, wenn sie nach dem 11. Dezember 2027 wesentlich verändert werden.
Für Hersteller, die mit notifizierten Stellen arbeiten müssen (Modul B+C oder H), bedeutet das: Die Kapazitäten notifizierter Stellen sind begrenzt. Wer die Konformitätsbewertung erst kurz vor dem Stichtag startet, riskiert Verzögerungen und damit faktische Marktausschlüsse.
Expertentipp: Starten Sie die Konformitätsbewertung und die Auswahl der notifizierten Stelle frühzeitig – idealerweise parallel zur technischen Produktentwicklung, nicht erst nach deren Abschluss.
Wie kann activeMind Unternehmen bei der Konformitätsbewertung unterstützen?
Wenn wir Unternehmen auf dem Weg zur CRA-Compliance begleiten, beginnen wir mit einer systematischen Produktklassifizierung: Welche Produkte fallen unter den CRA, wie sind sie einzustufen – und welches Konformitätsbewertungsverfahren ist anzuwenden? Auf dieser Basis unterstützen wir bei:
- der Erstellung und Strukturierung der technischen Dokumentation nach Anhang VII CRA,
- der Vorbereitung auf externe Audits durch notifizierte Stellen (Modul B+C oder H),
- der Auswahl geeigneter notifizierter Stellen und Zertifizierungsschemata,
- der Ausstellung der EU-Konformitätserklärung nach Art. 28 CRA, und
- dem Aufbau eines softwaregestützten Dokumentationsmanagementsystems für die laufende CRA-Compliance.
Ihre Vorteile:
- Unsere Experten beherrschen alle relevanten Normen zur Cybersicherheit und kennen aus jahrelanger Erfahrung in verschiedensten Branchen die typischen Stolpersteine bei Konformitätsbewertungen.
- Im Ergebnis erhalten Sie einen klaren, priorisierten Maßnahmenplan – und sparen sich sämtliche Umwege zur CRA-Compliance.
Konformitätsbewertung und Konformitätserklärung sind die großen Stolpersteine bei der CRA-Compliance. Mit unserer Beratung gehen Sie diesen Schritt sicher und ohne Umwege. Vereinbaren Sie jetzt ein kostenfreies Erstgespräch!
Fazit: Konformitätsbewertung ist mehr als Bürokratie
Die Konformitätsbewertung nach Art. 32 CRA ist keine bürokratische Pflichtübung, sondern das Herzstück des CRA-Compliance-Systems. Sie entscheidet, ob ein Produkt mit digitalen Elementen auf dem EU-Markt bereitgestellt werden darf – und sie setzt voraus, dass Sicherheitsanforderungen nicht erst am Ende des Produktentwicklungsprozesses, sondern von Anfang an mitgedacht werden.
Entscheidend ist, die Produktkategorie (inklusive der Klasse bei wichtigen Produkten) frühzeitig korrekt zu bestimmen, das passende Bewertungsmodul zu identifizieren, notifizierte Stellen rechtzeitig einzubinden und die EU-Konformitätserklärung als lebendes Dokument zu verstehen, das den gesamten Produktlebenszyklus begleitet. Wer diese Grundlage sorgfältig legt, schafft nicht nur Compliance – sondern auch Vertrauen bei Kunden, Partnern und Aufsichtsbehörden.
