CRA-Konformitätsbewertung: Der Weg zur CE-Kennzeichnung bis Dezember 2027
Ab dem 11. Dezember 2027 darf ein Produkt mit digitalen Elementen nur noch mit CE-Kennzeichnung in Verkehr gebracht werden. Welches Verfahren dahin führt, hängt von der Produktklasse ab: interne Kontrolle, Selbstbewertung nach harmonisierten Normen oder Prüfung durch eine notifizierte Stelle. Diese Seite erklärt die Verfahren, die technische Dokumentation, die EU-Konformitätserklärung und den Zeitplan, der jetzt rückwärts zu rechnen ist.
- 3 Verfahren interne Kontrolle, Baumusterprüfung mit Konformität zur Bauart, umfassende Qualitätssicherung
- Anhang VII regelt den Inhalt der technischen Dokumentation
- 5 Jahre Supportzeitraum mindestens, mit Sicherheitsupdates
- 11.12.2027 ab dann CE-Kennzeichnung Pflicht für neue Produkte
Welches Verfahren für welche Klasse gilt
Der CRA übernimmt die bewährten Module der EU-Produktregulierung. Je höher die Klasse, desto weniger Wahlfreiheit hat der Hersteller.
| Klasse | Zulässige Verfahren | Was praktisch zählt |
|---|---|---|
| Standardprodukte | Interne Kontrolle (Modul A). Freiwillig auch Baumusterprüfung oder Qualitätssicherung. | Der Hersteller bewertet selbst und dokumentiert. Die Dokumentation muss dennoch vollständig und prüffähig sein. |
| Wichtige Produkte, Klasse I | Interne Kontrolle nur bei vollständiger Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder eines europäischen Zertifizierungsschemas. Sonst Baumusterprüfung mit Konformität zur Bauart (Module B und C) oder umfassende Qualitätssicherung (Modul H). | Ob die Selbstbewertung offensteht, hängt vom Stand der Normung ab. Bis dahin sollte der Weg über eine notifizierte Stelle eingeplant werden. |
| Wichtige Produkte, Klasse II | Baumusterprüfung mit Konformität zur Bauart (Module B und C) oder umfassende Qualitätssicherung (Modul H), jeweils durch eine notifizierte Stelle. Alternativ europäisches Cybersicherheitszertifikat mit Vertrauenswürdigkeitsstufe mindestens „erheblich“. | Externe Prüfung ist Pflicht. Kapazitäten der notifizierten Stellen früh sichern. |
| Kritische Produkte | Wie Klasse II. Die Kommission kann per delegiertem Rechtsakt ein europäisches Cybersicherheitszertifikat verbindlich vorschreiben. | Zertifizierungsschemata beobachten; Verfahren der EU-Cybersicherheitszertifizierung sind länger als eine Baumusterprüfung. |
Notifizierte Stellen: Die Vorschriften über Notifizierung und Benennung der Prüfstellen (Kapitel IV der Verordnung) gelten seit dem 11. Juni 2026. Die Mitgliedstaaten benennen seither Stellen für den CRA. Wer Produkte der Klasse II oder kritische Produkte hat, sollte den Kontakt frühzeitig aufnehmen. Wie Produkte einer Klasse zugeordnet werden, erklärt die Seite Betroffene Produkte.
Interne Kontrolle, Baumusterprüfung, Qualitätssicherung
Drei Verfahren, drei unterschiedliche Rollen für den Hersteller und die notifizierte Stelle.
- Modul A
Interne Kontrolle
Der Hersteller erstellt die technische Dokumentation, prüft das Produkt gegen die grundlegenden Anforderungen an Produkteigenschaften und Schwachstellenbehandlung, sichert die Konformität der Serie und stellt die EU-Konformitätserklärung aus. Keine externe Stelle beteiligt.
- Module B und C
Baumusterprüfung und Konformität zur Bauart
Eine notifizierte Stelle prüft die technische Dokumentation und das Produktmuster und stellt eine EU-Baumusterprüfbescheinigung aus. Der Hersteller stellt anschließend sicher, dass jedes Serienprodukt dem geprüften Baumuster entspricht, und erklärt die Konformität.
- Modul H
Umfassende Qualitätssicherung
Die notifizierte Stelle bewertet und überwacht das Qualitätssicherungssystem des Herstellers für Entwicklung, Produktion, Endabnahme und Prüfung. Geeignet für Hersteller mit vielen Produktvarianten oder häufigen Releases, weil nicht jedes Produkt einzeln geprüft wird.
Europäisches Cybersicherheitszertifikat: Ein Zertifikat nach einem EU-Schema zur Cybersicherheitszertifizierung mit Vertrauenswürdigkeitsstufe mindestens „erheblich“ ersetzt die Konformitätsbewertung, soweit es die grundlegenden Anforderungen abdeckt. Für kritische Produkte kann es verpflichtend werden.
Was nach Anhang VII in die Akte gehört
Die technische Dokumentation wird vor dem Inverkehrbringen erstellt, über den gesamten Supportzeitraum aktuell gehalten und der Marktüberwachung auf Verlangen vorgelegt.
- Allgemeine Beschreibung des Produkts: Zweckbestimmung, Softwareversionen, Hardware, Fotos oder Abbildungen, Nutzerinformationen und Anleitung.
- Beschreibung von Entwurf, Entwicklung und Herstellung sowie der Prozesse zur Behandlung von Schwachstellen, einschließlich Software-Stückliste, Offenlegungspolitik und Update-Bereitstellung.
- Cybersicherheits-Risikobewertung, auf deren Grundlage das Produkt entworfen und gebaut wurde, mit Begründung, welche Anforderungen aus Anhang I anwendbar sind.
- Angaben zum festgelegten Supportzeitraum und seiner Herleitung.
- Liste der ganz oder teilweise angewandten harmonisierten Normen, gemeinsamen Spezifikationen oder Zertifizierungsschemata; wo keine angewandt wurden, Beschreibung der gewählten Lösungen.
- Berichte über durchgeführte Prüfungen zur Überprüfung der Produktanforderungen und der Schwachstellenbehandlung.
- Kopie der EU-Konformitätserklärung.
- Software-Stückliste (SBOM), soweit anwendbar, in einem maschinenlesbaren Format mindestens für die obersten Abhängigkeiten.
Dokumentation als Nebenprodukt: Die Akte wird belastbar, wenn sie aus dem Entwicklungsprozess entsteht, nicht rückwirkend geschrieben wird. Threat Model, Testberichte und SBOM aus der Pipeline liefern den größten Teil des Inhalts, wenn sie strukturiert abgelegt werden.
EU-Konformitätserklärung und CE-Kennzeichnung
Mit der Konformitätserklärung übernimmt der Hersteller die Verantwortung für die Konformität. Die CE-Kennzeichnung macht sie nach außen sichtbar.
-
EU-Konformitätserklärung
Aufbau nach Anhang V: Produktbezeichnung und Rückverfolgbarkeit, Name und Anschrift des Herstellers, Erklärung der alleinigen Verantwortung, Bezug auf den CRA und weitere anwendbare Rechtsakte, angewandte Normen, gegebenenfalls notifizierte Stelle und Bescheinigung, Ort, Datum, Unterschrift. Sie liegt dem Produkt bei oder ist über eine Internetadresse zugänglich; eine vereinfachte Form ist zulässig.
-
CE-Kennzeichnung
Sichtbar, lesbar und dauerhaft am Produkt, andernfalls auf Verpackung oder Konformitätserklärung; bei Software auf der Konformitätserklärung oder der Website. Bei Beteiligung einer notifizierten Stelle in der Produktionsphase folgt deren Kennnummer. Die Kennzeichnung erklärt zugleich die Konformität mit anderen anwendbaren Rechtsakten, etwa der Funkanlagenrichtlinie.
-
Pflichten von Importeuren und Händlern
Importeure prüfen vor dem Inverkehrbringen, dass die Konformitätsbewertung durchgeführt wurde, die Dokumentation vorliegt und die CE-Kennzeichnung angebracht ist, und nennen ihre Kontaktdaten. Händler prüfen CE-Kennzeichnung und Herstellerangaben. Beide dürfen bei begründetem Zweifel das Produkt nicht bereitstellen.
Sicherheitsupdates über mindestens fünf Jahre
Die Konformitätsbewertung endet nicht mit der CE-Kennzeichnung. Die Anforderungen an die Schwachstellenbehandlung gelten für die gesamte Supportdauer.
-
Dauer festlegen und mitteilen
Der Supportzeitraum entspricht der erwarteten Nutzungsdauer, mindestens fünf Jahre, sofern das Produkt nicht erkennbar kürzer genutzt wird. Er wird in der technischen Dokumentation begründet und dem Käufer beim Kauf genannt, samt Enddatum.
-
Updates bereitstellen
Schwachstellen sind unverzüglich zu beheben, Sicherheitsupdates grundsätzlich kostenlos und getrennt von Funktionsupdates bereitzustellen, mit Hinweisen für die Nutzer. Bereitgestellte Sicherheitsupdates müssen mindestens zehn Jahre nach dem Inverkehrbringen des Produkts oder bis zum Ende des Supportzeitraums verfügbar bleiben, je nachdem, was länger ist.
-
Dokumentation aktuell halten
Technische Dokumentation, Risikobewertung und SBOM werden bei Änderungen fortgeschrieben. Eine wesentliche Änderung des Produkts löst eine erneute Konformitätsbewertung aus. Das Ende des Supportzeitraums ist zu kommunizieren, die Dokumentation mindestens zehn Jahre nach Inverkehrbringen oder bis zum Ende des Supportzeitraums aufzubewahren.
Rückwärts gerechnet vom 11. Dezember 2027
Für ein Produkt, das 2028 noch verkauft wird, muss die Konformitätsbewertung Ende 2027 abgeschlossen sein. Für Klasse II mit notifizierter Stelle sollten Sie mindestens ein Jahr vor Prüfbeginn mit der Vorbereitung starten.
-
Klassifizierung und Gap-Analyse
Produkte einordnen, Prüfweg je Produkt festlegen, Lücken gegen Anhang I und Anhang VII ermitteln. Für Klasse II und kritische Produkte Kontakt zu einer notifizierten Stelle aufnehmen und Prüfumfang klären.
-
Lücken schließen, Dokumentation aufbauen
Sicherer Entwicklungsprozess, SBOM, Schwachstellen- und Update-Prozess, Risikobewertung, Testberichte. Die technische Dokumentation entsteht parallel zur Umsetzung, nicht danach.
-
Bewertung durchführen
Interne Kontrolle abschließen oder Baumusterprüfung bei der notifizierten Stelle durchlaufen. Findings beheben, Nachprüfungen einplanen. EU-Konformitätserklärung vorbereiten.
-
Konformität erklären, CE anbringen
EU-Konformitätserklärung unterzeichnen, CE-Kennzeichnung anbringen, Nutzerinformationen und Supportzeitraum kommunizieren. Ab jetzt laufen Schwachstellenbehandlung und Dokumentationspflege im Regelbetrieb.
Warum die Zeit knapper ist, als sie wirkt, beschreibt der Beitrag Wer jetzt nicht startet, kommt zu spät auf jamorie.eu.
Vertiefung zum Cyber Resilience Act
-
CRA-Übersicht
Wen der CRA verpflichtet, was Hersteller, Importeure und Händler tun müssen, und wie der Zeitplan bis Dezember 2027 aussieht.
-
Betroffene Produkte
Standard, wichtig Klasse I und II, kritisch: die Produktklassen nach Anhang III und IV mit Beispielen, die Ausnahmen und die Regeln für Open Source.
-
Meldepflicht
Seit 11. September 2026: aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle in 24 Stunden, 72 Stunden und mit Abschlussmeldung über die ENISA-Plattform melden.
Konformitätsbewertung kurz beantwortet
Können wir die Konformität für ein Standardprodukt komplett selbst erklären?
Ja. Für Standardprodukte genügt die interne Kontrolle: Sie erstellen die technische Dokumentation, prüfen die Erfüllung der grundlegenden Anforderungen aus Anhang I selbst, stellen die EU-Konformitätserklärung aus und bringen die CE-Kennzeichnung an. Selbst ist dabei nicht formlos: Die Dokumentation muss die Risikobewertung, die getroffenen Maßnahmen und die Prozesse der Schwachstellenbehandlung nachvollziehbar belegen.
Gibt es die harmonisierten Normen schon?
Die Europäische Kommission hat die Normungsorganisationen CEN und CENELEC mit der Erarbeitung harmonisierter Normen zum CRA beauftragt. Bis diese im Amtsblatt veröffentlicht sind, können Hersteller die grundlegenden Anforderungen mit anderen anerkannten Standards untermauern, etwa aus der IEC-62443-Reihe oder ETSI EN 303 645. Die Konformitätsvermutung entsteht aber erst mit der harmonisierten Norm. Wer ein Produkt der Klasse I hat, sollte den Stand der Normung im Blick behalten, weil davon abhängt, ob die Selbstbewertung offensteht.
Was macht eine notifizierte Stelle bei der Baumusterprüfung?
Sie prüft anhand der technischen Dokumentation und, soweit nötig, an Produktmustern, ob das Produkt die grundlegenden Anforderungen erfüllt, und stellt eine EU-Baumusterprüfbescheinigung aus. Anschließend stellen Sie im Modul C sicher, dass die Serienprodukte dem geprüften Baumuster entsprechen. Alternativ können Sie im Modul H Ihr Qualitätssicherungssystem für Entwicklung, Produktion und Prüfung von der notifizierten Stelle bewerten lassen.
Wie legen wir den Supportzeitraum fest?
Der Supportzeitraum bemisst sich nach der erwarteten Nutzungsdauer des Produkts, mindestens jedoch fünf Jahre, es sei denn, das Produkt wird erkennbar kürzer genutzt. Berücksichtigen Sie vergleichbare Produkte, Zusagen im Markt, Nutzungserwartungen der Kunden und Vorgaben aus anderem Unionsrecht. Der Zeitraum wird in der technischen Dokumentation begründet und dem Käufer beim Kauf mitgeteilt.
Gilt die Konformitätsbewertung auch für unsere bestehenden Produkte?
Nur, wenn Sie sie nach dem 11. Dezember 2027 in Verkehr bringen oder danach wesentlich verändern. Produkte, die vorher in den Markt gegangen sind, müssen nicht nachträglich bewertet werden, unterliegen aber seit dem 11. September 2026 den Meldepflichten. Da ein Produkt jedes Mal in Verkehr gebracht wird, wenn ein einzelnes Exemplar erstmals bereitgestellt wird, betrifft die Frist praktisch jede Serie, die 2028 noch verkauft wird.
Was passiert ohne CE-Kennzeichnung nach dem 11. Dezember 2027?
Das Produkt darf in der EU nicht in Verkehr gebracht werden. Die Marktüberwachung kann die Bereitstellung untersagen, Rückrufe anordnen und Bußgelder verhängen, bei Verstößen gegen die grundlegenden Anforderungen bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes. Importeure und Händler dürfen Produkte ohne CE-Kennzeichnung nicht weitervertreiben.
Marcel Rieger
Klären Sie Ihren Prüfweg, bevor die Zeit knapp wird
Im kostenlosen Erstgespräch ordnen wir Ihre Produkte ein, benennen das passende Verfahren und schätzen, was bis zur CE-Kennzeichnung an Dokumentation und Prozessen fehlt.
- Prüfweg je Produkt: interne Kontrolle, Normen oder notifizierte Stelle
- Stand Ihrer technischen Dokumentation gegen Anhang VII
- Rückwärts gerechneter Zeitplan bis zum 11. Dezember 2027
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen