Produktklassifizierung unter dem CRA: die Durchführungsverordnung (EU) 2025/2392

Problem in der Praxis

Bis zum Erlass der Durchführungsverordnung mussten Hersteller ihre Produkte allein an den Kategorienbezeichnungen der Anhänge III und IV des CRA messen. Die Produktbeispiele im CRA selbst dienen nach Erwägungsgrund 7 der Durchführungsverordnung lediglich der Veranschaulichung und erheben keinen Anspruch auf Vollständigkeit; eine belastbare Antwort auf die Frage "Fällt unser Produkt in diese Kategorie?" gab der Verordnungstext oft nicht her. Genau diese Lücke schließen die technischen Beschreibungen.

In der Praxis stauen sich die Zweifelsfälle an drei Stellen. Erstens bei integrierten Komponenten: Eine Anwendung enthält einen eingebetteten Browser oder ein Gerät einen Passwort-Manager, und es ist unklar, ob damit das Gesamtprodukt als wichtiges Produkt gilt. Zweitens bei Zusatzfunktionen: Ein Betriebssystem bringt eine Browserfunktion mit, ein Router eine Firewall-Funktion, und es stellt sich die Frage, ob das die Einstufung verschiebt. Drittens bei funktionsähnlichen Produkten: Ein Werkzeug kann Aufgaben eines SIEM übernehmen, ohne eines zu sein. Wer solche Fälle ohne die Maßstäbe der Durchführungsverordnung entscheidet, dokumentiert Einstufungen, die einer Prüfung durch Marktüberwachung oder notifizierte Stelle nicht standhalten. Und wer seine Klassifizierungsphase vor Dezember 2025 abgeschlossen hat, arbeitet mit einer Grundlage, die inzwischen präzisiert worden ist.

CISO-Einordnung

Der Schlüsselbegriff der Klassifizierung ist die Kernfunktion. Nach Art. 7 Abs. 1 und Art. 8 Abs. 1 CRA bestimmt die Kernfunktion eines Produkts, ob es der technischen Beschreibung einer Kategorie wichtiger oder kritischer Produkte entspricht und welchem Konformitätsbewertungsverfahren es unterliegt (so ausdrücklich Erwägungsgrund 2 der Durchführungsverordnung). Die Erwägungsgründe der Durchführungsverordnung ziehen daraus drei Leitplanken, die die häufigsten Zweifelsfälle auflösen:

• Integration einer Komponente: Die Integration eines Produkts, das der Beschreibung einer gelisteten Kategorie entspricht, macht das Gesamtprodukt für sich genommen nicht zum wichtigen Produkt. Das Beispiel in Erwägungsgrund 3: Eine Nachrichten-App mit eingebettetem Browser unterliegt deshalb nicht dem Verfahren für Browser. Der Hersteller muss aber sicherstellen, dass das Gesamtprodukt die grundlegenden Cybersicherheitsanforderungen erfüllt, und dabei gegebenenfalls die Sicherheit der integrierten Komponenten berücksichtigen; die Integration entlastet also vom Verfahren der Komponenten-Kategorie, nicht von den grundlegenden Cybersicherheitsanforderungen.
• Zusatz- und Nebenfunktionen: Dass ein Produkt andere oder zusätzliche Funktionen erfüllt, nimmt ihm für sich genommen nicht die Kernfunktion einer gelisteten Kategorie. Die Beispiele in Erwägungsgrund 4: Ein Betriebssystem verliert seine Kernfunktion für sich genommen nicht durch eine integrierte Browserfunktion oder mitgelieferte Nebenfunktionen wie einen Rechner; ein Router nicht durch eine integrierte Firewall-Funktion.
• Andere Kernfunktion: Ein Produkt, das die Funktionen einer gelisteten Kategorie ausüben kann, dessen Kernfunktion aber eine andere ist, entspricht der Beschreibung dieser Kategorie nicht. Die Beispiele in Erwägungsgrund 5: SOAR-Software kann typische SIEM-Funktionen erfüllen, entspricht aber in der Regel nicht der SIEM-Beschreibung; ein Smartphone enthält üblicherweise ein Betriebssystem und einen Passwort-Manager, entspricht deren Beschreibungen aber in der Regel nicht, weil seine Kernfunktion eine andere ist.

Zwei weitere Punkte gehören ins Lagebild. Erstens: Die Risikoarbeit hängt nicht an der Klasse. Nach Erwägungsgrund 6 mit Verweis auf Art. 13 Abs. 2 und 3 CRA schuldet jeder Hersteller die Bewertung des Cybersicherheitsrisikos und die risikoangemessene Umsetzung der grundlegenden Anforderungen, unabhängig davon, ob sein Produkt wichtig oder kritisch ist; die Klasse steuert das Konformitätsbewertungsverfahren (Art. 32 Abs. 2 bis 5 CRA). Zweitens: Für manipulationssichere Mikroprozessoren und Mikrocontroller sowie Chipkarten und Sicherheitselemente unterscheidet die Durchführungsverordnung die Kategorien nach dem Grad der Widerstandsfähigkeit gegen die Ausnutzung von Schwachstellen, ausgedrückt über die AVA_VAN-Stufen der Gemeinsamen Kriterien und der Gemeinsamen Evaluierungsmethodik (Erwägungsgrund 8); die Begriffe definiert Art. 1 der Durchführungsverordnung durch Verweis auf die Durchführungsverordnung (EU) 2024/482 (EUCC).

Zur Abgrenzung im Korpus: Welche Verfahrensfolgen die Klasse hat (Selbstbewertung, Drittprüfung, mögliche Zertifizierungspflicht) erklärt cra-005; dieser Artikel erklärt, wie ein Produkt in eine Klasse kommt. Wie eine Level-2-Landschaft eines anderen Rechtsrahmens aussieht, zeigt dora-009 am Beispiel der DORA-RTS und -ITS. Die Funkanlagen-Welt der RED mit ihrer eigenen delegierten Verordnung, deren Cybersicherheitsanforderungen im Übergang zum CRA stehen, behandelt der red-Track.

Umsetzungsperspektive

Für die CRA-Roadmap (cra-008) betrifft die Durchführungsverordnung die Klassifizierungsphase: Die dort beschriebene Einordnung jedes Produkts anhand der Original-Anhänge erfolgt jetzt anhand der Anhänge III und IV des CRA in Verbindung mit den technischen Beschreibungen in Anhang I und II der Durchführungsverordnung (EU) 2025/2392. Konkret heißt das:

• Je Produkt die Kernfunktion benennen und begründen, warum sie der technischen Beschreibung einer Kategorie entspricht oder nicht entspricht. Die Kernfunktion ist das Prüfkriterium, nicht der Produktname und nicht die Featureliste.
• Zweifelsfälle entlang der drei Leitplanken dokumentieren: Handelt es sich nur um eine integrierte Komponente? Sind es Zusatz- oder Nebenfunktionen neben einer gelisteten Kernfunktion? Oder hat das Produkt eine andere Kernfunktion und kann die gelisteten Funktionen nur mit ausüben?
• Einstufungen, die vor dem Erlass der Durchführungsverordnung getroffen wurden, gegen die technischen Beschreibungen nachprüfen und die Begründung aktualisieren. Das gilt in beide Richtungen: Produkte können in eine Kategorie hineinwachsen oder aus ihr herausfallen.
• Keine neuen Termine einplanen: Die Durchführungsverordnung enthält keine Melde- oder Fristenregelungen und keinen aufgeschobenen Geltungsbeginn. Praktisch verfahrenswirksam wird die Einstufung mit den Konformitätsbewertungspflichten, die nach Art. 71 Abs. 2 CRA ab dem 11.12.2027 gelten; die Meldepflichten ab dem 11.09.2026 (Art. 14 CRA) werden von der Durchführungsverordnung nicht berührt (cra-004).

Die verbindliche Einstufung des einzelnen Produkts bleibt eine Aufgabe des Herstellers am Rechtstext. Dieser Artikel und der RAG-Assistent erklären die Systematik; sie ersetzen weder die Lektüre der Anhänge noch im Zweifel die rechtliche Beratung.

Typische Fehler

1. Die Klassifizierung weiter allein an den Kategorienbezeichnungen der Anhänge III und IV des CRA festmachen, ohne die technischen Beschreibungen der Durchführungsverordnung heranzuziehen.
2. Aus einer integrierten Komponente (etwa einem eingebetteten Browser) auf die Einstufung des Gesamtprodukts schließen, obwohl die Integration für sich genommen die Kategorie nicht überträgt.
3. Umgekehrt ein Produkt wegen Zusatz- oder Nebenfunktionen aus einer Kategorie herausdefinieren, obwohl seine Kernfunktion der technischen Beschreibung entspricht.
4. Ein Produkt einer Kategorie zuordnen, nur weil es deren Funktionen ausüben kann, ohne dass seine Kernfunktion der Beschreibung entspricht.
5. Die Produktbeispiele im CRA-Text als abschließende Liste lesen; sie dienen lediglich der Veranschaulichung.
6. Aus der Durchführungsverordnung neue Fristen oder Meldepflichten ableiten; sie enthält keine.
7. Die Einstufung als einmalige Entscheidung behandeln, obwohl Produktänderungen und künftige Rechtsakte der Kommission sie verschieben können.

Risiken und Trade-offs

Die technischen Beschreibungen verkleinern den Auslegungsspielraum, sie beseitigen ihn nicht. Die Erwägungsgründe arbeiten mit Formulierungen wie "in der Regel" und "für sich genommen"; die Subsumtion des einzelnen Produkts bleibt eine begründungspflichtige Herstellerentscheidung. Eine zu konservative Einstufung erzeugt unnötigen Prüfaufwand und Vorlaufkosten bei notifizierten Stellen, eine zu optimistische führt zu einem Produkt, das ab der Vollanwendung nicht rechtskonform in Verkehr gebracht werden darf. Neu ist, dass beide Fehler jetzt an einem verbindlichen Maßstab gemessen werden; die Begründungsqualität der eigenen Einstufung wird damit wichtiger, nicht unwichtiger.

Zweitens bleibt die Klassifizierungslandschaft beweglich. Der CRA ermächtigt die Kommission, Anhang III und Anhang IV durch delegierte Rechtsakte zu ändern (Art. 7 Abs. 3, Art. 8 Abs. 2 CRA) und für kritische Produkte eine Zertifizierungspflicht festzulegen (Art. 8 Abs. 1 CRA). Die Durchführungsverordnung (EU) 2025/2392 füllt nur die Ermächtigung des Art. 7 Abs. 4 CRA aus; ob und wann weitere Rechtsakte zum CRA erlassen werden, ist am jeweils aktuellen Stand zu prüfen. Eine einmalige Abgleich-Aktion ohne laufende Beobachtung veraltet.

Entscheidungspunkte

• Welche Kernfunktion hat jedes unserer Produkte, und entspricht sie der technischen Beschreibung einer Kategorie in Anhang I oder II der Durchführungsverordnung (EU) 2025/2392?
• Welche vor Dezember 2025 getroffenen Einstufungen müssen gegen die technischen Beschreibungen nachgeprüft werden, und wer verantwortet das Ergebnis?
• Wie dokumentieren wir Zweifelsfallentscheidungen entlang der drei Leitplanken (integrierte Komponente, Zusatzfunktion, andere Kernfunktion) so, dass sie einer Prüfung standhalten?
• Ändert eine geplante Produktänderung die Kernfunktion und damit möglicherweise die Kategorie?
• Wer beobachtet künftige Rechtsakte der Kommission zu den Anhängen III und IV und löst bei Änderungen die Neubewertung aus?

Praktische Empfehlungen

1. Stellen Sie die Klassifizierungsgrundlage im Produktinventar um: Einstufung anhand der Anhänge III und IV des CRA in Verbindung mit den technischen Beschreibungen der Durchführungsverordnung (EU) 2025/2392.
2. Benennen Sie je Produkt die Kernfunktion schriftlich und halten Sie fest, gegen welche technische Beschreibung sie geprüft wurde und mit welchem Ergebnis.
3. Prüfen Sie Zweifelsfälle entlang der drei Leitplanken der Erwägungsgründe und dokumentieren Sie die Argumentation, statt nur das Ergebnis festzuhalten.
4. Ziehen Sie Alt-Einstufungen aus der Zeit vor der Durchführungsverordnung nach und versionieren Sie die Klassifizierungsentscheidungen.
5. Planen Sie die Verfahrensfolgen der Einstufung früh (cra-005): Bei Klasse II und bei möglicher Zertifizierungspflicht kritischer Produkte entscheidet der Vorlauf bei notifizierten Stellen über den Marktzeitplan.
6. Verankern Sie eine laufende Beobachtung der CRA-Rechtsakte, damit Änderungen an den Anhängen III und IV und neue delegierte Rechtsakte die Einstufungen nicht unbemerkt entwerten.

Relevante Normreferenzen

• Durchführungsverordnung (EU) 2025/2392 der Kommission vom 28. November 2025 (ABl. L, 2025/2392, 1.12.2025): technische Beschreibung der Kategorien wichtiger und kritischer Produkte mit digitalen Elementen; Anhang I (Anhang-III-Kategorien der Klassen I und II), Anhang II (Anhang-IV-Kategorien); EU-Recht, mit Quellenangabe frei zitierbar.
• Verordnung (EU) 2024/2847 (Cyber Resilience Act): Basisrechtsakt; Art. 7 (wichtige Produkte, Ermächtigung Abs. 4), Art. 8 (kritische Produkte), Art. 13 (Herstellerpflichten), Art. 32 (Konformitätsbewertungsverfahren), Art. 71 (Geltungsbeginn), Anhänge III und IV.
• Durchführungsverordnung (EU) 2024/482 (EUCC): Begriffsquelle der Durchführungsverordnung (EU) 2025/2392 für "Gemeinsame Kriterien" und "Gemeinsame Evaluierungsmethodik" (deren Art. 1); hier nur als Referenz, Inhalte werden nicht wiedergegeben.
• Gemeinsame Kriterien und Gemeinsame Evaluierungsmethodik (Common Criteria/CEM): Bezugsrahmen der AVA_VAN-Stufen; nur als Referenz.