CRA-Konformitätsbewertung und CE-Kennzeichnung

Dieser Leitfaden zeigt, welches Verfahren zu welcher Klasse passt, was der fehlende Normenstand für Produkte der Klasse I bedeutet und wie Erklärung und CE-Kennzeichnung entstehen. Die Beispiele sind erfunden.

Erst die Klasse, dann das Verfahren

Der CRA unterscheidet vier Gruppen. Maßgeblich ist die Kernfunktion des Produkts, nicht jede eingebaute Komponente. Wer etwa einen Browser in eine Bedienoberfläche einbaut, macht das Gesamtprodukt dadurch nicht zum wichtigen Produkt (Art. 7 Abs. 1 CRA).

Die genaue Abgrenzung der Kategorien in Anhang III und IV regelt die Durchführungsverordnung (EU) 2025/2392 mit technischen Beschreibungen. Lesen Sie dort nach, bevor Sie eine Klasse festlegen, und halten Sie die Begründung schriftlich fest.

Die Verfahren im Überblick

• Modul A, interne Kontrolle (Anhang VIII Teil I). Sie bewerten selbst, erstellen die technische Dokumentation, stellen die EU-Konformitätserklärung aus und bringen die CE-Kennzeichnung an. Keine Stelle prüft vorab.
• Modul B und C (Anhang VIII Teil II und III). Eine notifizierte Stelle Ihrer Wahl prüft die technische Konzeption, die Dokumentation, Muster wichtiger Teile und Ihre Verfahren zur Behandlung von Schwachstellen. Sie stellt eine EU-Baumusterprüfbescheinigung aus. Danach sichern Sie in der Fertigung, dass jedes Produkt dem Baumuster entspricht.
• Modul H, umfassende Qualitätssicherung (Anhang VIII Teil IV). Die Stelle bewertet Ihr Qualitätssicherungssystem für Konzeption, Entwicklung, Prüfung und Schwachstellenbehandlung und überwacht es; Sie halten es während des Unterstützungszeitraums wirksam. Das lohnt sich vor allem bei mehreren Produkten.
• Europäische Zertifizierung. Schemata nach der Verordnung (EU) 2019/881 (Cybersecurity Act) können die Prüfung durch Dritte ersetzen, wenn die Kommission sie per delegiertem Rechtsakt nach Art. 27 Abs. 9 CRA dafür ausweist. Das bekannteste Schema ist EUCC (Durchführungsverordnung (EU) 2024/482).

Ein Zertifikat nach EUCC ersetzt den CRA nicht von selbst. Es zählt erst, wenn die Kommission das Schema für den CRA ausgewiesen hat, und nur für die Anforderungen, die es abdeckt. Stand 10. November 2026 ist noch kein Schema nach Art. 27 Abs. 9 ausgewiesen; die Kommission plant den delegierten Rechtsakt zum EUCC für das vierte Quartal 2026.

Harmonisierte Normen: der Stand

Harmonisierte Normen sind der bequemste Weg zur Konformitätsvermutung. Wer sie anwendet, für den wird vermutet, dass die abgedeckten Anforderungen aus Anhang I erfüllt sind (Art. 27 Abs. 1 CRA). Das gilt aber erst, wenn ihre Fundstellen im Amtsblatt der EU veröffentlicht sind.

Die Kommission hat die europäischen Normungsorganisationen mit dem Normungsauftrag M/606 beauftragt. Die Arbeiten laufen: Die ersten horizontalen Normen EN 40000-1-1 und EN 40000-1-2 haben im Oktober 2026 die Abstimmung bei CEN und CENELEC bestanden und werden im November 2026 veröffentlicht; die Norm zur Schwachstellenbehandlung (prEN 40000-1-3) und die produktspezifischen Normen sind noch Entwürfe. Stand 10. November 2026 ist für keine dieser Normen eine Fundstelle im Amtsblatt veröffentlicht, und die Kommission führt auf ihrer Seite zu harmonisierten Normen keinen Eintrag zum CRA. Die Konformitätsvermutung nach Art. 27 besteht deshalb noch nicht.

Für die Praxis heißt das:

• Klasse I: Solange keine Norm im Amtsblatt steht, bleibt Modul A in der Regel verschlossen. Planen Sie Modul B und C oder Modul H ein und prüfen Sie den Normenstand vor der Entscheidung erneut.
• Standardprodukte: Modul A geht auch ohne Normen. Sie beschreiben dann in der technischen Dokumentation selbst, wie Sie jede Anforderung erfüllen (Anhang VII Nr. 5).
• Bestehende Normen: IEC 62443-4-1 und 4-2 sind eine gute technische Grundlage, begründen aber keine Vermutung nach Art. 27.

EU-Konformitätserklärung und CE-Kennzeichnung

Mit der EU-Konformitätserklärung übernehmen Sie die Verantwortung für die Konformität des Produkts (Art. 28 Abs. 4 CRA). Ihren Aufbau gibt Anhang V vor:

• eindeutige Bezeichnung des Produkts, Name und Anschrift des Herstellers,
• die Erklärung der alleinigen Verantwortung und der Übereinstimmung,
• Verweise auf angewandte Normen, gemeinsame Spezifikationen oder Zertifizierungen,
• gegebenenfalls notifizierte Stelle mit Kennnummer, Verfahren und Nummer der Bescheinigung,
• Ort, Datum, Name, Funktion und Unterschrift.

Fällt das Produkt unter weitere EU-Rechtsakte mit eigener Erklärung, etwa die Maschinenverordnung, stellen Sie eine einzige Erklärung für alle aus (Art. 28 Abs. 3). Die vereinfachte Erklärung nach Anhang VI ist ein kurzer Satz mit der Internetadresse der vollständigen Fassung.

Die CE-Kennzeichnung bringen Sie vor dem Inverkehrbringen an (Art. 30 Abs. 3). Bei Hardware gehört sie sichtbar, leserlich und dauerhaft auf das Produkt, wenn das nicht geht, auf Verpackung und Erklärung. Bei Software steht sie auf der Erklärung oder auf der begleitenden Website, leicht und direkt erreichbar (Art. 30 Abs. 1). Ist eine notifizierte Stelle nach Modul H beteiligt, folgt ihre Kennnummer auf das CE-Zeichen (Art. 30 Abs. 4).

Die Termine

• 11. Juni 2026: Die Regeln für notifizierte Stellen gelten (Kapitel IV, Art. 71 Abs. 2 CRA). Seitdem können die Mitgliedstaaten Stellen notifizieren.
• 11. September 2026: Die Meldepflichten nach Art. 14 gelten, auch für Produkte, die schon auf dem Markt sind (Art. 69 Abs. 3).
• 11. Dezember 2027: Alle übrigen Pflichten gelten, also auch Konformitätsbewertung, Erklärung und CE-Kennzeichnung. Produkte, die vorher in Verkehr gebracht wurden, betrifft das nur nach einer wesentlichen Änderung (Art. 69 Abs. 2).

Wer eine notifizierte Stelle braucht, sollte früh Kontakt aufnehmen. Eine Baumusterprüfung setzt eine weitgehend fertige Dokumentation voraus.

Beispiel aus der Automatisierung

Das Beispiel ist erfunden. Ein Hersteller von Automatisierungstechnik bringt drei Produkte auf den Markt:

• Entscheidung: Statt zwei Baumusterprüfungen lässt der Hersteller sein Qualitätssicherungssystem nach Modul H bewerten. Neue Versionen laufen dann durch dasselbe System.
• Erklärung: Die Steuerung fällt auch unter die Maschinenverordnung. Sie erhält eine gemeinsame Erklärung für beide Rechtsakte.
• Zeitplan: Router und Firewall brauchen eine notifizierte Stelle. Der Hersteller fragt sie an, sobald die Dokumentation weitgehend steht, und plant die Bewertung vor dem ersten Inverkehrbringen ab dem 11. Dezember 2027.

Checkliste

• Für jedes Produkt ist die Klasse mit Begründung festgehalten, geprüft gegen Anhang III, IV und die DVO (EU) 2025/2392.
• Das Verfahren je Produkt ist gewählt und passt zur Klasse.
• Der Stand harmonisierter Normen, gemeinsamer Spezifikationen und Zertifizierungsschemata ist geprüft und datiert.
• Bei Modul B und C oder H ist die notifizierte Stelle angefragt.
• Die technische Dokumentation nach Anhang VII ist vollständig.
• Die EU-Konformitätserklärung folgt Anhang V und nennt alle betroffenen Rechtsakte.
• Ort und Art der CE-Kennzeichnung sind festgelegt, bei Software die Website.
• Erklärung und Dokumentation werden zehn Jahre oder für den Unterstützungszeitraum aufbewahrt, je nachdem, was länger ist.
• Neue Versionen lösen eine Prüfung aus, ob die Bewertung noch trägt.

Konformitätsbewertung in Complass

Klassen in einer Tabelle, Bescheinigungen im Postfach, die Erklärung als Word-Datei auf einem Laufwerk: So verliert man den Überblick, welche Version wie bewertet ist. In Complass liegt alles in der Produktakte:

• Klasse mit Begründung: Je Produkt halten Sie fest, ob es Standard, wichtig der Klasse I oder II oder kritisch ist. Ab Klasse I ist eine Begründung Pflicht.
• Verfahren je Version: Sie wählen Modul A, Modul B und C, Modul H oder EUCC. Für Klasse II und kritische Produkte lässt Complass Modul A nicht zu. Eine notifizierte Stelle tragen Sie nur bei einem Verfahren ein, das eine Stelle beteiligt.
• Bereit zur Erklärung: Die Vollständigkeitsprüfung zeigt offene Punkte. Die Konformität bewertet sie nicht, die Entscheidung bleibt bei Ihnen.
• Erklärung als Entwurf: EU-Konformitätserklärung und vereinfachte Erklärung entstehen aus der Akte, bei Bedarf gemeinsam für CRA und Maschinenverordnung. Die Freigabe friert sie mit Prüfsumme ein.
• Unterschrift und CE: Sie unterschreiben außerhalb von Complass und laden die unterzeichnete Erklärung hoch. Das Datum der CE-Kennzeichnung steht an der Version.

Häufige Fragen

Dürfen wir für ein Produkt der Klasse I Modul A nutzen?

Nur wenn Sie harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Zertifizierungsschema mindestens der Stufe „mittel“ vollständig angewendet haben (Art. 32 Abs. 2 CRA). Solange dafür nichts im Amtsblatt veröffentlicht ist, bleiben Modul B und C oder Modul H.

Wir verkaufen nur Software. Wo bringen wir die CE-Kennzeichnung an?

Auf der EU-Konformitätserklärung oder auf der Website, die das Softwareprodukt begleitet. Der Abschnitt muss für Verbraucher leicht und direkt erreichbar sein (Art. 30 Abs. 1 CRA).

Ersetzt ein EUCC-Zertifikat die Konformitätsbewertung?

Nicht automatisch. Dazu muss die Kommission das Schema per delegiertem Rechtsakt nach Art. 27 Abs. 9 CRA ausweisen, und es deckt nur die Anforderungen ab, die es selbst umfasst. Prüfen Sie den aktuellen Stand.

Gibt es Erleichterungen für kleine Unternehmen?

Bei den Gebühren der Konformitätsbewertung sind die Interessen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen zu berücksichtigen (Art. 32 Abs. 6). Für die technische Dokumentation können Kleinst- und Kleinunternehmen ein vereinfachtes Format nutzen, sobald die Kommission das Formular per Durchführungsrechtsakt festgelegt hat (Art. 33 Abs. 5).

Müssen Produkte, die schon auf dem Markt sind, neu bewertet werden?

Nur wenn sie nach dem 11. Dezember 2027 wesentlich geändert werden (Art. 69 Abs. 2 CRA). Die Meldepflichten nach Art. 14 gelten dagegen seit dem 11. September 2026 auch für sie.

In einer Demo zeigen wir Ihnen an der Demo-Firma, wie aus einer Produktakte die Konformitätserklärung entsteht.

Demo anfragen 14 Tage testen

Quellen

• Verordnung (EU) 2024/2847 (Cyber Resilience Act), Art. 7, 8, 27, 28, 30, 32, 33, 69, 71, Anhang III bis VIII, EUR-Lex
• Durchführungsverordnung (EU) 2025/2392 der Kommission zur technischen Beschreibung wichtiger und kritischer Produkte
• Durchführungsverordnung (EU) 2024/482 der Kommission (EUCC)
• Europäische Kommission: Normungsauftrag M/606, Seite zu harmonisierten Normen und Seite zur Umsetzung des CRA
• BSI: Technische Richtlinie TR-03183 „Cyber-Resilienz-Anforderungen an Hersteller und Produkte“

Weiterlesen

• Leitfaden „Bin ich vom CRA betroffen? Produkte mit digitalen Elementen prüfen“
• Leitfaden „Technische Dokumentation nach CRA: Inhalte und Pflege“
• Leitfaden „CRA und IEC 62443: was sich überschneidet und was fehlt“
• Leitfaden „SBOM: was der CRA verlangt und wie Sie die Stückliste aufbauen“
• Leitfaden „CRA-Meldepflicht für Hersteller: was Art. 14 verlangt und wie Sie melden“
• Whitepaper zum CRA für Hersteller
• CRA in Complass

Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847 im Amtsblatt. Stand: November 2026.