CRA Cyber Resilience Act Conformity Assessment

Die CRA-Konformitaetsbewertung ist das gesetzlich vorgeschriebene Verfahren nach dem EU Cyber Resilience Act, mit dem Hersteller nachweisen, dass ihr Produkt mit digitalem Element die wesentlichen Cybersicherheitsanforderungen erfuellt. Ohne bestandene Konformitaetsbewertung darf kein Produkt die CE-Kennzeichnung tragen und nicht auf dem EU-Binnenmarkt vertrieben werden. Die vollstaendige Anwendung gilt ab Dezember 2027.

Der CRA definiert in Anhang VIII vier Bewertungsverfahren: Modul A ist die interne Fertigungskontrolle (Selbstbewertung ohne benannte Stelle). Modul B ist die EU-Baumusterpruefung, bei der eine benannte Stelle einen Prototypen prueft. Modul C ist die anschliessende interne Fertigungskontrolle fuer die Serienproduktion und wird immer mit Modul B kombiniert. Modul H ist die umfassende Qualitaetssicherung, bei der eine benannte Stelle das gesamte Qualitaetsmanagementsystem des Herstellers bewertet.

Standardprodukte (ca.

90 Prozent aller Produkte) koennen Modul A (Selbstbewertung) nutzen. Wichtige Produkte der Klasse I (z.B. Betriebssysteme, Router, Passwortmanager) benoetigen Modul A nur bei Anwendung harmonisierter Normen, sonst Modul B+C oder H mit benannter Stelle. Wichtige Produkte der Klasse II (z.B. Firewalls, IDS) und kritische Produkte (z.B. Smartcards, Smart-Meter-Gateways) muessen zwingend eine Drittpartei-Bewertung durchlaufen.

Bei der Selbstbewertung nach Modul A erstellt der Hersteller eigenstaendig die technische Dokumentation, fuehrt die Risikobewertung durch und erklaert die Konformitaet ohne externe Pruefung. Bei der Drittpartei-Bewertung (Modul B+C oder H) prueft eine von einem EU-Mitgliedstaat benannte Stelle (Notified Body) entweder den Produkttyp oder das Qualitaetssicherungssystem. Die Drittpartei-Bewertung ist fuer wichtige Produkte der Klasse II und kritische Produkte verpflichtend.

Eine benannte Stelle (Notified Body) ist eine von einem EU-Mitgliedstaat akkreditierte Konformitaetsbewertungsstelle, die befugt ist, Drittpartei-Pruefungen nach dem CRA durchzufuehren. Sie benoetigen eine benannte Stelle, wenn Ihr Produkt als wichtig (Klasse II) oder kritisch eingestuft wird, oder wenn Sie bei Klasse-I-Produkten keine harmonisierten Normen anwenden. Die Notifizierung der Stellen erfolgt ab Juni

2026 ueber die NANDO-Datenbank.

Der CRA trat am 10. Dezember

2024 in Kraft. Die Notifizierung der Konformitaetsbewertungsstellen beginnt ab 11. Juni 2026. Die Meldepflichten fuer Schwachstellen gelten ab 11. September 2026. Die vollstaendige Anwendung aller CRA-Anforderungen einschliesslich der Konformitaetsbewertung und CE-Kennzeichnungspflicht gilt ab 11. Dezember 2027.

ADVISORI begleitet Sie durch den gesamten Konformitaetsbewertungsprozess: Wir bestimmen Ihre Produktkategorie und das passende Bewertungsmodul, erstellen die technische Dokumentation gemaess Anhang VII, fuehren die Cybersicherheits-Risikobewertung durch und bereiten Sie auf die Pruefung durch benannte Stellen vor. Bei Modul A unterstuetzen wir die Selbstbewertung, bei Modul B+C und H die Vorbereitung auf die Drittpartei-Pruefung.