CRA Self-Assessment: Für Standardprodukte der Klasse I

Die CRA Selbstbewertung nach Modul A (Interne Fertigungskontrolle) ist ein Konformitätsbewertungsverfahren, bei dem der Hersteller selbst prüft, ob sein digitales Produkt alle Cybersecurity-Anforderungen des Cyber Resilience Act erfüllt. Dieses Verfahren gilt für Standardprodukte, also alle Produkte mit digitalen Elementen, die nicht in Anhang III (wichtige Produkte) oder Anhang IV (kritische Produkte) des CRA gelistet sind. Typische Beispiele sind Smart-Home-Geräte, einfache IoT-Sensoren, Mobile Apps und Computerspiele. Die Selbstbewertung umfasst die Erstellung der technischen Dokumentation, eine vollständige Risikoanalyse und die Ausstellung der EU-Konformitätserklärung.

Die interne Konformitätsbewertung nach Modul A umfasst mehrere strukturierte Schritte: Erstens die Produktklassifizierung, Prüfung, ob das Produkt als Standardprodukt einzustufen ist. Zweitens die Risikoanalyse, systematische Bewertung aller Cybersecurity-Risiken gemäß Anhang I des CRA. Drittens die technische Dokumentation, Erstellung aller Nachweise über Design, Entwicklung, Herstellung und Sicherheitsmaßnahmen. Viertens die Konformitätsprüfung gegen die wesentlichen Anforderungen des CRA. Fünftens die Ausstellung der EU-Konformitätserklärung nach Anhang V. Sechstens die CE-Kennzeichnung des Produkts. Und siebtens die Einrichtung von Prozessen für Security-Updates und Schwachstellenmeldungen während des gesamten Produktlebenszyklus.

Bei der Selbstbewertung (Modul A) übernimmt der Hersteller eigenständig die Konformitätsbewertung, ohne Beteiligung einer benannten Stelle (Notified Body). Dieses Verfahren ist ausschließlich für Standardprodukte zulässig. Bei der Drittbewertung (Module B+C oder H) wird eine unabhängige, von der EU notifizierte Prüfstelle einbezogen. Dies ist verpflichtend für wichtige Produkte der Klasse II (z.B. Firewalls, Intrusion Detection) und kritische Produkte (z.B. Smartcards, HSMs). Wichtige Produkte der Klasse I (z.B. Passwortmanager, VPN) können die Selbstbewertung nutzen, sofern sie harmonisierte Normen oder eine EU-Cybersicherheitszertifizierung anwenden.

Die EU-Konformitätserklärung nach Anhang V CRA erfordert: Produktidentifikation (Name, Typ, Seriennummer), Herstellerangaben (Name, Anschrift, Kontakt), den Verweis auf die angewandten harmonisierten Normen oder technischen Spezifikationen, die Erklärung, dass das Produkt die wesentlichen Anforderungen aus Anhang I erfüllt, sowie Ort, Datum und rechtsverbindliche Unterschrift. Zusätzlich muss eine vollständige technische Dokumentation erstellt werden, die die Risikoanalyse, Designspezifikationen, Testberichte und die Software Bill of Materials (SBOM) umfasst. Diese Unterlagen müssen 10 Jahre nach Inverkehrbringen aufbewahrt und auf Anfrage den Marktaufsichtsbehörden vorgelegt werden.

Der Cyber Resilience Act tritt stufenweise in Kraft: Ab dem 11. September 2026 gelten die Meldepflichten für Sicherheitsvorfälle und aktiv ausgenutzte Schwachstellen. Ab dem 11. Juni 2026 müssen die Vorschriften für benannte Stellen umgesetzt sein. Die vollständigen Anforderungen, einschließlich der Konformitätsbewertung und Selbstbewertung nach Modul A, gelten ab dem 11. Dezember 2027. Hersteller sollten jedoch frühzeitig mit der Vorbereitung beginnen, da die Erstellung der technischen Dokumentation, die Risikoanalyse und die Implementierung von Security-by-Design-Prozessen erfahrungsgemäß mehrere Monate in Anspruch nehmen.

Anhang I des CRA definiert die wesentlichen Cybersecurity-Anforderungen für alle Produkte mit digitalen Elementen. Dazu gehören: Schutz vor unbefugtem Zugriff durch angemessene Zugangskontrollen, Sicherstellung der Vertraulichkeit gespeicherter und übertragener Daten, Integritaetsschutz aller relevanten Daten und Funktionen, Verfügbarkeit wesentlicher Funktionen auch bei Angriffen, Minimierung der Angriffsfläche (Attack Surface Reduction), Sicherheitsgerechte Standardkonfiguration (Secure by Default), Schutz vor bekannten Schwachstellen durch regelmäßige Updates, und die Fähigkeit zur Protokollierung sicherheitsrelevanter Ereignisse. Zusätzlich müssen Hersteller Prozesse für Schwachstellenmanagement und Security-Updates über die gesamte Supportdauer bereitstellen.

ADVISORI begleitet Hersteller durch den gesamten Selbstbewertungsprozess: Wir starten mit der Produktklassifizierung und prüfen, ob Ihr Produkt tatsächlich als Standardprodukt einzustufen ist oder unter Anhang III/IV faellt. Dann führen wir eine strukturierte Gap-Analyse gegen die Anhang-I-Anforderungen durch. Auf dieser Basis erstellen wir die vollständige technische Dokumentation und Risikoanalyse. Wir bereiten die EU-Konformitätserklärung vor und unterstützen bei der CE-Kennzeichnung. Zudem implementieren wir Prozesse für kontinuierliches Schwachstellenmanagement und Security-Updates, damit Ihr Produkt auch nach dem Inverkehrbringen CRA-konform bleibt. Unsere Erfahrung aus zahlreichen CRA-Projekten beschleunigt den Prozess und minimiert Compliance-Risiken.