Konformitätsbewertung - Konformitätsbewertungsverfahren nach Art. 32 des Cyber Resilience Act
Verfahren, mit dem ein Hersteller die Einhaltung der CRA-Anforderungen nachweist
Lesezeit: 2 Min.
Was bedeutet Konformitätsbewertung?
Die Konformitätsbewertung ist das Verfahren nach Art. 32 CRA, mit dem ein Hersteller nachweist, dass sein Produkt die Cybersicherheitsanforderungen erfüllt, als Selbsterklärung oder mit Beteiligung einer benannten Stelle, je nach Produktklasse.
Art. 32 des Cyber Resilience Act (Verordnung (EU) 2024/2847) sieht mehrere Verfahren zum Nachweis der Konformität vor, die in Anhang VIII näher beschrieben sind: Modul A (interne Konformitätskontrolle, der Hersteller erklärt die Konformität selbst, ohne externe Stelle), Modul B+C (EU-Baumusterprüfung durch eine benannte Stelle kombiniert mit interner Fertigungskontrolle), Modul H (umfassendes Qualitätssicherungssystem, laufend von einer benannten Stelle überwacht) sowie optional ein europäisches Cybersicherheitszertifikat nach dem EUCC-Schema. Welches Verfahren zulässig ist, hängt von der Produktklasse ab: Standardprodukte dürfen grundsätzlich per Modul A selbst erklärt werden. „Wichtige Produkte" der Klasse I (Anhang III) dürfen ebenfalls Modul A nutzen, aber nur, wenn die einschlägige harmonisierte Norm vollständig angewendet wird, sonst ist Modul B+C oder H mit benannter Stelle erforderlich. Für Klasse II (Anhang III) ist Modul A ausdrücklich ausgeschlossen, eine benannte Stelle ist immer zwingend. „Kritische Produkte" (Anhang IV) unterliegen denselben Verfahren wie Klasse II und können zusätzlich per delegiertem Rechtsakt zu einem EUCC-Zertifikat verpflichtet werden.
Warum die Norm-Frage die Verfahrenswahl entscheidet
Solange keine CRA-Norm im Amtsblatt der EU zitiert ist, besteht keine Konformitätsvermutung nach Art. 27. Der Selbsterklärungsweg über Modul A ist für Klasse-I-Produkte damit faktisch nicht nutzbar, bis die ersten harmonisierten Normen veröffentlicht sind. Hersteller von Klasse-I-Produkten sollten deshalb schon jetzt eine benannte Stelle für Modul B+C oder H einplanen, statt auf eine rechtzeitige Normveröffentlichung zu warten.
Modul H über ein bestehendes ISMS (BSI TR-03183-H)
Modul H setzt kein produktspezifisches Prüfverfahren voraus, sondern ein umfassendes, laufend überwachtes Qualitätssicherungssystem des Herstellers. Die BSI TR-03183-H konkretisiert diesen Weg für Hersteller mit einem zertifizierten ISO/IEC-27001-Informationssicherheits-Managementsystem: Das ISMS muss Design, Entwicklung, Produktion und Schwachstellenbehandlung des Produkts abdecken, und sechs Annex-A-Controls (A.5.7 Threat Intelligence, A.5.8 IS im Projektmanagement, A.8.8 Management technischer Schwachstellen, A.8.25 Sicherer Entwicklungslebenszyklus, A.8.29 Sicherheitstests und A.8.32 Änderungsmanagement) werden CRA-spezifisch erweitert. Wer bereits ein zertifiziertes ISMS betreibt, kann diesen Weg statt einer produktweisen Prüfung durch eine benannte Stelle nutzen.
Praxis-Tool
Finde heraus, welches Konformitätsbewertungsverfahren (Modul A/B+C/H) für deine Produktkategorie zulässig ist
Zum CRA-Produktanforderungen →Auch bekannt als
Konformitätsbewertungsverfahren · conformity assessment · Modul A · Modul B+C · Modul H
Teil des Themenbereichs: Compliance & Regulierung
- TARA - Threat Analysis and Risk Assessment
- NIS-2 - Network and Information Security Directive 2
- IT-Notfallmanagement - IT Incident Response
- CRA - Cyber Resilience Act
- IEC 62443 - Industrial Automation and Control Systems Security
- Risikoregister - Risk Register
- SoA - Statement of Applicability
- Risikomatrix - Risk Matrix
- Annex A - Annex A (ISO/IEC 27001:2022)
- BSI TR-03183 - Technische Richtlinie TR-03183: Cyber Resilience Requirements for Manufacturers and Products
- BSI TR-03185 - Technische Richtlinie TR-03185: Sicherer Software-Lebenszyklus
- EN 40000 - Horizontale Normenreihe EN 40000-1-x zum Cyber Resilience Act
- Harmonisierte Norm - Harmonisierte europäische Norm mit Konformitätsvermutung
- CE-Kennzeichnung - CE-Kennzeichnung nach dem Cyber Resilience Act
- Benannte Stelle - Notifizierte Konformitätsbewertungsstelle
- ISO 42001 - ISO/IEC 42001:2023 - AI Management System
- Fördermittel IT-Sicherheit - öffentliche Zuschüsse, Kredite und Beratungsförderung für IT-Sicherheitsmaßnahmen
Verwandte Begriffe
Häufige Fragen zu Konformitätsbewertung
Welches Modul gilt für ein Standardprodukt?
In der Regel Modul A: interne Konformitätskontrolle durch den Hersteller selbst, ohne benannte Stelle.
Brauche ich für ein Klasse-I-Produkt zwingend eine benannte Stelle?
Nur, wenn die einschlägige harmonisierte Norm nicht vollständig angewendet wird. Da bislang keine CRA-Norm im Amtsblatt zitiert ist, ist das derzeit faktisch immer der Fall.
Was unterscheidet Modul H von Modul B+C?
Modul B+C prüft ein einzelnes Produkt (EU-Baumusterprüfung plus interne Fertigungskontrolle). Modul H prüft stattdessen das gesamte Qualitätssicherungssystem des Herstellers laufend, relevant vor allem für Hersteller, die bereits ein ISO/IEC-27001-ISMS betreiben und dieses nach BSI TR-03183-H CRA-spezifisch erweitern.