CRA-Konformitätsbewertung: Selbsteinschätzung, harmonisierte Standards und benannte Stellen
Nicht jedes digitale Produkt braucht für den Cyber Resilience Act eine externe Prüfung. Gleichzeitig wäre es falsch, daraus abzuleiten, dass eine interne Selbsteinschätzung immer genügt. Das passende…
Unverbindliche Anfrage
Kein Vertrag, keine versteckten Kosten.
Direkter Kontakt
Rückmeldung direkt vom Anbieter — kein Callcenter.
Zeitnahe Antwort
Anfragen werden zügig geprüft und beantwortet.
Nicht jedes digitale Produkt braucht für den Cyber Resilience Act eine externe Prüfung. Gleichzeitig wäre es falsch, daraus abzuleiten, dass eine interne Selbsteinschätzung immer genügt. Das passende Verfahren hängt von der Produktkategorie und teilweise davon ab, ob harmonisierte Standards oder andere vorgesehene Nachweiswege angewandt werden.
Standardprodukte und Selbsteinschätzung
Die Europäische Kommission erläutert, dass für viele Produkte eine Selbsteinschätzung durch den Hersteller zulässig ist. Als Beispiele nennt sie unter anderem Haushaltsgeräte, Computerspiele und mobile Anwendungen. Für diese Produkte bleibt die Konformitätsbewertung trotzdem ein formaler Prozess: Risikobewertung, technische Dokumentation, Erfüllung der grundlegenden Anforderungen und EU-Konformitätserklärung müssen zusammenpassen.
Wichtige und kritische Produktkategorien
Für Produkte mit Kernfunktionen aus den CRA-Anhängen III und IV gelten strengere Verfahren. Bei wichtigen Produkten der Klasse I kann eine Selbsteinschätzung unter bestimmten Voraussetzungen möglich sein, etwa bei Anwendung harmonisierter Standards. Für wichtige Produkte der Klasse II und kritische Produkte ist eine Drittprüfung beziehungsweise ein zulässiges europäisches Zertifizierungsschema vorgesehen. Die Produktkategorie muss daher vor der Verfahrensplanung sauber bestimmt werden. Der Konformitätsweg ist damit keine Einkaufsentscheidung am Projektende, sondern eine frühe Produktentscheidung, die Kategorie, Nachweisstrategie und Entwicklungsdokumentation miteinander verbindet.
Was eine benannte Stelle tatsächlich ist
Eine benannte Stelle ist nicht einfach ein beliebiger IT-Sicherheitsberater. Konformitätsbewertungsstellen müssen bewertet, benannt, notifiziert und überwacht werden, bevor sie CRA-Konformitätsbewertungen als benannte Stelle durchführen können. Ein regionaler Sicherheitsdienstleister kann bei technischen Vorarbeiten unterstützen, ohne dadurch selbst eine benannte Stelle oder Zertifizierungsstelle zu sein.
Standards sind 2026 noch in Bewegung
Die Kommission nennt einen Standardisierungsauftrag mit 41 Standards zur Unterstützung des CRA. Auf ihrer Umsetzungsseite waren für das dritte Quartal 2026 erste horizontale und produktspezifische Ergebnisse angekündigt. Für Unternehmen bedeutet das im August 2026: Die Normungslandschaft entwickelt sich weiter. Ein Projekt sollte daher zwischen bereits geltendem Recht, vorhandenen Leitlinien und noch entstehenden harmonisierten Standards unterscheiden.
Die richtige Reihenfolge
Bei unklarer Klasse sollte die Einstufung vor der Beauftragung externer Prüfleistungen geklärt werden. Vor der Auswahl eines Prüfdienstleisters stehen drei Fragen: Welche Produktkategorie liegt vor? Welche Standards oder technischen Spezifikationen sollen für den Nachweis genutzt werden? Welches Konformitätsverfahren ist danach zulässig? Eine unverbindliche Vorprüfung kann diese Fragen vorbereiten und die vorhandenen Unterlagen sichten. Sie ist keine Konformitätsbewertung, keine Zertifizierung und ersetzt keine Rechtsberatung.
Häufige Fragen
Klären Sie, welcher Weg für Ihr Produkt passt
Beschreiben Sie kurz Ihr digitales Produkt – wir helfen Ihnen, die richtige Konformitätsstrategie zu finden. Ihre Anfrage wird an die passenden Partnerbetriebe aus der Region weitergeleitet.
CRA-Check jetzt starten