Die ersten Pflichten des EU Cyber Resilience Act für Hersteller gelten seit dem 11. September 2026.Erste Pflichten seit September 2026Was jetzt zu tun ist

EU CRA nach Produkt

Die meisten Produkte sind Standardklasse.

Der Cyber Resilience Act (CRA) kennt wichtige Produkte der Klassen I und II und kritische Produkte; alle anderen Produkte mit digitalen Elementen bilden die Standardklasse. Wichtig oder kritisch ist ein Produkt nur, wenn seine Kernfunktion in Anhang III oder IV steht. Je Produkt finden Sie hier eine Seite mit Pflichten, Ausnahmen und Beispiel.

Stand: 9. November 2026

Welche Klasse hat mein Produkt nach dem Cyber Resilience Act?

Die meisten vernetzten Produkte gehören zur Standardklasse, etwa Werkzeugmaschine, Wallbox, Wärmepumpe und Waschmaschine mit App. Wichtig (Klasse I oder II, Anhang III EU CRA) oder kritisch (Anhang IV) ist ein Produkt nur, wenn seine Kernfunktion dort steht, etwa Router oder Firewall (Art. 7 Abs. 1, Art. 8 Abs. 1). Die Klasse bestimmt das Verfahren, nicht die Anforderungen aus Anhang I.

Produkte

Für welche Produkte gibt es eine eigene Seite?

Jede Seite beginnt mit dem Standardfall: ob das Produkt unter den EU CRA fällt, was die Standardklasse verlangt und welche Pflichten konkret anfallen. Danach folgen verwandte Produkte, die Klasse I oder II sind, etwa ein separat verkauftes Fernwartungs-Gateway.

Werkzeug- und Produktionsmaschinen

CNC-Maschine, Verpackungsmaschine, Roboterzelle: Standardklasse und Selbstbewertung. Klasse I wird nur ein separat verkauftes Fernwartungs-Gateway.

Branchen: Industriemaschinen, Industriekomponenten

Zur Seite

Kompakt-SPS mit Bedienfeld im Schaltschrank

SPS, HMI-Bedienpanel und Antriebsregler

Steuerungen und Antriebe sind Standardklasse. Was der Hersteller schuldet, was der OEM bekommt und wann ein Kommunikationsmodul Klasse I ist.

Branchen: Industriekomponenten, Industriemaschinen, Embedded Systems

Zur Seite

Landmaschinen, Traktoren und Anbaugeräte

Traktor, Feldspritze, Mähdrescher mit Telematik und ISOBUS: Standardklasse trotz Typgenehmigung, Supportzeitraum über viele Saisons.

Branchen: Smart Farming, Industriemaschinen

Zur Seite

Smart-Home-Geräte

Thermostat, Leuchte, Zwischenstecker, KNX-Aktor: Standardklasse. Klasse I sind Schloss, Kamera, Alarmanlage und Sprachassistent.

Branchen: Smart Home & Consumer, IoT & Konsumgüter

Zur Seite

PV-Wechselrichter und Batteriespeicher

Wechselrichter und Speicher mit App und Cloud sind Standardklasse. Kritisch ist nur das Smart-Meter-Gateway, ein eigenes Gerät.

Branchen: Energie & Gebäudetechnik

Zur Seite

Wallboxen und Ladestationen

AC-Wallbox und DC-Ladesäule mit App, OCPP und RFID: Standardklasse, und was sich beim Übergang von der Funkanlagenrichtlinie ändert.

Branchen: Energie & Gebäudetechnik

Zur Seite

Wärmepumpen und Heizungsregler

Wärmepumpe, Heizungs- und Lüftungsregler mit App und Fernwartung: Standardklasse, Supportzeitraum über die Nutzungsdauer der Anlage.

Branchen: Energie & Gebäudetechnik, Smart Home & Consumer

Zur Seite

Siebträger-Kaffeemaschine mit Display in einer Küche

Hausgeräte mit App

Waschmaschine, Backofen, Kaffeevollautomat, Kühlschrank: Standardklasse, auch mit eingebautem Sprachassistenten. Was Hersteller tun müssen.

Branchen: IoT & Konsumgüter, Smart Home & Consumer

Zur Seite

Die vier Klassen

Was unterscheidet die Produktklassen im Konformitätsverfahren?

Klasse	Fundstelle	Beispiele	Konformitätsverfahren
Standard	nicht in Anhang III oder IV	Werkzeugmaschine, SPS, Wallbox, Wärmepumpe, Waschmaschine mit App, Thermostat	Selbstbewertung nach Modul A möglich, alternativ Modul B und C, Modul H oder Zertifizierung (Art. 32 Abs. 1 EU CRA)
Wichtig, Klasse I	Anhang III Klasse I, Nr. 1 bis 19	Router, Managed Switches, Betriebssysteme, Netzwerkkarten, smarte Türschlösser und Kameras	Modul A nur bei vollständig angewandter harmonisierter Norm, gemeinsamer Spezifikation oder Zertifizierung mindestens der Stufe „mittel“; sonst Modul B und C oder Modul H (Art. 32 Abs. 2)
Wichtig, Klasse II	Anhang III Klasse II, Nr. 1 bis 4	Firewalls, Hypervisoren, manipulationssichere Mikrocontroller	Modul B und C, Modul H oder europäische Cybersicherheitszertifizierung (Art. 32 Abs. 3)
Kritisch	Anhang IV, Nr. 1 bis 3	Smart-Meter-Gateways, Secure Elements, Hardware mit Sicherheitsboxen	Europäische Cybersicherheitszertifizierung, wenn ein delegierter Rechtsakt sie vorschreibt; sonst wie Klasse II (Art. 32 Abs. 4)

Produktfinder

Ihr Produkt ist nicht dabei?

Der Finder zeigt die Klasse typischer Produkte aus neun Branchen und führt zur Seite mit Pflichten und Begründung.

Nach Branche

Sie suchen lieber nach Ihrer Branche?

Die Branchenseiten ordnen Produkte von Maschinenbau bis Smart Home ein, mit den Pflichten, die dort am meisten wiegen.

Zu den Branchen

Häufig gesucht:137 Treffer

Häufige Fragen

Bestimmt eine Schnittstelle wie USB oder Bluetooth die Produktklasse?+

Eine Daten- oder Funkschnittstelle entscheidet, ob ein Produkt unter den EU CRA fällt (Art. 2 Abs. 1 und Art. 3 Nr. 9 EU CRA), die Klasse bestimmt sie nicht. Ein Bluetooth-Sensor bleibt Standardklasse, solange seine Kernfunktion in keiner Kategorie aus Anhang III oder IV steht. Ein separat verkauftes Funkmodul ist selbst Klasse I (Anhang III Nr. 10).

Wird mein Produkt zur Klasse I, wenn ein Klasse-I-Bauteil darin steckt?+

Ein eingebautes Klasse-I-Bauteil, etwa ein Router-Modul oder ein Mikrocontroller mit sicherheitsrelevanten Funktionen, macht das Endprodukt nicht zum wichtigen Produkt. Art. 7 Abs. 1 Satz 2 EU CRA stellt klar, dass die Integration für sich genommen keine strengeren Verfahren auslöst. Maßgeblich bleibt die Kernfunktion des Endprodukts.

Gilt der Cyber Resilience Act für Medizinprodukte?+

Medizinprodukte und In-vitro-Diagnostika, die unter die Verordnungen (EU) 2017/745 oder 2017/746 fallen, sind nach Art. 2 Abs. 2 EU CRA ausgenommen; ihre Cybersicherheit regeln diese Verordnungen. Ein Fitness-Tracker, der kein Medizinprodukt ist, fällt dagegen unter den EU CRA und ist bei Gesundheitsfunktion Klasse I (Anhang III Nr. 19).

Gilt der Cyber Resilience Act für Fahrzeuge?+

Kraftfahrzeuge und Anhänger sowie dafür typgenehmigte Systeme und Bauteile, auf die Verordnung (EU) 2019/2144 anwendbar ist, sind nach Art. 2 Abs. 2 EU CRA ausgenommen. Das gilt nicht für Zubehör wie eine Wallbox oder eine Nachrüst-App, und nicht für Traktoren und Landmaschinen, deren Typgenehmigung nach Verordnung (EU) Nr. 167/2013 in Art. 2 nicht genannt ist.

Wo sind die Kategorien aus Anhang III und IV genauer beschrieben?+

Die technischen Beschreibungen der Kategorien aus Anhang III und IV stehen in der Durchführungsverordnung (EU) 2025/2392. Die EU-Kommissions-Guidance (C(2026) 5252, Abschn. 6) erläutert zusätzlich, wie die Kernfunktion eines Produkts bestimmt wird.

Was gilt, wenn mein Produkt in keine Kategorie passt?+

Ein Produkt mit digitalen Elementen, dessen Kernfunktion in keiner Kategorie aus Anhang III oder IV steht, gehört in die Standardklasse. Der Hersteller kann es selbst nach Modul A bewerten (Art. 32 Abs. 1 EU CRA). Nach der EU-Kommissions-Guidance (Abschn. 6.1) gehört die Kernfunktion mit Begründung in die technische Dokumentation.

Ab wann muss die Konformitätsbewertung abgeschlossen sein?+

Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, brauchen eine abgeschlossene Konformitätsbewertung nach Art. 32 EU CRA, eine EU-Konformitätserklärung und die CE-Kennzeichnung. Die Meldepflichten nach Art. 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle gelten schon seit dem 11. September 2026, auch für Produkte, die bereits verkauft sind.

In welche Klasse fallen Ihre Produkte?

Das EU-CRA-Assessment gibt in wenigen Minuten eine erste Einschätzung zu Klasse, Pflichten und nächsten Schritten.

EU-CRA-Assessment starten Demo vereinbaren

Diese Seite ist eine Orientierung zum Cyber Resilience Act, keine Rechtsberatung. Ob und wie die Verordnung für ein konkretes Produkt greift, hängt von dessen Zweckbestimmung und Aufbau ab.