CE-Kennzeichnung und Konformitätsbewertung unter dem CRA: Der Praxis-Leitfaden für Software- und Produkthersteller

Ab dem 11. Dezember 2027 müssen nahezu alle Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden, die vollständigen Anforderungen des Cyber Resilience Act (CRA) erfüllen - inklusive CE-Kennzeichnung und EU-Konformitätserklärung. Was viele Softwareunternehmen überrascht: Das gilt nicht nur für Hardware mit eingebetteter Software, sondern ausdrücklich auch für reine Softwareprodukte wie Apps, Buchhaltungsprogramme oder mobile Anwendungen.

Dieser Leitfaden erklärt Schritt für Schritt, welche Produktkategorie für Ihr Produkt gilt, welches Konformitätsbewertungsverfahren daraus folgt und was in die technische Dokumentation gehört. Bitte beachten Sie: Die konkrete Einordnung hängt immer vom Einzelfall ab - eine pauschale Aussage ist rechtlich nicht möglich.

Schritt 1: Fällt Ihr Produkt überhaupt unter den CRA?

Der CRA gilt für alle Produkte, die direkt oder indirekt mit einem Gerät oder einem Netzwerk verbunden werden können. "Produkte mit digitalen Elementen" sind im CRA als Produkte definiert, die eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließen - das gilt sowohl für vernetzte Hardwareprodukte wie Smartphones, Laptops oder Smart-Home-Geräte als auch für reine Softwareprodukte wie Buchhaltungssoftware, Computerspiele oder mobile Apps.

Wichtig für die Abgrenzung: Reine Software-as-a-Service-Angebote und Cloud-Computing-Dienste sind grundsätzlich vom CRA ausgenommen, sofern sie unter die NIS2-Richtlinie oder andere spezifische Regulierungen fallen. Allerdings gilt: Datenfernverarbeitungslösungen, die für ein spezifisches Hardwareprodukt unerlässlich sind und unter Verantwortung des Herstellers betrieben werden, können dennoch erfasst sein. Die Grenzfälle sind komplex - wer ein SaaS-Produkt betreibt, das eng mit einem vernetzten Hardwaregerät verknüpft ist, sollte die Betroffenheit sorgfältig prüfen.

Ebenfalls ausgenommen: Nicht-kommerzielle Open-Source-Softwareprodukte sind vom CRA ausgenommen und müssen die Anforderungen nicht erfüllen. Kommerzielle Open-Source-Software hingegen fällt grundsätzlich in den Anwendungsbereich.

Schritt 2: In welche Produktkategorie fällt Ihr Produkt?

Welches Konformitätsbewertungsverfahren in Frage kommt, hängt von der Produktkategorie ab. Bei den meisten Produkten ist dies eine Selbstbewertung des Herstellers, bei wenigen eine Bewertung durch eine notifizierte Drittstelle. Der CRA kennt drei Kategorien:

Standardprodukte

Die Mehrheit aller betroffenen Produkte fällt in diese Kategorie - etwa Smart-Home-Systeme oder einfache IoT-Sensoren. Hier ist eine Selbstbewertung durch den Hersteller ausreichend. Typische Beispiele auf der Softwareseite sind Standard-Business-Software, mobile Apps oder Bibliotheken ohne sicherheitskritische Funktion.

Wichtige Produkte - Klasse I (Anhang III)

Unter die Klasse I der wichtigen Produkte fallen Produkte wie Passwortmanager, Netzwerkmanagementsysteme oder Antivirensoftware. Diese können vom Hersteller selbst bewertet werden, sofern harmonisierte Normen angewendet werden. Andernfalls ist eine externe Bewertung erforderlich. Da die europäischen Standardisierungsgremien die harmonisierten Normen noch erarbeiten, ist derzeit in vielen Fällen die Einbindung einer notifizierten Stelle der praktisch sichere Weg.

Wichtige Produkte - Klasse II (Anhang III)

Wichtige Produkte der Klasse II sind Firewalls, Container-Runtime-Systeme oder manipulationssichere Mikroprozessoren. Für diese Produkte ist eine Konformitätsbewertung durch eine notifizierte Stelle zwingend erforderlich.

Kritische Produkte (Anhang IV)

Noch eine Stufe höher stehen die sogenannten kritischen Produkte, die in Anhang IV gelistet sind. Dazu gehören etwa Smartcards, intelligente Messsysteme wie vernetzte Strom- oder Wasserzähler sowie hochsichere Authentifizierungs- oder Verschlüsselungshardware. Für diese Produktkategorie ist eine Zertifizierung nach einem europäischen Zertifizierungsschema verpflichtend. Aktuell sind nur wenige Produktkategorien in Anhang IV gelistet.

Schritt 3: Selbstbewertung oder notifizierte Stelle?

Die Verfahren zur Konformitätsbewertung basieren auf dem bestehenden europäischen Produktrechtsrahmen (New Legislative Framework - NLF). Konkret stehen drei Module zur Verfügung:

Modul A (Interne Fertigungskontrolle) umfasst die Selbstbewertung: Der Hersteller bewertet ohne Beteiligung einer notifizierten Stelle die Konformität seines Produktes. Dieses Modul steht Standardprodukten und - bei Vorliegen harmonisierter Normen - auch wichtigen Produkten der Klasse I offen.

Bei Modul B (Baumusterprüfung) bewertet die notifizierte Stelle die Konformität des Produktes anhand eines Musters. Der Hersteller stellt anschließend nach diesem konformen Muster alle weiteren Produkte her (Modul C). Modul B muss beim CRA immer mit Modul C kombiniert werden.

Modul H (Umfassende Qualitätssicherung) ist eine weitere Option für höhere Klassen: Dabei wird nicht das Produkt selbst, sondern ein vom Hersteller eingerichtetes Qualitätssicherungssystem durch die notifizierte Stelle überprüft - mit dem Ziel festzustellen, ob das System die Konformität des Produkts mit den Anforderungen des Anhangs I sicherstellt.

Notifizierte Stellen sind keine beliebigen Prüfdienstleister. Sie sind private Konformitätsbewertungsstellen, die von einem EU-Mitgliedstaat geprüft, benannt, bei der Europäischen Kommission notifiziert und laufend überwacht werden. Nach erfolgreicher Notifizierung werden sie in der NANDO-Datenbank der Europäischen Kommission veröffentlicht und dürfen CRA-Konformitätsbewertungen durchführen.

Schritt 4: Technische Dokumentation erstellen

Unabhängig von der Produktkategorie gilt: Für jedes Produkt mit digitalen Elementen müssen technische Dokumentation, Konformitätsbewertung sowie Produktkennzeichnungen bereitgestellt und über den gesamten Supportzeitraum regelmäßig aktualisiert werden.

Die technische Dokumentation umfasst nach Anhang VII CRA insbesondere:

• Cybersecurity-Risikobewertung mit Beschreibung der identifizierten Risiken und der implementierten Schutzmaßnahmen
• Systemarchitektur und Beschreibung der Entwicklungs- und Produktionsprozesse
• Testberichte und Prüfnachweise zur Konformität mit den Anforderungen des Anhangs I
• Software Bill of Materials (SBOM): Für Softwareprodukte müssen Hersteller eine SBOM erstellen. Sie soll für mehr Transparenz in der Lieferkette sorgen und als Quelle im Schwachstellenhandling genutzt werden; sie muss nicht veröffentlicht werden.
• EU-Konformitätserklärung als integraler Bestandteil der Dokumentation

Entscheidend ist die Aufbewahrungsfrist: Der CRA verlangt, dass die technische Dokumentation mindestens zehn Jahre nach Inverkehrbringen des Produkts verfügbar ist.

Ein oft unterschätzter Punkt: Nur Änderungen, die den Verwendungszweck eines Produkts verändern oder neue bzw. erhöhte Cybersicherheitsrisiken einführen, führen dazu, dass ein Produkt als neu in Verkehr gebracht gilt und erneut einer Konformitätsbewertung unterzogen werden muss. Reine Sicherheitsupdates lösen in der Regel keine neue Bewertungspflicht aus.

Schritt 5: EU-Konformitätserklärung ausstellen

Die Konformitätsbewertung muss durch den Hersteller vor dem erstmaligen Inverkehrbringen erfolgen. Nach Abschluss der Bewertung stellt der Hersteller für das Produkt eine Konformitätserklärung aus, in der er erklärt, dass das Produkt zu den entsprechenden EU-Vorgaben konform ist.

Auf Grundlage der Konformitätsbewertung wird eine EU-Konformitätserklärung nach den speziellen Vorgaben in Anhang V CRA erstellt. Insbesondere muss sie in jeder Sprache abgefasst werden, die der Mitgliedstaat vorschreibt, in dem das Produkt auf den Markt gebracht werden soll. Die Konformitätserklärung ist kein einmaliges Dokument - sie muss bei wesentlichen Produktänderungen aktualisiert werden.

Schritt 6: CE-Kennzeichnung anbringen - auch bei reiner Software

Der Anwendungsbereich des CRA ist sehr weit, auch reine Softwareprodukte sind erfasst. Software- und Hardwareprodukte müssen künftig mit der CE-Kennzeichnung versehen sein, die darauf hinweist, dass sie den Anforderungen der Verordnung entsprechen - so soll es Verbrauchern und Unternehmen erleichtert werden, Produkte mit den entsprechenden Cybersicherheitsmerkmalen zu erkennen.

Für Softwareprodukte stellt sich die praktische Frage, wo das CE-Zeichen angebracht wird. Hersteller müssen nach erfolgreicher Konformitätsbewertung das CE-Kennzeichen auf dem Produkt anbringen. Falls nicht möglich, kann es auch auf der Verpackung oder der beigefügten Konformitätserklärung angebracht werden. Bei Softwareprodukten kann das CE-Kennzeichen auf der Konformitätserklärung oder auf einer die Software begleitenden Website angebracht werden.

Ohne erfolgreich durchgeführte Konformitätsbewertung darf ein Produkt nicht mit CE-Kennzeichnung versehen und nicht rechtmäßig auf dem EU-Markt angeboten werden.

KI-generiertes Bild

Sanktionen: Was droht bei Nichtkonformität?

Der CRA sieht ein abgestuftes Sanktionsregime vor. Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen nach Anhang I sowie gegen Herstellerpflichten und Meldepflichten drohen Bußgelder bis zu 15 Mio. EUR oder 2,5 % des weltweiten Jahresumsatzes. Bei Verstößen gegen Verfahrens- und Kennzeichnungspflichten - etwa CE-Kennzeichnung, EU-Konformitätserklärung oder technische Dokumentation - sind es bis zu 10 Mio. EUR oder 2 %. Bei falschen oder irreführenden Angaben gegenüber benannten Stellen oder Marktüberwachungsbehörden bis zu 5 Mio. EUR oder 1 %. Maßgeblich ist jeweils der höhere Betrag.

Hinzu kommt: Die zuständige Behörde kann auch Marktzugangsbeschränkungen verhängen. Das kann zur Folge haben, dass der Verkauf von nicht konformen Produkten in der EU eingeschränkt oder sogar vollständig verhindert werden kann. In Deutschland ist das BSI als Marktüberwachungsbehörde zuständig.

Die wichtigsten Fristen im Überblick

Was jetzt zu tun ist

Die Konformitätsbewertung ist kein einmaliger Akt, sondern ein strukturierter Prozess, der frühzeitig angestoßen werden muss. Wer erst im Herbst 2027 beginnt, wird unter erheblichem Zeitdruck stehen - insbesondere wenn eine notifizierte Stelle eingebunden werden muss, da deren Kapazitäten begrenzt sind.

Für Compliance- und Produktverantwortliche empfiehlt sich folgende Reihenfolge: Zunächst die Produktkategorie klären und dokumentieren, dann die Lücken zur technischen Dokumentation identifizieren, parallel den SBOM-Prozess aufbauen und - falls erforderlich - frühzeitig eine notifizierte Stelle kontaktieren. Die Meldepflichten für Schwachstellen greifen bereits ab dem 11. September 2026 - dieser Termin ist unabhängig vom Dezember-2027-Datum und betrifft alle Hersteller.

Einen umfassenden Überblick über alle CRA-Pflichten, den Anwendungsbereich und die Abgrenzung zu NIS2 und dem EU Data Act finden Sie in unserem CRA-Überblicksartikel für Entscheider und Compliance-Verantwortliche.

Dieser Artikel dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall. Die konkrete Einordnung Ihres Produkts und die daraus folgenden Pflichten hängen von den spezifischen Umständen ab und sollten individuell geprüft werden.