Fällt euer Produkt unter den Cyber Resilience Act? Und wenn ja: in welche Klasse?

Seit dem 11. September 2026 gelten die Meldepflichten nach Art. 14 CRA. Damit stellt sich die erste schwierige Frage: Welche Produkte sind überhaupt gemeint? Die CRA-Produktpyramide macht die vier Produktklassen greifbar.

Seit dem 11. September 2026 gelten die Meldepflichten nach Art. 14 CRA. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, auch für Produkte, die bereits auf dem Markt sind.

Damit stellt sich die erste schwierige Frage: Welche Produkte sind überhaupt gemeint?

Für die Einordnung arbeitet der CRA mit vier Stufen:

• Standardprodukte
• wichtige Produkte der Klasse I
• wichtige Produkte der Klasse II
• kritische Produkte

Auf dem Papier ist das eine klare Ordnung. In der Praxis bleiben die Kategorien aber abstrakt, solange man die Produktlisten aus den Anhängen III und IV und die technischen Beschreibungen der Durchführungsverordnung (EU) 2025/2392 nicht vor Augen hat.

Aber wer soll sich das bitte schön alles merken?

Wer mir hier schon länger folgt, weiß: Ich bin ein großer Fan von Bildern und habe in den vergangenen Jahren viele davon entwickelt, um regulatorische Anforderungen greifbarer zu machen.

Für die Produktklassen des CRA kam mir daher spontan die Lebensmittelpyramide als Blueprint in den Sinn.

🎯 Die Pyramide ist ein vertrautes Format, das viele aus der Schule, der Arztpraxis oder der Kantine kennen.

🎯 Bilder bleiben besser im Gedächtnis als reine Wortlisten. Die Forschung spricht vom Bildüberlegenheitseffekt.

🎯 Vor allem trägt die Form schon die Aussage: Unten liegt die breite Masse der Produkte, nach oben wird es schmaler.

Übertragen auf den CRA heißt das: Unten stehen viele Standardprodukte. Weiter oben stehen weniger Produkte, für die strengere Anforderungen an die Konformitätsbewertung und den Nachweis gelten.

Und damit zurück zur Frage vom Anfang: Sucht euer Produkt auf der Pyramide. Findet ihr dort ein Produkt mit derselben Kernfunktion, habt ihr einen starken Anhaltspunkt für dessen CRA-Relevanz 🙂

❗ Wichtig zu wissen: Die Pyramide zeigt nur Beispiele. Steht euer Produkt nicht darauf, hat aber eine Datenverbindung zu einem Gerät oder Netz, fällt es in der Regel unter den CRA. Dann bleibt zu prüfen, ob seine Kernfunktion einer Kategorie aus Anhang III oder IV entspricht. Wenn nicht, ist es ein Standardprodukt.

❗ Und ebenfalls wichtig: Bestimmte Produkte, etwa Medizinprodukte oder Kraftfahrzeuge mit eigener Typgenehmigung, sind vom CRA ganz ausgenommen.

Die CRA-Pyramide ist das neueste Stück aus meiner Regulatorik-Werkstatt. Ich würde mich freuen, wenn sie euch hilft, die Produkte besser zu erfassen und zu merken und damit auch die eigenen Pflichten und die eigene Betroffenheit vom CRA besser einzuordnen. Das Bild darf gerne geteilt werden 😉

Weitere Beiträge rund um CRA, CER und die anderen Resilienz- und Regulatorik-Themen findet ihr übrigens auf meiner Website: marlen-hofmann.de/cra