Zurück zu Insights
Cyber Resilience Act 9 min

CRA-Konformitätsbewertung: Modul A, B+C und H — welche Route für welches Produkt

Drei Verfahren, ein CE-Zeichen. Warum Modul A für die meisten reicht — und für wen es teurer werden muss.

MJ
Mag. Michael Jesse, LL.M., CEMS MIM
Gründer · CRA-Spezialist
LinkedIn

Vor der CE-Kennzeichnung muss jeder Hersteller ein Konformitätsbewertungsverfahren durchlaufen. Der CRA (Art. 32, Anhang VIII) sieht drei Optionen vor: Modul A, Modul B+C und Modul H. Welche gilt, hängt an der Produktklasse (Default / Important I / Important II) und daran, ob einschlägige harmonisierte Standards vorliegen.

Modul A — Interne Fertigungskontrolle

Der Hersteller führt die Bewertung selbst durch. Kern-Deliverables: technische Dokumentation (Anhang VII), interne Prüfungen, EU-Konformitätserklärung (Anhang V), CE-Kennzeichnung. Keine externe Prüfstelle. Anwendbar auf: Standard-Produkte und Important Klasse I, sofern vollständig einschlägige harmonisierte Standards oder gemeinsame Spezifikationen befolgt werden. Realistischer Zeitbedarf: 3–6 Monate. Kosten: reine Personalzeit.

Modul B+C — EU-Baumusterprüfung + Konformität zum Baumuster

Modul B: eine Notified Body prüft das technische Design (EU-Baumusterprüfung, type examination). Modul C: der Hersteller sichert zu, dass die Serienfertigung dem geprüften Muster entspricht. Anwendbar auf: Important Klasse I ohne harmonisierte Standards, Important Klasse II. Realistischer Zeitbedarf: 6–12 Monate ab Anmeldung bei der Notified Body. Kosten: 30.000–100.000 € pro Produktfamilie zzgl. wiederkehrender Überwachungsaudits.

Modul H — Umfassende Qualitätssicherung

Notified Body zertifiziert das gesamte Qualitätsmanagementsystem des Herstellers (Design, Produktion, Endkontrolle) und überwacht es laufend. Anwendbar auf: Important Klasse II, alternativ zu Modul B+C, und optional für andere Klassen. Ideal für Hersteller mit großem Produktportfolio, weil einmal etabliertes QMS mehrere Produktlinien abdeckt. Realistischer Zeitbedarf: 12–18 Monate für Erst-Zertifizierung. Kosten: sechsstellige Erstinvestition, danach fünf- bis sechsstellige jährliche Aufwendungen.

Entscheidungshilfe

  • Standard-Produkt und CRA-konforme harmonisierte Standards verfügbar → Modul A.
  • Important Klasse I mit harmonisierten Standards → Modul A ist zulässig; nutzen.
  • Important Klasse I ohne harmonisierte Standards → Modul B+C ist zwingend.
  • Important Klasse II → Modul B+C oder Modul H — Wahl abhängig von Portfoliogröße und QMS-Reife.
  • Kritisches Produkt (Anhang IV) → Zertifizierung nach delegiertem Rechtsakt (EUCC) statt der Standard-Module.

Was viele unterschätzen

  • Die technische Dokumentation nach Anhang VII muss **während** der Produktentwicklung entstehen — nachträgliches Sammeln kostet mehrfach.
  • Notified-Body-Kapazität ist ab 2027 knapp — Rahmenvertrag idealerweise 2026 sichern.
  • Die Konformitätserklärung ist eine Aussage der Geschäftsführung — nicht des Rechtsanwalts. Interne Freigabe muss dokumentiert sein.
  • Substantielle Modifikationen (Art. 3(32)) triggern erneute Bewertung. Vulnerability-Fixes sind ausdrücklich keine substantielle Modifikation.
  • Für Software gilt das CE-Zeichen auf Verpackung oder Begleitdokument — nicht am Produkt selbst.

NexTech.Law strukturiert Ihren Konformitätsbewertungspfad — von der Klassifizierung über die technische Dokumentation bis zur Notified-Body-Auswahl. Der interaktive DoC-Generator im Toolkit erzeugt Ihre EU-Konformitätserklärung nach Anhang V direkt als PDF.

Ihre nächsten Schritte

CRA-Readiness prüfen

Sechs Fragen. Zwei Minuten. Sie sehen sofort, wo Ihr Unternehmen steht — und was als Nächstes zu tun ist.