Die Klassifizierung entscheidet unter dem Cyber Resilience Act, welchen Konformitätsbewertungspfad ein Hersteller gehen muss — und ob er die Prüfung intern durchführen darf oder eine Notified Body braucht. Vier Kategorien, drei Pfade, ein sehr unterschiedliches Kosten- und Zeitbild.
Die vier Klassen
- Default (Standard) — jedes Produkt mit digitalen Elementen, das weder in Anhang III noch Anhang IV gelistet ist. Über 90 % aller Produkte fallen in diese Kategorie. Konformitätsbewertung via Modul A (interne Fertigungskontrolle / Self-Assessment).
- Important · Klasse I (Anhang III Klasse I, 18 Produktkategorien) — z. B. Identitätsverwaltungssysteme, Browser, Passwort-Manager, Malware-Scanner, VPN, Netzwerkmanagementsysteme, SIEM, Router und Switches, Betriebssysteme, Smart-Home-Assistenten, Smart Cameras, Connected Toys mit sozialer Interaktion. Modul A ist möglich — aber nur, wenn vollständig einschlägige harmonisierte Standards vorliegen. Sonst zwingend Modul B+C oder H mit Notified Body.
- Important · Klasse II (Anhang III Klasse II, 4 Produktkategorien) — Hypervisoren und Container-Runtime-Systeme, industrielle Firewalls / IDS / IPS, manipulationssichere Mikroprozessoren und -controller. Notified-Body-Zertifizierung ist **immer** erforderlich (Modul B+C oder H), unabhängig von harmonisierten Standards.
- Critical (Anhang IV, 3 Produktkategorien) — Hardware-Devices mit Security-Boxen, Smart-Meter-Gateways und andere Geräte für erweiterte Sicherheitszwecke, Smartcards mit sicheren Elementen. Verpflichtende Europäische Cybersecurity-Zertifizierung nach delegiertem Rechtsakt, mindestens Assurance-Level substantial.
Warum die Klassifizierung ein Kostentreiber ist
Ein Modul-A-Self-Assessment dauert bei disziplinierter Vorbereitung etwa 3–6 Monate, ist intern skalierbar und kostet — Personalzeit ausgenommen — praktisch nichts. Ein Modul B+C via Notified Body kostet realistisch 30.000 bis 100.000 € pro Produktfamilie und dauert 6–12 Monate. Modul H (Full QMS) erfordert zusätzlich eine dauerhafte QMS-Zertifizierung und laufende Audits — dann sind sechsstellige Jahres-Overheads normal. Die kritische Zertifizierung nach dem delegierten Rechtsakt liegt nochmals darüber, weil der Common Criteria oder EUCC Rahmen greift.
Die häufigsten Fehlklassifizierungen
- Wir sind nur ein IoT-Gadget — bei Smart Cameras, Connected Toys oder Smart-Home-Geräten ist die Klasse-I-Falle typisch. Baby-Monitore und Türschlösser fallen explizit in Anhang III Klasse I.
- Wir sind Enterprise-Software, nicht Consumer — SIEM-Systeme, Password-Manager, Boot-Manager und PKI-Software sind allesamt Important Klasse I.
- Unser Chip ist doch nur ein Chip — Mikroprozessoren und Mikrocontroller mit sicherheitsbezogenen Funktionen sind Important Klasse I; **manipulationssichere** Varianten sind Klasse II.
- Ein Firewall ist ein Firewall — Consumer-/SoHo-Firewalls sind Klasse I, industrielle Firewalls / IDS / IPS sind Klasse II mit Notified-Body-Pflicht.
Was jetzt zu tun ist
- Produktkatalog gegen Anhang III und IV mappen — inklusive OEM- und White-Label-Varianten.
- Für jede Zeile die Konformitätspfad-Option (Modul A / B+C / H / EUCC) und die geschätzten Kosten dokumentieren.
- Verfügbarkeit harmonisierter Standards (EN 18031-Serie, RED-DA-Konformitätsvermutung) pro Produkt prüfen — sie ist der Hebel zwischen Modul A und Modul B+C bei Klasse I.
- Notified-Body-Kapazität rechtzeitig sichern — die Zertifizierungsschlangen werden 2027 länger.
- Substantial-Modification-Trigger im Change-Management verankern — jede materielle Änderung erfordert erneute Bewertung.
NexTech.Law stellt einen kostenfreien Klassifizierungs-Picker im Toolkit bereit: Produkt oder Kategorie suchen, Ergebnis mit Anhang-Referenz und Konformitätspfad in Sekunden. Perfekt als erster Schritt vor der ausführlichen Konformitätsplanung.