CRA-Konformitätsbewertung: Entscheidungsleitfaden Modul A vs. B+C vs. H

Ihr CRA-Konformitätsbewertungsweg bestimmt Kosten, Zeitplan und externe Abhängigkeiten. Wählen Sie falsch und Sie verschwenden Monate und Tausende von Euro. Wählen Sie richtig und Sie haben einen klaren Weg zur CE-Kennzeichnung.

Dieser Leitfaden hilft Ihnen, das richtige Konformitätsbewertungsmodul auszuwählen und zu verstehen, was jedes beinhaltet.

Überblick Konformitätsbewertung

Die Konformitätsbewertung zeigt, wie Sie nachweisen, dass Ihr Produkt die CRA-Anforderungen erfüllt. Die EU-Konformitätserklärung (DoC), die Sie unterzeichnen, erklärt, dass Ihr Produkt konform ist. Sie müssen jedoch Nachweise haben, um diese Behauptung zu belegen.

Der CRA bietet drei Konformitätsbewertungsmodule:

MODULOPTIONEN NACH PRODUKTKATEGORIE

┌─────────────────────────────────────────────────────────────┐
│                    STANDARD-PRODUKTE                         │
│                   (~90% der Produkte)                        │
├─────────────────────────────────────────────────────────────┤
│   Modul A (Selbstbewertung)    ✓ Erlaubt                    │
│   Modul B+C (Drittpartei)      ✓ Erlaubt (optional)         │
│   Modul H (Umfassende QS)      ✓ Erlaubt (optional)         │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│              WICHTIG KLASSE I PRODUKTE                       │
│              (Anhang III, Teil I)                            │
├─────────────────────────────────────────────────────────────┤
│   Modul A (Selbstbewertung)    ✓ FALLS harmonisierte Normen │
│   Modul B+C (Drittpartei)      ✓ Erlaubt                    │
│   Modul H (Umfassende QS)      ✓ Erlaubt                    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│              WICHTIG KLASSE II PRODUKTE                      │
│              (Anhang III, Teil II)                           │
├─────────────────────────────────────────────────────────────┤
│   Modul A (Selbstbewertung)    ✗ NICHT Erlaubt              │
│   Modul B+C (Drittpartei)      ✓ ERFORDERLICH               │
│   Modul H (Umfassende QS)      ✓ Erlaubt                    │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│                  KRITISCHE PRODUKTE                          │
│                    (Anhang IV)                               │
├─────────────────────────────────────────────────────────────┤
│   Modul A (Selbstbewertung)    ✗ NICHT Erlaubt              │
│   Modul B+C (Drittpartei)      ✓ ERFORDERLICH + EUCC        │
│   Modul H (Umfassende QS)      ✓ Erlaubt + EUCC             │
└─────────────────────────────────────────────────────────────┘

Wann können Sie Modul A zur Selbstbewertung nutzen?

Selbstbewertung. Sie bewerten Ihr eigenes Produkt anhand der CRA-Anforderungen.

Wann Modul A verfügbar ist

• Standard-Produkte: Immer verfügbar
• Wichtig Klasse I: Nur wenn Sie relevante harmonisierte Normen vollständig anwenden

Was „Harmonisierte Normen“ bedeutet

Für die Selbstbewertung von Wichtig Klasse I müssen Sie harmonisierte Normen anwenden, die:

• Die grundlegenden Anforderungen in Anhang I abdecken
• Im Amtsblatt der EU veröffentlicht sind
• Vollständig (nicht teilweise) angewendet werden

Wenn keine harmonisierte Norm existiert für Ihren Produkttyp, müssen Wichtig Klasse I Produkte Modul B+C oder H verwenden.

PRÜFEN SIE MIT PRIMÄRQUELLE: Harmonisierte Normen für CRA werden noch entwickelt. Überwachen Sie OJEU-Veröffentlichungen.

Modul A Prozess

MODUL A KONFORMITÄTSBEWERTUNG

1. DESIGNPHASE
   ├── Security-by-Design-Prinzipien anwenden
   ├── Risikobewertung durchführen (Anhang I Anforderungen)
   ├── Sicherheitsarchitektur dokumentieren
   └── Harmonisierte Normen anwenden (wenn Klasse I)

2. DOKUMENTATION
   ├── Technisches Dossier erstellen (Anhang VII)
   │   ├── Produktbeschreibung
   │   ├── Risikobewertungsergebnisse
   │   ├── Designdokumentation
   │   ├── Angewandte Normen
   │   ├── Testergebnisse
   │   └── SBOM
   └── EU-Konformitätserklärung vorbereiten

3. FERTIGUNGSKONTROLLEN
   ├── Sicherstellen, dass Fertigung Konformität beibehält
   ├── Qualitätskontrollen dokumentieren
   └── Jede Einheit verifizieren (wo anwendbar)

4. FINALISIERUNG
   ├── EU-Konformitätserklärung unterzeichnen
   ├── CE-Kennzeichnung anbringen
   └── Dokumentation aufbewahren (10 Jahre)

Anforderungen an die Modul-A-Dokumentation

Ihr technisches Dossier nach Modul A muss folgende Inhalte umfassen:

Allgemeine Beschreibung:

• Produktidentifikation und Verwendungszweck
• Abgedeckte Versionen
• Bereitgestellte Benutzeranweisungen

Risikobewertung:

• Identifizierte Cybersicherheitsrisiken
• Berücksichtigte Bedrohungen und Angriffsszenarien
• Entscheidungen zur Risikobehandlung

Designdokumentation:

• Systemarchitektur
• Umgesetzte Sicherheitsmaßnahmen
• Nachweis, wie jede Anforderung aus Anhang I erfüllt wird

Normen und Tests:

• Angewandte Normen (mit Versionsnummern)
• Testpläne und Testergebnisse
• Nachweis der vollständigen Anwendung der Normen (bei Klasse I)

SBOM:

• Enthaltene Komponenten
• Zum Zeitpunkt der Bewertung bekannte Schwachstellen

Produktion:

• Wie die Fertigung die Konformität aufrechterhält
• Qualitätssicherungsmaßnahmen

Modul A Kosten

Typischer Gesamtbereich: 15.000-50.000€ (interne Kosten)

Modul A Zeitplan

Typischer Gesamtzeitplan: 2-4 Monate

Wann schreibt die CRA eine notifizierte Stelle vor?

Drittbewertung. Eine Notifizierte Stelle prüft Ihr Produktdesign.

Wann Modul B+C erforderlich ist

• Wichtig Klasse II: Obligatorisch
• Kritische Produkte: Obligatorisch (plus EUCC)
• Wichtig Klasse I: Wenn keine harmonisierten Normen verwendet werden

Modul B: EU-Baumusterprüfung

Eine Notifizierte Stelle prüft eine repräsentative Probe (Baumuster) Ihres Produkts und stellt ein Zertifikat aus.

MODUL B PROZESS

1. ANTRAGSTELLUNG
   ├── Notifizierte Stelle auswählen
   ├── Antrag einreichen mit:
   │   ├── Produktmuster(n)
   │   ├── Technischer Dokumentation
   │   └── Antragsformular
   └── Erstgebühren zahlen

2. PRÜFUNG
   ├── BS prüft Dokumentation
   ├── BS testet Produktmuster
   ├── BS verifiziert Anhang I Konformität
   └── BS kann zusätzliche Infos/Tests anfordern

3. ENTSCHEIDUNG
   ├── Konform → EU-Baumusterprüfbescheinigung
   ├── Nicht konform → Mängelbericht
   └── Bei Mängeln: beheben und erneut einreichen

4. BESCHEINIGUNG
   ├── Gültig für geprüften Produkttyp
   ├── Listet Bedingungen und Einschränkungen
   └── Unterliegt Überprüfung (typischerweise 5 Jahre)

Modul C: Konformität mit dem Baumuster

Nach Modul B stellen Sie sicher, dass die Produktion dem zertifizierten Baumuster entspricht.

MODUL C PROZESS

1. FERTIGUNGSKONTROLLEN
   ├── Sicherstellen, dass jede Einheit dem zertifizierten Baumuster entspricht
   ├── Fertigungsprozesse dokumentieren
   └── Qualitätskontrollen beibehalten

2. ERKLÄRUNG
   ├── Verweis auf EU-Baumusterprüfbescheinigung
   ├── EU-Konformitätserklärung unterzeichnen
   └── CE-Kennzeichnung anbringen

3. LAUFEND
   ├── Konformität mit zertifiziertem Baumuster beibehalten
   ├── Änderungen, die den Typ betreffen, an BS melden
   └── Bei wesentlichen Änderungen erneut zertifizieren

Auswahl der Notifizierten Stelle

Überlegungen bei der Auswahl einer Notifizierten Stelle:

BS finden: Prüfen Sie NANDO-Datenbank (offizielles EU-Register der Notifizierten Stellen), sobald CRA-Benennungen veröffentlicht werden.

Modul B+C Kosten

Typischer Gesamtbereich: 30.000-100.000€+

Modul B+C Zeitplan

Typischer Gesamtzeitplan: 4-10 Monate

Modul H: Umfassende Qualitätssicherung

Qualitätsmanagementsystem-Ansatz. BS genehmigt Ihr QMS für Design, Produktion und Tests.

Wann Modul H sinnvoll ist

Modul H ist vorteilhaft wenn:

• Sie mehrere Produkte haben, die Drittbewertung erfordern
• Sie bereits ein ausgereiftes QMS haben (ISO 9001, ISO 27001)
• Sie eine laufende BS-Beziehung wollen statt produktweiser Prüfung
• Sie häufige Produktupdates veröffentlichen

Modul H Prozess

MODUL H PROZESS

1. QMS-ETABLIERUNG
   ├── Qualitätssystem entwerfen, das abdeckt:
   │   ├── Designprozess
   │   ├── Fertigungskontrollen
   │   ├── Prüfverfahren
   │   └── Dokumentationsmanagement
   └── Mit CRA-Anforderungen abstimmen

2. BS-BEWERTUNG
   ├── QMS-Dokumentation einreichen
   ├── BS auditiert Ihr QMS
   ├── BS verifiziert CRA-Abstimmung
   └── BS stellt QMS-Genehmigungszertifikat aus

3. PRODUKTDESIGN (pro Produkt)
   ├── Genehmigtem QMS für Design folgen
   ├── Designprüfung durchführen
   ├── Konformität dokumentieren
   └── BS kann Designprozess auditieren

4. PRODUKTION
   ├── Genehmigtem QMS für Produktion folgen
   ├── Konformität dokumentieren
   └── BS führt Überwachungsaudits durch

5. ERKLÄRUNG (pro Produkt)
   ├── EU-Konformitätserklärung unterzeichnen
   ├── Verweis auf QMS-Zertifikat
   └── CE-Kennzeichnung anbringen

6. LAUFEND
   ├── QMS pflegen
   ├── BS-Überwachungsaudits (typischerweise jährlich)
   └── QMS rezertifizieren (typischerweise alle 3-5 Jahre)

Modul H QMS-Anforderungen

Ihr Qualitätsmanagementsystem muss folgende Bereiche abdecken:

Designqualität:

• Kontrolle des Designprozesses
• Methodik der Risikobewertung
• Verfahren zur Designprüfung
• Konfigurationsmanagement
• Designverifizierung und Designvalidierung

Produktionsqualität:

• Kontrolle der Produktionsprozesse
• Qualitätssicherungsprüfungen
• Umgang mit Nichtkonformitäten
• Rückverfolgbarkeit
• Kalibrierung der Prüfmittel

Dokumentationsqualität:

• Anforderungen an das technische Dossier
• Dokumentenlenkung
• Aufbewahrung von Aufzeichnungen
• Änderungsmanagement

Integration der Cybersicherheit:

• Sicherer Entwicklungslebenszyklus
• Schwachstellenmanagement
• Aktualisierungsprozesse
• Reaktion auf Sicherheitsvorfälle

Modul H Kosten

Ersteinrichtung: 40.000-100.000€ Jährlich laufend: 10.000-30.000€

Modul H vs. B+C Entscheidung

Faustregel: Modul H wird ab 4+ Produkten oder bei häufig benötigter Nachprüfung kosteneffektiv.

Entscheidungsrahmen

Schritt 1: Produktklassifizierung bestimmen

Nutzen Sie den Produktklassifizierungsleitfaden, um zu bestimmen, ob Ihr Produkt der Kategorie Standard, Wichtig Klasse I, Wichtig Klasse II oder Kritisch angehört.

Schritt 2: Verfügbare Optionen identifizieren

WENN Standard:
    Optionen: A, B+C, H
    Empfehlung: Modul A (außer Sie wünschen eine Drittvalidierung)

WENN Wichtig Klasse I:
    WENN harmonisierte Normen existieren UND vollständig angewendet werden:
        Optionen: A, B+C, H
        Empfehlung: Modul A (mit Normen)
    SONST:
        Optionen: B+C, H
        Empfehlung: B+C (außer bei mehreren Produkten)

WENN Wichtig Klasse II:
    Optionen: B+C, H
    Empfehlung: B+C (außer bei mehreren Produkten oder ausgereiftem QMS)

WENN Kritisch:
    Optionen: B+C + EUCC, H + EUCC
    Empfehlung: Abhängig von den Fähigkeiten der Organisation

Schritt 3: Geschäftliche Faktoren berücksichtigen

Schritt 4: Kosten berechnen

BEISPIEL KOSTENVERGLEICH

Szenario: 5 Produkte der Kategorie Wichtig Klasse II, kein vorhandenes QMS

OPTION 1: Modul B+C je Produkt
├── Pro Produkt: durchschnittlich 50.000€
├── 5 Produkte: 250.000€
├── Nachprüfung (Updates): 25.000€ pro Produkt und Update
└── 5-Jahres-Kosten (angenommen 2 Updates je Produkt): 500.000€

OPTION 2: Modul H
├── QMS-Aufbau: 50.000€
├── Erstzertifizierung: 25.000€
├── Pro-Produkt-Designprüfung: 10.000€ × 5 = 50.000€
├── Jährliche Überwachung: 12.000€ × 5 Jahre = 60.000€
├── Update-Prüfungen: 5.000€ pro Produkt/Update × 10 = 50.000€
└── 5-Jahres-Kosten: 235.000€

Entscheidung: Modul H spart 265.000€ über 5 Jahre

EU-Konformitätserklärung

Unabhängig vom gewählten Modul müssen Sie eine EU-Konformitätserklärung ausstellen.

Erforderlicher Inhalt der DoC

EU-KONFORMITÄTSERKLÄRUNG
(Cyber Resilience Act - Verordnung (EU) 2024/2847)

1. Produktidentifikation:
   [Produktname, Typ, Charge, Seriennummer(n)]

2. Name und Anschrift des Herstellers:
   [Ihre Firmendaten]

3. Diese Konformitätserklärung wird unter alleiniger
   Verantwortung des Herstellers ausgestellt.

4. Gegenstand der Erklärung:
   [Produktbeschreibung, ausreichend für Rückverfolgbarkeit]

5. Der oben beschriebene Gegenstand der Erklärung entspricht
   den einschlägigen Harmonisierungsrechtsvorschriften der Union:
   - Verordnung (EU) 2024/2847 (Cyber Resilience Act)
   - [Andere anwendbare Rechtsvorschriften]

6. Angabe der einschlägigen harmonisierten Normen oder
   Bezugnahme auf Spezifikationen, für die die Konformität
   erklärt wird:
   [Liste der angewandten Normen mit Versionsnummern]

7. Gegebenenfalls die Notifizierte Stelle:
   [Name der BS, Nummer, Zertifikatsverweis]
   hat: [Modul B/H Prüfung] durchgeführt
   und ausgestellt: [Zertifikatsnummer]

8. Zusätzliche Angaben:
   [Supportzeitraum, Kontakt für Schwachstellenmeldungen, etc.]

Unterzeichnet für und im Namen von:
[Name, Funktion]
[Ort und Datum der Ausstellung]
[Unterschrift]

CE-Kennzeichnung

Nach der Konformitätsbewertung bringen Sie die CE-Kennzeichnung an.

Anforderungen an die CE-Kennzeichnung

• Sichtbar, lesbar, dauerhaft
• Mindestens 5mm Höhe
• Korrekte Proportionen (wie in Rechtsvorschriften spezifiziert)
• Auf Produkt oder Verpackung (wenn Produktkennzeichnung nicht machbar)
• Begleitet von Nummer der Notifizierten Stelle, wenn Modul B oder H verwendet

Platzierung der CE-Kennzeichnung

BEISPIELE FÜR CE-KENNZEICHNUNG

Physisches Produkt:
├── Auf dem Produkt selbst (bevorzugt)
├── Auf Typenschild/Etikett
├── Auf Verpackung (wenn Produkt zu klein)
└── In Dokumentation (wenn physische Kennzeichnung unmöglich)

Software:
├── Im Info-/Über-Bildschirm
├── In Dokumentation
└── Auf Verpackung (wenn physische Medien)

Mit Notifizierter Stelle (Modul B oder H):
CE-Kennzeichnung + BS-Nummer
z.B. CE 1234 (wobei 1234 die BS-Identifikationsnummer ist)

Häufige Fehler

Selbstbewertung wenn nicht erlaubt

Problem: Wahl von Modul A für Wichtig Klasse II Produkt.

Konsequenz: Ungültige Konformitätsbewertung. Produkt kann nicht legal in Verkehr gebracht werden.

Prävention: Immer Produktklassifizierung vor Wahl des Bewertungswegs verifizieren.

Teilweise Normenanwendung

Problem: Beanspruchung von Modul A für Wichtig Klasse I bei nur teilweiser Anwendung harmonisierter Normen.

Konsequenz: Modul A ist ohne vollständige Normenanwendung nicht verfügbar.

Prävention: Wenn Sie Normen nicht vollständig anwenden können, verwenden Sie Modul B+C oder H.

Unzureichende Dokumentation

Problem: Technisches Dossier fehlt erforderlicher Inhalt für gewähltes Modul.

Konsequenz: Kann Konformität nicht nachweisen. DoC nicht gültig.

Prävention: Checklisten verwenden. Dokumentationsanforderungen für Ihr spezifisches Modul prüfen.

Überraschung durch die notifizierte Stelle

Problem: Späte Entdeckung, dass Produkt BS-Bewertung erfordert.

Konsequenz: Verzögerter Markteintritt (BS-Wartezeiten können Monate betragen).

Prävention: Produkte früh klassifizieren. BS proaktiv einbinden.

DoC vor abgeschlossener Bewertung

Problem: Unterzeichnung der EU-Konformitätserklärung, bevor die Konformitätsbewertung abgeschlossen ist.

Konsequenz: Falsche Erklärung. Rechtliche Haftung.

Prävention: Die EU-Konformitätserklärung ist der letzte Schritt, nachdem alle Bewertungsaktivitäten abgeschlossen sind.

Konformitätsbewertungs-Checkliste

KONFORMITÄTSBEWERTUNGS-CHECKLISTE

VOR DER BEWERTUNG:
[ ] Produktklassifizierung bestimmt
[ ] Verfügbare Module identifiziert
[ ] Modul basierend auf Anforderungen und geschäftlichen Faktoren gewählt
[ ] Zeitplan festgelegt
[ ] Budget bereitgestellt

MODUL A (Selbstbewertung):
[ ] Risikobewertung abgeschlossen
[ ] Anforderungen aus Anhang I erfüllt
[ ] Harmonisierte Normen angewendet (bei Klasse I)
[ ] Technisches Dossier erstellt
[ ] Tests abgeschlossen
[ ] Fertigungskontrollen dokumentiert
[ ] EU-Konformitätserklärung vorbereitet

MODUL B (EU-Baumusterprüfung):
[ ] Notifizierte Stelle ausgewählt
[ ] Antrag eingereicht
[ ] Technische Dokumentation bereitgestellt
[ ] Produktmuster bereitgestellt
[ ] Prüfung abgeschlossen
[ ] Bescheinigung erhalten
[ ] Mängel behoben (falls vorhanden)

MODUL C (Konformität mit dem Baumuster):
[ ] Fertigungskontrollen etabliert
[ ] Typkonformität nachgewiesen
[ ] Dokumentation gepflegt
[ ] EU-Konformitätserklärung verweist auf Bescheinigung

MODUL H (Umfassende QS):
[ ] QMS entwickelt/aktualisiert
[ ] Audit der Notifizierten Stelle terminiert
[ ] QMS-Zertifikat erhalten
[ ] Pro-Produkt-Designprüfung abgeschlossen
[ ] Zeitplan für Überwachungsaudits festgelegt

FINALISIERUNG (alle Module):
[ ] EU-Konformitätserklärung unterzeichnet
[ ] CE-Kennzeichnung angebracht
[ ] Technisches Dossier archiviert (10 Jahre Aufbewahrung)
[ ] Bereit für das Inverkehrbringen

Nächste Schritte

Verwalten Sie die CRA-Konformität für mehrere Produkte? CRA Evidence speichert das gewählte Bewertungsmodul je Produkt, hält die Dokumentation des technischen Dossiers vor und überwacht den Benennungsstatus der Notifizierten Stellen anhand aktueller NANDO-Einträge.

Sobald Sie Ihr Modul festgelegt haben, bauen Sie Ihr Nachweispaket mit unserem Leitfaden zum technischen Dossier nach Anhang VII auf. Falls Ihre Produktkategorie noch nicht eindeutig ist, hilft Ihnen der Produktklassifizierungsleitfaden weiter.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Compliance-Beratung konsultieren Sie bitte qualifizierte Rechtsberater.