Ihr CRA-Konformitätsbewertungsweg bestimmt Kosten, Zeitplan und externe Abhängigkeiten. Wählen Sie falsch und Sie verschwenden Monate und Tausende von Euro. Wählen Sie richtig und Sie haben einen klaren Weg zur CE-Kennzeichnung.
Dieser Leitfaden hilft Ihnen, das richtige Konformitätsbewertungsmodul auszuwählen und zu verstehen, was jedes beinhaltet.
Quellen: Artikel 13(13) CRA (Aufbewahrungsfrist); NANDO-Datenbank, das offizielle EU-Register der notifizierten Stellen (Benennungsstatus); Angaben in diesem Leitfaden. Der Wert „~90 %" für Standard-Produkte ist eine Schätzung auf Basis der engen Anwendungsbereiche von Anhang III und IV, kein im CRA genannter Wert.
Zusammenfassung
- Modul A (Selbstbewertung): Verfügbar für Standard-Produkte und Wichtig Klasse I (bei vollständiger Anwendung harmonisierter Normen)
- Modul B+C (Drittpartei): Erforderlich für Wichtig Klasse II, optional für andere
- Modul H (Umfassende QS): Alternative zu B+C für Organisationen mit mehreren Produkten
- Die Produktklassifizierung bestimmt, welche Optionen verfügbar sind
- Kostenunterschied: Modul A (ca. EUR 5–20K intern), B+C (ca. EUR 30–100K+), H (ca. EUR 50K+ Einrichtung plus laufende Kosten)
Überblick Konformitätsbewertung
Die Konformitätsbewertung zeigt, wie Sie nachweisen, dass Ihr Produkt die CRA-Anforderungen erfüllt. Die EU-Konformitätserklärung, die Sie unterzeichnen, erklärt, dass Ihr Produkt konform ist. Sie müssen jedoch Nachweise haben, um diese Aussage zu belegen.
Der CRA bietet drei Konformitätsbewertungsmodule. Der Entscheidungsbaum oben ordnet jede Produktkategorie dem zulässigen Weg zu. Modul A ist eine Herstellerselbstbewertung. Modul B+C kombiniert eine EU-Baumusterprüfung durch eine notifizierte Stelle (B) mit einer Produktionskonformitätsphase, die Sie selbst durchführen (C). Modul H ist ein einziger Weg, bei dem eine notifizierte Stelle Ihr Qualitätsmanagementsystem genehmigt und laufend überwacht.
Wann können Sie Modul A zur Selbstbewertung nutzen?
Selbstbewertung. Sie bewerten Ihr eigenes Produkt anhand der CRA-Anforderungen.
Wann Modul A verfügbar ist
- Standard-Produkte: Immer verfügbar
- Wichtig Klasse I: Nur wenn Sie relevante harmonisierte Normen vollständig anwenden
Was "harmonisierte Normen" bedeutet
Für die Selbstbewertung von Wichtig Klasse I müssen Sie harmonisierte Normen anwenden, die:
- Die grundlegenden Anforderungen in Anhang I abdecken
- Im Amtsblatt der EU veröffentlicht sind
- Vollständig (nicht teilweise) angewendet werden
Wenn keine harmonisierte Norm existiert für Ihren Produkttyp, müssen Wichtig Klasse I Produkte Modul B+C oder H nutzen.
Harmonisierte Normen für den CRA werden noch entwickelt. Überwachen Sie die Veröffentlichungen im Amtsblatt der EU.
Modul-A-Prozess
- Designphase. Wenden Sie Security-by-Design-Prinzipien an, führen Sie eine Risikobewertung nach Anhang I durch, dokumentieren Sie die Sicherheitsarchitektur und wenden Sie harmonisierte Normen an, wenn Ihr Produkt der Klasse I angehört.
- Dokumentation. Erstellen Sie das technische Dossier nach Anhang VII mit Produktbeschreibung, Risikobewertungsergebnissen, Designdokumentation, angewandten Normen, Testergebnissen und SBOM. Bereiten Sie die EU-Konformitätserklärung vor.
- Fertigungskontrollen. Stellen Sie sicher, dass die Fertigung die Konformität beibehält, dokumentieren Sie Qualitätskontrollen und verifizieren Sie jede Einheit, wo anwendbar.
- Finalisierung. Unterzeichnen Sie die EU-Konformitätserklärung, bringen Sie die CE-Kennzeichnung an und bewahren Sie die Dokumentation 10 Jahre lang auf.
Anforderungen an die Modul-A-Dokumentation
Ihr technisches Dossier nach Anhang VII für Modul A muss diese sechs Bereiche abdecken.
- Produktidentifikation und Verwendungszweck
- Abgedeckte Versionen
- Bereitgestellte Benutzeranweisungen
- Identifizierte Cybersicherheitsrisiken
- Berücksichtigte Bedrohungen und Angriffsszenarien
- Entscheidungen zur Risikobehandlung
- Systemarchitektur
- Umgesetzte Sicherheitsmaßnahmen
- Nachweis, wie jede Anforderung aus Anhang I erfüllt wird
- Angewandte Normen (mit Versionsnummern)
- Testpläne und Testergebnisse
- Nachweis der vollständigen Normenanwendung (bei Klasse I)
- Enthaltene Komponenten
- Zum Zeitpunkt der Bewertung bekannte Schwachstellen
- Wie die Fertigung die Konformität aufrechterhält
- Qualitätssicherungsmaßnahmen
Sie stützen sich auf analoge CE-Kennzeichnungsregimes (Funkanlagenrichtlinie, Medizinprodukteverordnung) und frühe CRA-Beratungspreise. Es handelt sich nicht um eine CRA-spezifische Markterhebung. Keine notifizierte Stelle hat einen CRA-Preiskatalog veröffentlicht: Die NANDO-Datenbank zeigt für Mai 2026 null CRA-Benennungen. Nutzen Sie die Zahlen für die Planung. Sobald Benennungen erfolgt sind, prüfen Sie die Angaben anhand echter Angebote.
Modul-A-Kosten
| Kostenelement | Typischer Bereich | Anmerkungen |
|---|---|---|
| Risikobewertung | EUR 5.000–15.000 | Intern oder Berater |
| Technische Dokumentation | EUR 5.000–20.000 | Abhängig von Komplexität |
| Tests | EUR 2.000–10.000 | Intern oder Labor |
| SBOM-Werkzeuge | EUR 0–5.000 | Werkzeuge existieren möglicherweise bereits |
| Interne Personalzeit | Variabel | Oft der größte Kostenblock |
Typischer Gesamtbereich: EUR 15.000–50.000 (interne Kosten)
Modul-A-Zeitplan
| Phase | Dauer |
|---|---|
| Risikobewertung | 2-4 Wochen |
| Dokumentation | 4-8 Wochen |
| Tests | 2-4 Wochen |
| Überprüfung und Finalisierung | 1-2 Wochen |
Typischer Gesamtzeitplan: 2-4 Monate
Wann schreibt die CRA eine notifizierte Stelle vor?
Drittbewertung. Eine notifizierte Stelle prüft Ihr Produktdesign.
Wann Modul B+C erforderlich ist
- Wichtig Klasse II: B+C, H oder ein Schema nach Artikel 27(9) mit Zusicherungsniveau „substanziell" (Artikel 32(3)).
- Kritische Produkte (Anhang IV): Entweder ein europäisches Cybersicherheitszertifizierungsschema nach Artikel 8(1), sobald ein delegierter Rechtsakt der Kommission gilt (z. B. EUCC mit Niveau „substanziell"), oder, sofern kein solcher delegierter Rechtsakt gilt, die Verfahren nach Artikel 32(3) (B+C, H oder Schema nach Artikel 27(9)). Das EUCC wird nicht auf B+C oder H aufgestapelt; es ist ein paralleler Weg.
- Wichtig Klasse I: B+C oder H, wenn harmonisierte Normen, gemeinsame Spezifikationen oder Schemata nach Artikel 27 nicht oder nur teilweise angewendet werden (Artikel 32(2)).
Modul B: EU-Baumusterprüfung
Eine notifizierte Stelle prüft eine repräsentative Probe (Baumuster) Ihres Produkts und stellt eine Bescheinigung aus.
- Antragstellung. Wählen Sie eine notifizierte Stelle und reichen Sie Ihren Antrag mit Produktmustern, technischer Dokumentation und dem Antragsformular ein. Zahlen Sie die Erstgebühren.
- Prüfung. Die notifizierte Stelle prüft die Dokumentation, testet das Produktmuster, verifiziert die Konformität mit Anhang I und kann zusätzliche Informationen oder Tests anfordern.
- Entscheidung. Bei Konformität stellt die notifizierte Stelle die EU-Baumusterprüfbescheinigung aus. Werden Mängel festgestellt, beheben Sie diese und reichen Sie erneut ein.
- Bescheinigung. Gültig für den geprüften Typ, mit etwaigen Bedingungen auf der Bescheinigung. Änderungen, die die Konformität beeinflussen können, erfordern eine Ergänzung zur ursprünglichen Bescheinigung (Anhang VIII Teil II, Nummern 6–7). Der CRA schreibt kein festes Nachprüfungsintervall vor.
Modul C: Konformität mit dem Baumuster
Nach Modul B stellen Sie sicher, dass die Produktion dem zertifizierten Baumuster entspricht.
- Fertigungskontrollen. Stellen Sie sicher, dass jede Einheit dem zertifizierten Baumuster entspricht, dokumentieren Sie Fertigungsprozesse und halten Sie Qualitätskontrollen aufrecht.
- Erklärung. Verweisen Sie auf die EU-Baumusterprüfbescheinigung, unterzeichnen Sie die EU-Konformitätserklärung und bringen Sie die CE-Kennzeichnung an.
- Laufend. Halten Sie die Konformität mit dem zertifizierten Baumuster aufrecht, melden Sie der notifizierten Stelle Änderungen, die den Typ betreffen, und rezertifizieren Sie bei wesentlichen Änderungen.
Auswahl der notifizierten Stelle
Kriterien bei der Auswahl einer notifizierten Stelle:
| Faktor | Kriterium |
|---|---|
| Geltungsbereich | Ist die Stelle für den CRA und Ihren Produkttyp benannt? |
| Kapazität | Ist Verfügbarkeit vorhanden? (Frühe CRA-Phase bedeutet begrenzte Kapazität) |
| Standort | Einfachere Logistik bei geografischer Nähe |
| Erfahrung | Vertrautheit mit Ihrem Produkttyp |
| Kosten | Gebühren variieren erheblich |
| Zeitplan | Wie schnell kann die Prüfung angesetzt werden? |
Notifizierte Stellen finden: Prüfen Sie die NANDO-Datenbank (offizielles EU-Register der notifizierten Stellen), sobald CRA-Benennungen veröffentlicht werden.
Die Gebühren notifizierter Stellen liegen typischerweise zwischen 30.000 und 100.000 EUR oder mehr, und Wartezeiten können 4 bis 16 Wochen betragen. Planen Sie Budget und Zeitrahmen entsprechend ein.
Modul-B+C-Kosten
| Kostenelement | Typischer Bereich | Anmerkungen |
|---|---|---|
| Antragsgebühr der notif. Stelle | EUR 2.000–5.000 | Nicht erstattungsfähig |
| Prüfgebühr der notif. Stelle | EUR 15.000–50.000 | Abhängig von Komplexität |
| Mustervorbereitung | EUR 1.000–5.000 | Produktmuster für Tests |
| Technische Dokumentation | EUR 10.000–30.000 | Muss Anforderungen der notif. Stelle erfüllen |
| Reise/Logistik | EUR 1.000–5.000 | Falls Vor-Ort-Besuche erforderlich |
| Behebung (falls nötig) | Variabel | Erneute Tests, Dokumentationskorrekturen |
Typischer Gesamtbereich: EUR 30.000–100.000+
Modul-B+C-Zeitplan
| Phase | Dauer |
|---|---|
| Auswahl und Antrag der notif. Stelle | 2-4 Wochen |
| Dokumentationsvorbereitung | 4-8 Wochen |
| Wartezeit der notif. Stelle | 4-16 Wochen (variiert erheblich) |
| Prüfung | 4-8 Wochen |
| Ausstellung der Bescheinigung | 2-4 Wochen |
Typischer Gesamtzeitplan: 4-10 Monate
Modul H: Umfassende Qualitätssicherung
Qualitätsmanagementsystem-Ansatz. Eine notifizierte Stelle genehmigt Ihr QMS für Design, Produktion und Tests.
Wann Modul H sinnvoll ist
Modul H ist vorteilhaft, wenn:
- Sie mehrere Produkte haben, die eine Drittbewertung erfordern
- Sie bereits ein ausgereiftes QMS haben (ISO 9001, ISO 27001)
- Sie eine laufende Beziehung zur notifizierten Stelle anstelle produktweiser Prüfungen bevorzugen
- Sie häufige Produktaktualisierungen veröffentlichen
Modul-H-Prozess
- QMS-Etablierung. Entwerfen Sie ein Qualitätssystem, das Designprozess, Fertigungskontrollen, Prüfverfahren und Dokumentationsmanagement abdeckt, und stimmen Sie es auf die CRA-Anforderungen ab.
- Bewertung durch die notifizierte Stelle. Reichen Sie die QMS-Dokumentation ein, empfangen Sie die Auditoren der notifizierten Stelle, verifizieren Sie die CRA-Ausrichtung und erhalten Sie das QMS-Genehmigungszertifikat.
- Produktdesign (je Produkt). Folgen Sie dem genehmigten QMS für das Design, führen Sie eine Designprüfung durch, dokumentieren Sie die Konformität und ermöglichen Sie Audits des Designprozesses durch die notifizierte Stelle.
- Produktion. Folgen Sie dem genehmigten QMS für die Produktion, dokumentieren Sie die Konformität und akzeptieren Sie Überwachungsaudits der notifizierten Stelle.
- Erklärung (je Produkt). Unterzeichnen Sie die EU-Konformitätserklärung, verweisen Sie auf das QMS-Zertifikat und bringen Sie die CE-Kennzeichnung an.
- Laufend. Pflegen Sie das QMS und unterziehen Sie sich regelmäßigen Überwachungsaudits der notifizierten Stelle (Anhang VIII Teil IV, Nummern 4.1–4.3). Der CRA schreibt keine Überwachungshäufigkeit und keinen Rezertifizierungszyklus vor; die Häufigkeit wird im Auditplan festgelegt.
Modul-H-QMS-Anforderungen
Ihr Qualitätsmanagementsystem muss vier Bereiche parallel abdecken. Lücken in einem Bereich blockieren die Zertifizierung.
- Kontrolle des Designprozesses
- Methodik der Risikobewertung
- Verfahren zur Designprüfung
- Konfigurationsmanagement
- Designverifizierung und Designvalidierung
- Kontrolle der Produktionsprozesse
- Qualitätssicherungsprüfungen
- Umgang mit Nichtkonformitäten
- Rückverfolgbarkeit
- Kalibrierung der Prüfmittel
- Anforderungen an das technische Dossier
- Dokumentenlenkung
- Aufbewahrung von Aufzeichnungen
- Änderungsmanagement
- Sicherer Entwicklungslebenszyklus
- Schwachstellenmanagement
- Aktualisierungsprozesse
- Reaktion auf Sicherheitsvorfälle
Modul-H-Kosten
| Kostenelement | Typischer Bereich | Anmerkungen |
|---|---|---|
| QMS-Entwicklung/-Upgrade | EUR 20.000–50.000 | Wenn von Grund auf neu |
| Erstaudit der notif. Stelle | EUR 15.000–30.000 | QMS-Zertifizierung |
| Jährliche Überwachung | EUR 5.000–15.000 | Laufend |
| Pro-Produkt-Designprüfung | EUR 5.000–15.000 | Variiert nach Komplexität |
Ersteinrichtung: EUR 40.000–100.000 Jährlich laufend: EUR 10.000–30.000
Modul H vs. B+C Entscheidung
| Faktor | Modul B+C | Modul H |
|---|---|---|
| Anzahl Produkte | 1-3 Produkte | 4+ Produkte |
| Bestehendes QMS | Kein ausgereiftes QMS | Ausgereiftes QMS vorhanden |
| Update-Häufigkeit | Seltene Updates | Häufige Releases |
| Organisationsgröße | Klein/mittel | Mittel/groß |
| Vorabkosten | Niedriger | Höher |
| Pro-Produkt-Kosten | Höher | Niedriger |
| Laufende Kosten | Niedriger | Höher (Überwachung) |
Modul H wird ab 4 oder mehr Produkten kosteneffektiv. Wenn Sie ein ausgereiftes QMS haben (ISO 9001, ISO 27001), ist es oft die bessere langfristige Investition.
Faustregel: Modul H wird ab 4+ Produkten oder bei häufig benötigter Nachprüfung kosteneffektiv.
Entscheidungsrahmen
Schritt 1: Produktklassifizierung bestimmen
Nutzen Sie den Produktklassifizierungsleitfaden, um zu bestimmen, ob Ihr Produkt der Kategorie Standard, Wichtig Klasse I, Wichtig Klasse II oder Kritisch angehört.
Schritt 2: Verfügbare Optionen identifizieren
Der Entscheidungsbaum oben zeigt die vollständige Zuordnung. Die folgende Tabelle fasst dieselben Wege in Textform zusammen.
| Kategorie | Verfügbare Module | Empfohlener Weg |
|---|---|---|
| Standard | A, B+C, H | Modul A, sofern keine Drittvalidierung gewünscht wird |
| Wichtig Klasse I, harmonisierte Normen vollständig angewendet | A, B+C, H | Modul A mit Normen |
| Wichtig Klasse I, keine harmonisierten Normen | B+C, H | Modul B+C, sofern nicht mehrere Produkte vorhanden |
| Wichtig Klasse II | B+C, H | Modul B+C, sofern nicht mehrere Produkte oder ausgereiftes QMS vorhanden |
| Kritisch (Anhang IV) | EUCC-Schema (Art. 8(1)) oder B+C / H / Schema nach Art. 27(9) (Rückfallverfahren Art. 32(3)) | Abhängig davon, ob ein delegierter Rechtsakt der Kommission nach Artikel 8(1) gilt |
Schritt 3: Unternehmensfaktoren berücksichtigen
Schritt 3 hilft Ihnen nur bei der Auswahl unter den Modulen, die Schritt 2 als verfügbar ausgewiesen hat. Anhang VIII CRA macht Modul A für Wichtig Klasse I ohne harmonisierte Normen, für Wichtig Klasse II und für Kritische Produkte rechtlich nicht erreichbar. Die beiden folgenden Tabellen sind nach dieser Bedingung aufgeteilt, sodass jede Zeile eine erreichbare Antwort für Ihren Weg enthält.
Wenn die Module A, B+C und H alle verfügbar sind
Gilt für Standard-Produkte und für Wichtig Klasse I mit vollständig angewendeten harmonisierten Normen.
| Faktor | Modul A | Modul B+C | Modul H |
|---|---|---|---|
| Knappes Budget | ✓ | ||
| Knapper Zeitrahmen | ✓ | ||
| Externe Validierung nötig | ✓ | ✓ | |
| Einzelnes Produkt | ✓ | ✓ | |
| Viele Produkte | ✓ | ||
| Häufige Updates | ✓ | ||
| Kein vorhandenes QMS | ✓ | ✓ | |
| Ausgereiftes QMS (ISO 9001, ISO 27001) | ✓ | ||
| Kunde verlangt notifizierte Stelle | ✓ | ✓ |
Wenn nur die Module B+C und H verfügbar sind
Gilt für Wichtig Klasse I ohne harmonisierte Normen, Wichtig Klasse II und Kritische Produkte. Modul A ist für diese Kategorien unabhängig von Budget- oder Zeitdruck keine rechtlich zulässige Option.
| Faktor | Modul B+C | Modul H |
|---|---|---|
| Einzelnes Produkt | ✓ | |
| Viele Produkte | ✓ | |
| Häufige Updates | ✓ | |
| Kein vorhandenes QMS | ✓ | |
| Ausgereiftes QMS (ISO 9001, ISO 27001) | ✓ |
Diese zweite Verzweigung spiegelt die Tabelle "Modul H vs. B+C Entscheidung" weiter oben in diesem Leitfaden wider. Wo sich beide überschneiden, betrachten Sie sie als dieselbe Entscheidung aus zwei Perspektiven: die frühere Tabelle ist kostengewichtet, diese ist nach betrieblicher Eignung gewichtet.
Schritt 4: Kosten berechnen
Szenario: 5 Produkte der Kategorie Wichtig Klasse II, kein vorhandenes QMS, 5-Jahres-Horizont mit 2 Updates je Produkt.
| Kostenposten | Modul B+C | Modul H |
|---|---|---|
| Einmaliger Aufbau QMS-Aufbau und Erstzertifizierung durch notif. Stelle | n/v | 75.000 EUR 50.000 EUR QMS + 25.000 EUR Zertifizierung |
| Bewertung je Produkt (× 5) EU-Baumusterprüfung (B+C) oder Designprüfung (H) | 250.000 EUR 50.000 EUR × 5 | 50.000 EUR 10.000 EUR × 5 |
| Bewertung je Update (× 10) Vollständige Nachprüfung (B+C) oder Design-Delta (H) | 250.000 EUR 25.000 EUR × 10 | 50.000 EUR 5.000 EUR × 10 |
| Jährliche Überwachung (× 5 Jahre) | n/v | 60.000 EUR 12.000 EUR × 5 |
| 5-Jahres-Gesamt | 500.000 EUR | 235.000 EUR |
Modul H spart in diesem Szenario 265.000 EUR über 5 Jahre. Der Schnittpunkt liegt in der Kombination aus Produktanzahl und Update-Häufigkeit. Die Pro-Produkt- und Pro-Update-Werte sind Richtwerte (siehe den Hinweis zu den Schätzwerten bei der Modul-A-Kostentabelle). Führen Sie die Berechnung mit Ihren eigenen Angeboten durch, bevor Sie ein Budget festlegen.
EU-Konformitätserklärung
Unabhängig vom gewählten Modul müssen Sie eine EU-Konformitätserklärung ausstellen.
Erforderlicher Inhalt der EU-Konformitätserklärung
Die EU-Konformitätserklärung für den Cyber Resilience Act ist die Verordnung (EU) 2024/2847. Jede EU-Konformitätserklärung muss die folgenden acht Felder enthalten, gefolgt vom Unterzeichnerblock.
- Produktidentifikation. Produktname, Typ, Charge und Seriennummer(n), in einem für die Rückverfolgbarkeit ausreichenden Detaillierungsgrad.
- Name und Anschrift des Herstellers. Die für die Erklärung verantwortliche juristische Person. Falls zutreffend: Angaben zum Bevollmächtigten.
- Verantwortlichkeitserklärung. "Diese Konformitätserklärung wird unter alleiniger Verantwortung des Herstellers ausgestellt."
- Gegenstand der Erklärung. Produktbeschreibung, die für die Rückverfolgbarkeit ausreicht, einschließlich Foto oder Zeichnung, wenn das Produkt physisch ist.
- Einschlägige Harmonisierungsrechtsvorschriften der Union. Listen Sie jede Verordnung auf, der das Produkt entspricht, beginnend mit der Verordnung (EU) 2024/2847 (Cyber Resilience Act), und fügen Sie alle anderen anwendbaren horizontalen Rechtsvorschriften hinzu (Funkanlagenrichtlinie, EMV, Maschinen usw.).
- Angewandte harmonisierte Normen oder Spezifikationen. Listen Sie jede Norm mit Versionsnummer auf. Wenn keine harmonisierte Norm einen Teil von Anhang I abdeckt, verweisen Sie auf die stattdessen verwendete Spezifikation oder gemeinsame Spezifikation.
- Block zur notifizierten Stelle (Modul B+C oder H). Name der notifizierten Stelle, vierstellige Kennnummer, Zertifikatsverweis, durchgeführtes Modul und ausgestellte Zertifikatsnummer. Dieses Feld wird für Modul A vollständig weggelassen.
- Zusätzliche Angaben. Enddatum des Supportzeitraums, Kontaktstelle für Schwachstellenmeldungen und alle weiteren Informationen, die der CRA oder die anwendbare Rechtsvorschrift vorschreibt.
Schließen Sie die EU-Konformitätserklärung mit Name und Funktion des Unterzeichners, Ort und Datum der Ausstellung sowie einer Unterschrift ab. Eine EU-Konformitätserklärung ohne datierte Unterschrift einer namentlich und funktional bezeichneten Person ist keine gültige EU-Konformitätserklärung.
CE-Kennzeichnung
Nach der Konformitätsbewertung bringen Sie die CE-Kennzeichnung an. Die visuelle Form der Kennzeichnung ist festgelegt. Was sich ändert, ist, ob eine vierstellige Kennnummer der notifizierten Stelle daneben steht.
Anforderungen an die CE-Kennzeichnung
Platzierung der CE-Kennzeichnung
- Am Produkt selbst (bevorzugt)
- Auf einem Typenschild oder dauerhaften Etikett
- Auf der Verpackung, wenn das Produkt zu klein ist
- In der Dokumentation, wenn physische Kennzeichnung nicht möglich ist
- Im Info- oder Über-Bildschirm
- In der Begleitdokumentation
- Auf der Verpackung, wenn die Software auf physischen Datenträgern geliefert wird
- CE-Kennzeichnung gefolgt von der NB-Kennnummer
- Beispiel: CE 1234 (wobei 1234 die NB-Nummer ist)
- Gilt für Modul B+C und Modul H
Häufige Fehler
Eine Selbstbewertung nach Modul A, wenn Ihr Produkt der Kategorie Wichtig Klasse II angehört, ist eine ungültige Konformitätsbewertung. Das Produkt darf nicht legal auf dem EU-Markt in Verkehr gebracht werden.
Jeder der fünf folgenden Fehler hat denselben Aufbau: ein verlockendes Abkürzen, eine schwerwiegende Konsequenz und eine konkrete Gegenmaßnahme.
Problem. Wahl von Modul A für ein Wichtig Klasse II Produkt.
Konsequenz. Ungültige Konformitätsbewertung. Das Produkt darf nicht legal in Verkehr gebracht werden.
Gegenmaßnahme. Verifizieren Sie immer die Produktklassifizierung, bevor Sie den Bewertungsweg wählen.
Problem. Beanspruchung von Modul A für Wichtig Klasse I bei nur teilweiser Anwendung harmonisierter Normen.
Konsequenz. Modul A ist ohne vollständige Normenanwendung nicht verfügbar.
Gegenmaßnahme. Wenn Sie die Normen nicht vollständig anwenden können, verwenden Sie Modul B+C oder H.
Problem. Das technische Dossier fehlt erforderlichem Inhalt für das gewählte Modul.
Konsequenz. Die Konformität kann nicht nachgewiesen werden. Die EU-Konformitätserklärung ist nicht gültig.
Gegenmaßnahme. Nutzen Sie Checklisten. Prüfen Sie die Dokumentationsanforderungen für Ihr spezifisches Modul, bevor Sie unterzeichnen.
Problem. Späte Entdeckung, dass das Produkt eine Bewertung durch eine notifizierte Stelle erfordert.
Konsequenz. Verzögerter Markteintritt. Wartezeiten notifizierter Stellen können Monate betragen.
Gegenmaßnahme. Klassifizieren Sie Produkte frühzeitig. Kontaktieren Sie notifizierte Stellen proaktiv.
Problem. Unterzeichnung der EU-Konformitätserklärung, bevor die Konformitätsbewertung abgeschlossen ist.
Konsequenz. Falsche Erklärung. Rechtliche Haftung.
Gegenmaßnahme. Die EU-Konformitätserklärung ist der letzte Schritt, nach Abschluss aller Bewertungsaktivitäten.
Konformitätsbewertungs-Checkliste
Arbeiten Sie zuerst die Vorbewertungskarte durch. Füllen Sie dann nur die Karten für das Modul aus, das Ihr Produkt verwendet. Jedes Produkt schließt mit der Finalisierungskarte ab.
- Produktklassifizierung bestimmt
- Verfügbare Module identifiziert
- Modul anhand von Anforderungen und Unternehmensfaktoren gewählt
- Zeitplan festgelegt
- Budget bereitgestellt
- Risikobewertung abgeschlossen
- Anforderungen aus Anhang I erfüllt
- Harmonisierte Normen angewendet (bei Klasse I)
- Technisches Dossier erstellt
- Tests abgeschlossen
- Fertigungskontrollen dokumentiert
- EU-Konformitätserklärung vorbereitet
- Notifizierte Stelle ausgewählt
- Antrag eingereicht
- Technische Dokumentation bereitgestellt
- Produktmuster bereitgestellt
- Prüfung abgeschlossen
- Bescheinigung erhalten
- Mängel behoben (falls vorhanden)
- Fertigungskontrollen etabliert
- Typkonformität nachgewiesen
- Dokumentation gepflegt
- EU-Konformitätserklärung verweist auf die Bescheinigung
- QMS entwickelt oder aktualisiert
- Audit der notifizierten Stelle terminiert
- QMS-Zertifikat erhalten
- Pro-Produkt-Designprüfung abgeschlossen
- Zeitplan für Überwachungsaudits festgelegt
- EU-Konformitätserklärung unterzeichnet
- CE-Kennzeichnung angebracht
- Technisches Dossier archiviert (10 Jahre Aufbewahrung)
- Bereit für das Inverkehrbringen
Häufig gestellte Fragen
Kann ein Standard-Produkt immer Modul A zur Selbstbewertung nutzen?
Ja. Standard-Produkte dürfen stets Modul A zur Selbstbewertung nutzen. Sie führen die Bewertung selbst durch, dokumentieren sie im technischen Dossier nach Anhang VII, unterzeichnen die EU-Konformitätserklärung und bringen die CE-Kennzeichnung an. Eine notifizierte Stelle ist nicht erforderlich. (Der Wert „etwa 90 %" ist eine Schätzung auf Basis des engen Anwendungsbereichs von Anhang III und IV, kein im CRA genannter Wert.) (Artikel 32(1)(a); Anhang VIII Teil I.)
Wann ist eine notifizierte Stelle für Wichtig Klasse I Produkte zwingend vorgeschrieben?
Nur wenn Sie die einschlägigen harmonisierten Normen, gemeinsamen Spezifikationen oder ein europäisches Cybersicherheitszertifizierungsschema nach Artikel 27 mit Niveau „substanziell" nicht vollständig anwenden können. Existiert eine im Amtsblatt der EU veröffentlichte harmonisierte Norm für Ihren Produkttyp und wenden Sie diese vollständig an, bleibt Modul A zulässig. Fehlt eine anwendbare Norm oder wenden Sie diese nur teilweise an, müssen Sie auf Modul B+C oder H ausweichen. (Artikel 32(2); Anhang VIII Teil II und IV.)
Gibt es bereits notifizierte Stellen für den CRA?
Stand Mai 2026 sind null notifizierte Stellen für den CRA benannt. Benennungen werden in der NANDO-Datenbank veröffentlicht. Hersteller von Wichtig Klasse II und Kritischen Produkten können die Drittbewertung erst abschließen, sobald Benennungen vorliegen. Kalkulieren Sie diese Verzögerung frühzeitig in Ihre Planung ein. (Artikel 43; NANDO-Datenbank.)
Was prüft eine notifizierte Stelle bei Modul B+C?
Modul B ist die Baumusterprüfung durch die notifizierte Stelle: Sie sichtet Ihre technische Dokumentation, testet ein repräsentatives Muster und stellt eine EU-Baumusterprüfbescheinigung aus. Modul C ist die anschließende Produktionskonformitätsphase, die Sie selbst durchführen: Jede Einheit muss dem zertifizierten Baumuster entsprechen, und die EU-Konformitätserklärung verweist auf die Bescheinigungsnummer. (Anhang VIII Teil II und Teil III; Artikel 32(1)(b).)
Können harmonisierte Normen eine notifizierte Stelle ersetzen?
Nur für Wichtig Klasse I Produkte. Wenden Sie harmonisierte Normen vollständig an, die alle grundlegenden Anforderungen aus Anhang I abdecken, dürfen Sie Modul A ohne notifizierte Stelle nutzen. Für Wichtig Klasse II ist eine Drittbewertung (B+C, H oder ein Schema nach Artikel 27(9)) unabhängig von den angewendeten Normen verpflichtend. Für Kritische Produkte gilt Artikel 32(4) (Schema nach Artikel 8(1) oder Rückfallverfahren nach Artikel 32(3)). (Artikel 32(1)(a) und 32(2); Anhang VIII Teil I.)
Was kostet eine Konformitätsbewertung durch eine notifizierte Stelle?
Planen Sie EUR 30.000 bis EUR 100.000 oder mehr für die Prüfgebühren der notifizierten Stelle ein, dazu EUR 2.000 bis 5.000 Antragsgebühr und EUR 1.000 bis 5.000 für die Mustervorbereitung. Wartezeiten betragen aktuell 4 bis 16 Wochen; kalkulieren Sie diesen Puffer verbindlich ein. (Die Zahlen sind Schätzwerte aus analogen Regimes wie Funkanlagenrichtlinie und Medizinprodukteverordnung sowie früher CRA-Beratungspreise, keine im CRA genannten Werte.)
Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Compliance-Beratung konsultieren Sie bitte qualifizierte Rechtsberater.