CRA EU-Konformitätserklärung: Vorlage und Pflichtelemente

Jedes Produkt mit digitalen Elementen benötigt eine EU-Konformitätserklärung, bevor es legal die CE-Kennzeichnung tragen darf. Die Konformitätserklärung ist Ihre formelle Aussage, dass das Produkt die CRA-Anforderungen erfüllt. Für ihre Richtigkeit tragen Sie die rechtliche Verantwortung.

Dieser Leitfaden bietet eine vollständige Vorlage und erläutert jedes erforderliche Element.

Was ist die EU-Konformitätserklärung?

Die EU-Konformitätserklärung ist ein formelles Rechtsdokument, in dem der Hersteller erklärt, dass ein Produkt den geltenden EU-Rechtsvorschriften entspricht. Sie ist für alle Produkte mit digitalen Elementen verpflichtend, bevor diese die CE-Kennzeichnung tragen dürfen. Für CRA-Produkte muss sie Folgendes feststellen:

• Das Produkt erfüllt die grundlegenden Cybersicherheitsanforderungen.
• Die Konformitätsbewertung wurde abgeschlossen.
• Der Hersteller übernimmt die rechtliche Verantwortung.

Ohne eine unterzeichnete Konformitätserklärung darf Ihr Produkt keine CE-Kennzeichnung tragen und kann nicht legal auf dem EU-Markt in Verkehr gebracht werden.

Was fordert der CRA in der Konformitätserklärung?

Die Konformitätserklärung muss vor dem Inverkehrbringen erstellt, bei Änderungen am Produkt oder seines Konformitätsstatus aktuell gehalten, in die Sprache(n) übersetzt werden, die von jedem Mitgliedstaat verlangt werden, in dem das Produkt verkauft wird, und neben der technischen Dokumentation mindestens zehn Jahre aufbewahrt werden.

Pflichtelemente

#	Element	Was anzugeben ist
1	Produktname und -typ	Name, Typ und alle zusätzlichen Angaben, die eine eindeutige Identifizierung des Produkts mit digitalen Elementen ermöglichen.
2	Herstelleridentifikation	Name und Anschrift des Herstellers oder seines Bevollmächtigten.
3	Erklärung der alleinigen Verantwortung	Genauer Wortlaut: „Diese Konformitätserklärung wird in alleiniger Verantwortung des Anbieters ausgestellt."
4	Gegenstand der Erklärung	Bezeichnung des Produkts, die eine Rückverfolgbarkeit ermöglicht, gegebenenfalls mit Foto.
5	Konformitätsaussage	Bestätigung, dass der Gegenstand der Verordnung (EU) 2024/2847 entspricht.
6	Angewandte Normen und Zertifizierungen	Herangezogene harmonisierte Normen, gemeinsame Spezifikationen oder Cybersicherheitszertifizierungen.
7	Angaben zur notifizierten Stelle	Name, Nummer, durchgeführtes Konformitätsbewertungsverfahren, Zertifikatsreferenz. Nur erforderlich, wenn ein Drittbewertungsmodul angewandt wurde.
8	Weitere Angaben und Unterschrift	Ort und Datum der Ausstellung; Name, Funktion und Unterschrift der unterzeichnenden Person (handschriftlich oder qualifiziert elektronisch). Sonstige weitere Angaben nach Bedarf.

Jede Zeile entspricht dem gleichnummerierten Punkt in Anhang V.

Vollständige Vorlage für die Konformitätserklärung

Verwenden Sie diese als Ausgangspunkt. Passen Sie die Felder in eckigen Klammern für Ihr Produkt an.

Abschnitt-für-Abschnitt-Anleitung

1. Dokumentenidentifikation

Erklärungsnummer. Nicht vorgeschrieben, jedoch zur Versionskontrolle dringend empfohlen. Ein praktisches Format ist KE-[Produktcode]-[Jahr]-[Laufnummer], zum Beispiel KE-SSP3000-2027-001.

Ausstellungsdatum. Das Datum, an dem Sie die Erklärung unterzeichnen. Muss nach Abschluss der Konformitätsbewertung liegen.

2. Herstelleridentifikation

Die unterzeichnende Person ist der Hersteller: eine Person, die befugt ist, ihn rechtlich zu verpflichten. Der CRA erlaubt die Bestellung eines Bevollmächtigten, macht sie aber nicht schon deshalb zwingend, weil der Hersteller nicht in der EU niedergelassen ist. Wird ein Bevollmächtigter bestellt, kann er in der Erklärung genannt werden und sie für Behörden aufbewahren, doch der Akt der Konformitätserklärung verbleibt beim Hersteller (Artikel 28). Wenn ein Bevollmächtigter genannt wird, ergänzen Sie eine Zeile wie:

Bevollmächtigter: [Name, Anschrift]
handelnd im Namen von: [Herstellername, Anschrift]

3. Produktidentifikation

Seien Sie spezifisch genug für die Rückverfolgbarkeit: Modellnummern, getrennte Hardware- und Software-Versionen sowie der Bereich der Chargen- oder Seriennummern.

Beispiel:

Produktname:       SmartSense Pro Industrial Sensor
Modell/Typ:        SSP-3000
Hardware-Version:  Rev C (PCB v3.2)
Software-Version:  Firmware 2.4.1
Charge/Seriennr.:  Seriennummern SSP3K-2027-XXXXXX

4. Konformitätsbewertung

Welches Modul Sie anwenden müssen, hängt von der Einstufung Ihres Produkts ab. Nutzen Sie diese Tabelle zur Orientierung:

Modul	Wann es anzuwenden ist	Notifizierte Stelle?
Module A (Interne Fertigungskontrolle)	Standardprodukte; Wichtig Klasse I, wenn einschlägige Normen, Spezifikationen oder Schemata vollständig angewendet werden	Nein
Module B+C (EU-Baumusterprüfung)	Für alle Produkte verfügbar; erforderliche Option für Wichtig Klasse I, wenn sie nicht vollständig angewendet werden; eine Route für Wichtig Klasse II und Kritisch als Auffangroute	Ja
Module H (Vollständige Qualitätssicherung)	Alle Produkte; Alternative zu B+C für Wichtig Klasse I und II	Ja
EUCC / Cybersicherheitsschema	Produkte mit einem europäischen Cybersicherheitszertifikat mit Vertrauenswürdigkeitsstufe ≥ substanziell (Artikel 27(9))	Keine zusätzliche Drittbewertung erforderlich

Nutzen Sie dieses Flussdiagramm zur Bestimmung Ihres Weges:

flowchart TD
    A["Was ist Ihre Produktklasse?"] --> B["Standard\n(nicht Anhang III/IV)"]
    A --> C["Wichtig Klasse I\n(Anhang III)"]
    A --> D["Wichtig Klasse II\n(Anhang III)"]
    A --> E["Kritisch\n(Anhang IV)"]
    B --> F["Module A, B+C oder H\nIhre Wahl"]
    C --> G{"Normen, Spezifikationen oder\nSchema vollständig angewandt?"}
    G -->|Ja| H["Module A möglich\noder B+C / H"]
    G -->|Nein| I["Module B+C oder H\nNotifizierte Stelle erforderlich"]
    D --> J["Module B+C, H oder Zertifizierungsschema\nmindestens Vertrauenswürdigkeitsstufe 'wesentlich'\nNotifizierte Stelle bei B+C oder H erforderlich"]
    E --> K["Zertifizierungsroute, wenn anwendbar
sonst Drittparteirouten"]

5. Angewandte Normen

Harmonisierte Normen sind im Amtsblatt der EU veröffentlichte Normen. Sie begründen eine Konformitätsvermutung für die abgedeckten Anforderungen. Geben Sie die vollständige Referenz an: Nummer, Jahr, Titel.

Format:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Wenn keine harmonisierten Normen existieren, geben Sie an: „Keine harmonisierten Normen angewandt. Konformität nachgewiesen durch [Ansatz beschreiben]."

Wurde im Rahmen der Konformitätsbewertung ein europäisches Cybersicherheitszertifikat herangezogen, ist es mit dem Schemanamen und der Zertifikatsreferenznummer aufzuführen (damit ist das Zertifizierungsfeld der Erklärung abgedeckt).

6. CRA-spezifische Zusatzinformationen

Dieser Abschnitt gehört nicht zur Mindestvorlage, verbessert aber die regulatorische Transparenz:

• Unterstützungszeitraum. Geben Sie an, wann Sicherheitsupdates enden. Muss mindestens 5 Jahre ab dem Inverkehrbringen betragen, oder die voraussichtliche Nutzungsdauer, falls kürzer.
• Kontaktstelle für Schwachstellen. Wohin Meldungen zu senden sind, einschließlich eines Verweises auf Ihre security.txt-Datei.

7. Unterschrift

Unterzeichnen darf jede Person, die befugt ist, den Hersteller rechtlich zu verpflichten. Typischerweise sind das der Geschäftsführer, ein Direktor, der Qualitätsmanager oder die Leitung Regulatory Affairs. Die Konformitätserklärung muss den vollständigen Namen und die Funktion der unterzeichnenden Person, Ort und Datum (das Datum muss nach Abschluss der Bewertung liegen) sowie entweder eine handschriftliche oder eine qualifizierte elektronische Signatur enthalten.

Wann muss die CE-Kennzeichnung in Bezug auf die Konformitätserklärung angebracht werden?

Bei physischen Produkten ist die CE-Kennzeichnung vor dem Inverkehrbringen sichtbar, lesbar und dauerhaft am Produkt anzubringen.

Bei reinen Softwareprodukten wird die CE-Kennzeichnung entweder direkt auf der EU-Konformitätserklärung angebracht oder auf der Website des Produkts in einem Bereich, der für Nutzer leicht und direkt zugänglich ist.

Muss die Konformitätserklärung übersetzt werden?

Ja. Die Konformitätserklärung muss in der/den Sprache(n) bereitgestellt werden, die von jedem Mitgliedstaat verlangt werden, in dem das Produkt in Verkehr gebracht wird.

In der Praxis:

• Verkauf nur in Deutschland → eine deutsche Konformitätserklärung ist erforderlich.
• Verkauf in der gesamten EU → mehrere Sprachversionen sind erforderlich.
• Bewahren Sie alle Sprachversionen in der technischen Dokumentation auf.

Auch die vereinfachte Konformitätserklärung und die URL, die zur vollständigen Konformitätserklärung führt, müssen in den verlangten Sprache(n) vorliegen. Die URL selbst muss stabil und zugänglich bleiben.

Benötigt jedes Produktmodell oder jede Version eine eigene Konformitätserklärung?

Eine Konformitätserklärung pro Produkttyp

Jedes eigenständige Produktmodell bzw. jeder Produkttyp benötigt grundsätzlich eine eigene Konformitätserklärung.

Eine einzige Konformitätserklärung kann mehrere Varianten abdecken, wenn sie Varianten desselben Typs sind, für alle dieselbe Konformitätsbewertung gilt und dieselben Normen angewandt wurden.

Beispiel:

Produktname:   SmartSense Pro Industrial Sensor
Modell/Typ:    SSP-3000 (alle Varianten)
               - SSP-3000-WiFi
               - SSP-3000-LoRa
               - SSP-3000-Cellular

Wann erfordert eine Änderung eine neue Konformitätserklärung?

Szenario	Neue Konformitätserklärung erforderlich?
Neue Hardware-Version, die die Sicherheitseigenschaften betrifft	Ja, wesentliche Änderung
Firmware-Aktualisierung, die neue Schnittstellen oder neue Angriffsvektoren einführt	Ja, verändertes Cybersicherheitsrisikoprofil
Firmware-Aktualisierung, die den bestimmungsgemäßen Verwendungszweck ändert	Ja, wesentliche Änderung
Sicherheits-Patch (gleiche Architektur, kein neues Risiko, reduziert CVEs)	Fall zu Fall
Änderung der angewandten harmonisierten Normen oder des Konformitätsbewertungszertifikats	Ja
Kosmetische, rein dokumentations- oder lokalisierungsbezogene Änderung	Nein
Dritter nimmt eine wesentliche Änderung vor und bringt das Produkt in Verkehr	Ja, der Dritte stellt als neuer Hersteller die neue Konformitätserklärung aus

Bei iterativen Software-Releases, die keine wesentlichen Änderungen sind, bleibt die bestehende Konformitätserklärung gültig. Sie müssen dies gegenüber den Marktüberwachungsbehörden nachweisen können, und die aktualisierte Risikoanalyse ist genau der dafür vorgesehene Beleg.

Verteilung der Konformitätserklärung

Die Konformitätserklärung muss das Produkt begleiten. Sie haben die Wahl zwischen:

• der vollständigen Konformitätserklärung oder
• einer vereinfachten Konformitätserklärung, die die genaue Internetadresse enthält, unter der die vollständige Konformitätserklärung veröffentlicht ist.

Beide Formen sind zudem auf Anfrage den Marktüberwachungsbehörden bereitzustellen und sollten Kunden auf Anfrage zugänglich sein.

Vereinfachte EU-Konformitätserklärung

Die vereinfachte Form besteht aus zwei Sätzen: der Konformitätserklärung des Herstellers und einer URL, unter der das vollständige Dokument abgerufen werden kann. Sie ist besonders nützlich für Softwareverteilungen, Hardware mit knapper Verpackungsfläche und jedes Produkt, dessen vollständige Konformitätserklärung online veröffentlicht ist.

Anforderungen an die URL: stabil (nach der Produktverteilung nicht ändern), ohne Registrierung oder Anmeldung zugänglich, und die Seite sollte das Herunterladen oder Ausdrucken der Konformitätserklärung ermöglichen. Die vollständige Konformitätserklärung muss weiterhin in der technischen Dokumentation existieren und Behörden auf Anfrage zur Verfügung stehen.

Häufige Fehler

Fehler	Warum er wichtig ist	Lösung
Fehlende Pflichtelemente (z. B. kein Konformitätsbewertungsmodul angegeben)	Konformitätserklärung ist nicht konform	Checkliste vor der Unterzeichnung verwenden; jeden erforderlichen Erklärungspunkt prüfen
Falsche Einheit unterzeichnet (Einführer oder Händler statt Hersteller)	Konformitätserklärung ist rechtlich ungültig	Nur der Hersteller (eine Person, die befugt ist, ihn rechtlich zu verpflichten) darf unterzeichnen; ein Einführer oder Händler kann dies nicht, es sei denn, er ist selbst zum Hersteller geworden
Veraltete Normenreferenzen (zurückgezogene oder ersetzte Normen aufgeführt)	Konformitätsvermutung entfällt	Angewandte Normen regelmäßig prüfen; Konformitätserklärung bei Normenänderungen aktualisieren
Keine Versionskontrolle (mehrere Versionen ohne klare Aktualitätskennzeichnung)	Prüfungs- und Durchsetzungsrisiko	Erklärungsnummern vergeben; ersetzte Versionen archivieren
Unterzeichnung vor Abschluss der Bewertung (Erklärung vor Ende der Konformitätsaktivitäten datiert)	Konformitätserklärung datiert vor den Belegen, auf die sie sich stützt	Alle Bewertungsaktivitäten zuerst abschließen; das Datum der Konformitätserklärung muss nach der Bewertung liegen
Falsche Sprache (Konformitätserklärung nur auf Englisch beim Verkauf in einem nicht englischsprachigen Mitgliedstaat)	Nicht konform für diesen Markt	Konformitätserklärung in jede erforderliche Sprache eines Mitgliedstaats übersetzen
Keine Aktualisierung nach wesentlicher Änderung (ursprüngliche Konformitätserklärung nach einer materiellen Änderung weiter in Gebrauch)	Konformitätserklärung deckt eine Version ab, für die sie nie bewertet wurde	Bei jeder wesentlichen Änderung eine neue Konformitätserklärung ausstellen

Checkliste zur Vorbereitung der Konformitätserklärung

Varianten der Vorlage

Für Module A (Selbstbewertung)

Für Module B+C (Drittbewertung)

Für mehrere Verordnungen

Eine einzige kombinierte Konformitätserklärung ist zulässig, wenn ein Produkt sowohl dem CRA als auch anderen EU-Rechtsvorschriften unterliegt:

Aufbewahrungsanforderungen

Was aufzubewahren ist	Aufbewahrungsfrist	Wo
Unterzeichnete Konformitätserklärung (oder beglaubigte Kopie)	10 Jahre nach dem Inverkehrbringen, oder Unterstützungszeitraum, falls länger	Technische Dokumentation; auf Anfrage für Behörden zugänglich
Versionshistorie und ersetzte Konformitätserklärungen	Neben der aktuellen Konformitätserklärung	Technische Dokumentation
In der Konformitätserklärung referenzierte Belegunterlagen	Neben der Konformitätserklärung	Technische Dokumentation