CRA EU-Konformitätserklärung: Vorlage und Pflichtelemente

Jedes Produkt mit digitalen Elementen benötigt eine EU-Konformitätserklärung, bevor es rechtmäßig die CE-Kennzeichnung tragen darf. Die Konformitätserklärung ist Ihre formelle Aussage, dass das Produkt die CRA-Anforderungen erfüllt. Für ihre Richtigkeit tragen Sie die rechtliche Verantwortung.

Dieser Leitfaden bietet eine vollständige Vorlage und erläutert jedes Pflichtelement.

Was ist die EU-Konformitätserklärung?

Die EU-Konformitätserklärung ist ein formelles Rechtsdokument, in dem der Hersteller erklärt, dass ein Produkt den geltenden EU-Rechtsvorschriften entspricht. Sie ist für alle Produkte mit digitalen Elementen verpflichtend, bevor diese die CE-Kennzeichnung tragen dürfen. Für CRA-Produkte muss sie Folgendes feststellen:

• Das Produkt erfüllt die grundlegenden Cybersicherheitsanforderungen.
• Die Konformitätsbewertung wurde abgeschlossen.
• Der Hersteller übernimmt die rechtliche Verantwortung.

Ohne unterzeichnete Konformitätserklärung darf Ihr Produkt keine CE-Kennzeichnung tragen und kann nicht rechtmäßig auf dem EU-Markt in Verkehr gebracht werden.

Was fordert der CRA in der Konformitätserklärung?

Die Konformitätserklärung muss vor dem Inverkehrbringen erstellt werden. Halten Sie sie aktuell, wenn sich das Produkt oder sein Konformitätsstatus ändert. Übersetzen Sie sie in die Sprachen, die jeder Mitgliedstaat verlangt, in dem das Produkt verkauft wird. Bewahren Sie sie zusammen mit der technischen Dokumentation mindestens zehn Jahre auf.

Pflichtelemente

#	Element	Was anzugeben ist
1	Produktname und -typ	Name, Typ und alle zusätzlichen Angaben, die eine eindeutige Identifizierung des Produkts mit digitalen Elementen ermöglichen.
2	Herstelleridentifikation	Name und Anschrift des Herstellers oder seines Bevollmächtigten.
3	Erklärung der alleinigen Verantwortung	Eine Erklärung, dass die Konformitätserklärung in alleiniger Verantwortung des Anbieters ausgestellt wird. Vorgeschlagener Wortlaut: „Diese Konformitätserklärung wird in alleiniger Verantwortung des Anbieters ausgestellt." Der CRA-Text verwendet den Begriff „Anbieter".
4	Gegenstand der Erklärung	Bezeichnung des Produkts, die eine Rückverfolgbarkeit ermöglicht, gegebenenfalls mit Foto.
5	Konformitätsaussage	Eine Erklärung, dass der Gegenstand den einschlägigen Harmonisierungsrechtsvorschriften der Union entspricht, einschließlich der Verordnung (EU) 2024/2847 und jedes weiteren anwendbaren EU-Rechtsakts.
6	Angewandte Normen und Zertifizierungen	Herangezogene harmonisierte Normen, gemeinsame Spezifikationen oder Cybersicherheitszertifizierungen.
7	Angaben zur notifizierten Stelle	Name, Nummer, durchgeführtes Konformitätsbewertungsverfahren, Zertifikatsreferenz. Nur erforderlich, wenn ein Drittbewertungsmodul angewandt wurde.
8	Weitere Angaben und Unterschrift	Ort und Datum der Ausstellung; Name, Funktion und Unterschrift der unterzeichnenden Person (zum Beispiel handschriftlich oder qualifiziert elektronisch). Weitere Angaben nach Bedarf.

Jede Zeile entspricht dem gleichnummerierten Element der EU-Erklärungsvorlage.

Vollständige Vorlage für die Konformitätserklärung

Verwenden Sie diese als Ausgangspunkt. Passen Sie die Felder in eckigen Klammern für Ihr Produkt an.

Abschnitt für Abschnitt

1. Dokumentenidentifikation

Erklärungsnummer. Nicht vorgeschrieben, aber zur Versionskontrolle dringend empfohlen. Ein praktisches Format ist KE-[Produktcode]-[Jahr]-[Laufnummer], zum Beispiel KE-SSP3000-2027-001.

Ausstellungsdatum. Das Datum, an dem Sie die Erklärung unterzeichnen. Es muss nach Abschluss der Konformitätsbewertung liegen.

2. Herstelleridentifikation

Die unterzeichnende Person muss befugt sein, den Hersteller rechtlich zu verpflichten. Der CRA verlangt nicht automatisch die Bestellung eines Bevollmächtigten. Ist ein Bevollmächtigter bestellt und deckt sein Auftrag diese Aufgaben ab, darf er die EU-Konformitätserklärung im Namen und unter der Verantwortung des Herstellers erstellen und unterzeichnen sowie die CE-Kennzeichnung anbringen. Die rechtliche Verantwortung für die Konformität des Produkts bleibt dabei beim Hersteller. Tritt ein Bevollmächtigter auf, ergänzen Sie eine Zeile wie:

Bevollmächtigter: [Name, Anschrift]
handelnd im Namen von: [Herstellername, Anschrift]

3. Produktidentifikation

Seien Sie spezifisch genug für die Rückverfolgbarkeit: Modellnummern, getrennte Hardware- und Software-Versionen sowie der Bereich der Chargen- oder Seriennummern.

Beispiel:

Produktname:       SmartSense Pro Industrial Sensor
Modell/Typ:        SSP-3000
Hardware-Version:  Rev C (PCB v3.2)
Software-Version:  Firmware 2.4.1
Charge/Seriennr.:  Seriennummern SSP3K-2027-XXXXXX

4. Konformitätsbewertung

Welches Modul Sie anwenden müssen, hängt von der Einstufung Ihres Produkts ab. Diese Tabelle gibt eine Orientierung:

Modul	Wann es gilt	Notifizierte Stelle?
Modul A (Interne Kontrolle)	Standardprodukte; wichtige Produkte der Klasse I, wenn die einschlägigen Normen, Spezifikationen oder Schemata vollständig angewandt werden	Nein
Modul B + C (EU-Baumusterprüfung)	Für alle Produkte verfügbar; erforderliche Option für wichtige Produkte der Klasse I, wenn diese nicht vollständig angewandt werden; eine Route für wichtige Produkte der Klasse II und Auffangroute für kritische Produkte	Ja
Modul H (Umfassende Qualitätssicherung)	Für alle Produkte; Alternative zu B + C für wichtige Produkte der Klasse I und II	Ja
EUCC / Cybersicherheitsschema	Sofern ein anwendbares europäisches Schema für die Cybersicherheitszertifizierung verfügbar ist, ein Zertifikat mindestens der Vertrauenswürdigkeitsstufe „mittel"	Entbindet von der Drittbewertungspflicht, aber nur für die vom Zertifikat abgedeckten Anforderungen
Freie und quelloffene Software	Qualifizierende freie und quelloffene wichtige Produkte der Klasse I oder II	Dürfen jede Route über Modul A, B + C oder H nutzen, einschließlich Modul A, wenn die technische Dokumentation beim Inverkehrbringen öffentlich zugänglich ist

Nutzen Sie dieses Flussdiagramm zur Bestimmung Ihres Wegs:

flowchart TD
    A["Welche Produktklasse hat Ihr Produkt?"] --> B["Standard
(nicht gelistet)"]
    A --> C["Wichtiges Produkt Klasse I
(gelistete Klasse)"]
    A --> D["Wichtiges Produkt Klasse II
(gelistete Klasse)"]
    A --> E["Kritisch
(kritische Liste)"]
    B --> F["Modul A, B+C oder H
Ihre Wahl"]
    C --> G{"Normen, Spezifikationen oder
Schema vollständig angewandt?"}
    G -->|Ja| H["Modul A möglich
oder B+C / H"]
    G -->|Nein| I["Modul B+C oder H
Notifizierte Stelle erforderlich"]
    D --> J["Modul B+C, H oder ein Zertifizierungsschema
ab Stufe 'mittel'"]
    E --> K["Zertifizierungsroute, falls anwendbar
sonst Drittbewertungsrouten"]

5. Angewandte Normen

Harmonisierte Normen sind im Amtsblatt der EU veröffentlichte Normen. Sie begründen eine Konformitätsvermutung für die abgedeckten Anforderungen. Geben Sie die vollständige Referenz an: Nummer, Jahr, Titel.

Format:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Existieren keine harmonisierten Normen, geben Sie an: „Keine harmonisierten Normen angewandt. Konformität nachgewiesen durch [Ansatz beschreiben]."

Wurde bei der Konformitätsbewertung ein europäisches Cybersicherheitszertifikat herangezogen, führen Sie es mit Schemaname und Zertifikatsreferenznummer auf. Damit ist das Zertifizierungsfeld der Erklärung abgedeckt.

6. CRA-spezifische Zusatzinformationen

Dieser Abschnitt gehört nicht zur Mindestvorlage, verbessert aber die regulatorische Transparenz:

• Supportzeitraum. Geben Sie an, wann die Sicherheitsupdates enden. Er muss mindestens 5 Jahre ab dem Inverkehrbringen betragen, oder die voraussichtliche Nutzungsdauer, falls diese kürzer ist.
• Kontaktstelle für Schwachstellen. Wohin Meldungen zu senden sind, einschließlich eines Verweises auf Ihre security.txt-Datei.

7. Unterschrift

Unterzeichnen darf jede Person, die befugt ist, den Hersteller rechtlich zu verpflichten. Typischerweise sind das die Geschäftsführung, ein Direktor, die Qualitätsleitung oder die Leitung Regulatory Affairs. Die Konformitätserklärung muss den vollständigen Namen und die Funktion der unterzeichnenden Person, Ort und Datum (das Datum muss nach Abschluss der Bewertung liegen) sowie eine Unterschrift enthalten, zum Beispiel handschriftlich oder als qualifizierte elektronische Signatur.

Wann muss die CE-Kennzeichnung angebracht werden?

Bringen Sie die CE-Kennzeichnung bei physischen Produkten sichtbar, lesbar und dauerhaft vor dem Inverkehrbringen am Produkt an. Ist das aufgrund der Art des Produkts nicht möglich oder nicht gerechtfertigt, bringen Sie sie stattdessen auf der Verpackung und auf der EU-Konformitätserklärung an.

Bei reinen Softwareprodukten wird die CE-Kennzeichnung entweder direkt auf der EU-Konformitätserklärung angebracht oder auf der Website des Produkts, in einem Bereich, der für Verbraucher leicht und direkt zugänglich ist.

Ist eine notifizierte Stelle im Rahmen von Modul H beteiligt, folgt auf die CE-Kennzeichnung deren Kennnummer.

Muss die Konformitätserklärung übersetzt werden?

Ja. Die Konformitätserklärung muss in den Sprachen bereitgestellt werden, die jeder Mitgliedstaat verlangt, in dem das Produkt in Verkehr gebracht wird.

In der Praxis:

• Verkauf nur in Deutschland → eine deutsche Konformitätserklärung ist erforderlich.
• Verkauf in der gesamten EU → mehrere Sprachversionen sind nötig.
• Bewahren Sie alle Sprachversionen in der technischen Dokumentation auf.

Auch die vereinfachte Konformitätserklärung und die URL zur vollständigen Konformitätserklärung müssen in den geforderten Sprachen vorliegen. Eine stabile, zugängliche URL ist bewährte Praxis.

Benötigt jedes Produktmodell oder jede Version eine eigene Konformitätserklärung?

Eine Konformitätserklärung pro Produkttyp

Jedes eigenständige Produktmodell bzw. jeder Produkttyp benötigt grundsätzlich eine eigene Konformitätserklärung.

Eine einzige Konformitätserklärung kann mehrere Varianten abdecken, wenn es sich um Varianten desselben Typs handelt, für alle dieselbe Konformitätsbewertung gilt und dieselben Normen angewandt wurden.

Beispiel:

Produktname:   SmartSense Pro Industrial Sensor
Modell/Typ:    SSP-3000 (alle Varianten)
               - SSP-3000-WiFi
               - SSP-3000-LoRa
               - SSP-3000-Cellular

Wann erfordert eine Änderung eine neue Konformitätserklärung?

Die folgende Tabelle zeigt typische Ergebnisse. Wenden Sie den gesetzlichen Maßstab oben an, statt einen einzelnen Auslöser automatisch als ausreichend zu behandeln.

Szenario	Neue Konformitätserklärung nötig?
Neue Hardware-Version, die die Konformität mit den grundlegenden Anforderungen berührt	Ja, wesentliche Änderung
Firmware-Update, das die Angriffsfläche vergrößert oder das Cybersicherheitsrisiko erhöht	Ja, wesentliche Änderung
Firmware-Update, das den bestimmungsgemäßen Verwendungszweck ändert	Ja, wesentliche Änderung
Sicherheits-Patch (gleiche Architektur, kein neues Risiko, reduziert CVEs)	Fall zu Fall
Änderung der angewandten harmonisierten Normen oder des Konformitätsbewertungszertifikats	Fall zu Fall, nur wenn die Änderung die grundlegenden Anforderungen oder den bewerteten Verwendungszweck berührt
Kosmetische, rein dokumentations- oder lokalisierungsbezogene Änderung	Nein
Ein Dritter nimmt eine wesentliche Änderung vor und stellt das Produkt auf dem Markt bereit	Ja, der Dritte stellt als neuer Hersteller die neue Konformitätserklärung aus

Bei iterativen Software-Releases, die keine wesentlichen Änderungen sind, bleibt die bestehende Konformitätserklärung gültig. Sie müssen dies gegenüber den Marktüberwachungsbehörden nachweisen können, und die aktualisierte Risikobewertung ist genau der dafür vorgesehene Beleg.

Verteilung der Konformitätserklärung

Die Konformitätserklärung muss das Produkt begleiten. Sie haben die Wahl zwischen:

• der vollständigen Konformitätserklärung, oder
• einer vereinfachten Konformitätserklärung mit der genauen Internetadresse, unter der die vollständige Konformitätserklärung veröffentlicht ist.

Beide Formen sind zudem auf Anfrage den Marktüberwachungsbehörden bereitzustellen und sollten Kunden auf Anfrage zugänglich sein.

Vereinfachte EU-Konformitätserklärung

Die vereinfachte Form besteht aus zwei Sätzen: der Konformitätserklärung des Herstellers und einer URL, unter der das vollständige Dokument abrufbar ist. Sie eignet sich besonders für Softwareverteilungen, Hardware mit knapper Verpackungsfläche und jedes Produkt, dessen vollständige Konformitätserklärung online veröffentlicht ist.

Zur URL: Der CRA verlangt nur, dass die vereinfachte Konformitätserklärung die genaue Internetadresse enthält, unter der die vollständige Erklärung abrufbar ist. Als bewährte Praxis, nicht als gesetzliche Pflicht, sollte die URL stabil bleiben (nach der Produktverteilung nicht ändern), ohne Registrierung oder Anmeldung zugänglich sein und die Erklärung zum Herunterladen oder Ausdrucken bereitstellen. Die vollständige Konformitätserklärung muss weiterhin in der technischen Dokumentation existieren und Behörden auf Anfrage zur Verfügung stehen.

Häufige Fehler

Fehler	Warum er wichtig ist	Lösung
Fehlende Pflichtelemente (z. B. keine Konformitätsaussage oder fehlende Angaben zur notifizierten Stelle, obwohl eine beteiligt war)	Konformitätserklärung ist nicht konform	Checkliste vor der Unterzeichnung nutzen; jedes Pflichtelement prüfen
Falsche Stelle unterzeichnet (Einführer oder Händler statt Hersteller)	Konformitätserklärung ist rechtlich ungültig	Es unterzeichnet eine Person, die befugt ist, den Hersteller zu verpflichten, oder ein mandatierter Bevollmächtigter. Ein Einführer oder Händler kann das nicht, es sei denn, er ist selbst zum Hersteller geworden
Veraltete Normreferenzen (zurückgezogene oder ersetzte Normen aufgeführt)	Konformitätsvermutung entfällt	Angewandte Normen regelmäßig prüfen; Konformitätserklärung bei Normänderungen aktualisieren
Keine Versionskontrolle (mehrere Versionen ohne klare Aktualitätskennzeichnung)	Prüfungs- und Durchsetzungsrisiko	Erklärungsnummern vergeben; ersetzte Versionen archivieren
Unterzeichnung vor Abschluss der Bewertung (Erklärung vor Ende der Konformitätsaktivitäten datiert)	Konformitätserklärung datiert vor den Belegen, auf die sie sich stützt	Alle Bewertungsaktivitäten zuerst abschließen; das Datum muss nach der Bewertung liegen
Falsche Sprache (Konformitätserklärung nur auf Englisch beim Verkauf in einem nicht englischsprachigen Mitgliedstaat)	Nicht konform für diesen Markt	Konformitätserklärung in jede erforderliche Mitgliedstaatssprache übersetzen
Keine Aktualisierung nach wesentlicher Änderung (ursprüngliche Erklärung nach einer materiellen Änderung weiter in Gebrauch)	Konformitätserklärung deckt eine Version ab, für die sie nie bewertet wurde	Bei jeder wesentlichen Änderung eine neue Konformitätserklärung ausstellen

Checkliste zur Vorbereitung der Konformitätserklärung

Varianten der Vorlage

Für Modul A (Selbstbewertung)

Für Modul B + C (Drittbewertung)

Für mehrere Verordnungen

Unterliegt ein Produkt sowohl dem CRA als auch anderen EU-Rechtsvorschriften, die ebenfalls eine Konformitätserklärung vorschreiben, ist eine einzige kombinierte Konformitätserklärung vorgeschrieben. Sie muss jeden betroffenen Rechtsakt einschließlich seiner Fundstelle im Amtsblatt benennen:

Aufbewahrungsanforderungen

Was aufzubewahren ist	Aufbewahrungsfrist	Wo
Unterzeichnete Konformitätserklärung (oder beglaubigte Kopie)	10 Jahre nach dem Inverkehrbringen, oder Supportzeitraum, falls länger	Technische Dokumentation; auf Anfrage für Behörden zugänglich
Versionshistorie und ersetzte Konformitätserklärungen	Neben der aktuellen Konformitätserklärung	Technische Dokumentation
In der Konformitätserklärung referenzierte Belegunterlagen	Neben der Konformitätserklärung	Technische Dokumentation