Wichtiges Produkt Klasse I
Klasse I ist die größere der beiden Gruppen wichtiger Produkte. Eigentlich darf der Hersteller hier selbst bewerten, aber nur mit Norm. Und die fehlt im Oktober 2026 noch.
Wichtiges Produkt Klasse I ist ein Produkt mit digitalen Elementen, dessen Kernfunktion in einer der 19 Kategorien von Anhang III Klasse I des CRA liegt, etwa Betriebssysteme, Router, VPN-Produkte oder Passwort-Manager. Für diese Produkte gelten strengere Regeln bei der Konformitätsbewertung.
Definition in der Verordnung
Nach Artikel 7 Absatz 1 sind Produkte mit der Kernfunktion einer Anhang-III-Kategorie wichtige Produkte; die bloße Integration eines solchen Produkts macht das Gesamtprodukt nicht automatisch wichtig. Artikel 7 Absatz 2 nennt die Kriterien: eine Sicherheitsfunktion für andere Produkte oder Netze oder eine Funktion mit erheblichem Schadensrisiko. Die Durchführungsverordnung (EU) 2025/2392, in Kraft seit dem 21. Dezember 2025, beschreibt die Kategorien technisch. Klasse I umfasst unter anderem Identitäts- und Zugangsverwaltung, Browser, Passwort-Manager, Schadsoftware-Scanner, VPN, Netzmanagement, SIEM, Bootmanager, PKI, Netzschnittstellen, Betriebssysteme, Router, Modems und Switches, Mikroprozessoren, Mikrocontroller, ASIC und FPGA mit Sicherheitsfunktionen, Smart-Home-Assistenten, Smart-Home-Produkte mit Sicherheitsfunktion, vernetztes Spielzeug und Gesundheits-Wearables.
Artikel 32 Absatz 2 erlaubt die interne Kontrolle nach Modul A nur, wenn der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema vollständig anwendet; sonst sind die Module B und C oder Modul H vorgeschrieben.
Was das für Hersteller bedeutet
Da im Oktober 2026 keine harmonisierte Norm im Amtsblatt steht, bleibt Klasse-I-Herstellern faktisch nur der Weg über eine notifizierte Stelle. In der NANDO-Datenbank ist für den CRA bisher keine gelistet; in Deutschland laufen Akkreditierung durch die DAkkS und Notifizierung durch das BSI. Hersteller sollten früh Kontakt zu Prüfstellen aufnehmen, weil bis Dezember 2027 ein Engpass wahrscheinlich ist. Ein Industrie-PC mit Echtzeitbetriebssystem bleibt Standard; das separat vertriebene Betriebssystem oder der Managed Switch als Zubehör ist Klasse I.