Wichtiges Produkt Klasse II
Klasse II ist klein und streng: vier Kategorien, kein Weg an der Prüfstelle vorbei. Wer eine Firewall oder einen Hypervisor als eigenes Produkt verkauft, sollte das Prüfverfahren jetzt planen.
Wichtiges Produkt Klasse II ist ein Produkt mit digitalen Elementen, dessen Kernfunktion in einer der vier Kategorien von Anhang III Klasse II des CRA liegt. Für diese Produkte ist die Prüfung durch eine notifizierte Stelle in jedem Fall vorgeschrieben.
Definition in der Verordnung
Artikel 7 Absatz 1 erklärt Produkte mit der Kernfunktion einer Anhang-III-Kategorie zu wichtigen Produkten. Die Durchführungsverordnung (EU) 2025/2392 beschreibt die vier Kategorien der Klasse II: Hypervisoren und Container-Laufzeitsysteme; Firewalls einschließlich Web-Application-Firewalls, Filter und Anti-Spam-Gateways sowie Intrusion-Detection- und Intrusion-Prevention-Systeme; manipulationssichere Mikroprozessoren; manipulationssichere Mikrocontroller. Bei den beiden letzten geht es um Bauteile mit Schutz nach Common Criteria auf AVA_VAN-Stufe 2 oder 3.
Artikel 32 Absatz 3 schreibt für Klasse II die EU-Baumusterprüfung mit Konformität zum Baumuster (Module B und C), die umfassende Qualitätssicherung (Modul H) oder ein europäisches Zertifizierungsschema mindestens der Stufe "mittel" vor. Die interne Kontrolle nach Modul A ist ausgeschlossen, auch mit harmonisierter Norm. Nach Artikel 32 Absatz 5 dürfen quelloffene Produkte in Anhang-III-Kategorien jedes Verfahren nutzen, wenn ihre technische Dokumentation öffentlich ist.
Was das für Hersteller bedeutet
Eine OT-Firewall als eigenes Produkt ist Klasse II; ein Industrie-PC mit eingebauter Firewall-Funktion nicht, solange die Firewall nicht seine Kernfunktion ist. Klasse-II-Hersteller müssen für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden, eine notifizierte Stelle einschalten. Im Oktober 2026 ist in der NANDO-Datenbank keine Stelle für den CRA gelistet; in Deutschland laufen DAkkS-Akkreditierung und BSI-Notifizierung. Da Modul B regelmäßige Audits der Schwachstellenbehandlung einschließt, sollten Meldeadresse, CVD-Prozess und Meldeweg vor der Prüfung stehen.