Anhang III

Ob ein Produkt „wichtig“ (Anhang III) oder „kritisch“ (Anhang IV) ist, bestimmt allein seine Kernfunktionalität — die Hauptmerkmale, ohne die es seinen Zweck nicht erfüllen könnte. Zusatzfunktionen und integrierte Komponenten ändern die Einstufung nicht; jedes Produkt hat genau eine Kernfunktionalität, die in der technischen Dokumentation klar zu benennen ist.

Kernaussagen

• Integration ist keine Einstufung: Ein Smartphone mit integriertem Betriebssystem hat nicht die Kernfunktionalität eines Betriebssystems (Beispiel 58).
• Deutliches Über- oder Unterschreiten einer Kategorie fällt heraus: SOAR-Software ist kein SIEM (Beispiel 59), einfache Log-Sammel-Tools ohne Korrelation auch nicht (Beispiel 60).
• Keine Gestaltung über Marketing: Widersprüche zwischen Werbematerial, Nutzungsanleitung und technischer Doku dürfen nicht genutzt werden, um dem strengeren Verfahren zu entgehen.
• Auch separat vermarktete Module eines Produkts werden je eigenständig eingestuft (Beispiel 61: Security-Suite mit SIEM-, IDS- und Analytics-Modul).
• Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392.

Klasse-II- und kritische Produkte brauchen eine Drittbewertung. Wichtige Produkte der Klasse I dürfen ins interne Kontrollverfahren (Modul A), wenn eine harmonisierte Norm vollständig angewendet wird, die mindestens alle Risiken der Kernfunktionalität abdeckt — Risiken darüber hinaus sind mit zusätzlichen, dokumentierten Maßnahmen zu adressieren.

Kernaussagen

• FOSS-Ausnahme: Wichtige Produkte der Klassen I/II, die als FOSS in Verkehr gebracht werden, dürfen die Verfahren der Default-Kategorie nutzen (Art. 32 Abs. 5).
• Antivirus mit Zusatzfunktionen (Disk-Cleaning, Anti-Tracking): Selbstbewertung möglich, wenn die Norm die Risiken der Kernfunktionalität abdeckt und die Zusatzrisiken dokumentiert behandelt werden (Beispiel 62).
• Eine integrierte kritische Komponente zwingt das Gesamtprodukt nicht in deren strengeres Verfahren — maßgeblich bleibt die Kernfunktionalität des Gesamtprodukts (Beispiel 63: Router mit Firewall-Komponente).
• Verstöße gegen Art. 32 können Bußgelder nach Art. 64 Abs. 3 auslösen.

Beispiele: Identitäts- und Zugriffsverwaltungs-Software, Browser, Passwort-Manager, Netzwerk-Management-Systeme, SIEM-Tools, öffentliche Schlüsselinfrastruktur, physische und virtuelle Netzwerkschnittstellen, mit Sicherheit beauftragte Mikroprozessoren, Heimrouter, Smart Home Hubs, vernetzte Spielzeuge — und weitere.

Beispiele: Hypervisoren und Container-Runtimes, Firewalls/Intrusion-Detection-Systeme, manipulationssichere Mikroprozessoren mit Sicherheitsauflagen, Smartcards und Smartcard-Lesegeräte. Klasse II hat strengere Konformitätsbewertungs-Verfahren.

Im Kern ja, aber die Kommission kann Anhang III durch delegierte Rechtsakte erweitern, wenn neue Bedrohungslagen oder Technologien das erfordern. Hersteller müssen Updates beobachten.