Anhang IV

KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN

Verordnung (EU) 2024/2847 — veröffentlicht 10. Dezember 2024 · Letzte Prüfung durch Kunnus: März 2026

Hardwaregeräte mit Sicherheitsboxen

Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (1) sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung

Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente

(1)

Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates vom 5. Juni 2019 mit gemeinsamen Vorschriften für den Elektrizitätsbinnenmarkt und zur Änderung der Richtlinie 2012/27/EU ( ABl. L 158 vom 14.6.2019, S. 125 ).

Auslegung der EU-Kommission

Guidance vom 27. Juli 2026

Die EU-Kommissions-Guidance vom 27. Juli 2026 enthält offizielle Auslegungshinweise zu dieser Vorschrift. Jeder Abschnitt: Kurzfassung, Kernaussagen und was das konkret für Sie bedeutet.

Abschnitt 6.1Kernfunktionalität — der Schlüssel zur Produktklassifizierung

Ob ein Produkt „wichtig“ (Anhang III) oder „kritisch“ (Anhang IV) ist, bestimmt allein seine Kernfunktionalität — die Hauptmerkmale, ohne die es seinen Zweck nicht erfüllen könnte. Zusatzfunktionen und integrierte Komponenten ändern die Einstufung nicht; jedes Produkt hat genau eine Kernfunktionalität, die in der technischen Dokumentation klar zu benennen ist.

Kernaussagen

Integration ist keine Einstufung: Ein Smartphone mit integriertem Betriebssystem hat nicht die Kernfunktionalität eines Betriebssystems (Beispiel 58).
Deutliches Über- oder Unterschreiten einer Kategorie fällt heraus: SOAR-Software ist kein SIEM (Beispiel 59), einfache Log-Sammel-Tools ohne Korrelation auch nicht (Beispiel 60).
Keine Gestaltung über Marketing: Widersprüche zwischen Werbematerial, Nutzungsanleitung und technischer Doku dürfen nicht genutzt werden, um dem strengeren Verfahren zu entgehen.
Auch separat vermarktete Module eines Produkts werden je eigenständig eingestuft (Beispiel 61: Security-Suite mit SIEM-, IDS- und Analytics-Modul).
Die technischen Beschreibungen der Kategorien stehen in der Durchführungsverordnung (EU) 2025/2392.

Für die Praxis

Formulieren Sie für jedes Produkt einen Satz: „Ohne Funktion X erfüllt das Produkt seinen Zweck nicht.“ X ist die Kernfunktionalität — gleichen Sie nur X mit den Kategorien in Anhang III/IV (bzw. der Durchführungsverordnung 2025/2392) ab, nicht Ihre Feature-Liste. Achten Sie darauf, dass Werbematerial, Anleitung und technische Doku dieselbe Geschichte erzählen.

Abschnitt im Guidance-Überblick

Abschnitt 6.2Konformitätsbewertung wichtiger und kritischer Produkte

Klasse-II- und kritische Produkte brauchen eine Drittbewertung. Wichtige Produkte der Klasse I dürfen ins interne Kontrollverfahren (Modul A), wenn eine harmonisierte Norm vollständig angewendet wird, die mindestens alle Risiken der Kernfunktionalität abdeckt — Risiken darüber hinaus sind mit zusätzlichen, dokumentierten Maßnahmen zu adressieren.

Kernaussagen

FOSS-Ausnahme: Wichtige Produkte der Klassen I/II, die als FOSS in Verkehr gebracht werden, dürfen die Verfahren der Default-Kategorie nutzen (Art. 32 Abs. 5).
Antivirus mit Zusatzfunktionen (Disk-Cleaning, Anti-Tracking): Selbstbewertung möglich, wenn die Norm die Risiken der Kernfunktionalität abdeckt und die Zusatzrisiken dokumentiert behandelt werden (Beispiel 62).
Eine integrierte kritische Komponente zwingt das Gesamtprodukt nicht in deren strengeres Verfahren — maßgeblich bleibt die Kernfunktionalität des Gesamtprodukts (Beispiel 63: Router mit Firewall-Komponente).
Verstöße gegen Art. 32 können Bußgelder nach Art. 64 Abs. 3 auslösen.

Für die Praxis

Prüfen Sie für Klasse-I-Produkte zuerst, ob eine harmonisierte Norm alle Risiken der Kernfunktionalität abdeckt — davon hängt ab, ob Sie selbst bewerten dürfen (Modul A) oder eine notifizierte Stelle brauchen. Risiken von Zusatzfunktionen außerhalb der Norm müssen Sie mit eigenen, dokumentierten Maßnahmen schließen. FOSS-Produkte der Klassen I/II dürfen immer selbst bewerten.

Abschnitt im Guidance-Überblick

Alle Guidance-Kapitel im Überblick

EU-Kommissions-Guidance (C(2026) 5252 final) — Die Guidance gibt die Auslegung der Europäischen Kommission wieder und ist rechtlich nicht bindend. Eine verbindliche Auslegung des EU CRA kann nur der Gerichtshof der Europäischen Union vornehmen.

Dieser Text wurde aus der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 übernommen. Die Darstellung dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut. Originaltext auf EUR-Lex