Die Produktklasse entscheidet, wie Sie die Konformität nachweisen: durch Selbstbewertung, mit einer benannten Stelle oder mit einer Zertifizierung.
Die meisten Produkte fallen in die Standardklasse. Die Listen in Anhang III und IV nennen die übrigen.
Standard
Produkte, die nicht in Anhang III oder IV stehen. Konformität durch interne Kontrolle, ohne benannte Stelle.
Wichtig, Klasse I
Zum Beispiel Identitätsmanagementsysteme, Browser, Passwortmanager, Antivirensoftware, VPNs, Betriebssysteme, Router und Switches sowie Sicherheitsprodukte für das Smart Home wie Türschlösser, Kameras und Alarmanlagen.
Wichtig, Klasse II
Hypervisoren und Container-Laufzeitsysteme, Firewalls, Systeme zur Erkennung und Verhinderung von Angriffen sowie manipulationssichere Mikroprozessoren und Mikrocontroller.
Kritisch
Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways sowie Chipkarten und Secure Elements.
Was jede Klasse für Ihr Projekt bedeutet.
Interne Kontrolle (Modul A): Der Hersteller bewertet die Konformität selbst und erstellt die technische Dokumentation.
Interne Kontrolle ist nur möglich, wenn harmonisierte Normen, gemeinsame Spezifikationen oder eine europäische Cybersicherheitszertifizierung mit Vertrauenswürdigkeitsstufe „mittel“ oder höher vollständig angewendet werden. Sonst EU-Baumusterprüfung mit Konformität mit der Bauart (Module B und C) oder umfassende Qualitätssicherung (Modul H).
EU-Baumusterprüfung mit Konformität mit der Bauart (Module B und C), umfassende Qualitätssicherung (Modul H) oder eine europäische Cybersicherheitszertifizierung mit Vertrauenswürdigkeitsstufe „mittel“ oder höher.
Eine europäische Cybersicherheitszertifizierung, wenn die Kommission sie per delegiertem Rechtsakt vorschreibt. Sonst gelten dieselben Verfahren wie für Klasse II.
Freie und quelloffene Software der Klasse I oder II kann die interne Kontrolle nutzen, wenn ihre technische Dokumentation öffentlich zugänglich ist.
Die Einstufung hängt von der Kernfunktion des Produkts ab, nicht von einer Komponente, die es enthält. Ein Produkt mit einer Komponente der Klasse I ist nicht automatisch selbst ein Produkt der Klasse I.
Grenzfälle sind häufig: Smart-Home-Geräte, industrielle Gateways und Produkte mit Sicherheitsfunktionen. Wir dokumentieren die Begründung, denn Marktaufsichtsbehörden können danach fragen.
Stand: Oktober 2026. Diese Leitfäden erklären die Verordnung in einfacher Sprache und sind keine Rechtsberatung.
Wir stufen Ihre Produkte ein, dokumentieren die Begründung und wählen mit Ihnen das Konformitätsbewertungsverfahren.
Erzählen Sie uns von Ihrem Produkt und den Vorgaben, die Sie erfüllen müssen. Sie sprechen vom ersten Gespräch an mit einem Ingenieur.
Cybersecurity-Beratung und die Plattform AITIGRITY für vernetzte Produkte und industrielle Systeme.
