Welche Produktklassen gibt es, und wohin gehört eine Banking-App?
Der Rechtsakt kennt drei Klassen über dem Standardprodukt. Die technische Beschreibung der Kategorien enthält die Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025; ihr Auslegungsgrundsatz ist für jede Einstufung tragend: Maßgeblich ist die Kernfunktionalität des Produkts, nicht eine Neben- oder integrierte Funktion. Ein in die App eingebetteter Browser macht die App nicht zum Browser; ein Login mit Biometrie macht sie nicht automatisch zur Identitätsverwaltung.
| Klasse | Kategorien (Auswahl) | Bewertungsweg nach Art. 32 |
|---|---|---|
| Standardprodukt (rund 90 % aller Produkte) | alles, was nicht in Anhang III oder IV steht – typischerweise eine Banking- oder Versicherungs-App, deren Kernfunktion Kontoführung, Zahlung oder Schadenmeldung ist | Modul A (interne Kontrolle) zulässig |
| Wichtige Produkte, Klasse I (Anhang III, 19 Kategorien) | Identitätsverwaltung, Passwortmanager, Browser, Schadsoftwareschutz, VPN, Netzmanagement, SIEM, PKI-Software, Betriebssysteme, Router, Sicherheitsmikroprozessoren, Sprachassistenten, vernetztes Spielzeug, tragbare Geräte u. a. | Modul A nur bei vollständiger Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder Zertifizierungsschemata (Abs. 2) – sonst Modul B+C, Modul H oder notifizierte Stelle |
| Wichtige Produkte, Klasse II (Anhang III, 4 Kategorien) | Hypervisoren und Container-Laufzeitumgebungen, Firewalls, Intrusion Detection/Prevention, manipulationssichere Mikroprozessoren | Modul B+C, Modul H oder europäisches Zertifizierungsschema ab Stufe „mittel“ (Abs. 3) |
| Kritische Produkte (Anhang IV, 3 Kategorien) | Hardware-Sicherheitsmodule, Smart-Meter-Gateways, Chipkarten und sichere Elemente | europäisches Zertifizierungsschema nach Art. 8 Abs. 1, hilfsweise Verfahren des Abs. 3 (Abs. 4) |
Die Klasse ist die folgenreichste Einzelentscheidung einer Bereitschaftsprüfung, weil sie darüber entscheidet, ob eine notifizierte Stelle gebraucht wird. Sie gehört begründet in die Produktakte: Kernfunktion, herangezogene Fassung der Durchführungsverordnung, offene Fragen. Ein Kürzel aus einem Werkzeug trägt sie nicht.
Welche Bewertungswege gibt es?
Modul A (interne Kontrolle), Module B+C, Modul H und ein Zertifizierungsschema, für das der delegierte Rechtsakt noch fehlt.
| Weg | Was er bedeutet | Voraussetzung |
|---|---|---|
| Modul A | Interne Kontrolle durch den Hersteller (Anhang VIII Teil I) | Standardprodukte; Klasse I nur bei vollständiger Normanwendung |
| Module B + C | EU-Baumusterprüfung durch eine notifizierte Stelle, anschließend Konformität mit dem Baumuster | notifizierte Stelle verfügbar |
| Modul H | Umfassende Qualitätssicherung, bewertet durch eine notifizierte Stelle | notifizierte Stelle verfügbar |
| Zertifizierungsschema | Europäisches Cybersicherheitszertifikat (z. B. EUCC), „sofern verfügbar und anwendbar“ | delegierter Rechtsakt nach Art. 27 Abs. 9 – nicht erlassen |
Null von 41: Warum ist die Konformitätsvermutung leer?
Art. 27 Abs. 1 knüpft die Konformitätsvermutung an harmonisierte Normen, deren Fundstellen im Amtsblatt veröffentlicht sind. Der Normungsauftrag M/606 (Durchführungsbeschluss C(2025) 618 vom 3. Februar 2025, angenommen am 3. April 2025) umfasst 41 Normen: eine horizontale Reihe EN 40000 und vertikale Produktnormen. Die Lieferfristen lauteten: horizontale Kernnormen bis 30. August 2026, vertikale Normen bis 30. Oktober 2026, übrige horizontale Normen bis 30. Oktober 2027.
| Norm | Gegenstand | Stand (21. Oktober 2026) |
|---|---|---|
| prEN 40000-1-1 | Terminologie | Umfrage geschlossen; Ratifizierung für 2. November 2026 geplant; keine Amtsblatt-Zitierung vorgesehen |
| FprEN 40000-1-2 | Grundsätze der Cyberresilienz | förmliche Abstimmung seit August 2026; Ratifizierung für 2. November 2026 geplant; keine Amtsblatt-Zitierung vorgesehen |
| prEN 40000-1-3 | Schwachstellenbehandlung (Anhang I Teil II) | in Genehmigung; ursprüngliche Lieferfrist August 2026 verstrichen, neue Zielfrist 31. Oktober 2026 nicht in Kraft |
| prEN 40000-1-4 | Allgemeine Sicherheitsanforderungen (Anhang I Teil I, die dreizehn Produkteigenschaften) | frühes Entwurfsstadium; Zielfrist 30. Oktober 2027 – sechs Wochen vor der Vollanwendung |
| EN 304 617 bis 304 636 (ETSI) | 17 vertikale Normen zu Anhang-III-Kategorien | Genehmigungsverfahren seit 13. August 2026; Entwürfe, keine veröffentlicht |
| prEN 50770-1 bis -6 (CENELEC) | vertikale OT-Produktnormen, teils deckungsgleich mit ETSI | Entwürfe; Abgrenzung zwischen den Strängen offen |
Die Übersicht der Kommission über harmonisierte Normen führt für die Verordnung (EU) 2024/2847 keinen Eintrag; eine Suche nach einem Durchführungsbeschluss über harmonisierte Normen zum CRA in EUR-Lex bleibt ergebnislos. Der Änderungsentwurf zu M/606 vom Juli 2026, der die ersten Lieferfristen auf 31. Oktober und 31. Dezember 2026 verschiebt, ist nicht angenommen – formal gilt eine Frist, die versäumt ist, und faktisch eine, die nicht gilt. Für den CRA ist keine Konformitätsbewertungsstelle notifiziert, obwohl Kapitel IV seit 11. Juni 2026 gilt. Der delegierte Rechtsakt nach Art. 27 Abs. 9, der das EUCC-Schema anrechenbar machen würde, ist nicht erlassen; die Kommission plant ihn für das vierte Quartal 2026. ENISA hält ausdrücklich fest, dass ohne diesen Rechtsakt keine Vermutung aus einem Zertifikat entsteht.
Der Satz „Modul A ist zulässig, wenn die harmonisierten Normen vollständig angewandt wurden“ ist zum Stand dieser Seite unerfüllbar, weil keine harmonisierte Norm existiert. Der Engpass wandert damit von der Anforderung zur Prüfkapazität: Die entscheidende Frage eines Herstellers wichtiger Produkte lautet nicht „Erfüllen wir die Anforderungen?“, sondern „Bekommen wir rechtzeitig einen Prüftermin?“. Art. 35 Abs. 2 verlangt von den Mitgliedstaaten bis 11. Dezember 2026 eine ausreichende Zahl notifizierter Stellen – in der deutschen Fassung als Ergebnispflicht („sorgen dafür“), in der englischen, französischen und italienischen als Bemühenspflicht („shall strive to ensure“). Praktisch wird die in drei Fassungen übereinstimmende Bemühenspflicht tragen.
Warum steht der CRA-Zeitplan trotzdem?
Bei der KI-Verordnung hat der Gesetzgeber auf das Ausbleiben der Normen mit einer Fristverschiebung reagiert; der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) verschiebt die Hochrisikoschicht um bis zu sechzehn Monate. Er ändert die KI-Verordnung, die Verordnung (EU) 2018/1139 und die Maschinenverordnung – den CRA nicht. Auch der Digital Omnibus zum Datenrecht (COM(2025) 837) und das Cybersicherheitspaket vom 20. Januar 2026 lassen den CRA unberührt. Die Leitlinien vom 27. Juli 2026 bestätigen den 11. September 2026 und den 11. Dezember 2027 ohne Ankündigung einer Verschiebung. Der Bitkom hat im Februar 2026 einen zweijährigen Übergang gefordert, falls bis 11. Dezember 2026 keine Normen zitiert sind; ein Vorschlag der Kommission liegt nicht vor.
Was tritt an die Stelle der Vermutung?
Anhang VII Nr. 5: Wo harmonisierte Normen nicht oder nur teilweise angewandt werden, sind die anderen Lösungen zu beschreiben, mit denen die Anforderungen erfüllt werden. Das ist die Umkehrung der Vermutung und zum Stand dieser Seite die einzige begehbare Straße. Die Beweislast liegt beim Hersteller, je Anforderung und je Produkt. Als Arbeitsziel eignen sich die reifen Entwürfe – prEN 40000-1-3 für die Schwachstellenbehandlung, die einschlägige vertikale Norm für Anhang-III-Produkte –, weil fertige Fassungen von reifen Entwürfen selten stark abweichen. Normunabhängig sind Risikobewertung, SBOM, technische Dokumentation und Schwachstellenprozess ohnehin zu leisten.
Welche Schritte führen zur Freigabe eines Releases?
Fünf Schritte, von Risikobewertung und Produktgrenze (Art. 13) über die Zuordnung der Anforderungen zu Nachweisen bis zu Konformitätserklärung (Art. 28) und CE-Kennzeichnung (Art. 30).
- Produktbeschreibung, Produktgrenze und vorgesehene Nutzung mit der Risikobewertung nach Art. 13 Abs. 2 und 3 verbinden; nicht anwendbare Anforderungen des Anhangs I begründen (Art. 13 Abs. 4).
- Jede Anforderung des Anhangs I einer Maßnahme und einem Nachweis zuordnen (Anhang VII Nr. 5).
- Tests, Befunde und behandelte Abweichungen auf den konkreten Stand beziehen.
- Produktklasse und Bewertungsweg begründet festhalten; bei Klasse I und II den Prüfkapazitäts-Engpass im Projektplan abbilden.
- EU-Konformitätserklärung (Art. 28, Anhang V), CE-Kennzeichnung (Art. 30) und Supportinformationen vor Veröffentlichung zusammenführen.
Häufige Fragen
Ist eine Banking-App ein wichtiges Produkt der Klasse I?
In der Regel nicht: Maßgeblich ist die Kernfunktion. Kontoführung, Zahlung und Schadenmeldung stehen nicht in Anhang III. Ein eingebettetes Login oder ein eingebetteter Browser ändern die Kernfunktion nicht. Die Einstufung ist mit Fassung und Begründung zu dokumentieren.
Gibt es harmonisierte Normen zum CRA?
Zum 21. Oktober 2026 ist keine der 41 beauftragten Normen im Amtsblatt zitiert; die Konformitätsvermutung nach Art. 27 Abs. 1 ist damit nicht verfügbar. Die ersten EN-40000-Teile sollen am 2. November 2026 ratifiziert werden, eine Amtsblatt-Zitierung ist für sie nicht vorgesehen.
Reicht ein EUCC-Zertifikat für die Konformitätsvermutung?
Noch nicht. Art. 27 Abs. 8 setzt voraus, dass das Schema durch delegierten Rechtsakt nach Abs. 9 ausgewiesen ist. Dieser Rechtsakt ist für das vierte Quartal 2026 angekündigt und nicht erlassen.
Bietet Mag. Eiler & Partner eine CE-Zertifizierung an?
Nein. Wir sind keine notifizierte Stelle. Wir strukturieren Produktklasse, Nachweisführung und Projektplanung bis zur Freigabe.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).