Bild: Generiert mit Gemini Flash

Die notifizierte Stelle nach CRA: wann eine Dritt-Prüfung nötig ist und was sie braucht (Art. 32)

6 Min Lesezeit Serie: CRA-Reihe #compliance#cra#notifizierte-stelle#art32#konformitaetsbewertung#nando

Bei manchen Produkten genügt unter dem CRA keine Selbstbewertung - es braucht eine notifizierte Stelle (Art. 32, Anhang VIII): bei wichtigen Produkten der Klasse II, bei Klasse I ohne vollständig angewandte harmonisierte Normen und bei kritischen Produkten. Dieses Engagement ist ein eigener Prozess: die richtige Stelle finden, die technische Dokumentation übergeben, die Prüfung begleiten, die Bescheinigung verwalten. Dernium CRA führt dafür einen Engagement-Tracker - Stelle, Verfahren, Status, Bescheinigung, Übergabe-Checkliste und Modul-H-Überwachung. Dieser Beitrag zeigt die Bausteine und wo bewusst die Verantwortung beim Hersteller bleibt.

Inhalt dieses Beitrags
  1. Problem
  2. Kurze Antwort
  3. Tiefgang
  4. Abgelehnte Alternativen
  5. Was Sie jetzt tun sollten
  6. Wie Dernium hilft
  7. Verifikation
  8. Offene Punkte
  9. Häufige Fragen
  10. Braucht jedes Produkt eine notifizierte Stelle?
  11. Worin unterscheiden sich Modul B+C und Modul H?
  12. Warum finde ich für den CRA noch keine Prüfstelle in NANDO?
  13. Was muss ich der Prüfstelle übergeben?
  14. Mehr aus unserer CRA-Reihe

Problem

Manche Produkte dürfen Sie selbst bewerten, für andere verlangt der CRA eine externe Prüfstelle, und die hat Wartezeiten. Wer das zu spät merkt, verschiebt seinen Marktstart. Der CRA (Cyber Resilience Act, die EU-Verordnung zur Cybersicherheit von Produkten mit digitalen Elementen) lässt für viele Produkte die Selbstbewertung zu - aber nicht für alle. Wichtige Produkte der Klasse II, wichtige Produkte der Klasse I ohne vollständig angewandte harmonisierte Normen (also einheitliche EU-Standards) sowie kritische Produkte brauchen eine Prüfung durch eine unabhängige, staatlich anerkannte Prüfstelle (im CRA "notifizierte Stelle", Art. 32, Anhang VIII). Das ist kein Knopfdruck, sondern ein Prozess über Wochen oder Monate: die passende Stelle finden, ein Verfahren wählen, ihr die technische Dokumentation übergeben, die Prüfung begleiten, am Ende die Bescheinigung (die formale Bestätigung) erhalten - und bei Modul H die laufende Überwachung im Blick behalten. Wer das in E-Mails und Ordnern führt, verliert leicht den Überblick: Was wurde übergeben, wo steht das Verfahren, wann ist die nächste Überwachung fällig?

Für wen ist das? Für Hersteller, die klären müssen, ob sie eine notifizierte Stelle einbinden müssen.

Kurze Antwort

Wer eine notifizierte Stelle braucht, durchläuft einen mehrstufigen externen Prozess; Dernium CRA führt ihn je Produkt an einer Stelle und macht den Stand belegbar. Im Überblick:

  • Wer betroffen ist: Standardprodukte dürfen sich selbst bewerten; Klasse I nur mit vollständig angewandten harmonisierten Normen, sonst Dritt-Prüfung; Klasse II und kritische Produkte immer Dritt-Prüfung.
  • Was hinterlegt wird: die Prüfstelle (Name und vierstellige Kennnummer aus der EU-Datenbank NANDO, dem amtlichen Verzeichnis dieser Stellen, dazu Land und Kontakt) und das Verfahren (Modul B+C oder Modul H).
  • Was verfolgt wird: der Status von "Unterlagen vorbereitet" über "eingereicht" und "in Prüfung" bis "Bescheinigung erteilt", eine Übergabe-Checkliste sowie - bei Modul H - die nächste Überwachung.
  • Was Dernium nicht ist: Dernium führt die Prüfung nicht durch und ist keine notifizierte Stelle; das Werkzeug strukturiert den Ablauf und macht ihn belegbar.

Tiefgang

Die Produktklasse entscheidet zwischen Selbstbewertung und notifizierter Stelle mit Modul B+C oder Modul H.
Die Produktklasse entscheidet zwischen Selbstbewertung und notifizierter Stelle mit Modul B+C oder Modul H.

Wer überhaupt eine Prüfstelle braucht. Das bestimmt der Konformitätsbewertungs-Lotse aus der Einstufung: Standardprodukte dürfen sich selbst bewerten (Modul A, keine Stelle); Klasse I nur mit vollständig angewandten harmonisierten Normen, sonst Dritt-Prüfung; Klasse II und kritische Produkte immer Dritt-Prüfung. Der Tracker zeigt seinen Bereich daher nur dann, wenn der gewählte Pfad eine Stelle verlangt - sonst steht er auf "nicht zutreffend".

Zwei Verfahren, zwei Ergebnisse. Bei Modul B+C prüft die Stelle den Produkttyp anhand Ihrer technischen Dokumentation (das ist die EU-Baumusterprüfung, also die Prüfung eines Musterexemplars) und stellt eine EU-Baumusterprüfbescheinigung aus; dass die Serienfertigung dem geprüften Muster entspricht, sichern Sie über Modul C selbst zu. Bei Modul H bewertet die Stelle Ihr Qualitätsmanagement-System (QMS, Ihre festen Abläufe) für Entwicklung, Produktion und Schwachstellenbehandlung, genehmigt es und überwacht es laufend. Der Tracker kennt den Unterschied: die Überwachungs-Frist erscheint nur bei Modul H.

Die Stelle finden: NANDO. Notifizierte Stellen stehen in der EU-Datenbank NANDO (New Approach Notified and Designated Organisations, das offizielle EU-Verzeichnis anerkannter Prüfstellen), durchsuchbar nach Rechtsakt, Land und vierstelliger Kennnummer. Wichtig für die Planung: CRA-Stellen werden erst ab dem 11. Juni 2026 benannt (Kapitel IV); bis dahin ist die Liste für den CRA voraussichtlich leer. Der Tracker kommt mit einer noch leeren NANDO-Liste zurecht und füllt sich, sobald Benennungen erscheinen.

Was übergeben wird. Die Übergabe-Checkliste folgt dem, was die Stelle für eine CRA-Prüfung braucht: technische Dokumentation (Anhang VII), Risikobewertung, Stückliste, Beschreibung der Schwachstellenbehandlung, Testberichte, Liste angewandter Normen, Entwurf der EU-Konformitätserklärung, bei Modul B Produktmuster, bei Modul H die QMS-Dokumentation. Vieles davon entsteht in Dernium CRA ohnehin laufend.

Die Bescheinigung gehört in die Erklärung. Name, Kennnummer, Verfahren und Bescheinigungsnummer der Stelle gehören zusätzlich in Ihre EU-Konformitätserklärung (DoC, Declaration of Conformity). Der Tracker ist die Quelle dieser Angaben; ein Hinweis verweist auf den DoC-Generator, wo sie einzutragen sind.

Abgelehnte Alternativen

  • Den Ablauf in E-Mails und Ordnern führen. Verliert Status und Übergabe-Historie - genau das, was im Prüffall belegbar sein muss.
  • Die notifizierte Stelle vortäuschen oder fest verdrahten. CRA-Stellen existieren noch nicht in NANDO; der Tracker bleibt offen und füllt sich, statt eine leere Liste zu erzwingen.
  • Den Bereich für jedes Produkt anzeigen. Die meisten Produkte (Selbstbewertung) brauchen keine Stelle; der Readiness-Bereich steht dann auf "nicht zutreffend" und verwässert die Quote nicht.

Was Sie jetzt tun sollten

  1. Klären Sie zuerst über den Konformitätsbewertungs-Lotsen, ob Ihr Produkt überhaupt eine notifizierte Stelle braucht - die meisten Produkte dürfen sich selbst bewerten.
  2. Falls eine Dritt-Prüfung nötig ist, wählen Sie das Verfahren: Modul B+C (Baumusterprüfung) oder Modul H (laufend überwachtes Qualitätsmanagement).
  3. Stellen Sie die Übergabe-Unterlagen früh zusammen (technische Dokumentation nach Anhang VII, Risikobewertung, Stückliste, Schwachstellenbehandlung, Testberichte, Normenliste, DoC-Entwurf).
  4. Behalten Sie den Stichtag 11. Juni 2026 im Blick - vorher sind für den CRA noch keine Stellen in NANDO benannt, der Ablauf lässt sich aber schon vorbereiten.
  5. Tragen Sie Name, Kennnummer, Verfahren und Bescheinigungsnummer der Stelle in Ihre EU-Konformitätserklärung ein, sobald die Bescheinigung vorliegt.

Wie Dernium hilft

Sobald der Lotse eine Dritt-Prüfung ergibt, führen Sie den Ablauf an einer Stelle: Stelle und Verfahren festhalten, Status pflegen, Übergabe abhaken, Bescheinigung und - bei Modul H - Überwachung im Blick behalten. Im Readiness-Dashboard erscheint der Stand als eigener Bereich. Eine Erklärschicht benennt, wann eine Stelle nötig ist, was die Verfahren leisten und wo NANDO hilft. So wird aus einem mehrstufigen externen Prozess ein nachvollziehbarer, belegbarer Vorgang - ohne dass Dernium mehr verspricht, als es leisten darf.

Verifikation

Die Verfahren mit notifizierter Stelle (Modul B+C, Modul H) und ihre Zuordnung zu den Produktklassen stehen in Artikel 32 und Anhang VIII; die Datenbank der notifizierten Stellen ist NANDO; die Benennung von Konformitätsbewertungsstellen (Kapitel IV) gilt ab dem 11. Juni 2026, die Hauptpflichten ab dem 11. Dezember 2027.

Offene Punkte

  • Dernium ist keine notifizierte Stelle und führt keine Konformitätsbewertung durch. Prüfung, Bescheinigung und Auswahl der Stelle liegen bei Ihnen und der Stelle.
  • CRA-notifizierte Stellen werden erst ab dem 11. Juni 2026 benannt; bis dahin lässt sich der Ablauf vorbereiten, aber noch nicht abschließen.

Häufige Fragen

Braucht jedes Produkt eine notifizierte Stelle?

Nein. Die meisten Produkte fallen unter die Selbstbewertung (Modul A) und kommen ohne externe Stelle aus. Eine Dritt-Prüfung ist nötig für wichtige Produkte der Klasse II, kritische Produkte sowie für Klasse-I-Produkte, bei denen die harmonisierten Normen nicht vollständig angewandt werden. Der Konformitätsbewertungs-Lotse zeigt Ihnen, welcher Fall vorliegt.

Worin unterscheiden sich Modul B+C und Modul H?

Bei Modul B+C prüft die Stelle ein Produktmuster (EU-Baumusterprüfung) und stellt eine Bescheinigung aus; die Übereinstimmung der Serienfertigung sichern Sie über Modul C selbst zu. Bei Modul H bewertet und genehmigt die Stelle Ihr Qualitätsmanagement-System und überwacht es danach laufend. Nur bei Modul H gibt es deshalb eine wiederkehrende Überwachungs-Frist.

Warum finde ich für den CRA noch keine Prüfstelle in NANDO?

Weil notifizierte Stellen für den CRA erst ab dem 11. Juni 2026 benannt werden. Bis dahin ist die CRA-Liste in NANDO voraussichtlich leer. Sie können den Ablauf bereits vorbereiten - Unterlagen zusammenstellen, Verfahren wählen -, aber den Prozess erst abschließen, wenn Stellen verfügbar sind.

Was muss ich der Prüfstelle übergeben?

Üblicherweise die technische Dokumentation (Anhang VII), die Risikobewertung, eine Stückliste, die Beschreibung der Schwachstellenbehandlung, Testberichte, die Liste angewandter Normen und den Entwurf der EU-Konformitätserklärung. Bei Modul B kommt ein Produktmuster hinzu, bei Modul H die Dokumentation Ihres Qualitätsmanagement-Systems. Eine Übergabe-Checkliste hilft, den Stand festzuhalten.

Mehr aus unserer CRA-Reihe