Tillverkare som förbereder sig för CRA ställer ofta samma fråga: är vår produkt typ A eller typ B? Förordningen använder inte de bokstäverna, och den har fyra utfall, inte två. Viktigare är att svaret sällan finns i listan över produktkategorier. Det avgörs av ett test som listan bygger på, och de dyraste misstagen görs när man hoppar över det.
Fyra utfall, inte två
| Klass | Var den definieras | Typiska exempel | Vem kontrollerar överensstämmelsen |
|---|---|---|---|
| Standard | Alla produkter som inte finns i bilaga III eller IV | Smart termostat, uppkopplad kaffemaskin, de flesta appar och industrisensorer | Ni själva, genom egenbedömning (modul A) |
| Viktig, klass I | Bilaga III, 19 kategorier | Operativsystem, routrar och switchar, lösenordshanterare, VPN, smarta lås och hemkameror, mikrostyrenheter med säkerhetsfunktioner | Ni själva, men bara om harmoniserade standarder eller motsvarande tillämpas fullt ut; annars ett anmält organ |
| Viktig, klass II | Bilaga III, 4 kategorier | Hypervisorer och containerkörmiljöer, brandväggar och system för intrångsdetektering eller intrångsskydd, manipuleringsresistenta mikrostyrenheter och mikroprocessorer | Ett anmält organ, eller ett europeiskt cybersäkerhetscertifikat på nivån "substantiell" |
| Kritisk | Bilaga IV, 3 kategorier | Hårdvaruenheter med säkerhetslådor (betalterminaler, HSM, färdskrivare), gateways för smarta mätare, smartkort och säkra element | Europeisk certifiering där kommissionen kräver det; fram till dess vägarna för klass II |
När kommissionen lade fram förslaget till CRA uppskattade den att ungefär nio av tio produkter skulle hamna i standardklassen. Om er produkt tillhör den sista tiondelen avgör klassen vem som granskar ert arbete och hur tidigt ni behöver boka dem.
Testet som avgör: kärnfunktionen
En produkt är viktig eller kritisk bara om dess kärnfunktion motsvarar en kategori i bilaga III eller IV (artikel 7.1, artikel 8.1). Med kärnfunktion menas vad produkten i grunden är till för: de funktioner utan vilka den inte skulle uppfylla sitt avsedda ändamål. Sidofunktioner ändrar inte klassen, och det gör inte heller komponenterna som är inbyggda i den.
CRA säger det själv (artikel 7.1), och både kommissionens genomförandeförordning (EU) 2025/2392, som gäller sedan den 21 december 2025, och kommissionens icke-bindande vägledning, som godkändes som utkast i juli 2026, upprepar det: att bygga in en viktig eller kritisk komponent gör inte i sig hela produkten viktig eller kritisk. En smartphone kör ett operativsystem, men är inte ett operativsystem i CRA:s mening.
Tre exempel visar hur långt det räcker:
- En dedikerad brandväggsenhet är till för att vara brandvägg. Klass II.
- En hemrouter med inbyggd brandvägg är till för routning. Brandväggen är en funktion. Klass I, som router.
- En tvättmaskin vars mikrostyrenhet har säker nyckellagring är till för att tvätta kläder. Standard, trots att kretsen på egen hand skulle vara klass I.
Vägledningen stänger också det uppenbara kryphålet: ni kan inte undvika en strängare klass genom att beskriva produktens förmåga som mindre än den är. Det som produktsidan, bruksanvisningen och den tekniska dokumentationen säger att produkten är till för är det underlag en myndighet kommer att läsa.
Fyra frågor, i den här ordningen
- Omfattas produkten alls? Medicintekniska produkter och produkter för in vitro-diagnostik, typgodkända fordon, produkter som certifierats enligt EU:s luftfartsregler, marin utrustning och produkter som utvecklats enbart för nationell säkerhet eller försvar är exempel på sådant som ligger utanför CRA (artikel 2). Klassificera bara det som omfattas.
- Vad är den till för, i en mening? Skriv kärnfunktionen så som ert avsedda ändamål, er marknadsföring och er användarinformation beskriver den. Vägledningen utgår från en enda kärnfunktion, angiven i den tekniska dokumentationen.
- Motsvarar meningen någon av de 26 kategorierna? Läs bilaga III och IV tillsammans med de tekniska beskrivningarna i genomförandeförordning 2025/2392. Beskrivningarna är snävare och mer praktiska än kategorinamnen. "Smarta hemprodukter med säkerhetsfunktioner" betyder till exempel produkter som skyddar människors fysiska säkerhet i hemmet: lås, kameror, babyvakter och larmsystem. En termostat hör inte dit.
- Säljer ni också en del av produkten separat? En komponent som släpps ut på marknaden separat klassificeras utifrån sin egen kärnfunktion. Om ni säljer er Wi-Fi-modul till andra tillverkare är den ett fysiskt nätverksgränssnitt (klass I) i den försäljningen, även om den färdiga produkten som använder den är en standardprodukt.
Gränsfall som är bra att känna till
| Produkt | Klass | Varför |
|---|---|---|
| Smart termostat eller styrning för värmepump | Standard | Syftet är komfort och energi, inte den fysiska säkerheten i hemmet |
| Smart dörrlås, hemkamera, babyvakt | Klass I | Nämns i beskrivningen av smarta hemprodukter med säkerhetsfunktioner |
| Leksak som pratar eller filmar via internet | Klass I | Internetansluten leksak med sociala interaktiva funktioner |
| Leksak som bara känner av när en annan leksak är nära | Standard | Genomförandeförordningen säger att närhetsdetektering inte är platsspårning |
| Aktivitetsarmband som mäter puls | Klass I | Bärbar personlig produkt för hälsoövervakning, om den inte är en medicinteknisk produkt, som ligger utanför CRA |
| Wi-Fi- eller Bluetooth-modul som säljs till andra tillverkare | Klass I | Fysiskt nätverksgränssnitt som släpps ut på marknaden separat |
| Industriell Ethernet-switch med hanteringsgränssnitt | Klass I | Switch med hanteringsplan |
| Mikrostyrenhet med kryptering och säker nyckellagring | Klass I | Mikrostyrenhet med säkerhetsrelaterade funktioner |
| Manipuleringsresistent mikrostyrenhet | Klass II | Listas separat i klass II |
| Säkert element eller TPM | Kritisk | Bilaga IV, utformad för skydd på minst nivån AVA_VAN.4 |
| Betalterminal eller hårdvarusäkerhetsmodul (HSM) | Kritisk | Hårdvaruenhet med säkerhetslåda |
Om ett fall fortfarande är oklart efter den tekniska beskrivningen, skriv ner båda tolkningarna och varför ni valde den ena. En myndighet kan vara oenig med er slutsats; den ska inte upptäcka att ni aldrig ställde frågan.
Det som de flesta missar: klass I utan standarder betyder ett anmält organ
Många andas ut när de hamnar i klass I, eftersom de har hört att klass I får göra egenbedömning. Det är bara halva regeln. Egenbedömning (modul A) är tillåten för klass I bara om ni fullt ut tillämpar harmoniserade standarder som offentliggjorts i Europeiska unionens officiella tidning, gemensamma specifikationer eller en europeisk ordning för cybersäkerhetscertifiering på nivån "substantiell" (artikel 32.2). Om ni bara tillämpar dem delvis, eller inte alls, behöver ni ett anmält organ: EU-typkontroll med överensstämmelse med typ (modulerna B och C) eller fullständig kvalitetssäkring (modul H).
I oktober 2026 har ingen harmoniserad standard för CRA offentliggjorts i den officiella tidningen. De produktspecifika standarderna för viktiga och kritiska produkter väntas nu senast den 31 december 2026, sedan kommissionen i juli 2026 föreslog en senare tidsfrist, och offentliggörandet i den officiella tidningen kommer först därefter. Huvudskyldigheterna gäller från den 11 december 2027. Anmälda organ har kunnat utses sedan den 11 juni 2026, och de kommer inte att vara många i början.
En tillverkare i klass I bör därför planera två vägar samtidigt: modul A om standarderna kommer i tid och ni kan tillämpa dem fullt ut, och ett anmält organ om de inte gör det. Att boka det anmälda organet är steget som inte kan vänta till 2027.
För de andra klasserna är regeln enklare. Klass II kräver alltid ett anmält organ eller ett certifikat på nivån "substantiell" (artikel 32.3). Kritiska produkter behöver ett europeiskt certifikat där en delegerad akt kräver det; fram till dess följer de vägarna för klass II (artikel 8.1, artikel 32.4). Ett undantag gäller alla viktiga produkter: fri och öppen programvara får använda modul A om den tekniska dokumentationen är offentlig (artikel 32.5).
Det som klassen inte ändrar
Klassen ändrar vem som granskar er produkt. Den ändrar inte vad ni måste göra. De väsentliga kraven i bilaga I, riskbedömningen, sårbarhetshanteringen under hela supportperioden, SBOM:en och rapporteringsskyldigheterna i artikel 14, som gäller sedan den 11 september 2026, är desamma för en smart kontakt i standardklassen och en brandvägg i klass II. En standardklassning är inte en lättare arbetsbörda; det är samma arbetsbörda som ni själva skriver under på.
Skriv ner beslutet
Er klassificering är en del av den tekniska dokumentationen, och ofta den första sidan som en myndighet eller ett anmält organ läser. Dokumentera:
- kärnfunktionen, i en mening;
- vilken kategori i bilaga III eller IV ni jämförde med, och vilken beskrivning i genomförandeförordning 2025/2392 ni kontrollerade;
- resultatet och vilken väg för bedömning av överensstämmelse som följer;
- vem som beslutade och när;
- vad som skulle få er att se över beslutet: en ny huvudfunktion, en komponent som ni börjar sälja separat, en harmoniserad standard som offentliggörs i den officiella tidningen, eller en delegerad akt som ändrar bilaga III. Kommissionen kan lägga till eller flytta kategorier, i regel med en övergångsperiod på minst 12 månader (artikel 7.3).
En kort checklista
- Bekräfta att produkten omfattas.
- Skriv kärnfunktionen i en mening som stämmer med er marknadsföring och bruksanvisning.
- Jämför med de 26 kategorierna med hjälp av de tekniska beskrivningarna i genomförandeförordning 2025/2392.
- Klassificera separat varje komponent som ni säljer på egen hand.
- Om resultatet är klass I: planera både modul A och en väg via ett anmält organ, och kontakta anmälda organ redan nu.
- Dokumentera beslutet och skälen i den tekniska dokumentationen, och bestäm vad som utlöser en översyn.
Artikeln förklarar förordning (EU) 2024/2847 med enkla ord. Den är inte juridisk rådgivning.