{
  "bam_id": "CRA-003-KLASSIFIZIERUNG",
  "regulation": "CRA",
  "article": "Art. 6-8",
  "status": "ausstehend",
  "tags": [
    "klassifizierung",
    "risikoklasse",
    "konformität",
    "ce"
  ],
  "cross_refs": [
    "EU AI Act Art. 9"
  ],
  "requirement": {
    "text": "Klassifizierung aller Produkte mit digitalen Elementen nach CRA-Risikoklassen (Standard / Klasse I / Klasse II) und Durchführung entsprechender Konformitätsbewertungen.",
    "source": "CRA Art. 6-8",
    "priority": "hoch"
  },
  "gap_check": {
    "question": "Sind alle eigenen Produkte mit digitalen Elementen nach CRA-Risikoklassen klassifiziert und ist die Klassifizierung dokumentiert?",
    "if_yes": "Klassifizierung bei Produktänderungen und neuen Produkten aktualisieren.",
    "if_no": "Keine Klassifizierung – Konformitätsbewertung und CE-Kennzeichnung unmöglich.",
    "if_partial": "Teils klassifiziert. Vollständiges Produktinventar und Klassifizierung abschließen."
  },
  "remediation": {
    "summary": "CRA-Risikoklassifizierung für alle digitalen Produkte durchführen",
    "steps": [
      "Vollständiges Produktinventar aller Produkte mit digitalen Elementen erstellen",
      "CRA-Klassifizierungskriterien auf jedes Produkt anwenden",
      "Klassifizierungsentscheidungen dokumentieren und begründen",
      "Für Klasse I/II: Konformitätsbewertungsverfahren einleiten"
    ],
    "effort": "mittel",
    "deadline": "mittelfristig",
    "tools": [
      "CRA-Klassifizierungs-Matrix",
      "Produktinventar",
      "Technische Dokumentation"
    ],
    "book_reference": {
      "book": "Cyber Resilience Act in der Praxis",
      "chapter": "Kap. 4 – Klassifizierung und Risikobewertung"
    },
    "cost_estimate": {
      "pt_min": 3,
      "pt_max": 6,
      "note": "Produkt-Inventar + Klassifizierungsentscheidungen"
    }
  },
  "risk": {
    "likelihood": 3,
    "impact": 4,
    "score": 7,
    "description": "Falsche oder fehlende Klassifizierung führt zu unzureichender Konformitätsbewertung und CE-Risiko.",
    "regulatory_fine": {
      "max_eur": 15000000,
      "max_pct": "2,5% Jahresumsatz",
      "basis": "CRA Art. 64 – je nachdem was höher ist"
    }
  },
  "control": {
    "measure": "Vollständige CRA-Klassifizierung aller Produkte mit dokumentierter Begründung",
    "priority": "hoch",
    "type": "organisatorisch"
  },
  "evidence": {
    "type": "Klassifizierungsmatrix + Produktinventar",
    "template": "CRA Risikoklassifizierung",
    "audit_ready": true
  },
  "iso27001_mapping": {
    "controls": [
      "A.8.2.1",
      "A.8.2.2",
      "A.8.2.3"
    ],
    "coverage": "teilweise",
    "note": "ISO A.8.2 (Informationsklassifizierung) ist konzeptionell verwandt. CRA-Produktrisikoklassen (I/II) sind regulierungsspezifisch ohne direktes ISO-Äquivalent."
  },
  "iso27001_2022_controls": [
    "5.12"
  ],
  "_bam_uri": "https://bam.brain-media.de/id/CRA-003-KLASSIFIZIERUNG",
  "_model_version": "2.0",
  "_service": "Compliance Trace",
  "_license": "CC BY-SA 4.0 (see LICENSE-DATA)",
  "_attribution": "Brain-Media Audit Model (BAM), Dr. Holger Reibold, brain-media.de"
}