Der Anwendungsbereich
Wer fällt unter den Cyber Resilience Act?
Produkte, Ausnahmen und Marktrollen
Drei Prüfungen, in dieser Reihenfolge: Ist es überhaupt ein Produkt mit digitalen Elementen, greift eine der Ausnahmen, und welche Rolle haben Sie am Markt. Wer bei der ersten herausfällt, braucht die anderen beiden nicht.
Schritt 1
Erste Prüfung: Ist es ein Produkt mit digitalen Elementen?
Definition des Produkts mit digitalen Elementen: Software oder Hardware samt Datenfernverarbeitungslösungen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt.
Der Schlüssel liegt im Wort vorhersehbar. Es genügt, dass die Datenverbindung technisch vorgesehen oder vernünftigerweise vorhersehbar ist. Sie muss nicht genutzt werden, und der Nutzer muss sie nicht einschalten.
Damit fallen mehr Produkte darunter, als die meisten annehmen: eine Software mit Aktualisierungsfunktion, ein Gerät mit Wartungsschnittstelle, eine Bibliothek, die in vernetzten Anwendungen eingesetzt wird.
Erfasst sind unter anderem: vernetzte Hardware, Desktop-Software, mobile Anwendungen, Firmware, Bibliotheken, Browser-Erweiterungen, Computerspiele, Buchhaltungssoftware und IoT-Geräte.
GrundlageArt. 3 Nr. 1 CRA
Schritt 2
Zweite Prüfung: Greift eine Ausnahme, etwa SaaS oder Open Source?
Der Fall, über den die meiste Unsicherheit besteht, ist Software as a Service. Die Linie verläuft nicht zwischen Cloud und lokal, sondern zwischen ausgeliefert und nicht ausgeliefert.
| Fall | Ergebnis |
|---|---|
| Reine Website | Draußen |
| Reines SaaS, nur beim Anbieter gehostet, Zugriff nur über Browser oder Schnittstelle | Draußen. Dafür kommt die NIS-2-Umsetzung in Betracht. |
| SaaS mit Desktop-Client, mobiler App, Agent oder Erweiterung | Diese Komponente ist drin |
| Fernverarbeitungslösung als integraler Bestandteil eines vernetzten Produkts | Drin |
| Quelloffene Software, nicht kommerziell bereitgestellt | Draußen |
| Quelloffene Software, kommerziell vertrieben | Drin |
| Medizinprodukte, Kraftfahrzeuge, Luftfahrt, rein militärische Nutzung | Draußen, das Sektorrecht geht vor |
GrundlageArt. 2 CRA
Zwischenschritt, kostenlos
Zwischenschritt: Ihr Produkt an diesen drei Prüfungen messen
Der Betroffenheits-Check stellt genau die Fragen dieser Seite in der richtigen Reihenfolge und gibt ein Ergebnis mit Begründung, Fundstellen und den nächsten Schritten aus. Er ist eine Orientierungshilfe und keine Rechtsauskunft.
Schritt 3
Dritte Prüfung: Sind Sie Hersteller, Einführer oder Händler?
Die Meldepflicht des Artikels 14 trifft ausschließlich den Hersteller. Das ist keine Formalie: Einführer und Händler haben eigene Pflichten, aber sie reichen keine Frühwarnung ein.
| Rolle | Meldet nach Artikel 14? | Was stattdessen gilt |
|---|---|---|
| Hersteller | ja, vollständig | Alle drei Stufen beider Stränge, dazu die Unterrichtung der Nutzer. |
| Einführer | nein | Eigene Prüf- und Informationspflichten. Muss den Hersteller erreichen können. |
| Händler | nein | Eigene, schwächere Pflichten. Vertragliche Informationspflichten gegenüber Kunden bleiben davon unberührt. |
| Bevollmächtigter | nein | Handelt im Auftrag des Herstellers. Sein Sitz kann das zuständige CSIRT bestimmen. |
| Verwalter quelloffener Software | nein | Eigene, abgeschwächte Pflichten mit eigenem Zuschnitt. |
Wer ein fremdes Produkt unter eigenem Namen oder eigener Marke vertreibt, gilt selbst als Hersteller und meldet dann auch selbst.
GrundlageArt. 14 Abs. 1 CRAArt. 14 Abs. 7 CRA
Altprodukte
Gilt die Meldepflicht auch für Produkte von 2019?
Ja, ohne Ausnahme
Die Übergangsregel des Artikels 69 nimmt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, grundsätzlich von der Verordnung aus. Für die Meldepflichten des Artikels 14 macht sie ausdrücklich eine Ausnahme.
Das heißt: Ein Hersteller, der seit Jahren eine Software verkauft und sich mit CE-Kennzeichnung, Konformitätsbewertung und technischer Dokumentation nie befassen musste, ist ab dem 11. September 2026 trotzdem meldepflichtig. Die meisten dieser Unternehmen wissen es nicht, weil sie den CRA als Thema für 2027 abgelegt haben.
Später relevant
Spielt die Produktklasse eine Rolle?
Für die Meldepflicht nicht
Rund neun von zehn Produkten sind Standardprodukte, für die ab Dezember 2027 die Selbstbewertung genügt. Der Rest gilt als wichtig in Klasse I oder II oder als kritisch und braucht eine notifizierte Stelle.
Für die Meldepflicht ab September 2026 ist die Einordnung ohne Bedeutung. Sie entscheidet über das Konformitätsverfahren, nicht über die Frist.
Nachgefragt
Häufige Fragen zum Anwendungsbereich des CRA
- Was ist ein Produkt mit digitalen Elementen?
- Software oder Hardware samt Datenfernverarbeitungslösungen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt. Entscheidend ist, dass die Verbindung technisch vorgesehen oder vorhersehbar ist. Sie muss nicht genutzt werden.
- Welche Produkte sind vom CRA ausgenommen?
- Reine Websites, reines Software as a Service ohne ausgeliefertes Programm, nicht kommerziell bereitgestellte quelloffene Software sowie Produkte, für die Sektorrecht mit gleichwertigen Anforderungen gilt, insbesondere Medizinprodukte, Kraftfahrzeuge, Luftfahrt und rein militärisch genutzte Produkte.
- Trifft die Meldepflicht auch Händler und Importeure?
- Nicht die Meldepflicht des Artikels 14. Sie richtet sich an den Hersteller. Einführer, Händler und Bevollmächtigte haben eigene, schwächere Pflichten. Wer allerdings ein fremdes Produkt unter eigenem Namen oder eigener Marke vertreibt, gilt selbst als Hersteller und meldet dann auch selbst.
- Gilt der CRA auch für Anbieter aus Drittländern?
- Ja, sobald das Produkt auf dem Unionsmarkt bereitgestellt wird. Für Hersteller ohne Niederlassung in der Union bestimmt Artikel 14 Abs. 7 das zuständige CSIRT über eine vierstufige Kaskade: Sitz des Bevollmächtigten, hilfsweise des Einführers, hilfsweise des Händlers, zuletzt der Mitgliedstaat mit den meisten Nutzern.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 3, Art. 2, Art. 14 und Art. 69 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 3 Nr. 1 CRA
Definition des Produkts mit digitalen Elementen: Software oder Hardware samt Datenfernverarbeitungslösungen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 2 CRA
Anwendungsbereich und Ausnahmen. Sektorrecht mit gleichwertigen Anforderungen geht vor, unter anderem für Medizinprodukte, Kraftfahrzeuge und Luftfahrt.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 14 Abs. 1 CRA
"Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 69 Abs. 3 CRA
Ausnahme von dieser Übergangsregel: Die Meldepflichten des Artikels 14 gelten für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, also auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA
Halten Sie das Ergebnis schriftlich fest
Ob betroffen oder nicht: Eine dokumentierte Prüfung mit Datum ist die Antwort auf die Frage, warum gemeldet oder nicht gemeldet wurde. Der Check erzeugt genau dieses Blatt, mit Ihren Angaben und den Fundstellen.
Fünf Fragen im Browser. Am Ende ein Ergebnis mit Begründung, Fundstellen und Ihren Angaben, zum Ausdrucken oder als PDF.