Anwendungsbereich - der häufigste Zweifelsfall
Fällt SaaS unter den CRA?
Das Backend nicht, jeder ausgelieferte Client schon
Die Antwort lautet: das gehostete Backend nicht, alles Ausgelieferte schon. Damit kann ein Unternehmen für dasselbe Angebot teils drin und teils draußen sein, und genau das übersehen die meisten.
Die Logik
Warum fällt reines SaaS heraus?
Es wird nichts in Verkehr gebracht
Der CRA regelt Produkte, die in Verkehr gebracht werden. Bei reinem SaaS wird nichts in Verkehr gebracht: Die Software bleibt beim Anbieter, der Nutzer bekommt einen Zugang, kein Programm. Deshalb greift die Verordnung nicht.
Das ist keine Lücke, sondern eine bewusste Abgrenzung. Für Dienste dieser Art gibt es die NIS-2-Richtlinie und ihre nationalen Umsetzungen, mit eigenen Meldepflichten und eigenen Fristen.
Die Linie verläuft zwischen ausgeliefert und nicht ausgeliefert, nicht zwischen Cloud und lokal.
GrundlageArt. 2 CRAArt. 3 Nr. 1 CRA
Zum Durchgehen
Acht Konstellationen und ihre Einordnung
| Ihr Angebot | CRA | Warum |
|---|---|---|
| Webanwendung, Zugriff nur über Browser | draußen | Es wird nichts ausgeliefert, das der Nutzer installiert. |
| Webanwendung plus dokumentierte Programmierschnittstelle | draußen | Eine Schnittstelle ist ein Zugang, kein ausgeliefertes Produkt. |
| Webanwendung plus SDK oder Client-Bibliothek für Kunden | drin | Die Bibliothek läuft beim Kunden und ist selbst ein Produkt mit digitalen Elementen. |
| Webanwendung plus Desktop-Client | drin | Der Client wird installiert. Er ist erfasst, das Backend nicht. |
| Webanwendung plus mobile App | drin | Wie beim Desktop-Client. Die App ist das Produkt. |
| Webanwendung plus Agent auf Kundensystemen | drin | Der Agent läuft in fremder Umgebung und hat dort meist erhebliche Rechte. |
| Webanwendung plus Browser-Erweiterung | drin | Die Erweiterung wird auf dem Gerät des Nutzers installiert. |
| Dienst, ohne den ein vernetztes Gerät eine Funktion verliert | drin | Fernverarbeitungslösung als integraler Bestandteil des Produkts. Sie wird mit dem Gerät zusammen betrachtet. |
GrundlageArt. 2 CRAArt. 3 Nr. 1 CRA
Aufpassen
Der unterschätzte Fall: Dienste als integraler Bestandteil eines Geräts
Der schwierigste Fall ist nicht der Desktop-Client, den jeder sieht, sondern der Dienst, ohne den ein Gerät nicht mehr vollständig funktioniert. Ein vernetztes Türschloss, dessen Zugangsprüfung in der Cloud liegt. Eine Kamera, deren Bewegungserkennung serverseitig läuft. Eine Steuerung, die ihre Regelparameter online bezieht.
In diesen Fällen wird der Dienst zusammen mit dem Gerät betrachtet, denn ohne ihn fehlt dem Produkt eine Funktion. Wer nur die Firmware im Blick hat und den Dienst als eigenes SaaS behandelt, sortiert sich zu Unrecht heraus.
Zwischenschritt, kostenlos
Zwischenschritt: Ihr Angebot einordnen lassen
Der Betroffenheits-Check fragt genau nach diesen Fällen und ordnet sie zu. Er sagt Ihnen außerdem, was daraus für Ihre Marktrolle folgt und ob Sie damit Adressat der Meldepflicht sind.
Die andere Vorschrift
Draußen beim CRA heißt nicht meldefrei: dann greift womöglich NIS 2
Wer mit reinem SaaS aus dem CRA herausfällt, sollte im nächsten Schritt die NIS-2-Umsetzung seines Mitgliedstaats prüfen. Sie trifft digitale Dienste unabhängig vom CRA, kennt eigene Meldepflichten mit eigenen Fristen und einen anderen Empfänger.
Beides kann nebeneinander gelten: Ein Unternehmen mit gehostetem Dienst und ausgeliefertem Client kann für den Client nach dem CRA und für den Dienst nach der NIS-2-Umsetzung meldepflichtig sein. Dann braucht es zwei Wege und nicht einen.
Nachgefragt
Häufige Fragen zu SaaS und dem Cyber Resilience Act
- Fällt Software as a Service unter den Cyber Resilience Act?
- Reines SaaS nicht. Solange die Software ausschließlich beim Anbieter läuft und der Nutzer sie nur über Browser oder Schnittstelle erreicht, wird kein Produkt in Verkehr gebracht, und der CRA knüpft an das Inverkehrbringen an. Sobald etwas ausgeliefert wird, das der Nutzer installiert, ist diese Komponente ein Produkt mit digitalen Elementen und erfasst.
- Was ist mit dem Desktop-Client zu unserem SaaS?
- Der Client ist erfasst, das gehostete Backend nicht. Das ist die praktisch wichtigste Konsequenz: Ein Unternehmen kann für dasselbe Angebot teils drin und teils draußen sein. Erfasst ist die ausgelieferte Komponente, und für sie gelten die Meldepflichten.
- Zählt eine Browser-Erweiterung als ausgeliefertes Produkt?
- Ja. Eine Erweiterung wird auf dem Gerät des Nutzers installiert und läuft dort. Dasselbe gilt für mobile Apps, Agenten, Kommandozeilenwerkzeuge und SDKs, die Sie an Kunden ausgeben.
- Wenn wir nicht unter den CRA fallen, sind wir dann meldefrei?
- Nein. Reines SaaS kann unter die nationale Umsetzung der NIS-2-Richtlinie fallen, und die kennt eigene Meldepflichten mit eigenen Fristen und einem eigenen Empfänger. Außerhalb des CRA heißt nicht meldefrei, es heißt nur: andere Vorschrift, anderer Weg.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 3 und Art. 2 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 3 Nr. 1 CRA
Definition des Produkts mit digitalen Elementen: Software oder Hardware samt Datenfernverarbeitungslösungen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 2 CRA
Anwendungsbereich und Ausnahmen. Sektorrecht mit gleichwertigen Anforderungen geht vor, unter anderem für Medizinprodukte, Kraftfahrzeuge und Luftfahrt.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Zählen Sie auf, was Sie ausliefern
Die Prüfung ist in einer halben Stunde erledigt: Schreiben Sie jede Komponente auf, die auf einem fremden Gerät läuft. Alles auf dieser Liste ist ein Produkt mit digitalen Elementen, alles andere nicht.
Fünf Fragen im Browser. Ergebnis mit Begründung und Fundstellen, das Sie ausdrucken und zu den Unterlagen legen können.