Kostenlos - fünf Fragen - ohne E-Mail-Adresse
Betroffenheits-Check
Fällt mein Produkt unter die CRA-Meldepflicht?
Die Meldepflicht nach Artikel 14 trifft Hersteller von Produkten mit digitalen Elementen. Ob Ihr Produkt dazugehört, entscheiden drei Prüfungen in fester Reihenfolge: die Datenverbindung, die Ausnahmen und Ihre Rolle am Markt. Der Check geht sie durch und begründet das Ergebnis mit Artikelverweisen.
Aktualisiert am:
Das liefert der Betroffenheits-Check
- Ein Ergebnis in vier Abstufungen: meldepflichtig, erfasst aber nicht meldepflichtig, außerhalb des Anwendungsbereichs, noch zu klären
- Die Begründung mit den Fundstellen der Verordnung, an denen Sie selbst nachlesen können
- Die nächsten Schritte in der Reihenfolge des Tuns, passend zu Ihrem Ergebnis
- Ergebnis samt Ihren Angaben zum Ausdrucken oder Sichern, als datierter Beleg für die Unterlagen
5 Fragen - etwa 2 Minuten - ohne E-Mail-Adresse
Eine Orientierungshilfe, keine Rechtsauskunft. Ihre Antworten bleiben in diesem Browserfenster.
Frage 1 von 3
Ist Ihr Produkt ein Produkt mit digitalen Elementen?
Gemeint ist Hardware oder Software, die direkt oder indirekt eine Datenverbindung zu einem Gerät oder Netz haben kann. Es genügt, dass die Verbindung technisch vorgesehen oder vernünftigerweise vorhersehbar ist. Sie muss nicht genutzt werden.
Die drei Prüfungen, die der Check durchgeht
Die Reihenfolge ist nicht beliebig: Wer bei der ersten Prüfung herausfällt, braucht die anderen beiden nicht. Und nur wer alle drei passiert, ist Adressat des Artikels 14.
Die drei Zweifelsfälle im Anwendungsbereich
Der Check ist eine Orientierungshilfe. Die drei Fälle, an denen sich die Zuordnung in der Praxis entscheidet, sind ausführlich beschrieben.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 3, Art. 2, Art. 14 und Art. 69 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 3 Nr. 1 CRA
Definition des Produkts mit digitalen Elementen: Software oder Hardware samt Datenfernverarbeitungslösungen, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz einschließt.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 2 CRA
Anwendungsbereich und Ausnahmen. Sektorrecht mit gleichwertigen Anforderungen geht vor, unter anderem für Medizinprodukte, Kraftfahrzeuge und Luftfahrt.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 14 Abs. 1 CRA
"Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 69 Abs. 3 CRA
Ausnahme von dieser Übergangsregel: Die Meldepflichten des Artikels 14 gelten für alle Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung, also auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA