Bin ich vom Cyber Resilience Act betroffen?

Was zählt als "Produkt mit digitalen Elementen"?

Die Verordnung (EU) 2024/2847 ist am 10.12.2024 in Kraft getreten und erfasst "Produkte mit digitalen Elementen". Darunter fallen sowohl Hardware-Produkte mit Software-Komponenten als auch eigenständige Software, sofern sie auf dem EU-Markt bereitgestellt wird. Der Anknüpfungspunkt ist damit nicht die Unternehmensgröße oder Branche, sondern das Produkt selbst und seine digitale Vernetzungsfähigkeit.

Für die Einordnung, ob ein konkretes Produkt betroffen ist, ist der Marktzugang entscheidend: Wird das Produkt in der EU verkauft, vertrieben oder anderweitig bereitgestellt, greift der CRA. Eine reine interne Nutzung eines selbst entwickelten Systems, ohne dass es an Dritte weitergegeben oder verkauft wird, begründet nach den vorliegenden Quellen grundsätzlich keine CRA-Pflicht, da es an einer Bereitstellung auf dem Markt fehlt.

Wer genau trägt welche Pflichten?

Der CRA unterscheidet zwischen drei Rollen in der Wertschöpfungskette:

Rolle	Pflichtenlage
Hersteller	Trägt die Hauptlast: Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, Schwachstellen-Handling über den Support-Zeitraum, SBOM.
Importeur	Muss prüfen, dass der Hersteller seinen Pflichten nachgekommen ist, bevor das Produkt in der EU in Verkehr gebracht wird.
Händler	Muss mit der gebotenen Sorgfalt sicherstellen, dass die Anforderungen des CRA eingehalten wurden, bevor das Produkt bereitgestellt wird.

Diese abgestufte Pflichtenlage bedeutet, dass auch Unternehmen, die selbst nicht Hersteller sind, sondern Produkte aus Drittstaaten importieren oder weiterverkaufen, Prüf- und Sorgfaltspflichten nach dem CRA treffen können.

Welche Ausnahmen gelten?

Nicht jedes Produkt mit digitalen Elementen fällt unter den CRA. Ausgenommen sind Produkte, die bereits durch sektorspezifische Regelwerke mit vergleichbarem Cybersicherheits-Anspruch abgedeckt sind:

• Medizinprodukte, die der Medical Device Regulation (MDR) unterliegen.
• Fahrzeuge, die unter die Kfz-Typgenehmigung fallen.
• Produkte, die dem Luftfahrtrecht unterliegen.

Für Software gilt eine weitere wichtige Ausnahme: Nicht-kommerzielle Open-Source-Software ist weitgehend vom Anwendungsbereich ausgenommen. Wer als "Open-Source-Software-Steward" auftritt, unterliegt zwar grundsätzlich dem CRA, jedoch mit einer erleichterten Pflichtenlage im Vergleich zu kommerziellen Herstellern.

Betroffenheit in der Praxis prüfen

Da der CRA produktbezogen und nicht unternehmensbezogen ansetzt, kann ein mittelständisches Unternehmen sowohl als Hersteller eines eigenen vernetzten Produkts als auch als Importeur oder Händler fremder Produkte gleichzeitig mehreren Pflichtenkatalogen unterliegen. Die Einordnung sollte pro Produkt und pro Rolle in der Lieferkette erfolgen, nicht pauschal für das gesamte Unternehmen.

Eine strukturierte erste Einschätzung liefert der CRA-Betroffenheits-Check, der die relevanten Kriterien aus Art. 2 der Verordnung schrittweise abfragt. Einen Überblick über alle Fristen und Pflichtenkategorien bietet der Pillar-Artikel Cyber Resilience Act im Überblick.

Verhältnis zu NIS2 und DORA

In der Praxis werden CRA, NIS2 und DORA häufig vermischt, obwohl sie unterschiedliche Regelungsgegenstände haben. Der CRA regelt die Produktsicherheit, also die Sicherheit von Hardware und Software beim Inverkehrbringen. NIS2 und DORA regeln demgegenüber die Betreiber- beziehungsweise Organisationssicherheit, also wie ein Unternehmen als Betreiber kritischer Infrastruktur oder als Finanzunternehmen mit Cyberrisiken umgeht. Ein Unternehmen kann deshalb gleichzeitig NIS2-verpflichtet sein, weil es eine kritische Infrastruktur betreibt, und CRA-verpflichtet, weil es zusätzlich ein eigenes vernetztes Produkt herstellt und vertreibt. Beide Pflichtenkataloge sind unabhängig voneinander zu prüfen und schließen sich nicht gegenseitig aus.

Zeitliche Einordnung der Betroffenheitsprüfung

Auch wenn die Hauptpflichten des CRA erst ab dem 11.12.2027 greifen, ist eine frühzeitige Betroffenheitsprüfung sinnvoll. Die Meldepflichten nach Art. 14 gelten bereits ab dem 11.09.2026, deutlich vor den Hauptpflichten. Wer erst kurz vor diesem Datum mit der Prüfung beginnt, riskiert, dass interne Prozesse für die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle nicht rechtzeitig stehen. Eine strukturierte Bestandsaufnahme der eigenen Produkte, ihrer Vertriebswege und der jeweiligen Rolle des Unternehmens in der Lieferkette bildet die Grundlage für alle weiteren Schritte, unabhängig davon, ob am Ende eine Betroffenheit festgestellt wird oder nicht.

Was, wenn die eigene Rolle unklar ist?

In größeren Lieferketten ist die Rolle eines Unternehmens nicht immer eindeutig. Wer beispielsweise ein fremdes Produkt unter eigenem Namen oder eigener Marke vertreibt, kann dadurch selbst zum Hersteller im Sinne der Verordnung werden, auch wenn die technische Entwicklung bei einem Dritten liegt. Ebenso kann ein Unternehmen, das Komponenten eines Drittstaats-Herstellers importiert und in der EU erstmals bereitstellt, als Importeur eigene Prüfpflichten treffen, selbst wenn es nach außen primär als Händler auftritt. Diese Grenzfälle unterstreichen, warum eine pauschale Selbsteinschätzung ohne Prüfung des konkreten Geschäftsmodells fehleranfällig ist.

Häufige Fragen

Betrifft der CRA auch kleine Unternehmen?

Der CRA differenziert nicht nach Unternehmensgröße, sondern nach Produkt und Rolle in der Wertschöpfungskette. Ein kleines Unternehmen, das ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt, unterliegt grundsätzlich denselben Pflichten wie ein großes Unternehmen.

Was passiert bei einem Verstoß?

Die Verordnung sieht in Art. 64 Sanktionen von bis zu 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Ab wann muss ich handeln?

Die Meldepflichten nach Art. 14 gelten bereits ab dem 11.09.2026. Die grundlegenden Cybersicherheits-Anforderungen, Konformitätsbewertung und CE-Kennzeichnung sind erst ab dem 11.12.2027 verpflichtend.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• ENISA, Cyber Resilience Act: https://www.enisa.europa.eu/topics/cyber-resilience-act (verifiziert 11.08.2026)