Bin ich vom Cyber Resilience Act betroffen?

Was zählt als "Produkt mit digitalen Elementen"?

Die Verordnung (EU) 2024/2847 ist am 10.12.2024 in Kraft getreten und erfasst "Produkte mit digitalen Elementen". Darunter fallen Software- und Hardwareprodukte einschließlich ihrer Datenfernverarbeitungslösungen sowie separat in Verkehr gebrachte Komponenten (Art. 3 Nr. 1), sofern sie auf dem EU-Markt bereitgestellt werden und ihre Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netz umfasst (Art. 2 Abs. 1). Der Anknüpfungspunkt ist damit nicht die Unternehmensgröße oder Branche, sondern das Produkt selbst und seine digitale Vernetzungsfähigkeit.

Für die Einordnung, ob ein konkretes Produkt betroffen ist, ist der Marktzugang entscheidend: Wird das Produkt in der EU verkauft, vertrieben oder anderweitig bereitgestellt, greift der CRA. Eine reine interne Nutzung eines selbst entwickelten Systems, ohne dass es an Dritte weitergegeben oder verkauft wird, begründet nach den vorliegenden Quellen grundsätzlich keine CRA-Pflicht, da es an einer Bereitstellung auf dem Markt fehlt.

Wer genau trägt welche Pflichten?

Der CRA unterscheidet zwischen drei Rollen in der Wertschöpfungskette:

Rolle	Pflichtenlage
Hersteller	Trägt die Hauptlast: Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, Schwachstellen-Handling über den Support-Zeitraum, SBOM.
Importeur	Muss prüfen, dass der Hersteller seinen Pflichten nachgekommen ist, bevor das Produkt in der EU in Verkehr gebracht wird.
Händler	Muss mit der gebotenen Sorgfalt sicherstellen, dass die Anforderungen des CRA eingehalten wurden, bevor das Produkt bereitgestellt wird.

Diese abgestufte Pflichtenlage bedeutet, dass auch Unternehmen, die selbst nicht Hersteller sind, sondern Produkte aus Drittstaaten importieren oder weiterverkaufen, Prüf- und Sorgfaltspflichten nach dem CRA treffen können.

Welche Ausnahmen gelten?

Nicht jedes Produkt mit digitalen Elementen fällt unter den CRA. Art. 2 nimmt Produkte aus, für die sektorspezifische EU-Rechtsakte gelten, sowie Ersatzteile und Produkte für Zwecke der nationalen Sicherheit oder Verteidigung:

• Medizinprodukte nach der Verordnung (EU) 2017/745 (MDR) und In-vitro-Diagnostika nach der Verordnung (EU) 2017/746 (Art. 2 Abs. 2).
• Fahrzeuge und Bauteile, für die die Verordnung (EU) 2019/2144 gilt (Art. 2 Abs. 2).
• Produkte, die nach der Luftfahrtverordnung (EU) 2018/1139 zertifiziert sind (Art. 2 Abs. 3).
• Schiffsausrüstung nach der Richtlinie 2014/90/EU (Art. 2 Abs. 4).
• Ersatzteile, die baugleiche Komponenten ersetzen (Art. 2 Abs. 6).
• Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt wurden oder für Verschlusssachen bestimmt sind (Art. 2 Abs. 7).

Für Software gilt eine weitere wichtige Ausnahme: Nicht-kommerzielle Open-Source-Software ist weitgehend vom Anwendungsbereich ausgenommen. Wer als "Open-Source-Software-Steward" auftritt, unterliegt zwar grundsätzlich dem CRA, jedoch mit einer erleichterten Pflichtenlage im Vergleich zu kommerziellen Herstellern.

Betroffenheit in der Praxis prüfen

Da der CRA produktbezogen und nicht unternehmensbezogen ansetzt, kann ein mittelständisches Unternehmen sowohl als Hersteller eines eigenen vernetzten Produkts als auch als Importeur oder Händler fremder Produkte gleichzeitig mehreren Pflichtenkatalogen unterliegen. Die Einordnung sollte pro Produkt und pro Rolle in der Lieferkette erfolgen, nicht pauschal für das gesamte Unternehmen.

Eine strukturierte erste Einschätzung liefert der CRA-Betroffenheits-Check, der Produktart, Rolle in der Lieferkette, ausgewählte Ausnahmen (Medizinprodukte, Kfz, Luftfahrt, nicht-kommerzielle Open-Source-Software) und die Produktklasse schrittweise abfragt. Einen Überblick über alle Fristen und Pflichtenkategorien bietet der Pillar-Artikel Cyber Resilience Act im Überblick.

Verhältnis zu NIS2 und DORA

In der Praxis werden CRA, NIS2 und DORA häufig vermischt, obwohl sie unterschiedliche Regelungsgegenstände haben. Der CRA regelt die Produktsicherheit, also die Sicherheit von Hardware und Software beim Inverkehrbringen. NIS2 (in Deutschland umgesetzt im BSIG) und DORA regeln demgegenüber die Organisationssicherheit, also wie besonders wichtige und wichtige Einrichtungen bestimmter Sektoren (§ 28 BSIG, abhängig von Einrichtungsart und Größe; Betreiber kritischer Anlagen sind nur eine Teilgruppe) beziehungsweise Finanzunternehmen mit Cyberrisiken umgehen. Ein Unternehmen kann deshalb gleichzeitig NIS2-verpflichtet sein, etwa als wichtige Einrichtung eines erfassten Sektors, und CRA-verpflichtet, weil es zusätzlich ein eigenes vernetztes Produkt herstellt und vertreibt. Beide Pflichtenkataloge sind unabhängig voneinander zu prüfen und schließen sich nicht gegenseitig aus.

Zeitliche Einordnung der Betroffenheitsprüfung

Auch wenn die Hauptpflichten des CRA erst ab dem 11.12.2027 greifen, ist eine frühzeitige Betroffenheitsprüfung sinnvoll. Die Meldepflichten nach Art. 14 gelten bereits ab dem 11.09.2026, deutlich vor den Hauptpflichten. Wer erst kurz vor diesem Datum mit der Prüfung beginnt, riskiert, dass interne Prozesse für die Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle nicht rechtzeitig stehen. Eine strukturierte Bestandsaufnahme der eigenen Produkte, ihrer Vertriebswege und der jeweiligen Rolle des Unternehmens in der Lieferkette bildet die Grundlage für alle weiteren Schritte, unabhängig davon, ob am Ende eine Betroffenheit festgestellt wird oder nicht.

Was, wenn die eigene Rolle unklar ist?

In größeren Lieferketten ist die Rolle eines Unternehmens nicht immer eindeutig. Wer beispielsweise ein fremdes Produkt unter eigenem Namen oder eigener Marke vertreibt, kann dadurch selbst zum Hersteller im Sinne der Verordnung werden, auch wenn die technische Entwicklung bei einem Dritten liegt. Ebenso kann ein Unternehmen, das Komponenten eines Drittstaats-Herstellers importiert und in der EU erstmals bereitstellt, als Importeur eigene Prüfpflichten treffen, selbst wenn es nach außen primär als Händler auftritt. Diese Grenzfälle unterstreichen, warum eine pauschale Selbsteinschätzung ohne Prüfung des konkreten Geschäftsmodells fehleranfällig ist.

Häufige Fragen

Betrifft der CRA auch kleine Unternehmen?

Der CRA differenziert nicht nach Unternehmensgröße, sondern nach Produkt und Rolle in der Wertschöpfungskette. Ein kleines Unternehmen, das ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt, unterliegt grundsätzlich denselben Pflichten wie ein großes Unternehmen. Eine Erleichterung gibt es bei den Bußgeldern: Für Kleinst- und Kleinunternehmen, die die Frist für die 24-Stunden-Frühwarnung nach Art. 14 versäumen, gelten die Geldbußen nicht (Art. 64 Abs. 10). Gegen Open-Source-Software-Stewards werden keine Geldbußen verhängt.

Was passiert bei einem Verstoß?

Art. 64 staffelt die Geldbußen: bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes bei Verstößen gegen die grundlegenden Anforderungen in Anhang I und die Pflichten nach Art. 13 und 14 (Abs. 2), bis 10 Mio. Euro oder 2 % bei den in Abs. 3 genannten Pflichten, etwa von Importeuren und Händlern, und bis 5 Mio. Euro oder 1 % bei falschen oder unvollständigen Angaben gegenüber Behörden und notifizierten Stellen (Abs. 4). Jeweils gilt der höhere Betrag.

Ab wann muss ich handeln?

Die Meldepflichten nach Art. 14 gelten seit dem 11.09.2026. Die grundlegenden Cybersicherheits-Anforderungen, Konformitätsbewertung und CE-Kennzeichnung sind erst ab dem 11.12.2027 verpflichtend.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• EU-Kommission, Cyberresilienzgesetz: https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act (verifiziert: 18.09.2026)