Welche CRA-Pflichten gelten für Importeure und Händler?

TL;DR

• Der Cyber Resilience Act verpflichtet nicht nur Hersteller, sondern auch Importeure und Händler entlang der Wertschöpfungskette.
• Importeure und Händler tragen im Vergleich zum Hersteller geringere, aber reale Pflichten, im Kern eine Prüfpflicht vor Weitergabe des Produkts.
• Kernpflicht ist die Kontrolle, ob der Hersteller seinen Pflichten nachgekommen ist, insbesondere Konformitätsnachweis und CE-Kennzeichnung.
• Bei Kenntnis von Konformitätsmängeln müssen Importeure und Händler informieren und dürfen das Produkt nicht ohne Weiteres weitergeben.
• Die Hauptpflichten der Verordnung greifen ab dem 11.12.2027, Meldepflichten zu Schwachstellen und Vorfällen nach Art. 14 CRA bereits ab dem 11.09.2026.

Warum erfasst der Cyber Resilience Act auch Importeure und Händler?

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, in Kraft seit dem 10.12.2024, verfolgt einen Ansatz entlang der gesamten Wertschöpfungskette. Produkte mit digitalen Elementen sollen auf jeder Handelsstufe, vom Hersteller über den Importeur bis zum Händler, ein bestimmtes Mindestniveau an Cybersicherheit gewährleisten. Deshalb adressiert die Verordnung nicht nur Hersteller, sondern definiert auch für Importeure und Händler eigene, wenn auch geringere Pflichten.

Wer gilt als Importeur, wer als Händler?

Als Importeur gilt im Grundsatz, wer ein Produkt mit digitalen Elementen aus einem Drittland erstmals auf dem EU-Markt in Verkehr bringt. Als Händler gilt, wer ein Produkt in der Lieferkette bereitstellt, ohne Hersteller oder Importeur zu sein, etwa im Groß- oder Einzelhandel. Beide Rollen sind von der Herstellerrolle klar abzugrenzen, da mit ihnen unterschiedliche Pflichtenumfänge verbunden sind.

Welche Prüfpflicht besteht vor der Weitergabe eines Produkts?

Bevor ein Importeur ein Produkt mit digitalen Elementen auf dem EU-Markt in Verkehr bringt oder ein Händler es bereitstellt, besteht eine Prüfpflicht. Diese richtet sich darauf, ob der Hersteller die einschlägigen Pflichten erfüllt hat, insbesondere ob:

1. ein gültiger Konformitätsnachweis für das Produkt vorliegt,
2. die technische Dokumentation durch den Hersteller erstellt wurde,
3. die CE-Kennzeichnung ordnungsgemäß angebracht ist,
4. dem Produkt die erforderlichen Informationen und Anleitungen beigefügt sind.

Diese Prüfung ist eine Plausibilitäts- und Vollständigkeitskontrolle. Sie verlangt von Importeuren und Händlern nicht dieselbe technische Prüftiefe wie die Konformitätsbewertung des Herstellers, sondern die Kontrolle, dass die erforderlichen Nachweise und Kennzeichnungen tatsächlich vorhanden sind.

Was müssen Importeure und Händler tun, wenn Zweifel an der Konformität bestehen?

Haben Importeur oder Händler Grund zur Annahme, dass ein Produkt nicht den grundlegenden Cybersicherheits-Anforderungen entspricht, dürfen sie es nicht in Verkehr bringen beziehungsweise bereitstellen, bevor die Konformität hergestellt ist. Besteht bereits ein Risiko, ist zudem eine Information der zuständigen Marktüberwachungsbehörden vorgesehen. Diese Weiterleitungspflicht ist einer der Kernunterschiede zur Herstellerpflicht: Der Hersteller stellt die Konformität aktiv her, Importeur und Händler kontrollieren sie und melden Abweichungen weiter.

Wie unterscheidet sich die Haftung von Importeuren und Händlern von der des Herstellers?

Die Hauptlast der CRA-Pflichten liegt beim Hersteller: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM und Schwachstellen-Management über den Support-Zeitraum. Importeure und Händler tragen demgegenüber abgeleitete, geringere Pflichten, die im Kern auf Prüfung, Dokumentationskontrolle und Weiterleitung von Informationen an Marktüberwachungsbehörden gerichtet sind. Real sind diese Pflichten dennoch: Wer als Importeur oder Händler ein Produkt ohne die erforderliche Prüfung in Verkehr bringt oder bereitstellt, verstößt gegen die Verordnung.

Rolle	Kernpflicht
Hersteller	Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM, Schwachstellen-Management
Importeur	Prüfung vor Inverkehrbringen, Konformitätsnachweis verlangen, Weiterleitung an Marktüberwachungsbehörden
Händler	Prüfung vor Bereitstellung, Konformitätsnachweis verlangen, Weiterleitung an Marktüberwachungsbehörden

Gelten auch für Importeure und Händler Meldepflichten bei Sicherheitsvorfällen?

Die Meldepflichten nach Art. 14 CRA für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle richten sich in erster Linie an den Hersteller. Werden Importeur oder Händler auf ein solches Ereignis aufmerksam, greift ihre allgemeine Pflicht, den Hersteller zu informieren beziehungsweise die zuständigen Behörden einzuschalten, damit die Meldekette über die CRA Single Reporting Platform an das zuständige CSIRT in Gang gesetzt werden kann. Diese Meldekette ist bereits ab dem 11.09.2026 aktiv.

Welche praktischen Schritte ergeben sich daraus für Importeure und Händler im Mittelstand?

Wer als Importeur oder Händler Produkte mit digitalen Elementen bezieht, sollte vor dem Inverkehrbringen beziehungsweise der Bereitstellung dokumentiert prüfen, ob CE-Kennzeichnung, Konformitätsnachweis und Herstellerangaben vorliegen. Üblicherweise wird empfohlen, diese Prüfung in bestehende Wareneingangs- oder Einkaufsprozesse zu integrieren, damit sie nicht als Einzelfallprüfung, sondern als Standardschritt erfolgt. Eine erste strukturierte Einschätzung der eigenen Betroffenheit lässt sich über den CRA-Check vornehmen.

Muss ein Händler die technische Dokumentation selbst erstellen?

Nein. Die technische Dokumentation ist Pflicht des Herstellers. Der Händler muss lediglich prüfen, ob sie vorliegt beziehungsweise dass die erforderlichen Nachweise und Kennzeichnungen vom Hersteller bereitgestellt wurden.

Was passiert, wenn ein Importeur ein nicht konformes Produkt weitergibt?

Das ist ein Verstoß gegen die Prüfpflicht der Verordnung. Verstöße gegen CRA-Pflichten können nach Art. 64 CRA mit Sanktionen bis 15 Mio. Euro oder 2,5 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist.

Wo ist der Unterschied zwischen CRA-Pflichten und NIS2-Pflichten für Händler?

Der Cyber Resilience Act betrifft die Produktsicherheit beim Inverkehrbringen und bei der Bereitstellung. NIS2 betrifft die Betreiber- und Organisationssicherheit des Unternehmens selbst. Beide Regelwerke können nebeneinander greifen. Einen Überblick bietet der Beitrag Cyber Resilience Act im Überblick.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• ENISA, Cyber Resilience Act: https://www.enisa.europa.eu/topics/cyber-resilience-act (verifiziert 11.08.2026)