Welche CRA-Pflichten gelten für Importeure und Händler?

TL;DR

• Der Cyber Resilience Act verpflichtet nicht nur Hersteller, sondern auch Importeure und Händler entlang der Wertschöpfungskette.
• Importeure und Händler tragen im Vergleich zum Hersteller geringere, aber reale Pflichten, im Kern eine Prüfpflicht vor Weitergabe des Produkts.
• Kernpflicht ist die Kontrolle, ob der Hersteller seinen Pflichten nachgekommen ist, insbesondere Konformitätsnachweis und CE-Kennzeichnung.
• Bei Grund zur Annahme eines Konformitätsmangels dürfen Importeure und Händler das Produkt nicht weitergeben; bei einem erheblichen Cybersicherheitsrisiko müssen sie zusätzlich Hersteller und Marktüberwachungsbehörden informieren (Art. 19 Abs. 3, Art. 20 Abs. 3 CRA).
• Die Hauptpflichten der Verordnung greifen ab dem 11.12.2027, Meldepflichten zu Schwachstellen und Vorfällen nach Art. 14 CRA bereits ab dem 11.09.2026.

Warum erfasst der Cyber Resilience Act auch Importeure und Händler?

Der Cyber Resilience Act, Verordnung (EU) 2024/2847, in Kraft seit dem 10.12.2024, verfolgt einen Ansatz entlang der gesamten Wertschöpfungskette. Produkte mit digitalen Elementen sollen auf jeder Handelsstufe, vom Hersteller über den Importeur bis zum Händler, ein bestimmtes Mindestniveau an Cybersicherheit gewährleisten. Deshalb adressiert die Verordnung nicht nur Hersteller, sondern definiert auch für Importeure und Händler eigene, wenn auch geringere Pflichten.

Wer gilt als Importeur, wer als Händler?

Importeur ist eine in der Union niedergelassene Person, die ein Produkt mit digitalen Elementen in Verkehr bringt, das den Namen oder die Marke einer außerhalb der Union niedergelassenen Person trägt (Art. 3 Nr. 16 CRA). Händler ist, wer ein Produkt in der Lieferkette auf dem Unionsmarkt bereitstellt, ohne Hersteller oder Importeur zu sein und ohne die Eigenschaften des Produkts zu beeinflussen, etwa im Groß- oder Einzelhandel (Art. 3 Nr. 17 CRA). Beide Rollen sind von der Herstellerrolle abzugrenzen, da mit ihnen unterschiedliche Pflichtenumfänge verbunden sind. Bringt ein Importeur oder Händler ein Produkt unter eigenem Namen oder eigener Marke in Verkehr oder nimmt er eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vor, gilt er als Hersteller und unterliegt Art. 13 und 14 CRA (Art. 21 CRA).

Welche Prüfpflicht besteht vor der Weitergabe eines Produkts?

Importeure dürfen nur Produkte in Verkehr bringen, die die grundlegenden Cybersicherheitsanforderungen nach Anhang I erfüllen (Art. 19 Abs. 1 CRA). Vor dem Inverkehrbringen stellen sie sicher, dass (Art. 19 Abs. 2 CRA):

1. das Konformitätsbewertungsverfahren nach Art. 32 CRA durchgeführt wurde,
2. die technische Dokumentation durch den Hersteller erstellt wurde,
3. die CE-Kennzeichnung ordnungsgemäß angebracht ist,
4. dem Produkt die EU-Konformitätserklärung sowie die Informationen und Anleitungen für Nutzer nach Anhang II beigefügt sind,
5. der Hersteller Identifikationsnummer, Kontaktangaben und das Ende des Support-Zeitraums angegeben hat (Art. 13 Abs. 15, 16 und 19 CRA).

Händler handeln bei der Bereitstellung mit der gebotenen Sorgfalt (Art. 20 Abs. 1 CRA). Vor der Bereitstellung überprüfen sie, dass das Produkt die CE-Kennzeichnung trägt und dass Hersteller und Importeur ihre Kennzeichnungs- und Informationspflichten (Art. 13 Abs. 15, 16, 18, 19 und 20 sowie Art. 19 Abs. 4 CRA) erfüllt und dem Händler alle erforderlichen Unterlagen zur Verfügung gestellt haben (Art. 20 Abs. 2 CRA). Die Prüfung der Konformitätsbewertung und der technischen Dokumentation gehört nicht zu den ausdrücklich genannten Händlerpflichten.

Die Konformitätsbewertung selbst bleibt Aufgabe des Herstellers. Importeure müssen jedoch die Unterlagen vorlegen können, die die Erfüllung ihrer Pflichten belegen (Art. 19 Abs. 2 UAbs. 2 CRA).

Importeure haben zusätzlich eigene Pflichten: Sie geben ihren Namen, ihre Postanschrift und eine E-Mail-Adresse oder andere digitale Kontaktmöglichkeit auf dem Produkt, der Verpackung oder einem Begleitdokument an (Art. 19 Abs. 4 CRA) und halten die EU-Konformitätserklärung mindestens zehn Jahre nach dem Inverkehrbringen oder für den Support-Zeitraum, je nachdem, welcher Zeitraum länger ist, für die Marktüberwachungsbehörden bereit (Art. 19 Abs. 6 CRA).

Was müssen Importeure und Händler tun, wenn Zweifel an der Konformität bestehen?

Haben Importeur oder Händler Grund zur Annahme, dass ein Produkt nicht den grundlegenden Cybersicherheits-Anforderungen entspricht, dürfen sie es nicht in Verkehr bringen beziehungsweise bereitstellen, bevor die Konformität hergestellt ist. Geht von dem Produkt ein erhebliches Cybersicherheitsrisiko aus, müssen sie zudem den Hersteller und die Marktüberwachungsbehörden informieren (Art. 19 Abs. 3, Art. 20 Abs. 3 CRA). Diese Weiterleitungspflicht ist einer der Kernunterschiede zur Herstellerpflicht: Der Hersteller stellt die Konformität aktiv her, Importeur und Händler kontrollieren sie und melden Abweichungen weiter.

Wie unterscheidet sich die Haftung von Importeuren und Händlern von der des Herstellers?

Die Hauptlast der CRA-Pflichten liegt beim Hersteller: grundlegende Cybersicherheits-Anforderungen, Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM und Schwachstellen-Management über den Support-Zeitraum. Importeure und Händler tragen demgegenüber abgeleitete, geringere Pflichten, die im Kern auf Prüfung, Dokumentationskontrolle und Weiterleitung von Informationen an Marktüberwachungsbehörden gerichtet sind. Real sind diese Pflichten dennoch: Wer als Importeur oder Händler ein Produkt ohne die erforderliche Prüfung in Verkehr bringt oder bereitstellt, verstößt gegen die Verordnung.

Rolle	Kernpflicht
Hersteller	Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation, SBOM, Schwachstellen-Management
Importeur	Prüfung vor Inverkehrbringen, eigene Kontaktangaben am Produkt, Aufbewahrung der EU-Konformitätserklärung, Information von Hersteller und Marktüberwachung bei erheblichem Cybersicherheitsrisiko
Händler	Prüfung vor Bereitstellung (CE-Kennzeichnung, Unterlagen), Information von Hersteller und Marktüberwachung bei erheblichem Cybersicherheitsrisiko

Gelten auch für Importeure und Händler Meldepflichten bei Sicherheitsvorfällen?

Die Meldepflichten nach Art. 14 CRA für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle treffen den Hersteller; er meldet über die zentrale Meldeplattform an das zuständige CSIRT und die ENISA. Erfahren Importeur oder Händler von einer Schwachstelle im Produkt, müssen sie den Hersteller unverzüglich informieren; geht von dem Produkt ein erhebliches Cybersicherheitsrisiko aus, zusätzlich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie es bereitgestellt haben (Art. 19 Abs. 5, Art. 20 Abs. 4 CRA). Die Herstellermeldepflichten nach Art. 14 gelten seit dem 11.09.2026.

Welche praktischen Schritte ergeben sich daraus für Importeure und Händler im Mittelstand?

Wer als Importeur oder Händler Produkte mit digitalen Elementen bezieht, sollte vor dem Inverkehrbringen beziehungsweise der Bereitstellung dokumentiert prüfen, ob CE-Kennzeichnung, Konformitätsnachweis und Herstellerangaben vorliegen. Praktikabel ist es, diese Prüfung in bestehende Wareneingangs- oder Einkaufsprozesse zu integrieren, damit sie nicht als Einzelfallprüfung, sondern als Standardschritt erfolgt. Eine erste strukturierte Einschätzung der eigenen Betroffenheit lässt sich über den CRA-Check vornehmen.

Muss ein Händler die technische Dokumentation selbst erstellen?

Nein. Die technische Dokumentation ist Pflicht des Herstellers (Art. 13 Abs. 12 CRA). Dass sie erstellt wurde, stellt der Importeur vor dem Inverkehrbringen sicher (Art. 19 Abs. 2 lit. b CRA). Der Händler prüft die CE-Kennzeichnung und die Kennzeichnungs- und Informationsangaben von Hersteller und Importeur sowie, ob ihm die erforderlichen Unterlagen zur Verfügung gestellt wurden (Art. 20 Abs. 2 CRA).

Was passiert, wenn ein Importeur ein nicht konformes Produkt weitergibt?

Das ist ein Verstoß gegen die Importeurpflichten der Verordnung. Verstöße gegen die Pflichten nach Art. 18 bis 23 CRA, also auch die Importeur- und Händlerpflichten, können nach Art. 64 Abs. 3 CRA mit Geldbußen bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, was höher ist. Der höhere Rahmen von 15 Mio. Euro oder 2,5 % (Art. 64 Abs. 2) betrifft die grundlegenden Anforderungen nach Anhang I und die Herstellerpflichten nach Art. 13 und 14.

Wo ist der Unterschied zwischen CRA-Pflichten und NIS2-Pflichten für Händler?

Der Cyber Resilience Act betrifft die Produktsicherheit beim Inverkehrbringen und bei der Bereitstellung. NIS2 betrifft die Betreiber- und Organisationssicherheit des Unternehmens selbst. Beide Regelwerke können nebeneinander greifen. Einen Überblick bietet der Beitrag Cyber Resilience Act im Überblick.

Quellen

• Europäische Kommission, Cyber Resilience Act (Übersicht): https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act (verifiziert 11.08.2026)
• Europäische Kommission, CRA Reporting Obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting (verifiziert 11.08.2026)
• EUR-Lex, Verordnung (EU) 2024/2847: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847 (verifiziert 11.08.2026)
• EU-Kommission, Cyberresilienzgesetz: https://digital-strategy.ec.europa.eu/de/policies/cyber-resilience-act (verifiziert: 18.09.2026)