Cyber Resilience Act: Pflichten für Produkte mit digitalen Elementen

Stichtag

11. Dezember 2027noch 398 Tage

Status

beschlossen

Datum

fest

Betrifft

Hersteller, Importeure, alle Onlineshops

Alle Einträge

Der Cyber Resilience Act gilt ab dem 11. Dezember 2027 für Produkte mit digitalen Elementen, die Meldepflichten der Hersteller gelten bereits seit dem 11. September 2026.

Der Cyber Resilience Act (CRA), die Verordnung (EU) 2024/2847, erfasst Produkte mit digitalen Elementen: Software- oder Hardwareprodukte samt Datenfernverarbeitungslösungen, auch getrennt in Verkehr gebrachte Komponenten.

Hersteller ist, wer solche Produkte entwickelt, herstellt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet. Inverkehrbringen heißt nach der Marktüberwachungsverordnung (EU) 2019/1020 die erste entgeltliche oder unentgeltliche Abgabe auf dem EU-Markt im Rahmen einer Geschäftstätigkeit. Eine Geschäftstätigkeit kann sich nach der Begründung des CRA nicht nur an einem Preis zeigen. Auch ein Entgelt für technische Unterstützung, das über die tatsächlichen Kosten hinausgeht, kann ein Merkmal sein. Wer ein Produkt nur für den eigenen Gebrauch herstellt, bringt es nach den FAQ der Kommission nicht in Verkehr. Websites, die die Funktionalität eines solchen Produkts nicht unterstützen, fallen laut Begründung nicht darunter.

Ab dem 11. Dezember 2027 prüfen Händler laut CRA vor der Bereitstellung, ob das Produkt die CE-Kennzeichnung trägt und ob Hersteller und Einführer bestimmte Pflichten erfüllt und die nötigen Dokumente bereitgestellt haben; erfahren sie von einer Schwachstelle, informieren sie unverzüglich den Hersteller. Einführer ist, wer in der EU ansässig ist und ein Produkt unter dem Namen oder der Marke eines Unternehmens außerhalb der EU in Verkehr bringt. Er darf laut CRA nur Produkte in Verkehr bringen, die die grundlegenden Cybersicherheitsanforderungen erfüllen. Wer als Händler oder Einführer ein Produkt unter eigenem Namen in Verkehr bringt oder es wesentlich ändert, gilt als Hersteller.

Seit dem 11. September 2026 müssen Hersteller nach Art. 14 jede aktiv ausgenutzte Schwachstelle in ihrem Produkt melden, von der sie erfahren; eine Frühwarnung muss unverzüglich erfolgen, spätestens 24 Stunden nach Kenntnis. Die Meldung geht gleichzeitig an das als Koordinator benannte Computer Security Incident Response Team (CSIRT) und an die EU-Agentur für Cybersicherheit ENISA. Diese Meldepflichten gelten auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.

Was Sie prüfen sollten

Vertreiben Sie Software, Plugins oder Hardware unter eigenem Namen oder eigener Marke, gegen Bezahlung oder unentgeltlich?

Verkaufen Sie Software oder Hardware anderer Hersteller, und prüfen Sie vor dem Verkauf CE-Kennzeichnung und Herstellerunterlagen?

Beziehen Sie solche Produkte direkt von Herstellern außerhalb der EU und bringen sie unter deren Namen in der EU in Verkehr?

Verlangen Sie für ein kostenloses Produkt Entgelte für technische Unterstützung, die mehr als die tatsächlichen Kosten decken?

Setzen Sie eigene Erweiterungen nur im eigenen Shop ein, oder geben Sie sie an Dritte weiter?

Gibt es in Ihrem Unternehmen einen Ablauf, um bei aktiv ausgenutzten Schwachstellen binnen 24 Stunden eine Frühwarnung abzugeben?

Quellen

Verlauf

11. Dezember 2027 Ab diesem Tag gilt der Cyber Resilience Act allgemein.

11. September 2026 Die Meldepflichten nach Art. 14 gelten seit diesem Tag.

11. Juni 2026 Kapitel IV zu den Konformitätsbewertungsstellen gilt seit diesem Tag.

23. Oktober 2024 Die Verordnung (EU) 2024/2847 wurde erlassen.

Orientierung, keine Rechtsberatung: Wir nennen Dokument, Stichtag und Primärquelle. Was im Einzelfall gilt, klären Sie mit Ihrer Rechtsberatung.

Was Sie prüfen sollten

Quellen

Verlauf

Fragen zur Umsetzung in Ihrem Shop?