Cyber Resilience Act: Pflichten für Händler

Wer diesen Artikel braucht

Verkaufen Sie vernetzte Geräte – WLAN-Kameras, smarte Steckdosen, Bluetooth-Kopfhörer oder ähnliche Produkte mit Software oder Netzwerkanbindung – über Amazon, eBay oder einen eigenen Shop, betrifft Sie der Cyber Resilience Act (CRA, VO (EU) 2024/2847) zusätzlich zu den bereits bekannten CE-Pflichten. Dieser Artikel zeigt, ab wann die Pflichten für Sie als Händler gelten, was Sie vor dem Verkauf prüfen müssen und wann Sie selbst als Hersteller gelten.

Was als „Produkt mit digitalen Elementen" gilt

Der CRA erfasst „ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden"¹. Er gilt für solche Produkte, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt⁷. Als „Händler" gilt „eine natürliche oder juristische Person in der Lieferkette, die ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereitstellt, mit Ausnahme des Herstellers oder des Einführers"². Was gilt, wenn Sie das Produkt ändern oder unter eigener Marke verkaufen, steht weiter unten.

Ab wann die Pflichten gelten

Der CRA gilt nicht auf einen Schlag. Nach der Schlussbestimmung gilt er „ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026."⁵ Die Händlerpflichten aus Artikel 20 zählen nicht zu diesen Ausnahmen. Sie gelten erst ab dem 11. Dezember 2027.

Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den Anforderungen des CRA nur, wenn sie nach diesem Datum wesentlich geändert werden⁸. Ausgenommen davon sind die Meldepflichten aus Artikel 14: Sie gelten auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden⁸.

Artikel 14 richtet sich an den Hersteller. Er muss jede aktiv ausgenutzte Schwachstelle und jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts auswirkt, gleichzeitig dem als Koordinator benannten CSIRT (Computer-Notfallteam eines Mitgliedstaats) und der ENISA (Agentur der Europäischen Union für Cybersicherheit) melden. Eine Frühwarnung geht unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, über die einheitliche Meldeplattform ein⁶.

Ihre Pflichten als Händler ab dem 11. Dezember 2027

Sobald die Pflicht gilt, befolgen Sie die Vorschriften des CRA mit der gebührenden Sorgfalt, wenn Sie ein Produkt mit digitalen Elementen bereitstellen³. Bevor Sie es auf dem Markt bereitstellen, prüfen Sie, ob es die CE-Kennzeichnung trägt und ob Hersteller und Einführer bestimmte Pflichten erfüllt und Ihnen alle erforderlichen Dokumente zur Verfügung gestellt haben³ – konkret: eine Typen-, Chargen- oder Seriennummer zur Identifikation des Produkts, den Namen und die Kontaktdaten des Herstellers, die Informationen und Anleitungen für den Nutzer, das Enddatum des Unterstützungszeitraums (der Zeit, in der der Hersteller Sicherheitsaktualisierungen liefert), eine Kopie der EU-Konformitätserklärung oder eine vereinfachte Erklärung mit Internetadresse sowie Name und Kontaktdaten des Einführers^3,10.

Haben Sie Grund zur Annahme, dass ein Produkt oder die vom Hersteller festgelegten Verfahren die grundlegenden Cybersicherheitsanforderungen nicht erfüllen, dürfen Sie es erst bereitstellen, wenn die Konformität hergestellt ist; birgt das Produkt ein erhebliches Cybersicherheitsrisiko, informieren Sie zusätzlich unverzüglich den Hersteller und die Marktüberwachungsbehörden³. Stellen Sie nach dem Verkauf fest, dass ein bereits bereitgestelltes Produkt nicht konform ist, sorgen Sie für die nötigen Korrekturmaßnahmen bis hin zu Rücknahme oder Rückruf³. Erfahren Sie von einer Schwachstelle in einem Produkt, informieren Sie unverzüglich den Hersteller; birgt sie ein erhebliches Cybersicherheitsrisiko, informieren Sie zusätzlich unverzüglich die Marktüberwachungsbehörden der betroffenen Mitgliedstaaten³. Erfahren Sie, dass der Hersteller seine Tätigkeit eingestellt hat, informieren Sie unverzüglich die Marktüberwachungsbehörden und, soweit möglich, die Nutzer der betroffenen Produkte³.

Wann Sie selbst als Hersteller gelten

Ähnlich wie die Funkanlagen-, die EMV- und die Niederspannungsrichtlinie kennt auch der CRA Fälle, in denen ein Händler oder Einführer als Hersteller gilt. Dabei sind zwei Wege und zwei Daten zu unterscheiden.

Eigener Name oder eigene Marke. Hersteller ist nach der Begriffsbestimmung, wer Produkte mit digitalen Elementen entwickelt oder herstellt oder sie „konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet"⁹. Einführer ist dagegen nur, wer ein Produkt „unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen" Person in den Verkehr bringt⁹. Artikel 14 knüpft an diesen Herstellerbegriff an. Nach unserer Einschätzung treffen Sie die Meldepflichten aus Artikel 14 deshalb schon ab dem 11. September 2026, wenn Sie vernetzte Produkte unter eigenem Namen oder eigener Marke vermarkten, die Sie selbst entwickeln oder herstellen oder konzipieren, entwickeln oder herstellen lassen – auch für Produkte, die Sie vor dem 11. Dezember 2027 in den Verkehr gebracht haben^5,8. Nach unserer Einschätzung greift dagegen Artikel 21 (siehe unten), wenn Sie fertige Ware eines anderen Herstellers nur nachträglich mit Ihrem Namen oder Ihrer Marke versehen – und der gilt erst ab dem 11. Dezember 2027. Ob ein solches Umlabeln schon als „herstellen lassen" zählt, sagt das Gesetz nicht ausdrücklich.

Wesentliche Änderung. Eine „wesentliche Änderung" ist eine Änderung nach dem Inverkehrbringen, die sich auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen auswirkt oder den bestimmungsgemäßen Zweck ändert, für den das Produkt geprüft wurde¹¹. Artikel 21 bestimmt: „Ein Einführer oder Händler gilt für die Zwecke dieser Verordnung als Hersteller und unterliegt den in den Artikeln 13 und 14 genannten Pflichten, wenn dieser Einführer oder Händler ein Produkt mit digitalen Elementen unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt mit digitalen Elementen vornimmt."⁴ Für andere Personen, die eine wesentliche Änderung vornehmen, gilt Artikel 22¹². Beide Artikel gelten erst ab dem 11. Dezember 2027⁵. Ob eine Firmware- oder Zubehör-Anpassung als wesentliche Änderung zählt, entscheidet damit, ob Sie ab diesem Datum die vollen Herstellerpflichten tragen.

Welche Rolle Sie allgemein einnehmen, erklärt der Artikel über Hersteller und Importeur nach EU-Recht ausführlicher.

Was Sie als Händler tun können

Stellen Sie eine Lücke fest – etwa eine fehlende Seriennummer, fehlende Kontaktdaten des Herstellers oder Einführers, ein fehlendes Support-Enddatum oder eine fehlende EU-Konformitätserklärung –, ist das ab dem 11. Dezember 2027 keine Frage des Risikos: Diese Angaben müssen Sie vor dem Bereitstellen überprüfen³. Das Gesetz verbietet den Verkauf hier nicht wörtlich. Verkaufen Sie trotz erkannter Lücke, müssen Sie aber dafür sorgen, dass Korrekturmaßnahmen bis hin zur Rücknahme oder zum Rückruf ergriffen werden³. Sie haben deshalb zwei Wege: Fordern Sie beim Hersteller oder Einführer die fehlenden Angaben oder eine überarbeitete Erklärung an. Oder halten Sie das Produkt zurück, bis die Lücke geschlossen ist. Erfahren Sie von einer Schwachstelle, müssen Sie außerdem den Hersteller unterrichten³.

Bis zum 11. Dezember 2027 gelten die Händlerpflichten aus Artikel 20 noch nicht⁵. Ab dem 11. September 2026 gelten für Sie nur die Meldepflichten aus Artikel 14, und die treffen den Hersteller^5,6 – also auch Sie, wenn Sie im oben beschriebenen Sinn als Hersteller gelten.