Rechtsfrage
Der Cyber Resilience Act
Hersteller ist nach Art. 3 Nr. 13 CRA auch, wer ein Produkt entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet, und zwar unabhängig von einer Bezahlung. Ein Einführer oder Händler gilt nach Art. 21 CRA als Hersteller, sobald er unter eigenem Namen in Verkehr bringt oder eine wesentliche Änderung vornimmt. Die Meldepflicht des Art. 14 CRA gilt seit dem 11.09.2026 und damit fünfzehn Monate vor den übrigen Vorschriften.
Fremde Software unter eigenem Logo
Ein Betrieb kauft eine Steuerungssoftware ein, versieht sie mit dem eigenen Logo und liefert sie mit seinen Anlagen aus. Entwickelt hat sie ein Zulieferer, gepflegt wird sie von ihm. Die Frage nach dem Cyber Resilience Act ist bisher an ihn gerichtet worden.
Hersteller ist auch, wer nur den Namen gibt
Wer als Hersteller gilt, entscheidet nicht die Entwicklung, sondern die Vermarktung. Art. 3 Nr. 13 CRA erfasst neben dem Entwickelnden auch, wer Produkte mit digitalen Elementen entwickeln lässt und sie unter eigenem Namen oder eigener Marke vermarktet. Der Wortlaut nennt die Bezahlung, die Monetarisierung und die unentgeltliche Abgabe in einer Reihe. Damit ist der Preis kein Unterscheidungsmerkmal.
Drei Wege in die Herstellerrolle
Das eigene Logo auf fremder Software
Art. 3 Nr. 13 CRA knüpft an die Vermarktung unter eigenem Namen oder eigener Marke an. Wer entwickeln lässt und unter eigenem Namen ausliefert, ist damit Hersteller. Der Zulieferer ist es für sein eigenes Erzeugnis daneben.
Der Händler, der zum Hersteller wird
Nach Art. 3 Nr. 17 CRA stellt ein Händler ein Produkt ohne Änderung seiner Eigenschaften bereit. Bringt er es unter eigenem Namen in Verkehr oder ändert er es wesentlich, gilt er nach Art. 21 CRA als Hersteller und unterliegt den Pflichten der Art. 13 und 14 CRA.
Die Änderung durch einen Dritten
Art. 22 CRA erfasst jede andere Person, die eine wesentliche Änderung vornimmt und das Produkt auf dem Markt bereitstellt. Erfasst ist auch ein Systemintegrator, der ein fremdes Erzeugnis für den Weiterverkauf anpasst.
Zwei Hersteller stehen damit nebeneinander, der Zulieferer für seine Software und der Betrieb für das Erzeugnis unter seinem Namen. Die Pflichten des Art. 13 CRA lassen sich vertraglich unterlegen, doch der Adressat der Verordnung wechselt dadurch nicht.
Die wesentliche Änderung hat einen engeren Begriff als die Produktpflege
Ob eine Änderung die Herstellerrolle begründet, hängt an einer Begriffsbestimmung, die enger ist als das Alltagsverständnis. Nach Art. 3 Nr. 30 CRA kommt es darauf an, ob die Änderung die Konformität mit den grundlegenden Anforderungen berührt oder den geprüften bestimmungsgemäßen Zweck verschiebt.
Zwei Änderungen, zwei Folgen
| Pflege innerhalb des Zwecks | Merkmal | Wesentliche Änderung |
|---|---|---|
| Fehlerbehebung, Sicherheitsaktualisierung, Anpassung an eine Umgebung | Was geschieht | Neue Funktion, neue Schnittstelle, neuer ZweckMaßgeblich ist nach Art. 3 Nr. 30 CRA die Auswirkung auf die Konformität oder auf den geprüften Zweck. |
| Unverändert der bisherige | Wer Hersteller ist | Auch der ÄnderndeNach Art. 21 CRA der Einführer oder Händler, nach Art. 22 CRA jede andere Person, die das Produkt bereitstellt. |
| Keine neuen | Umfang der Pflichten | Der betroffene Teil oder das GanzeNach Art. 22 Abs. 2 CRA das ganze Produkt, wenn die Änderung dessen Cybersicherheit insgesamt berührt. |
| Die Aktualisierung im eigenen Verfahren | Was dokumentiert wird | Bewertung, Dokumentation, KonformitätArt. 13 Abs. 12 CRA verlangt die technische Dokumentation und das Konformitätsbewertungsverfahren vor dem Inverkehrbringen. |
Die dritte Zeile ist die teure. Eine Änderung, die die Cybersicherheit des Produkts insgesamt berührt, zieht die Pflichten für das ganze Erzeugnis nach sich und nicht nur für den geänderten Teil.
Die Meldepflicht gilt vor allem anderen
Worauf sich die Vorbereitung richtet, ist meist der Geltungsbeginn im Dezember 2027. Art. 71 Abs. 2 CRA nennt für Art. 14 CRA jedoch den 11.09.2026. Damit läuft die Meldepflicht fünfzehn Monate vor den Produktanforderungen. Sie trifft auch einen Betrieb, der von seiner Herstellerrolle noch nichts weiß.
Gemeldet wird nach Art. 14 Abs. 1 CRA jede aktiv ausgenutzte Schwachstelle. Der Begriff ist in Art. 3 Nr. 42 CRA an verlässliche Nachweise einer tatsächlichen Ausnutzung gebunden. Die Frühwarnung ist binnen 24 Stunden fällig, die Meldung binnen 72 Stunden und der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur. Empfänger sind gleichzeitig das als Koordinator benannte CSIRT und die ENISA. Nach Absatz 8 sind zusätzlich die Nutzer zu unterrichten.
So unterstützen wir Sie beim Cyber Resilience Act
Am Anfang steht eine Liste der Erzeugnisse, die den Markt unter eigenem Namen erreichen, dazu je Erzeugnis die Angabe, wer entwickelt, wer ändert und wer in Verkehr bringt. Sie beantwortet die Rollenfrage und zeigt, für welche Erzeugnisse die Meldepflicht läuft. Zugleich ist sie die Grundlage für die zentrale Anlaufstelle nach Art. 13 Abs. 17 CRA.
Häufige Fragen
Gilt die Verordnung auch für interne Software?
Sie knüpft an das Inverkehrbringen an. Das ist nach Art. 3 Nr. 21 CRA die erstmalige Bereitstellung auf dem Unionsmarkt. Software, die ausschließlich im eigenen Betrieb eingesetzt wird, dürfte deshalb nicht erfasst sein. Die Abgrenzung wird schwierig, sobald eine Anwendung Kunden oder verbundenen Unternehmen bereitgestellt wird.
Wir geben Software unentgeltlich weiter. Sind wir draußen?
Nicht deshalb. Art. 3 Nr. 13 CRA erfasst die Vermarktung unter eigenem Namen ausdrücklich auch unentgeltlich. Nach Art. 3 Nr. 22 CRA genügt die Abgabe im Rahmen einer Geschäftstätigkeit. Entscheidend wäre daher der geschäftliche Zusammenhang und nicht der Preis.
Welche Meldung geht an wen?
Nach Art. 14 Abs. 1 CRA gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, über die einheitliche Meldeplattform. Betrifft derselbe Vorfall personenbezogene Daten, tritt die Meldung an die Datenschutzaufsicht nach Art. 33 DSGVO hinzu, bei einer erfassten Einrichtung zusätzlich die Meldung nach § 32 BSIG. Drei Ketten mit drei Empfängern.
Wie lang ist der Unterstützungszeitraum?
Nach Art. 13 Abs. 8 CRA mindestens fünf Jahre, kürzer nur, wenn das Produkt voraussichtlich kürzer im Betrieb ist. Bemessen wird er nach der voraussichtlichen Nutzung. Sein Enddatum ist nach Absatz 19 beim Kauf mit Monat und Jahr anzugeben. Sicherheitsaktualisierungen bleiben nach Absatz 9 mindestens zehn Jahre verfügbar.
Was gilt für quelloffene Bestandteile?
Bei der Integration in ein eigenes Produkt ist nach Art. 13 Abs. 5 CRA die gebotene Sorgfalt walten zu lassen, damit die Bestandteile die Cybersicherheit des Produkts nicht beeinträchtigen. Wird in einer Komponente eine Schwachstelle festgestellt, ist sie nach Absatz 6 der Stelle zu melden, die die Komponente herstellt oder wartet. Die Verantwortung für das Ergebnis bleibt beim Hersteller.
Kontaktieren Sie uns!
Wir haben Ihr Interesse geweckt? Sie haben Fragen? Sie möchten ein unverbindliches Angebot? Wir freuen uns auf Ihre Nachricht!
Kontakt aufnehmenAlternativ können Sie um einen Rückruf bitten.