Gilt der Cyber Resilience Act für das, was Sie entwickeln? Für ein kleines Softwareunternehmen oder einen Hersteller vernetzter Geräte lautet die ehrliche Antwort oft: Es kommt darauf an. Die Verordnung (EU) 2024/2847, der Cyber Resilience Act (CRA), liefert keine Checkliste. Ihre Artikel und Erwägungsgründe beantworten die meisten Fälle aber, wenn man die richtigen Fragen in der richtigen Reihenfolge stellt.

Hier sind die acht Fragen hinter dem kostenlosen Geltungsbereich-Check von Vulnio, jeweils mit dem Artikel oder Erwägungsgrund, auf dem die Antwort beruht. Das Ergebnis ist eines von dreien: im Geltungsbereich, außerhalb oder unklar. Wo der Text keine klare Regel enthält, lautet die ehrliche Antwort „unklar“, und an dieser Stelle sollten Sie anwaltlichen Rat einholen.

1. Was stellen Sie her?

Der CRA erfasst „Produkte mit digitalen Elementen“: Software- oder Hardwareprodukte und deren Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in Verkehr gebracht werden (Art. 3 Nr. 1).

  • Installierte Software, Apps, Bibliotheken und Geräte mit Firmware bilden den Kern der Definition.
  • Datenfernverarbeitung ist nur als Teil eines Produkts erfasst, zum Beispiel eine API oder ein Datenbankdienst, den ein Hersteller für seine eigene mobile App entwickelt (Erwägungsgrund 11).
  • Reines Browser-SaaS ist die Grauzone. Nach Erwägungsgrund 12 fallen Websites, die keine Produktfunktion unterstützen, nicht unter den CRA, und SaaS, PaaS und IaaS werden auf die NIS-2-Richtlinie verwiesen. Die Artikel enthalten aber keine ausdrückliche SaaS-Ausnahme. Die Antwort lautet hier „unklar“.
  • Kostenpflichtige Plugins, Themes und Erweiterungen für die Plattform eines Dritten: Die Verordnung enthält keine besondere Regel. Nach der allgemeinen Definition scheinen sie erfasst zu sein.

2. Kann es sich mit einem Gerät oder Netz verbinden?

Der CRA gilt für Produkte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1). Internet, lokales Netz, Bluetooth, USB und Update-Downloads zählen alle. Ein Produkt ganz ohne Datenverbindung fällt nicht unter den CRA.

3. Wird es Nutzern in der EU angeboten?

„Inverkehrbringen“ ist die erstmalige Bereitstellung auf dem Unionsmarkt; „Bereitstellung“ ist die Abgabe zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit, entgeltlich oder unentgeltlich (Art. 3 Nr. 21 und 22).

Wenn Sie die EU nie beliefern, keinen Händler oder Einführer in der EU haben und Nutzer in der EU das Produkt nicht erhalten können, ist es nicht erfasst. Ein weltweiter Download oder ein App-Store-Eintrag macht die Antwort „unklar“.

4. Wie stellen Sie es bereit?

„Geschäftstätigkeit“ ist in den Artikeln nicht definiert. Erwägungsgrund 15 nennt Beispiele:

  • ein Preis für das Produkt;
  • Entgelte für Support über die tatsächlichen Kosten hinaus;
  • die Absicht der Monetarisierung, etwa über eine Plattform, über die andere Dienste monetarisiert werden;
  • die Verarbeitung personenbezogener Daten zu anderen Zwecken als der Sicherheit als Nutzungsbedingung;
  • Spenden, die die Kosten übersteigen.

Unentgeltlich allein bedeutet nicht, dass ein Produkt herausfällt: Die Definition des Herstellers umfasst ausdrücklich auch Produkte, die „unentgeltlich“ vermarktet werden (Art. 3 Nr. 13).

Freie und quelloffene Software, die nicht monetarisiert wird, ist keine Geschäftstätigkeit (Erwägungsgrund 18). Ein Verwalter quelloffener Software (Open-Source-Steward), also eine juristische Person, die bestimmte für Geschäftstätigkeiten bestimmte Open-Source-Produkte dauerhaft unterstützt, unterliegt einer leichteren Regelung (Art. 24) und kann nicht mit Geldbußen belegt werden (Art. 64 Abs. 10 Buchst. b). Open Source mit bezahltem Support oder Spenden über den Kosten gilt als geschäftlich; eine Schwelle legt die Verordnung nicht fest, deshalb ist dieser Fall „unklar“.

Software, die nur in der eigenen Organisation genutzt wird: Eine ausdrückliche Regel gibt es nur für öffentliche Verwaltungen, die Produkte ausschließlich für den eigenen Gebrauch entwickeln (Erwägungsgrund 16). Für Unternehmen lautet die Antwort „unklar“.

5. Welche Rolle haben Sie?

Hersteller ist, wer ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet (Art. 3 Nr. 13). Einführer und Händler haben eigene, getrennte Pflichten nach dem CRA. Die Meldepflicht nach Art. 14 trifft den Hersteller.

6. Greift eine Bereichsausnahme?

Diese Produkte sind vom CRA ausgenommen, weil andere EU-Vorschriften sie regeln:

  • Medizinprodukte und In-vitro-Diagnostika (Art. 2 Abs. 2);
  • typgenehmigte Kraftfahrzeuge (Art. 2 Abs. 2) sowie zwei- oder dreirädrige Fahrzeuge, außer Fahrzeugen der Klasse L1e mit Tretunterstützung (Delegierte Verordnung (EU) 2025/1535);
  • nach den EU-Vorschriften für die Zivilluftfahrt zertifizierte Luftfahrzeugprodukte (Art. 2 Abs. 3);
  • Schiffsausrüstung (Art. 2 Abs. 4);
  • Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung oder zur Verarbeitung von Verschlusssachen entwickelt werden (Art. 2 Abs. 7);
  • Ersatzteile, die identische Komponenten ersetzen (Art. 2 Abs. 6).

7. Gehört es zu den aufgelisteten Produkttypen?

Die meisten Produkte sind „Standardprodukte“. Einige sind gesondert aufgeführt:

  • Wichtige Produkte der Klasse I (Art. 7, Anhang III), zum Beispiel Passwortmanager, VPNs, Router und Modems, Betriebssysteme und Smart-Home-Produkte mit Sicherheitsfunktionen wie Schlösser, Kameras und Alarmanlagen.
  • Wichtige Produkte der Klasse II, zum Beispiel Firewalls, Systeme zur Angriffserkennung und -verhinderung, Hypervisoren und Container-Laufzeitumgebungen.
  • Kritische Produkte (Art. 8, Anhang IV): Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways, Chipkarten und sichere Elemente.

Die Kategorie bestimmt das Konformitätsbewertungsverfahren. Standardprodukte können die interne Kontrolle (Modul A) nutzen. Klasse I kann Modul A nur nutzen, wenn harmonisierte Normen, gemeinsame Spezifikationen oder eine Zertifizierung der Stufe „substanziell“ vollständig angewendet werden. Klasse II braucht immer ein Verfahren mit Dritten (Modul B+C, Modul H) oder eine Zertifizierung (Art. 32).

8. Ist es schon auf dem Markt?

Die Meldepflichten nach Art. 14 gelten seit dem 11. September 2026, auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Alle übrigen Pflichten, etwa die grundlegenden Cybersicherheitsanforderungen, die Schwachstellenbehandlung, die technische Dokumentation und die CE-Kennzeichnung, gelten ab dem 11. Dezember 2027 (Art. 71 Abs. 2).

Was die drei Antworten bedeuten

  • Im Geltungsbereich: Der CRA gilt, und die Meldepflicht gilt bereits jetzt.
  • Außerhalb: Nach Ihren Angaben gelten die Herstellerpflichten nicht. Prüfen Sie erneut, wenn sich die Umstände ändern.
  • Unklar: Mindestens eine Antwort fällt dorthin, wo der Text keine klare Regel enthält. Holen Sie anwaltlichen Rat ein. Bis dahin ist es umsichtig, sich so vorzubereiten, als gelte die Meldepflicht.

Kleine Unternehmen sind von der Meldepflicht nicht ausgenommen. Kleinst- und Kleinunternehmen bleiben lediglich von Geldbußen verschont, wenn sie die 24-Stunden-Frist für die Frühwarnung versäumen (Art. 64 Abs. 10, in der am 2. Juli 2025 berichtigten Fassung).

Prüfen Sie Ihr Produkt in wenigen Minuten

Der Geltungsbereich-Check von Vulnio stellt diese acht Fragen und gibt Ihnen die Antwort mit den zugrunde liegenden Artikeln. Er ist kostenlos, braucht kein Konto und speichert nichts.

Dieser Beitrag dient der Information und ist keine Rechtsberatung.

Quelle: EUR-Lex, Verordnung (EU) 2024/2847 (Cyber Resilience Act).