CRA-Pflichten für Unternehmen: Hersteller, Importeure und Händler

Die CRA-Pflichten hängen von der Rolle des Unternehmens ab. Hersteller tragen den größten Teil der Anforderungen. Importeure und Händler haben eigene Prüf-, Informations- und Reaktionspflichten. Für kleine Unternehmen ist deshalb die Rollenklärung der erste Schritt – noch vor Checklisten, Vorlagen oder Zertifizierungsfragen.

Welche CRA-Pflichten haben Unternehmen?

Unternehmen müssen je nach Rolle sicherstellen, dass Produkte mit digitalen Elementen die Anforderungen des Cyber Resilience Act erfüllen. Hersteller müssen Risiken bewerten, Produkte sicher entwickeln, Schwachstellen behandeln, technische Unterlagen führen und die Konformität nachweisen. Importeure und Händler kontrollieren definierte Voraussetzungen und müssen reagieren, wenn ein Produkt nicht konform oder sicherheitsrelevant auffällig ist.

Die Pflichten beginnen daher nicht erst bei der CE-Kennzeichnung. Der CRA zieht sich durch den Produktlebenszyklus: Planung, Entwicklung, Inverkehrbringen, Updates, Schwachstellenbehandlung und Kommunikation mit Behörden beziehungsweise Nutzern.

Welche Pflichten gelten für Hersteller?

Hersteller sind natürliche oder juristische Personen, die ein Produkt mit digitalen Elementen entwickeln oder herstellen beziehungsweise entwickeln oder herstellen lassen und es unter eigenem Namen oder eigener Marke vermarkten. Für diese Rolle bündelt der CRA die wichtigsten Produktpflichten.

Cybersicherheits-Risikobewertung

Vor dem Inverkehrbringen braucht der Hersteller eine Cybersicherheits-Risikobewertung. Sie soll nicht als einmaliges Formular neben dem Entwicklungsprozess liegen. Die Ergebnisse müssen in die Planung, den Entwurf, die Entwicklung, Produktion, Lieferung und Wartung einfließen. Der Hersteller dokumentiert außerdem, wie die grundlegenden Cybersicherheitsanforderungen umgesetzt werden.

Für kleine Teams ist eine produktbezogene Vorgehensweise meist übersichtlicher als ein allgemeines Unternehmensdokument. Pro Produkt sollte erkennbar sein: Welche Assets und Schnittstellen sind relevant? Welche Bedrohungen sind realistisch? Welche Schutzmaßnahmen sind vorgesehen? Welche Restrisiken bleiben?

Sichere Produkte und sichere Grundeinstellungen

Der CRA verlangt ein angemessenes Cybersicherheitsniveau auf Basis der Risiken. Dazu gehören je nach Produkt unter anderem sichere Standardkonfigurationen, geeignete Zugangskontrollen, Schutz von Vertraulichkeit und Integrität, die Begrenzung von Angriffsflächen sowie Möglichkeiten, Sicherheitsupdates bereitzustellen. Das konkrete technische Niveau hängt vom Produkt und seinem Risiko ab.

Ein pauschales „wir nutzen Verschlüsselung“ reicht als Nachweis nicht. Die technische Dokumentation sollte erkennen lassen, welche Anforderungen auf das Produkt zutreffen und wie sie umgesetzt wurden.

Umgang mit Drittkomponenten und Open Source

Viele Produkte bestehen aus Bibliotheken, Frameworks, Betriebssystemkomponenten oder Hardwarebausteinen Dritter. Der Hersteller muss diese Abhängigkeiten bei der Risikobetrachtung berücksichtigen. Für die Praxis bedeutet das: Komponenten kennen, Versionen nachvollziehen, Sicherheitsmeldungen verfolgen und Updateentscheidungen dokumentieren.

Freie und quelloffene Software hat im CRA besondere Regeln. Daraus folgt aber nicht, dass jede Open-Source-Komponente automatisch „außerhalb“ des CRA liegt. Entscheidend sind unter anderem die Art der Bereitstellung und die Rolle des Unternehmens. Wer Open Source in ein kommerziell angebotenes eigenes Produkt integriert, bleibt für die Sicherheit des eigenen Produkts verantwortlich.

Schwachstellen während des Supportzeitraums behandeln

Der Hersteller muss Schwachstellen seines Produkts einschließlich relevanter Komponenten während des festgelegten Unterstützungszeitraums wirksam behandeln. Dazu gehören Prozesse, mit denen interne oder externe Schwachstellenmeldungen aufgenommen, bewertet, behoben und kommuniziert werden.

Der Supportzeitraum soll der erwarteten Nutzungsdauer entsprechen und beträgt grundsätzlich mindestens fünf Jahre. Wird das Produkt voraussichtlich kürzer genutzt, kann ein kürzerer Zeitraum möglich sein. Bei langlebigen Produkten kann ein längerer Zeitraum erforderlich sein.

Technische Dokumentation führen

Die technische Dokumentation ist der Nachweis, dass der Hersteller seine Pflichten nachvollziehbar umgesetzt hat. Sie umfasst unter anderem die Produktbeschreibung, die Risikobewertung und Informationen darüber, wie die grundlegenden Anforderungen erfüllt werden. Je nach Produkt kommen weitere Nachweise hinzu.

Für kleine Unternehmen lohnt es sich, die Dokumentation parallel zur Entwicklung aufzubauen. Nachträglich rekonstruierte Entscheidungen kosten mehr Zeit und sind oft schlechter belegbar.

Konformitätsbewertung, EU-Konformitätserklärung und CE

Vor dem Inverkehrbringen muss der Hersteller das passende Konformitätsbewertungsverfahren durchführen. Für viele Standardprodukte ist eine interne Kontrolle beziehungsweise Selbstbewertung möglich. Bei bestimmten wichtigen oder kritischen Produktkategorien gelten strengere Wege; in einigen Fällen ist eine notifizierte Stelle erforderlich.

Nach erfolgreicher Bewertung erstellt der Hersteller die EU-Konformitätserklärung und bringt die CE-Kennzeichnung an. Bestehende CE-Prozesse können dabei helfen, ersetzen die CRA-Prüfung aber nicht automatisch.

Welche Meldepflichten gelten ab 11. September 2026?

Ab diesem Datum müssen Hersteller bestimmte aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, wenn sie davon Kenntnis erlangen. Die vorgesehenen Fristen sind kurz.

Die Meldung erfolgt über die vorgesehene CRA-Meldeplattform. Für Unternehmen heißt das organisatorisch: Verantwortlichkeiten müssen klar sein, technische Informationen schnell zusammengetragen werden können und die Eskalation darf nicht erst nach Ablauf eines Wochenendes starten.

Welche Pflichten haben Importeure?

Ein Importeur bringt ein außerhalb der EU hergestelltes Produkt mit digitalen Elementen in der Union in Verkehr. Er muss vorab prüfen, ob der Hersteller wesentliche CRA-Pflichten erfüllt hat. Dazu zählen insbesondere die relevanten Produktanforderungen, der Prozess zur Schwachstellenbehandlung, das passende Konformitätsbewertungsverfahren, die technische Dokumentation und die CE-Kennzeichnung.

Hat der Importeur Grund zu der Annahme, dass ein Produkt nicht konform ist, darf er es nicht einfach weiter in Verkehr bringen. Bei bekannten Schwachstellen oder Risiken entstehen außerdem Informations- und Kooperationspflichten. Unternehmen mit Eigenimporten sollten deshalb ihre Lieferantenunterlagen frühzeitig erweitern.

Welche Pflichten haben Händler?

Händler stellen Produkte in der Lieferkette bereit, ohne Hersteller oder Importeur zu sein. Sie müssen vor der Bereitstellung unter anderem prüfen, ob die CE-Kennzeichnung vorhanden ist und bestimmte Informationspflichten von Hersteller und Importeur erfüllt wurden. Dazu gehören beispielsweise Herstellerinformationen, Nutzerinformationen und Angaben zum Supportzeitraum.

Ein Händler darf Warnzeichen nicht ignorieren. Bestehen Gründe für die Annahme, dass das Produkt nicht CRA-konform ist, muss er reagieren. Dasselbe gilt, wenn ihm eine Schwachstelle bekannt wird. Je nach Situation muss das Produkt zurückgehalten und der Hersteller beziehungsweise Importeur informiert werden.

Wann wird ein Händler oder Importeur selbst zum Hersteller?

Wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder eine bereits vermarktete Lösung so wesentlich verändert, dass die CRA-Konformität betroffen sein kann, sollte die Herstellerrolle prüfen. Das ist für White-Label-Produkte, OEM-Lösungen und stark angepasste Software besonders relevant.

Eine reine Umverpackung ist nicht dasselbe wie eine sicherheitsrelevante Produktänderung. Die Grenze hängt aber vom konkreten Produkt und der Änderung ab. Bei Zweifeln sollte die Einordnung dokumentiert und fachlich geprüft werden.

Wie unterscheiden sich Standardprodukte, wichtige und kritische Produkte?

Die Produktkategorie beeinflusst vor allem den Konformitätsweg. Viele Produkte – etwa zahlreiche Haushaltsgeräte, Computerspiele oder mobile Anwendungen – können grundsätzlich über eine Selbstbewertung des Herstellers laufen. Für wichtige Produkte gelten abhängig von der konkreten Klasse und der Nutzung harmonisierter Standards strengere Anforderungen. Bei kritischen Produkten ist eine Konformitätsbewertung durch eine notifizierte Stelle vorgesehen.

Deshalb ist „Brauche ich eine Zertifizierung?“ nicht die erste Frage. Zuerst muss die Produktkategorie feststehen. Danach lässt sich bestimmen, welcher Konformitätsweg zulässig ist.

Welche Sanktionen sieht der CRA vor?

Der CRA sieht für bestimmte Verstöße erhebliche Bußgeldrahmen vor. Bei Verstößen gegen grundlegende Cybersicherheitsanforderungen und zentrale Herstellerpflichten können – abhängig von der Umsetzung und dem konkreten Fall – Geldbußen bis zu 15 Millionen Euro oder bis zu 2,5 Prozent des weltweiten Jahresumsatzes vorgesehen sein, wobei der höhere Betrag maßgeblich sein kann. Für andere Pflichtverletzungen gelten weitere Bußgeldrahmen.

Für kleine Unternehmen sollte daraus keine Angstrhetorik entstehen. Wichtiger ist, dass CRA-Compliance als nachvollziehbarer Produktprozess organisiert wird. Wer Produkte, Rollen, Risiken und Verantwortlichkeiten kennt, kann die weiteren Anforderungen gezielt abarbeiten.

Welche Unterlagen sollte ein Unternehmen jetzt anlegen?

• Produktinventar mit Versionen und verantwortlicher Stelle.
• Rollenmatrix: Hersteller, Importeur, Händler oder mehrere Rollen.
• Cybersicherheits-Risikobewertung je betroffenen Produkt.
• Übersicht über Software- und Hardwarekomponenten sowie Abhängigkeiten.
• Verfahren für Schwachstellenmeldungen, Patches und Sicherheitsupdates.
• Definition und Begründung des Supportzeitraums.
• Technische Dokumentation und Nachweise zur Umsetzung der Anforderungen.
• Prozess für CRA-Meldungen ab September 2026.
• Unterlagen zum Konformitätsbewertungsverfahren und zur CE-Kennzeichnung.

Die Reihenfolge sollte nicht mit Dokumenten beginnen, sondern mit der Einordnung. Nutze zuerst den CRA-Check, wenn noch unklar ist, ob ein Produkt oder eine Unternehmensrolle überhaupt erfasst wird.

Wie organisiert ein kleiner Hersteller die CRA-Vorbereitung?

Ein kleines Unternehmen muss keine eigene Compliance-Abteilung aufbauen, um strukturiert zu starten. Sinnvoll ist eine Aufteilung in wenige Arbeitspakete, die direkt an das Produkt gekoppelt sind.

Arbeitspaket 1: Produkt und Verantwortliche festlegen

Jedes betroffene Produkt bekommt eine eindeutige Bezeichnung, eine verantwortliche Person und einen dokumentierten Status. So bleibt klar, welche Version bewertet wurde und wer Entscheidungen zu Sicherheit, Releases und Meldungen koordiniert.

Arbeitspaket 2: Risiken und Komponenten erfassen

Die Risikobewertung sollte mit der tatsächlichen Architektur zusammenpassen. Externe Schnittstellen, Authentifizierung, Updatekanäle, sensible Daten, Bibliotheken und zentrale Hardwarekomponenten gehören in die Betrachtung. Eine gepflegte Komponentenliste erleichtert später die Bewertung neuer Schwachstellen.

Arbeitspaket 3: Sicherheitsanforderungen in Entwicklung und Tests einbauen

Die relevanten CRA-Anforderungen sollten in Entwicklungs- und Abnahmekriterien übersetzt werden. Dann entstehen Nachweise automatisch dort, wo ohnehin entwickelt und getestet wird. Das ist belastbarer als ein separates Compliance-Dokument, das erst kurz vor Markteinführung erstellt wird.

Arbeitspaket 4: Vulnerability- und Updateprozess festlegen

Das Unternehmen braucht einen Eingangskanal für Sicherheitsmeldungen, eine Bewertung, eine Entscheidung über Priorität und Behebung sowie einen nachvollziehbaren Releaseweg für Sicherheitsupdates. Auch die Kommunikation an Nutzer gehört dazu.

Arbeitspaket 5: Meldeweg üben

Die kurzen Fristen ab September 2026 sprechen dafür, den Ablauf einmal trocken durchzuspielen. Wer erkennt einen potenziell meldepflichtigen Fall? Welche Fakten müssen innerhalb von 24 Stunden verfügbar sein? Wer darf die Meldung freigeben? Eine kurze interne Übung kann organisatorische Lücken sichtbar machen.

Arbeitspaket 6: Konformitätsunterlagen vervollständigen

Vor dem Inverkehrbringen müssen Risikobewertung, technische Dokumentation, Konformitätsverfahren und Nutzerinformationen zusammenpassen. Die Unterlagen sollten versionsbezogen abgelegt werden, damit spätere Änderungen nachvollziehbar bleiben.

Wer sollte intern für CRA-Aufgaben verantwortlich sein?

Die Gesamtverantwortung hängt von der Unternehmensstruktur ab, die Aufgaben sollten aber eindeutig zugeordnet sein. In einem kleinen Softwarehaus können Produktverantwortlicher und technischer Leiter mehrere Rollen übernehmen. Entscheidend ist, dass Sicherheitsmeldungen nicht zwischen Support, Entwicklung und Geschäftsführung liegen bleiben.

Mindestens vier Zuständigkeiten sollten geklärt sein: Wer entscheidet über die Produkteinordnung? Wer verantwortet die technische Risikobewertung? Wer organisiert Schwachstellen und Updates? Wer übernimmt die externe Meldung und Behördenkommunikation? Bei sehr kleinen Betrieben kann eine Person mehrere Punkte übernehmen, solange Vertretung und Erreichbarkeit geregelt sind.

Wo finde ich den verbindlichen CRA-Rechtstext?

Für Detailfragen ist die Verordnung (EU) 2024/2847 maßgeblich. Die konsolidierte Fassung enthält unter anderem die Herstellerpflichten in Artikel 13, die Meldepflichten in Artikel 14, die Sanktionen in Artikel 64 und die Anwendungsdaten in Artikel 71.

Cyber Resilience Act auf EUR-Lex