Wer ist vom Cyber Resilience Act betroffen?

Denn bevor Unternehmen Pflichten umsetzen können, müssen sie klären, ob sie überhaupt in den Anwendungsbereich des CRA fallen und welche Rolle sie konkret einnehmen.

Gerade diese Rollenklärung ist in der Praxis zentral. Der CRA richtet sich nicht nur an klassische IT- oder Softwareunternehmen. Auch Hersteller technischer Produkte, Maschinenbauer, Importeure, Händler, Plattformen und Organisationen aus dem Open-Source-Umfeld können betroffen sein. Entscheidend ist nicht die Branchenzugehörigkeit, sondern die Frage, ob Produkte mit digitalen Elementen auf dem EU-Markt bereitgestellt werden und welche Funktion das jeweilige Unternehmen in der Lieferkette übernimmt.

Ausgangspunkt jeder Prüfung ist das Produkt. Der CRA knüpft an Produkte mit digitalen Elementen an. Gemeint sind insbesondere Software- und Hardwareprodukte, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Nutzung eine direkte oder indirekte Verbindung zu einem Gerät oder Netzwerk umfasst. Dazu können klassische Software, Apps, Betriebssysteme, IoT-Geräte, Smart-Home-Produkte, vernetzte Maschinen, Steuerungskomponenten oder digitale Bauteile gehören.

Damit wird schnell deutlich: Der CRA betrifft nicht nur Unternehmen, die Software als Hauptprodukt verkaufen. Auch ein Maschinenbauunternehmen kann betroffen sein, wenn seine Maschinen digitale Steuerungskomponenten enthalten oder vernetzt betrieben werden. Gleiches gilt für Anbieter technischer Geräte, die Firmware, Schnittstellen, Cloud-Anbindungen oder digitale Zusatzfunktionen integrieren.

Für Unternehmen empfiehlt sich daher eine produktbezogene Prüfung. Nicht die interne Organisationsstruktur ist entscheidend, sondern das konkrete Marktangebot. Welche Produkte enthalten digitale Elemente? Welche Komponenten werden separat bereitgestellt? Welche Software wird mitgeliefert oder im Produktbetrieb zwingend benötigt? Erst wenn diese Fragen beantwortet sind, lässt sich die eigene Rolle belastbar bestimmen.

Die umfassendsten Pflichten treffen Hersteller. Hersteller ist nicht nur, wer ein Produkt tatsächlich selbst entwickelt oder produziert. Erfasst ist auch, wer ein Produkt entwickeln oder herstellen lässt und es anschließend unter eigenem Namen oder eigener Marke vermarktet. Für viele Unternehmen ist das ein wichtiger Punkt: Wer White-Label-Produkte, OEM-Komponenten oder extern entwickelte Software unter eigener Marke vertreibt, kann regulatorisch als Hersteller gelten.

Hersteller müssen sicherstellen, dass das Produkt die grundlegenden Cybersicherheitsanforderungen erfüllt. Dazu gehören insbesondere Risikobewertung, sichere Entwicklung, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Nutzerinformationen, Festlegung eines Supportzeitraums, Schwachstellenmanagement und Sicherheitsupdates. Diese Verantwortung endet nicht mit dem Inverkehrbringen. Der CRA verlangt eine Betrachtung über den Produktlebenszyklus.

Für Hersteller wird daher entscheidend sein, Cybersecurity in Produktentwicklung, Qualitätsmanagement und Release-Prozesse zu integrieren. Sicherheitsanforderungen dürfen nicht erst am Ende eines Projekts geprüft werden. Sie müssen von Beginn an Bestandteil von Design, Entwicklung, Beschaffung und Wartung sein.

Importeure nehmen eine wichtige Kontrollfunktion ein. Sie bringen Produkte mit digitalen Elementen auf den EU-Markt, die von Herstellern außerhalb der EU stammen. Der CRA behandelt Importeure deshalb nicht als bloße Durchleitungsstelle. Sie müssen prüfen, ob der Hersteller zentrale Anforderungen erfüllt hat.

Dazu gehört insbesondere die Frage, ob eine Konformitätsbewertung durchgeführt wurde, ob technische Dokumentation vorhanden ist, ob das Produkt die CE-Kennzeichnung trägt und ob die erforderlichen Informationen bereitgestellt werden. Bestehen Zweifel an der CRA-Konformität, darf ein Importeur das Produkt nicht einfach weiter auf den Markt bringen.

Für die Praxis bedeutet das: Importeure benötigen künftig belastbare Nachweise von Herstellern außerhalb der EU. Vertragsunterlagen, Lieferantenauskünfte und bloße Zusicherungen werden nicht immer ausreichen. Unternehmen sollten ihre Einkaufs- und Importprozesse daher frühzeitig auf CRA-Konformität ausrichten.

Auch Händler sind vom CRA erfasst, wenn sie Produkte mit digitalen Elementen auf dem EU-Markt bereitstellen. Ihre Pflichten sind weniger weitgehend als die Herstellerpflichten, aber keineswegs bedeutungslos. Händler müssen insbesondere prüfen, ob bestimmte formale Anforderungen erfüllt sind, etwa CE-Kennzeichnung, Hersteller- und Importeurangaben, Nutzerinformationen und Angaben zum Supportzeitraum.

Außerdem müssen Händler reagieren, wenn sie Grund zu der Annahme haben, dass ein Produkt nicht CRA-konform ist oder eine relevante Schwachstelle besteht. In solchen Fällen dürfen sie das Produkt nicht schlicht weiter vertreiben. Sie müssen Informationen weitergeben, mit Herstellern oder Importeuren zusammenarbeiten und gegebenenfalls mit Marktüberwachungsbehörden kooperieren.

Für Handelsunternehmen bedeutet dies, dass Cybersecurity Teil der Produkt- und Lieferantenprüfung wird. Wer digitale Produkte vertreibt, braucht künftig Prozesse, um Konformitätsinformationen zu erfassen, zu prüfen und bei Sicherheitsproblemen handlungsfähig zu sein.

Besonders sensibel ist die Rolle von Open-Source-Software. Der CRA erkennt an, dass freie und quelloffene Software eine besondere Bedeutung für Innovation und Cybersicherheit hat. Deshalb gilt keine pauschale Gleichbehandlung mit kommerzieller proprietärer Software.

Nicht jede Open-Source-Entwicklung fällt in den vollen Pflichtenkatalog. Entwicklerinnen und Entwickler, die lediglich zu Open-Source-Projekten beitragen, ohne die Software selbst im Rahmen einer kommerziellen Tätigkeit auf den Markt zu bringen, sollen nicht wie Hersteller behandelt werden. Anders ist die Lage, wenn ein Unternehmen Open-Source-Software als Produkt mit digitalen Elementen kommerziell bereitstellt oder unter eigener Verantwortung in ein Produkt integriert. Dann können Herstellerpflichten ausgelöst werden.

Daneben führt der CRA die Kategorie der Open-Source-Software-Stewards ein. Gemeint sind juristische Personen, die bestimmte freie und quelloffene Softwareprojekte nachhaltig unterstützen, deren Entwicklung fördern und deren Fortbestand sichern, ohne selbst Hersteller zu sein. Für sie gilt ein leichteres, angepasstes Pflichtensystem, insbesondere mit Blick auf Cybersicherheitsrichtlinien, Schwachstellenmanagement, Kooperation mit Behörden und bestimmte Meldepflichten.

Die Betroffenheit nach dem CRA entscheidet sich nicht nach Unternehmensgröße oder Selbstverständnis, sondern nach Produkt, Marktrolle und Lieferkettenfunktion. Hersteller tragen die Hauptverantwortung. Importeure und Händler haben eigenständige Prüf-, Informations- und Kooperationspflichten. Open-Source-Akteure werden differenziert behandelt, sind aber nicht vollständig außerhalb des CRA.

Für Unternehmen ist die Rollenklärung deshalb der erste operative Umsetzungsschritt. Wer Produkte mit digitalen Elementen entwickelt, vertreibt, importiert oder integriert, sollte sein Produktportfolio analysieren, Lieferketten prüfen und Verantwortlichkeiten dokumentieren. Nur wer weiß, welche Rolle er im Sinne des CRA einnimmt, kann die richtigen Pflichten ableiten und die Umsetzung planbar steuern.

Falls Sie Fragen zum geschilderten Thema und/oder zu anderen datenschutzrelevanten Themen haben, kontaktieren Sie uns einfach!

Zentrale Hutthurm: +49 (0) 8505 91927 – 0

Niederlassung München: +49 (0) 89 413 2943 – 0

Oder nutzen Sie unser Kontaktformular.