CRA Scope Check

Art. 3(13): Sie entwickeln oder fertigen das Produkt oder lassen es fertigen und vermarkten es unter Ihrem Namen oder Ihrer Marke, gegen Entgelt oder unentgeltlich.

Ein Einführer oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich ändert, gilt als Hersteller und unterliegt den Artikeln 13 und 14.

Seit 11. September 2026

Melden Sie eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall an Ihr koordinierendes CSIRT und die ENISA: Frühwarnung innerhalb von 24 Stunden nach Kenntnis, Meldung innerhalb von 72 Stunden, Abschlussbericht nach der Behebung (Art. 14, Art. 71(2)). Produkte, die Sie vor Dezember 2027 in Verkehr gebracht haben, zählen ebenfalls (Art. 69(3)).

Ab 11. Dezember 2027

Die grundlegenden Anforderungen des Anhangs I, die technische Dokumentation, die Konformitätsbewertung und die CE-Kennzeichnung (Art. 13).

Geldbußen

Eine versäumte Pflicht aus Artikel 13 oder 14 liegt in der obersten Stufe: bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes (Art. 64(2)).

Drei Dinge für diese Woche

1. Registrieren Sie sich auf der ENISA Single Reporting Platform und benennen Sie einen Primary Assigned Representative.
2. Wissen Sie, was jedes Produkt enthält: eine SBOM pro Version, dort abgelegt, wo die Bereitschaft sie lesen kann.
3. Legen Sie fest, wer die Kenntnis feststellt und wo der Zeitpunkt festgehalten wird. Die Uhr zählt ab dieser Entscheidung.

Art. 3, „Einführer“: Sie sind in der EU niedergelassen und bringen ein Produkt in Verkehr, das den Namen oder die Marke einer außerhalb der EU niedergelassenen Person trägt.

Ihre eigenen Pflichten stehen in Artikel 19 und gelten ab 11. Dezember 2027: nur konforme Produkte in Verkehr bringen, prüfen, dass der Hersteller seinen Teil erfüllt hat, die Dokumentation aufbewahren und den Hersteller sowie die Marktüberwachungsbehörden informieren, wenn Sie von einer Schwachstelle oder einer Nichtkonformität erfahren.

Die Meldepflicht nach Artikel 14 bleibt beim Hersteller, es sei denn, Sie setzen Ihren eigenen Namen auf das Produkt oder ändern es wesentlich; dann wird sie zu Ihrer (Art. 21).

Fragen Sie Ihren Hersteller noch heute: Wer ist ihr Assigned Representative auf der ENISA-Plattform, und wie erfahren Sie es innerhalb von 24 Stunden?

Art. 3, „Händler“: Sie stellen ein Produkt auf dem EU-Markt bereit, ohne seine Eigenschaften zu verändern, und sind weder sein Hersteller noch sein Einführer.

Ihre eigenen Pflichten stehen in Artikel 20 und gelten ab 11. Dezember 2027: CE-Kennzeichnung und Dokumentation prüfen, bevor Sie das Produkt liefern, und den Hersteller oder Einführer sowie die Marktüberwachungsbehörden informieren, wenn Sie von einer Schwachstelle oder einer Nichtkonformität erfahren.

Die Meldepflicht nach Artikel 14 bleibt beim Hersteller, es sei denn, Sie setzen Ihren eigenen Namen auf das Produkt oder ändern es wesentlich; dann wird sie zu Ihrer (Art. 21).

Fragen Sie Ihren Hersteller noch heute: Wer ist ihr Assigned Representative auf der ENISA-Plattform, und wie erfahren Sie es innerhalb von 24 Stunden?

Art. 3(14): eine juristische Person, die kein Hersteller ist, die systematisch und dauerhaft die Entwicklung bestimmter quelloffener Produkte unterstützt, die für gewerbliche Tätigkeiten bestimmt sind, und deren Tragfähigkeit sicherstellt.

Artikel 24 legt Ihre Pflichten fest: eine Cybersicherheitsstrategie für das Projekt, Zusammenarbeit mit den Marktüberwachungsbehörden und die Meldepflicht nach Artikel 14(1), soweit Sie an der Entwicklung beteiligt sind (Art. 24(3)). Gegen Verwalter werden keine Geldbußen verhängt (Art. 64(10)).

Der allgemeine Geltungsbeginn ist der 11. Dezember 2027; die Plattform der ENISA nimmt Meldungen von Verwaltern bereits an. Ein Projekt, das monetarisiert oder von einem Unternehmen im Rahmen seiner Geschäftstätigkeit entwickelt wird, macht dieses Unternehmen stattdessen zum Hersteller.

Die Verordnung erfasst Produkte mit digitalen Elementen (Art. 3(1)). Software, die nur als Dienst angeboten wird, ist keines, es sei denn, sie ist die Datenfernverarbeitung, die ein Produkt für eine seiner Funktionen braucht (Art. 3(2)); dann ist sie Teil dieses Produkts, und dessen Hersteller steht dafür ein.

Auf den Dienst selbst kann NIS2 (Richtlinie (EU) 2022/2555) anwendbar sein. Das ist ein anderes Gesetz mit einem anderen Melderegime.

Die Verordnung gilt für Produkte, die im Rahmen einer Geschäftstätigkeit bereitgestellt werden (Art. 3, „Bereitstellung auf dem Markt“). Quelloffene Software zu entwickeln und zu veröffentlichen, ohne sie zu monetarisieren, ist keine (Erwägungsgrund 18).

Gewerblich wird es, wenn Sie für die Software oder ihren Support über die Kostendeckung hinaus Geld verlangen oder wenn ein Unternehmen sie im Rahmen seiner Geschäftstätigkeit entwickelt. Dann wiederholen Sie diese Prüfung als Hersteller.

Artikel 2 überlässt das Produkt dem Recht, das es bereits erfasst:

Prüfen Sie das je Produktlinie. Ein ausgenommenes Gerät neben einem Gateway oder einer App, die nicht ausgenommen sind, nimmt Gateway oder App nicht aus dem Anwendungsbereich.