Gilt die Cyberresilienz-Verordnung für Sie?

Die meisten begegnen der Cyberresilienz-Verordnung (CRA) zuerst als Gerücht: irgendetwas mit CE-Kennzeichnung für Software, irgendwann 2027. Dann versuchen sie herauszufinden, ob sie das betrifft, und die Antwort hängt, wie sich zeigt, von drei Fragen ab — eine davon beantworten fast alle falsch.

Dieser Ratgeber geht diese drei Fragen durch, in der Reihenfolge, in der die Verordnung sie stellt.

Frage 1 — Ist es ein Produkt mit digitalen Elementen?

Art. 3 Nr. 1 definiert ein Produkt mit digitalen Elementen als Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen. Art. 2 Abs. 1 fügt die Bedingung für den Anwendungsbereich hinzu: Der bestimmungsgemäße Zweck oder die vernünftigerweise vorhersehbare Verwendung muss eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließen.

Zusammengenommen fallen drei Formen eindeutig darunter:

• Hardware mit Software darin — Geräte, Haushaltsgeräte, Industrieausrüstung, Netzwerkhardware.
• Software, die Sie ausliefern oder lizenzieren — Anwendungen, Firmware, SDKs, Agenten, die ein Kunde installiert.
• Die Datenfernverarbeitung, von der diese abhängen — und hier wird es interessant.

Dieser letzte Teil der Definition ist keine Verzierung. Er holt Cloud-Infrastruktur in eine Verordnung, von der viele annehmen, sie handle von Geräten.

Frage 2 — Die SaaS-Frage, und warum sie so oft falsch beantwortet wird

Wenn Sie einen gehosteten Dienst betreiben und nichts ausliefern, liegt der Schluss nahe, dass der CRA jemand anderen betrifft. Manchmal stimmt das. Oft nicht.

Art. 3 Nr. 2 definiert Datenfernverarbeitung als entfernt stattfindende Datenverarbeitung, deren Software der Hersteller selbst oder unter seiner Verantwortung konzipiert und entwickelt und „ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“.

Die Prüfung lautet also nicht „Betreiben wir einen Cloud-Dienst?“. Sie lautet:

Würde ein ausgeliefertes Produkt ohne Ihren Dienst eine seiner Funktionen verlieren?

Erwägungsgrund 12 liefert das Beispiel der Verordnung selbst: Die Cloud-Funktionen eines Herstellers intelligenter Haushaltsgeräte, mit denen Nutzer das Gerät aus der Ferne steuern, fallen in den Anwendungsbereich. Ohne sie erfüllt das Gerät seine Aufgabe nicht.

Die andere Seite der Grenze zieht die Verordnung ebenso ausdrücklich. Eine Website, die die Funktionalität eines ausgelieferten Produkts nicht unterstützt, fällt nicht darunter. Ein Cloud-Dienst, der außerhalb der Verantwortung eines Herstellers entwickelt wurde, fällt nicht darunter. Solche Dienste gehören stattdessen in den Bereich der NIS-2-Richtlinie, eines anderen Regelwerks mit anderen Pflichten.

Ihre Situation	CRA
Ein Gerät oder eine installierte Anwendung ruft Ihr Backend auf, um seine Aufgabe zu erfüllen	Im Anwendungsbereich — Sie liefern die Datenfernverarbeitung eines Produkts
Der gehostete Dienst ist das ganze Produkt; nichts wird ausgeliefert	Außerhalb des CRA; prüfen Sie NIS-2
Website, die für ein Produkt wirbt	Außerhalb
Cloud-Dienst, den das Produkt eines anderen zufällig aufruft, entwickelt außerhalb von dessen Verantwortung	Außerhalb

Wenn Sie ein SaaS-Unternehmen sind, das auch einen Agenten, einen Desktop-Client, eine mobile App oder Firmware ausliefert, lohnt es sich, diese Frage sorgfältig statt schnell zu beantworten.

Frage 3 — Ist es kommerziell?

Nach Art. 2 Abs. 1 gilt die Verordnung für Produkte, die auf dem Markt bereitgestellt werden, und Art. 3 definiert diese Bereitstellung als „die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“.

Ob Sie Geld verlangen, ist nicht das Kriterium. Das Produkt zu verschenken, ist für sich genommen kein Ausweg. Verkauf, Lizenzierung, bezahlter Support, eine bezahlte gehostete Variante oder die Abgabe in einem geschäftlichen Zusammenhang zählen alle.

Wirklich nicht kommerzielle Open-Source-Software wird anders behandelt — Art. 24 schafft eine leichtere Regelung für Verwalter quelloffener Software, Organisationen, die die Entwicklung quelloffener Software, die in kommerziellen Produkten genutzt wird, nachhaltig unterstützen. Das ist eine echte Ausnahme, kein Schlupfloch, und sie bringt eigene Pflichten mit sich statt gar keiner.

Dann: Welche Rolle haben Sie?

Mit dem Anwendungsbereich ist es nicht getan. Was Sie schulden, hängt stark davon ab, welche Rolle Sie haben, und die Verordnung gibt jeder Rolle einen eigenen Artikel:

Rolle	Artikel	Was das bedeutet
Hersteller	13	Sie entwickeln das Produkt oder lassen es entwickeln und vermarkten es unter Ihrem Namen. Der volle Satz an Pflichten.
Einführer	19	Sie bringen das Produkt eines Herstellers von außerhalb der EU auf den EU-Markt. Enger gefasst, aber echt.
Händler	20	Sie stellen das Produkt eines anderen bereit, ohne es zu verändern. Noch enger gefasst.
Verwalter quelloffener Software	24	Sie unterstützen nachhaltig die Entwicklung quelloffener Software, die kommerziell genutzt wird. Eine leichtere Regelung.

Ein Hersteller trägt die grundlegenden Cybersicherheitsanforderungen, die technische Dokumentation, die Konformitätsbewertung, die CE-Kennzeichnung, die Behandlung von Schwachstellen und die Meldepflichten. Ein Einführer oder Händler trägt vor allem Prüfpflichten und die Pflicht, nichts schlimmer zu machen — zu prüfen, ob die CE-Kennzeichnung vorhanden ist, kein Produkt in Verkehr zu bringen oder auf dem Markt bereitzustellen, von dem er weiß, dass es nicht konform ist, und mit den Behörden zusammenzuarbeiten.

Eine Falle sollten Sie kennen: Wer das Produkt eines anderen wesentlich verändert, kann dadurch zu dessen Hersteller werden. Vertreiben Sie es unter Ihrer eigenen Marke, gilt das erst recht.

Was ganz ausgenommen ist

Der CRA gilt nicht, wo bereits sektorspezifische Cybersicherheitsvorschriften gelten:

• Medizinprodukte — MDR und IVDR (Verordnungen (EU) 2017/745 und (EU) 2017/746)
• Zivilluftfahrt — Verordnung (EU) 2018/1139
• Kraftfahrzeuge — bereits durch UN R155/R156 abgedeckt
• Schiffsausrüstung — Richtlinie 2014/90/EU

Das sind echte Ausnahmen, keine Aufschübe. Ist Ihr Produkt ein Medizinprodukt, stehen seine Cybersicherheitspflichten in der MDR, nicht hier.

Wenn die Antwort „Ich bin nicht sicher“ lautet

Für viele Produkte ist das die ehrliche Antwort, und meist hängt sie an Frage 2. Zwei Dinge helfen:

Schreiben Sie auf, was das Produkt tatsächlich ist. Nicht die Marketingbeschreibung — die technische. Was ist auf wessen Rechner installiert, was spricht mit was, und was funktioniert nicht mehr, wenn Ihre Infrastruktur wegfällt? Die meisten Streitfragen zum Anwendungsbereich lösen sich auf, sobald das auf Papier steht.

Beantworten Sie die Frage jetzt, nicht erst vor Dezember 2027. Die gesamte Verordnung — grundlegende Cybersicherheitsanforderungen, CE-Kennzeichnung, Konformitätsbewertung — gilt ab dem 11. Dezember 2027. Die Meldepflichten nach Art. 14 gelten aber bereits seit dem 11. September 2026, und zwar für Hersteller von Produkten im Anwendungsbereich. Wenn Sie in den Anwendungsbereich fallen und es nicht wissen, gilt die erste Frist für Sie schon — mehr als ein Jahr vor der, auf die alle hinplanen.

Diese Lücke zwischen den beiden Terminen ist der häufigste Planungsfehler, den wir sehen, und ihr ist ein eigener Ratgeber gewidmet.