Bin ich vom CRA betroffen? Produkte mit digitalen Elementen prüfen

Dieser Leitfaden führt Sie in fünf Fragen durch die Prüfung. Die Beispiele kommen aus der Industrie. Pflichten und Fristen im Überblick stehen im Leitfaden für Softwarehersteller.

Die Prüfung in fünf Fragen

1. Ist es ein Produkt mit digitalen Elementen? Gemeint sind Software- oder Hardwareprodukte samt zugehöriger Datenfernverarbeitung, auch getrennt verkaufte Komponenten (Art. 3 Nr. 1).
2. Gibt es eine Datenverbindung? Der bestimmungsgemäße Zweck oder die vorhersehbare Verwendung schließt eine logische oder physische Verbindung zu einem Gerät oder Netz ein (Art. 2 Abs. 1).
3. Kommt es auf den Markt? Sie geben es im Rahmen einer Geschäftstätigkeit ab, entgeltlich oder unentgeltlich (Art. 3 Nr. 22).
4. Greift eine Ausnahme? Bestimmte Produkte unterliegen eigenen Regeln und sind ausgenommen (Art. 2 Abs. 2 bis 7).
5. Welche Rolle haben Sie? Hersteller, Einführer oder Händler? Davon hängen Ihre Pflichten ab (Art. 13, 19, 20).

Lautet die Antwort auf die ersten drei Fragen Ja und auf die vierte Nein, sind Sie betroffen. Dann folgt die Einordnung in die Produktklasse.

Was als Produkt zählt

Die Leitlinien der Kommission vom 27.07.2026 (C(2026) 5252, Rn. 18) nennen vier Gruppen:

• Eigenständige Software. Programme und Apps, ob per Download oder auf einem Datenträger geliefert.
• Hardware mit eingebetteter Software. Zum Beispiel vernetzte Geräte und Steuerungen mit Firmware.
• Eigenständige Hardware. Zum Beispiel integrierte Schaltungen und Hauptplatinen.
• Kombinationen. Hard- und Software, die getrennt geliefert werden, aber zusammenarbeiten sollen.

Software, die zum Betrieb, zur Konfiguration oder Steuerung nötig ist, gehört zum Produkt, auch wenn sie über einen anderen Kanal kommt (Rn. 25). Das kann auch ein Engineering-Tool sein, das Sie zu Ihrem Gerät zum Download anbieten.

Wann eine Datenverbindung vorliegt

Entscheidend ist nicht, ob Elektronik im Produkt steckt, sondern ob es digitale Informationen austauschen kann. Ein Sender codiert dafür bewusst Daten, ein Empfänger liest sie (Rn. 26 bis 28).

Ein Ausgang, der nur schaltet oder Strom liefert, ist danach keine Datenverbindung. Ein Feldbus, Ethernet, USB oder eine Funkschnittstelle sind es dagegen in aller Regel. Auch indirekte Verbindungen zählen, zum Beispiel über ein vorgeschaltetes Gateway.

Cloud und Fernverarbeitung

Reine Webanwendungen, die Nutzer nur über den Browser aufrufen, sind für sich genommen kein Produkt im Sinne des CRA (Rn. 21). Sie können aber unter NIS2 fallen.

Anders ist es bei der Datenfernverarbeitung (Art. 3 Nr. 2). Sie gehört zum Produkt, wenn zwei Punkte zutreffen:

• Eigene Entwicklung. Der Hersteller entwickelt die Software dafür selbst oder lässt sie unter seiner Verantwortung entwickeln.
• Nötig für eine Funktion. Ohne die Verarbeitung könnte das Produkt eine seiner Funktionen nicht erfüllen.

Die Leitlinien nennen dazu einen Industrieroboter, dessen Cloud-Dienst aus Kamerabildern die Greifposition berechnet: Dieser Dienst ist Teil des Produkts. Reine Telemetrie für Statistik oder Produktentwicklung ist es dagegen nicht (Rn. 192 und Abschnitt 8.3.4).

Typische Fälle aus der Industrie

Die Tabelle zeigt typische Einordnungen. Sie ersetzt nicht die Prüfung Ihres Produkts.

Die Ausnahmen

Art. 2 nimmt bestimmte Produkte aus:

• Medizinprodukte. Produkte unter den Verordnungen (EU) 2017/745 und 2017/746.
• Fahrzeuge. Produkte unter der Verordnung (EU) 2019/2144.
• Luftfahrt. Produkte, die nach der Verordnung (EU) 2018/1139 zertifiziert wurden.
• Schiffsausrüstung. Geräte im Anwendungsbereich der Richtlinie 2014/90/EU.
• Identische Ersatzteile. Teile, die identische Komponenten ersetzen und nach denselben Spezifikationen hergestellt sind.
• Nationale Sicherheit und Verteidigung. Produkte, die ausschließlich dafür entwickelt oder geändert wurden.

Das Ersatzteil muss nicht baugleich im engen Sinn sein. Maßgeblich ist, dass sich die für die Cybersicherheit wichtigen Eigenschaften nicht ändern (Leitlinien, Beispiele 37 und 38).

Welche Rolle Sie haben

• Hersteller. Sie entwickeln oder fertigen das Produkt oder lassen es entwickeln und vermarkten es unter eigenem Namen. Für Sie gelten die vollen Pflichten.
• Einführer. Sie bringen das Produkt eines Herstellers außerhalb der Union in Verkehr und stellen unter anderem sicher, dass Konformitätsbewertung, Dokumentation und CE-Kennzeichnung vorliegen (Art. 19).
• Händler. Sie stellen das Produkt ohne Änderung bereit und prüfen unter anderem CE-Kennzeichnung und Unterlagen (Art. 20).
• Integrator. Bauen Sie Komponenten zu einem neuen Produkt zusammen und bringen es in Verkehr, sind Sie dessen Hersteller (Rn. 120).

Zwei Fälle werden oft übersehen: Eigene Marke oder wesentliche Änderung machen Einführer und Händler zu Herstellern (Art. 21). Wer sonst ein Produkt wesentlich ändert und bereitstellt, wird für den betroffenen Teil zum Hersteller (Art. 22).

Die Produktklasse

Die Klasse entscheidet über den Weg der Konformitätsbewertung. Sie richtet sich nach der Kernfunktion des Produkts. Eine eingebaute Komponente zieht das Gesamtprodukt nicht automatisch in eine höhere Klasse (Art. 7 Abs. 1).

Produkte, die schon auf dem Markt sind

• Vor dem 11.12.2027 in Verkehr gebracht. Es gelten die Meldepflichten nach Art. 14. Die übrigen Anforderungen gelten nur nach einer wesentlichen Änderung ab diesem Tag (Art. 69).
• Ab dem 11.12.2027 in Verkehr gebracht. Alle Pflichten gelten. Das Inverkehrbringen bezieht sich auf das einzelne Exemplar, nicht auf die Baureihe (Rn. 11).
• Älterer Typ, neue Exemplare. Ein Redesign ist nicht zwingend. Risikobewertung, Konformitätsbewertung, Erklärung und CE-Kennzeichnung brauchen Sie trotzdem (Rn. 33 bis 36).

Wenn Sie Zulieferer sind

Auch ohne Endprodukt kann der CRA Sie erreichen. Eine Komponente, die Sie getrennt in Verkehr bringen, ist selbst ein Produkt mit digitalen Elementen (Art. 3 Nr. 1).

Liefern Sie nur Bauteile ohne digitale Elemente, kommen Anforderungen eher per Vertrag: Hersteller müssen bei zugekauften Komponenten die gebotene Sorgfalt walten lassen (Art. 13 Abs. 5). Fragen nach SBOM, Updates und Schwachstellenmeldung sind deshalb zu erwarten.

Die Prüfung in Complass

Eine Tabelle hält die Entscheidung fest, aber nicht den Weg dahin. Complass führt von der ersten Einschätzung bis zur Akte je Produkt:

• Betroffenheitscheck. Der kostenlose Check auf unserer Website gibt ohne Anmeldung eine erste Einschätzung zu CRA, NIS2 und Maschinenverordnung.
• Fahrplan im Portal. Der Check im Portal speichert das Ergebnis mit Begründung und Fundstelle. Daraus legen Sie je CRA-Produkt und Maschine ein Projekt an.
• Geführtes CRA-Projekt. Je Produkt führen zehn Phasen von Anwendbarkeit und Rolle bis zur Konformitätserklärung.
• Vorlagen. Für Anwendbarkeit, Rolle und Produktklasse stehen Dokumentvorlagen bereit.
• Produktakte. Ein Assistent fragt Art, CRA-Einordnung, Klasse, Maschinenverordnung und Zweck ab. Für wichtige Produkte der Klasse II und kritische Produkte lässt die Version kein Modul A zu.

Die Einschätzung bleibt eine Einschätzung. Die Entscheidung treffen Sie.

Checkliste

• Alle Produkte, Firmware-Stände und verkaufte Software sind aufgelistet.
• Je Produkt ist die Datenverbindung beschrieben.
• Cloud-Funktionen sind geprüft: nötig für eine Funktion, selbst entwickelt?
• Ausnahmen sind mit Fundstelle begründet.
• Die Rolle je Produkt und Markt ist festgehalten.
• Eigene Marken und wesentliche Änderungen sind erfasst.
• Die Klasse ist anhand der Kernfunktion bestimmt.
• Bestandsprodukte sind für die Meldepflicht eingeplant.
• Die Entscheidung ist datiert, begründet und freigegeben.

Häufige Fragen

Wir bauen Sondermaschinen in Einzelfertigung. Gilt der CRA trotzdem?

Die Stückzahl allein schließt den CRA nicht aus. Inverkehrbringen bezieht sich auf das einzelne Produkt, ob als Einzelstück oder in Serie (Rn. 11). Hat die Maschine digitale Elemente mit Datenverbindung, prüfen Sie den CRA neben der Maschinenverordnung.

Reicht die Maschinenverordnung, wenn die Maschine sie erfüllt?

Nein. Die Kommission stellt klar, dass die Erfüllung der einen Verordnung nicht automatisch die andere abdeckt. Ähnliche Risiken lassen sich aber gemeinsam behandeln und mit einer Risikobewertung belegen (Kommissions-FAQ, Abschnitt 2.4).

Wir stellen eine Anlage nur für unsere eigene Fertigung her. Sind wir betroffen?

Für den eigenen Gebrauch hergestellte Produkte kommen nicht in Verkehr und sind nicht erfasst (Kommissions-FAQ, Abschnitt 1.5). Das gilt nicht mehr, sobald Sie sie als eigenes Produkt verkaufen.

Fallen wir unter den CRA, wenn wir außerhalb der EU sitzen?

Ja, wenn Ihr Produkt auf dem EU-Markt bereitgestellt wird. Der Sitz des Herstellers ist für den Anwendungsbereich nicht entscheidend.

Der kostenlose Betroffenheitscheck gibt Ihnen eine erste Einschätzung. In einer Demo zeigen wir, wie daraus ein Projekt je Produkt wird.

Demo anfragen 14 Tage testen

Weiterlesen

• Betroffenheitscheck: NIS2, CRA und Maschinenverordnung
• Whitepaper „Cyber Resilience Act für Hersteller von Hardware und Software“
• Cyber Resilience Act in Complass: von der Anwendbarkeit bis zur CE-Kennzeichnung
• Maschinenverordnung in Complass

Keine Rechtsberatung. Dieser Leitfaden gibt einen allgemeinen Überblick und ersetzt nicht die Prüfung im Einzelfall. Die Leitlinien und FAQ der Kommission sind nicht bindend.