Pflichten nach dem Cyber Resilience Act für Hersteller außerhalb der EU

• CRA gilt für Hersteller außerhalb der EU, die ab 11. September 2026 in der EU verkaufen
• Artikel 18: EU-autorisierten Vertreter erforderlich, wenn keine Niederlassung in der EU vorhanden
• 24-Stunden-Meldepflicht für ausgenutzte Schwachstellen (Artikel 14)
• Konformitätsbewertungsverfahren hängt von der Produktklasse ab
• Bußgelder bis zu 15 Mio. € oder 2,5 % des Umsatzes bei Verstößen

Aktualisiert 18 Oktober 2026 · 9 Quellen geprüft

Anbieter im Vergleich

Preise wie am 18 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was das Gesetz verlangt (mit Artikelnummern)

Der Cyber Resilience Act (CRA) ist die neue EU-Verordnung für Produkte mit digitalen Elementen, einschließlich Hardware, Software und Komponenten. Er gilt für jeden Hersteller – unabhängig vom Standort – wenn seine Produkte auf dem EU-Markt in Verkehr gebracht werden. Das Gesetz trat am 10. Dezember 2024 in Kraft. Meldepflichten beginnen am 11. September 2026; die vollständige Einhaltung (einschließlich CE-Kennzeichnung und Konformitätsbewertung) ist ab dem 11. Dezember 2027 erforderlich.

• Artikel 18: Hersteller außerhalb der EU müssen für jede Produktlinie einen autorisierten Vertreter in der EU benennen, sofern sie keine Niederlassung in der EU haben. Dieser Vertreter fungiert als offizieller Ansprechpartner für Behörden und Marktüberwachung.
• Artikel 14: Hersteller müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle melden. Die Fristen sind streng: Frühwarnung innerhalb von 24 Stunden, vollständige Meldung innerhalb von 72 Stunden und Abschlussbericht innerhalb von 14 Tagen nach Abhilfe oder Meldung. Die Meldeplattform wird von ENISA betrieben, der Empfänger richtet sich nach dem Mitgliedstaat des Vertreters.
• Anhang I & II: Hersteller müssen wesentliche Cybersicherheitsanforderungen erfüllen, darunter Schwachstellenmanagement, Secure-by-Design-Entwicklung und klare Anwenderanleitungen in verständlicher Sprache für Nutzer und Behörden.
• Konformitätsbewertung: Das erforderliche Verfahren hängt von der Produktklasse ab. Standardprodukte können sich selbst bewerten; wichtige Klasse I müssen harmonisierte Normen oder Drittbewertung nutzen; wichtige Klasse II und kritische Produkte benötigen benannte Stellen oder Zertifizierungsschemata.
• Supportzeitraum: Hersteller müssen während des angegebenen Supportzeitraums (mindestens fünf Jahre) Sicherheitsupdates und Schwachstellenmanagement bereitstellen.
• Ausnahmen: Mikro- und Kleinunternehmen sowie Open-Source-Verantwortliche sind von Bußgeldern für verspätete Meldungen ausgenommen, müssen aber technische und Meldepflichten erfüllen.

Importeure und Händler gelten als Hersteller, wenn sie Produkte unter eigenem Namen in Verkehr bringen oder wesentlich verändern. Andernfalls bleibt der ursprüngliche Hersteller für CRA-Compliance und Meldungen verantwortlich.

Wie man einen CRA-Vertreter oder Compliance-Anbieter auswählt

Die Wahl des richtigen Art. 18 Vertreters oder Compliance-Anbieters ist für Hersteller außerhalb der EU entscheidend. Der Markt variiert stark bei Preisen, Transparenz und Leistungsumfang. Folgendes ist zu beachten:

• Rechtliche Einheit und Standort: Prüfen Sie die rechtliche Einheit und EU-Niederlassung des Anbieters. REP27 ist beispielsweise Europe Services, SE mit Sitz in Prag und im tschechischen Handelsregister eingetragen. Immer vor Zahlung prüfen.
• Mandatsumfang: Einige Anbieter bieten nur das Art. 18 Mandat (gesetzlich vorgeschrieben), andere bündeln zusätzliche Leistungen wie DSGVO oder NIS2 Vertretung. Bestätigen Sie, dass das Mandat auf Art. 18(3) beschränkt ist und keine unzulässigen Pflichten nach Art. 18(2 übernimmt.
• Preistransparenz: Achten Sie auf Anbieter, die Erstjahres- und Verlängerungspreise offenlegen. Vorsicht bei Lockangeboten mit späteren stillen Preiserhöhungen. REP27 nennt z.B. klar Verlängerungspreise neben Erstjahresgebühren.
• Verifizierung und Support: Der Anbieter sollte ein verifizierbares Zertifikat, eine öffentliche Prüfmethode und einen besetzten Anfragedienst bieten. Erkundigen Sie sich nach dem Ablauf bei Behörden- oder CSIRT-Anfragen, unterstützten Sprachen und Reaktionszeiten.
• Zusatzleistungen: Benötigen Sie auch DSGVO Art. 27 oder GPSR Art. 16 Vertretung, bieten manche Anbieter (z.B. REP27) Kombipakete zu reduzierten Preisen an.

Entscheidungsmatrix:

Fordern Sie immer ein schriftliches Mandat und Zertifikat an, bevor Sie Produkte auf dem EU-Markt platzieren.

Was der Preis wirklich umfasst: Anbieter-Vergleich

Preise und Leistungsumfang variieren stark. Art. 18 Mandate sind meist die geringsten externen Kosten bei CRA-Compliance, viele Anbieter veröffentlichen jedoch keine vollständigen Details. Nachfolgend ein Vergleich, was enthalten, nicht enthalten oder ggf. extra kostet (Stand Oktober 2026):

Für die meisten Hersteller ist das Art. 18 Mandat ein einseitiges Dokument plus Weiterleitungspflicht. Konformitätsbewertung, technische Prüfung und SBOM-Erstellung sind separate Kosten und nicht in den Basisvertretergebühren enthalten.

Versteckte Kosten und Ausschlüsse

Das Art. 18 Mandat ist zwar gesetzlich vorgeschrieben, macht aber nur einen kleinen Teil der Gesamtkosten für CRA-Compliance aus. Die teuersten Elemente – Konformitätsbewertung, Gebühren benannter Stellen, technische Dokumentation und Supportzeitraum – sind meist nicht in Vertretungspaketen enthalten. Darauf sollten Sie achten:

• Gebühren für Konformitätsbewertung: Für wichtige Klasse II oder kritische Produkte können Kosten für benannte Stellen oder Zertifizierungsschemata mehrere Tausend Euro betragen und Monate dauern. Diese Kosten müssen separat eingeplant werden.
• Technische Dokumentation: Anbieter wie Reglyze und EmberKat bieten technische Aktenerstellung, SBOM-Einspielung und Dokumentationslückenanalyse an, diese sind aber nicht Teil der Standardmandate.
• Verlängerungs- und Einzelgebühren: Manche Anbieter verlangen höhere Verlängerungsgebühren oder Gebühren pro Anfrage/Meldung. Fordern Sie immer schriftliche Bestätigung zu Verlängerungspreisen und Zusatzkosten vor Vertragsabschluss an.
• Kündigungsfristen und Haftungsbeschränkungen: Stille Verlängerungen und unklare Kündigungsbedingungen können zu unerwarteten Kosten führen. Haftung für Compliance-Verstöße wird oft ausgeschlossen oder begrenzt.
• Supportzeitraum-Kosten: Das Gesetz verlangt mindestens fünf Jahre Sicherheitsupdates und Schwachstellenmanagement, was personelle und finanzielle Ressourcen erfordert.

REP27 ist transparent, was nicht enthalten ist: Rechtsberatung, technische Prüfung und SBOM-Erstellung sind außerhalb des Mandats. Klären Sie Ausschlüsse und versteckte Kosten immer mit jedem Anbieter.

So funktioniert die Benennung: Schritt für Schritt

Die Benennung eines Art. 18 Vertreters und die CRA-Compliance umfassen mehrere konkrete Schritte. Hier ein praxisorientierter Ablauf für Hersteller außerhalb der EU:

1. Prüfen Sie, ob Ihre Produkte betroffen sind: Identifizieren Sie alle Produkte mit digitalen Elementen (Hardware, Software, Komponenten oder entfernte Datenverarbeitungslösungen), die in der EU in Verkehr gebracht werden.
2. Produktklassifizierung: Nutzen Sie die CRA-Definitionen, um zu bestimmen, ob Ihre Produkte Standard, wichtig Klasse I/II oder kritisch sind. Dies beeinflusst das Konformitätsbewertungsverfahren.
3. Vertreter auswählen: Wählen Sie einen Art. 18 Vertreter mit verifizierbarer EU-Rechtspersönlichkeit. Bestätigen Sie Umfang, Preise und Verlängerungsbedingungen schriftlich.
4. Mandat unterzeichnen: Schließen Sie ein schriftliches Mandat (Art. 18(3)) mit dem Anbieter ab. Erhalten Sie Zertifikat und öffentliche Prüfmethode.
5. Dokumentation vorbereiten: Stellen Sie technische Dokumentation (Anhang VII), SBOM, EU-Konformitätserklärung und Anwenderanleitungen in erforderlichen Sprachen zusammen.
6. 24-Stunden-Meldekanal einrichten: Sorgen Sie für einen besetzten Eingangskanal für Schwachstellen und Vorfälle. Erstellen Sie Vorlagen für Frühwarnungen und Meldungen vorab.
7. Registrierung bei ENISA: Registrieren Sie mindestens zwei Melder auf der ENISA-Meldeplattform, idealerweise in unterschiedlichen Zeitzonen.
8. Budget für laufende Compliance: Planen Sie Supportzeitraumkosten (mindestens fünf Jahre Updates), Konformitätsbewertung (falls erforderlich) und Dokumentationspflege ein.
9. Regelmäßige Überprüfung: Legen Sie regelmäßige Termine für Compliance-Reviews, Dokumentations- und Meldeprozess-Updates fest.

Mit dieser Checkliste sind Sie sowohl rechtlich als auch praktisch auf die CRA-Compliance vorbereitet.

Risiken und Bußgelder bei Nicht-Einhaltung

Der CRA sieht erhebliche Sanktionen bei Verstößen vor. Verstöße gegen wesentliche Cybersicherheitsanforderungen oder Herstellerpflichten können Bußgelder bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Wert höher ist. Diese Strafen gelten für EU- und Nicht-EU-Hersteller, die Produkte auf dem EU-Markt platzieren.

• Meldeversäumnisse: Das Versäumen der 24-Stunden-Meldefrist für Schwachstellen kann zu Durchsetzungsmaßnahmen führen. Mikro- und Kleinunternehmen sowie Open-Source-Verantwortliche sind von Bußgeldern für verspätete Meldungen ausgenommen, nicht jedoch von der Meldepflicht selbst.
• Beschaffungs- und Marktzugangsriskien: Ohne Art. 18 Vertreter können Beschaffungsprozesse stocken, und Sie werden möglicherweise von Unternehmenskunden oder öffentlichen Ausschreibungen ausgeschlossen.
• Marktüberwachungsmaßnahmen: Behörden können gegen nicht-konforme Hersteller vorgehen, einschließlich Produktrücknahme oder Rückruf.
• Risiken für Händler/Importeure: Wenn kein Vertreter benannt wird, können EU-Importeure oder Händler als Meldeweg behandelt werden, was zu Kontrollverlust über Compliance-Kommunikation führen kann.
• Stille Verstöße: Nichtverlängerung von Mandaten oder veraltete Dokumentation können unbemerkt bleiben und zu plötzlichen Durchsetzungsmaßnahmen führen.

Effektive Compliance dient nicht nur dem Bußgeldschutz, sondern auch der Sicherstellung eines ununterbrochenen Marktzugangs und der Wahrung von Vertrauen bei Kunden und Partnern.

Was Anbieter meist nicht sagen

Viele Anbieter konzentrieren sich auf die gesetzliche Notwendigkeit des Art. 18 Mandats, verschweigen aber oft das Gesamtbild. Hier die häufigen Auslassungen:

• Mandatsumfang: Das Art. 18 Mandat beschränkt sich auf Weiterleitung von Anfragen und Kontaktstelle. Rechtsberatung, technische Prüfung oder SBOM-Erstellung sind nicht enthalten, sofern nicht ausdrücklich genannt.
• Konformitätsbewertung: Für wichtige Klasse II und kritische Produkte sind Kosten für benannte Stellen oder Zertifizierungsschemata deutlich höher als die Vertretergebühr und dauern oft Monate. Diese sind nie in Standardmandaten enthalten.
• Supportzeitraum: Die Verpflichtung zu mindestens fünf Jahren Sicherheitsupdates und Schwachstellenmanagement ist ein erheblicher operativer Aufwand, der von keinem Vertreterservice abgedeckt wird.
• Verlängerungs- und Kündigungsbedingungen: Manche Anbieter locken mit niedrigen Erstpreisen, verlangen aber hohe Verlängerungsgebühren oder lange Kündigungsfristen. Fordern Sie Verlängerungsbedingungen schriftlich an.
• Haftung: Vertreter schließen meist Haftung für Compliance-Verstöße aus. Die Hersteller bleiben für alle CRA-Pflichten verantwortlich.

Transparenz über Nicht-Leistungen ist genauso wichtig wie über Leistungen. Fordern Sie vor Vertragsabschluss eine vollständige Liste der Ausschlüsse und klären Sie die Rolle des Anbieters.

Realistische Szenarien: Welcher Weg gilt?

• US SaaS-Unternehmen: Ein SaaS-Anbieter aus den USA verkauft Software direkt an EU-Kunden. Das Unternehmen muss einen Art. 18 Vertreter benennen, technische Dokumentation und SBOM vorbereiten sowie einen 24-Stunden-Meldekanal einrichten. Bei Standardprodukten kann Selbstbewertung ausreichen; bei wichtigen oder kritischen Produkten ist eine benannte Stelle erforderlich. Der einfachste Weg ist die Benennung eines Vertreters (z.B. REP27), Dokumentenvorbereitung und Registrierung bei ENISA.
• Chinesischer Amazon-Verkäufer: Ein Hersteller in China verkauft IoT-Geräte unter eigenem Namen auf Amazon an EU-Kunden. Er muss einen Art. 18 Vertreter benennen und alle CRA-Anforderungen erfüllen. Wird das Produkt von einem EU-Importeur in Verkehr gebracht, übernimmt dieser ggf. die Pflichten. Ansonsten bleibt der Hersteller verantwortlich für Meldungen und Dokumentation.
• UK Online-Shop: Ein Händler aus Großbritannien versendet vernetzte Geräte an EU-Kunden. Er muss einen Art. 18 Vertreter benennen, technische Akten vorbereiten und einen 24-Stunden-Meldeprozess sicherstellen. Verkauft er über einen EU-Händler, der das Produkt unter eigenem Namen in Verkehr bringt, übernimmt dieser die Pflichten; andernfalls bleibt der Händler verantwortlich.

In allen Szenarien ist entscheidend, die Vertriebskanäle zu analysieren, zu bestimmen, wer das Produkt in Verkehr bringt, und gegebenenfalls einen Vertreter zu benennen. So vermeiden Sie Beschaffungsverzögerungen, stellen Compliance sicher und umgehen Bußgelder.

Checkliste: So werden Sie heute compliant

1. Analysieren Sie Ihre EU-Vertriebskanäle und identifizieren Sie alle Produkte mit digitalen Elementen.
2. Klassifizieren Sie jedes Produkt (Standard, wichtig I/II, kritisch) gemäß CRA-Definitionen.
3. Ermitteln Sie, ob Sie einen Art. 18 Vertreter benötigen (für Hersteller außerhalb der EU Pflicht).
4. Fordern Sie ein schriftliches Mandat und Zertifikat von Ihrem gewählten Anbieter an (z.B. REP27, kadano, Euverify).
5. Bereiten Sie technische Dokumentation vor: Anhang VII Akte, SBOM, EU-Konformitätserklärung, Anwenderanleitungen in EU-Sprachen.
6. Richten Sie einen besetzten 24-Stunden-Meldekanal für Schwachstellen ein. Erstellen Sie Vorlagen für Frühwarnungen und Meldungen.
7. Registrieren Sie mindestens zwei Melder auf der ENISA-Meldeplattform (wenn möglich in unterschiedlichen Zeitzonen).
8. Planen Sie Budget für benannte Stellen oder Zertifizierungsschemata, falls Ihr Produkt wichtig Klasse II oder kritisch ist.
9. Erklären und planen Sie einen Supportzeitraum von mindestens fünf Jahren für Sicherheitsupdates und Schwachstellenmanagement.
10. Planen Sie regelmäßige Compliance-Überprüfungen und Dokumentationsaktualisierungen.

Mit diesen Schritten sind Sie bereit für die CRA-Durchsetzung ab 2026/2027 und vermeiden kostspielige Compliance-Lücken.