Cyber Resilience Act: Verpflichtungen für Hersteller außerhalb der EU

• CRA gilt für alle Produkte mit digitalen Elementen auf dem EU-Markt (Art. 2)
• Hersteller außerhalb der EU müssen einen EU-Vertreter benennen (Art. 15)
• Meldepflicht für aktiv ausgenutzte Schwachstellen: 24h-Frist (Art. 14)
• Technische Dokumentation und Konformitätserklärung erforderlich (Art. 13)
• Bußgelder bis zu 15 Mio. € oder 2,5 % des weltweiten Umsatzes (Art. 71)
• CE-Kennzeichnung für konforme Produkte (Art. 13)

Aktualisiert 23 Oktober 2026 · 5 Quellen geprüft

Anbieter im Vergleich

Preise wie am 23 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Was verlangt das Gesetz? (mit Artikelnummern)

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) gilt für alle Produkte mit digitalen Elementen, die auf dem EU-Markt bereitgestellt werden – unabhängig vom Herstellungsland (Art. 2). Hersteller außerhalb der EU müssen gemäß Art. 15 einen autorisierten Vertreter in der EU benennen. Diese Verpflichtung betrifft sowohl Hardware als auch Software, die in der EU vertrieben wird. Der Vertreter fungiert als Ansprechpartner für Behörden und übernimmt die Kommunikation im Namen des Herstellers.

Hersteller müssen sicherstellen, dass ihre Produkte sicher entwickelt werden und keine bekannten, ausnutzbaren Schwachstellen enthalten (Art. 13). Sie sind verpflichtet, eine Risikoanalyse durchzuführen und geeignete technische und organisatorische Maßnahmen umzusetzen. Bei aktiv ausgenutzten Schwachstellen muss innerhalb von 24 Stunden eine Meldung an ENISA und das zuständige CSIRT erfolgen (Art. 14). Eine erste Bewertung ist innerhalb von 72 Stunden, ein Abschlussbericht innerhalb von 14 bis 30 Tagen einzureichen.

Zusätzlich verlangt der CRA die Erstellung und Bereitstellung technischer Dokumentation sowie eine EU-Konformitätserklärung, die die Einhaltung der Anforderungen belegt (Art. 13). Produkte müssen mit einer CE-Kennzeichnung versehen werden, um die Konformität sichtbar zu machen. Die Nichteinhaltung dieser Pflichten kann zu erheblichen Bußgeldern führen – bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 71).

Wie wählt man den passenden Anbieter?

Die Auswahl eines CRA-Vertreters sollte auf nachvollziehbaren Kriterien beruhen. Entscheidend sind:

• Transparenz der Preisstruktur: Achten Sie darauf, dass der Anbieter alle Preise offenlegt, insbesondere auch die Verlängerungskosten. REP27 veröffentlicht sämtliche Preise und garantiert einen festen Verlängerungspreis, während andere Anbieter diese Information meist nur auf Anfrage bereitstellen.
• Leistungsumfang: Prüfen Sie, ob der Anbieter einen 24h-Desk für Meldungen, ein öffentlich prüfbares Zertifikat und eine rechtssichere Benennung (z.B. eIDAS-Signatur) bietet. REP27 hebt sich hier durch ein vollständiges, öffentlich prüfbares Zertifikat und einen 24h-Desk hervor.
• Reaktionszeiten und Erreichbarkeit: Da die Meldefristen (24h/72h) sehr knapp sind, ist eine durchgehende Erreichbarkeit essenziell. REP27 garantiert eine 24/7-Besetzung, auch an Feiertagen und Wochenenden.
• Klare Abgrenzung: Ein seriöser Anbieter listet explizit auf, was nicht im Mandat enthalten ist (z.B. keine Konformitätsbewertung, keine technischen Tests). Dies schützt vor späteren Überraschungen.

Entscheidungsmatrix:

Praktischer Tipp: Holen Sie ein schriftliches Angebot ein, in dem alle Leistungen und Ausschlüsse sowie der Verlängerungspreis festgehalten sind. Prüfen Sie, ob der Anbieter eine öffentliche Überprüfung des Zertifikats ermöglicht – dies ist im Ernstfall entscheidend.

Was ist im Preis wirklich enthalten?

Die im Preis enthaltenen Leistungen variieren je nach Anbieter erheblich. Bei REP27 umfasst das Basispaket für EUR 490/Jahr (CRA) folgende Leistungen:

• Schriftliches Mandat als autorisierter Vertreter gemäß Artikel 18 CRA
• 24-Stunden-Desk für Schwachstellenmeldungen und Kommunikation mit ENISA/CSIRT
• Öffentlich prüfbares Zertifikat mit QR-Code zur Nachweisführung gegenüber Behörden und Geschäftspartnern
• Verwaltung und Weiterleitung von Behördenanfragen innerhalb von zwei Werktagen
• Mehrsprachige Vorlagen für die notwendige Kommunikation

Wichtig: REP27 übernimmt keine Konformitätsbewertung, keine technischen Tests, keine SBOM-Erstellung und keine Incident-Analyse. Diese Aufgaben liegen beim Hersteller selbst oder bei externen Fachfirmen. Bei anderen Anbietern wie kadano oder Euverify sind die im Preis enthaltenen Leistungen auf deren Webseiten nicht detailliert veröffentlicht (Stand Oktober 2026). Zusatzkosten, beispielsweise für zusätzliche Dienstleistungen, sind daher nur auf Anfrage zu erfahren.

Ein Vergleich der Leistungen:

Für Unternehmen, die Wert auf eine klare Trennung von Verantwortlichkeiten und eine transparente Preisgestaltung legen, ist REP27 derzeit der einzige Anbieter mit vollständig veröffentlichtem Leistungsumfang und Preisstruktur.

Versteckte Kosten & typische Ausschlüsse

Die größten Kostenfaktoren bei der CRA-Compliance liegen außerhalb des Vertretungsmandats. Die Benennung eines CRA-Vertreters ist nur ein kleiner Teil der Gesamtkosten. Die eigentlichen Aufwände entstehen durch:

• Konformitätsbewertung: Für Produkte der Klassen "wichtig" oder "kritisch" ist eine externe Prüfung durch eine benannte Stelle erforderlich. Diese Kosten liegen meist im vier- bis fünfstelligen Bereich und sind nicht im Vertreterhonorar enthalten.
• Sicherheitsupdates: Hersteller müssen für mindestens fünf Jahre Sicherheitsupdates bereitstellen und dies organisatorisch und finanziell absichern. Diese Verpflichtung besteht unabhängig vom Vertretungsmandat.
• Technische Dokumentation und SBOM: Die Erstellung und laufende Pflege der technischen Unterlagen und der Software Bill of Materials (SBOM) ist Pflicht des Herstellers.

Was Anbieter meist nicht sagen:

• REP27 schließt ausdrücklich Konformitätsbewertung, technische Tests, SBOM-Generierung und Incident-Analyse aus. Es gibt keine versteckten Verlängerungskosten, alle Preise sind vor Vertragsschluss veröffentlicht.
• Bei kadano und Euverify sind Details zu Zusatzkosten, Haftungsgrenzen oder Kündigungsfristen nicht öffentlich einsehbar (Stand Oktober 2026).

Praktischer Hinweis: Fragen Sie jeden Anbieter explizit nach Ausschlüssen, Kündigungsfristen und Zusatzkosten für Sonderleistungen (z.B. pro Anfrage, zusätzliche Sprachen, Eilbearbeitung). Lassen Sie sich alle Konditionen schriftlich bestätigen.

So funktioniert die Benennung Schritt für Schritt

1. Prüfen Sie, ob Ihr Produkt unter die CRA fällt: Gilt für alle Produkte mit digitalen Elementen (Hardware/Software) auf dem EU-Markt.
2. Interne Prozesse definieren: Legen Sie fest, wer Schwachstellenmeldungen erkennt und auslöst. Definieren Sie, was als "aktiv ausgenutzt" gilt.
3. Geeigneten Vertreter auswählen: Vergleichen Sie Preise, Leistungsumfang, Nachweisführung und Erreichbarkeit. Fordern Sie ein schriftliches Angebot mit allen Konditionen.
4. Vertrag abschließen und Mandat erhalten: Bei REP27 erfolgt die Benennung innerhalb von 24 Stunden, inklusive verifizierbarem Zertifikat.
5. Dokumentation und Meldekanal aktualisieren: Tragen Sie die Kontaktdaten des Vertreters in Ihre technische Dokumentation und Ihr Incident-Runbook ein.
6. Vorlagen für 24h-Meldungen vorbereiten: Erstellen Sie Standardtexte für die Erstmeldung, die 72h-Bewertung und den Abschlussbericht. Benennen Sie mindestens zwei Verantwortliche mit Plattformzugang.
7. Regelmäßige Überprüfung: Kontrollieren Sie jährlich, ob die Benennung und die Prozesse noch aktuell sind.

Checkliste für heute:

1. Fällt Ihr Produkt unter die CRA?
2. Haben Sie interne Meldeprozesse und Verantwortliche festgelegt?
3. Ist ein geeigneter Vertreter ausgewählt und das Mandat unterzeichnet?
4. Sind alle technischen Unterlagen und Meldekanäle aktualisiert?
5. Sind Vorlagen für Meldungen vorbereitet?

Risiken & Bußgelder bei Nichtbeachtung

Die CRA sieht empfindliche Strafen vor: Bis zu 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes (Art. 71). Typische Risiken sind:

• Verspätete oder fehlende Meldung von Schwachstellen: Die 24h-Frist läuft ab dem Zeitpunkt der Kenntnisnahme, nicht erst nach Abschluss der Analyse. Zeitverschiebungen oder unklare Zuständigkeiten führen schnell zu Verstößen.
• Fehlende oder fehlerhafte Benennung eines Vertreters: Ohne gültigen Vertreter kann das Produkt vom Markt genommen werden. Behördenanfragen laufen ins Leere, was die Bußgeldgefahr erhöht.
• Unvollständige technische Dokumentation: Bei einer Marktüberwachung müssen alle Unterlagen sofort vorgelegt werden können. Verzögerungen oder Lücken führen zu Sanktionen.
• Falsche oder fehlende CE-Kennzeichnung: Produkte ohne gültige CE-Kennzeichnung dürfen nicht in Verkehr gebracht werden.

Die Meldefristen (24h/72h/14-30 Tage) laufen in Echtzeit – Verzögerungen durch Zeitverschiebung oder unklare Zuständigkeiten führen schnell zu Verstößen. Die Verantwortung für die Einhaltung der Fristen liegt beim Hersteller, der Vertreter kann nur weiterleiten, was ihm rechtzeitig zugeht.

Drei realistische Szenarien

• US-SaaS-Anbieter: Ein Softwareunternehmen aus den USA bietet eine Cloud-Lösung für europäische Unternehmen an. Da die Software auf dem EU-Markt bereitgestellt wird, muss ein CRA-Vertreter benannt werden. Der Anbieter wählt REP27, erhält das Mandat und das Zertifikat innerhalb von 24 Stunden, richtet einen 24h-Meldekanal ein und hinterlegt die Kontaktdaten in der technischen Dokumentation. Die eigentliche Konformitätsbewertung und die Pflege der Sicherheitsupdates erfolgen intern oder durch externe Fachfirmen.
• Chinesischer Amazon-Händler: Ein Unternehmen aus China verkauft IoT-Geräte unter eigenem Namen auf Amazon.de. Da es als Hersteller auftritt, ist ein CRA-Vertreter erforderlich. Der Händler nutzt einen Anbieter wie kadano oder Euverify (je nach Präferenz), stellt die CE-Kennzeichnung sicher und bereitet die technische Dokumentation vor. Ohne Vertreter drohen Bußgelder und ein Verkaufsverbot auf dem Marktplatz.
• UK-Onlineshop: Ein britischer Onlinehändler verkauft Hardwareprodukte mit Firmware-Updates an Endkunden in der EU. Auch hier ist ein CRA-Vertreter Pflicht. Der Händler entscheidet sich für ein Kombipaket (z.B. REP27: CRA+GDPR), um sowohl die CRA- als auch die DSGVO-Vertreterpflicht abzudecken. Die Meldekanäle und Dokumentation werden entsprechend angepasst.

Diese Szenarien zeigen: Die Vertreterpflicht betrifft Unternehmen aller Größen und Branchen, sobald sie Produkte mit digitalen Elementen in die EU liefern.