Pflichten von Herstellern außerhalb der EU gemäß Cyber Resilience Act

• Pflicht zur Benennung eines EU-Vertreters (Art. 18 CRA) für Hersteller außerhalb der EU
• Meldung von Schwachstellen innerhalb von 24 Stunden (Art. 14 CRA) über den Vertreter
• REP27: CRA-Mandat €490/Jahr (veröffentlicht, Oktober 2026)
• Enthaltene Leistungen und Grenzen variieren je Anbieter, immer prüfen
• Nicht enthalten: Konformitätsbewertung, Tests, SBOM, technische Berichte
• Importeure/Distributoren ohne Verkauf unter eigenem Namen sind nicht verpflichtet

Aktualisiert 21 Oktober 2026 · 4 Quellen geprüft

Anbieter im Vergleich

Preise wie am 21 Oktober 2026 auf der Website des jeweiligen Anbieters veröffentlicht, zzgl. MwSt., sofern nicht anders angegeben. Jede Zeile verweist auf ihre Quelle.

Gesetzliche Anforderungen: Schlüsselfragen des CRA

Der Cyber Resilience Act (CRA, EU-Verordnung 2024/2847) führt strenge Pflichten für Hersteller digitaler Produkte ein, die in der Europäischen Union verkaufen wollen. Hat der Hersteller keinen Sitz in der EU, muss er gemäß Artikel 18 einen bevollmächtigten Vertreter in der Union benennen. Dieser Vertreter fungiert als zentraler Ansprechpartner für alle offiziellen Mitteilungen mit den europäischen Marktüberwachungsbehörden und übernimmt den Empfang sowie die Weiterleitung formeller Anfragen.

Eine weitere zentrale Pflicht ist die Meldung von Schwachstellen: Artikel 14 CRA verpflichtet den Hersteller, innerhalb von 24 Stunden jede aktiv ausgenutzte Schwachstelle oder schwerwiegende Sicherheitsvorfälle zu melden. Die Meldung erfolgt über die ENISA-Plattform und den zuständigen CSIRT, der anhand des Sitzes des Vertreters bestimmt wird. Der bevollmächtigte Vertreter ist somit essenziell, um die zeitnahe und korrekte Kommunikation sicherzustellen, insbesondere für Unternehmen mit unterschiedlichen Zeitzonen oder ohne Personal in Europa.

Wichtig: Die Pflicht betrifft nur Hersteller. Importeure und Distributoren müssen keinen CRA-Vertreter benennen, sofern sie nicht unter eigenem Namen verkaufen. Auch Verkäufer über Marktplätze (Amazon, Etsy, eBay) sollten prüfen, ob sie laut CRA als Hersteller gelten. Produkte, die vor Inkrafttreten des CRA auf dem Markt waren, unterliegen dennoch den Meldepflichten.

• Artikel 18 CRA: Benennung eines EU-Vertreters für Hersteller außerhalb der EU
• Artikel 14 CRA: Meldung von Schwachstellen innerhalb von 24 Stunden
• Ausnahmen: Importeure/Distributoren ohne Verkauf unter eigenem Namen

Auswahl des CRA-Vertreters: Kriterien, Vergleich und wichtige Fragen

Die Wahl des CRA-Vertreters ist eine strategische Entscheidung, die Compliance, Reaktionsgeschwindigkeit bei Vorfällen und Kostentransparenz beeinflusst. Wichtige Kriterien sind:

• Veröffentlichter Preis und Klarheit bei Verlängerungen: Nur wenige Anbieter (z. B. REP27) veröffentlichen transparente Preise und Verlängerungsbedingungen; andere verlangen direkte Kontaktaufnahme.
• Enthaltene Leistungen: Prüfen Sie stets, welche Leistungen im Mandat enthalten sind: Empfang und Weiterleitung von Anfragen, verifizierbares Zertifikat, Unterstützung bei Meldungen, 24/7 erreichbarer Desk.
• Explizite Ausschlüsse: Kein Vertreter bietet Konformitätsbewertung, Sicherheitstests, SBOM-Erstellung oder technische Berichterstattung an; diese bleiben Herstelleraufgabe.
• Mandatsprüfung: Bevorzugen Sie Anbieter mit QR-Code-Zertifikat und öffentlicher Prüfseite.
• Wichtige Fragen: Wer unterschreibt das Mandat? Wie ist der Prozess bei Behördenanfragen? In welchen Sprachen erfolgt die Kommunikation? Welche Verlängerungskosten und Zusatzgebühren gibt es?

Nachfolgend eine Vergleichstabelle der angegebenen Leistungen:

Transparenz bei Leistungen und Preisen ist ein Vertrauensindikator: Vorsicht bei Anbietern ohne klare Angaben.

Was der Preis tatsächlich beinhaltet: Transparenz, Grenzen und praktischer Vergleich

Das Mandat des CRA-Vertreters umfasst ausschließlich die rechtliche Vertretung und Kommunikation mit den europäischen Behörden. Der von REP27 veröffentlichte Preis (€490/Jahr, Verlängerung €440) beinhaltet:

• Schriftliches Mandat gemäß Art. 18 CRA, elektronisch unterschrieben
• Verifizierbares Zertifikat mit QR-Code und öffentlicher Seite
• Empfang und Weiterleitung aller Anfragen der Marktüberwachungsbehörden
• Management der Meldung von Schwachstellen gemäß CRA-Fristen

Nicht enthalten sind:

• Konformitätsbewertung des Produkts (Aufgabe benannter Stellen, nicht des Vertreters)
• Sicherheitstests oder SBOM-Erstellung
• Erstellung oder Versand technischer Berichte
• Operative Unterstützung oder technische Beratung

Die meisten Anbieter veröffentlichen keine Details zu enthaltenen Leistungen: kadano (€999/Jahr) und Euverify (£590/Jahr) geben keine Auskunft über enthaltene oder ausgeschlossene Leistungen. Vor Vertragsabschluss ist eine detaillierte Leistungsübersicht unerlässlich.

Achten Sie auch auf automatische Verlängerungen und Rechnungsmodalitäten: REP27 garantiert eine einzige Jahresrechnung und vorab kommunizierte Verlängerungspreise.

Versteckte Kosten und Risiken: Was für CRA-Compliance wirklich zählt

Die Kosten für das Vertretermandat sind nur ein kleiner Teil der CRA-Compliance. Hauptkosten, die oft verborgen oder unterschätzt werden, sind:

• Konformitätsbewertung: Für wichtige oder kritische Produktklassen ist die Einbindung benannter Stellen Pflicht, was deutlich teurer sein kann als das Vertretermandat.
• Technischer Support und Updates: Der Hersteller muss mindestens fünf Jahre Sicherheitsupdates bereitstellen, inklusive entsprechender Ressourcen.
• Vorfallmanagement und Berichterstattung: Verspätete Meldungen können Bußgelder, Verkaufsstopps und Reputationsschäden nach sich ziehen.
• Verlängerungen und Zusatzkosten: Manche Anbieter verlangen Gebühren für Anfragen außerhalb der Geschäftszeiten, zusätzliche Sprachen oder komplexe Vorfälle. REP27 gibt keine Zusatzkosten an, andere Anbieter nicht.

Das größte operative Risiko ist das Fehlen eines 24/7 erreichbaren Meldestellen-Desks: Der Vertreter muss jederzeit erreichbar sein, auch nachts und an Feiertagen, um die 24-Stunden-Frist einzuhalten.

Fazit: CRA-Compliance erfordert Planung, interne Ressourcen und eine bewusste Vertreterausswahl – nicht nur den günstigsten Preis.

Ablauf der Vertreternominierung: Schritte und bewährte Vorgehensweisen

Die Benennung des CRA-Vertreters folgt einem klaren Ablauf, der Compliance und schnelle Reaktion auf Behördenanfragen sicherstellt:

1. Bedarf prüfen: Sind Sie Hersteller außerhalb der EU und verkaufen digitale Produkte in der Union? Falls ja, fortfahren.
2. Anbieter auswählen: Preise, enthaltene Leistungen, Mandatsprüfung und 24/7-Erreichbarkeit vergleichen.
3. Service anfragen: Anfrageformular auf der Website des gewählten Anbieters ausfüllen.
4. Mandat unterschreiben: Schriftliches Mandat gemäß Art. 18 CRA erhalten und idealerweise elektronisch (z. B. eIDAS) unterschreiben.
5. Zertifikat erhalten: Verifizierbares Zertifikat (QR-Code, öffentliche Seite) erhalten und in technische Dokumentation aufnehmen.
6. Interne Prozesse anpassen: Vertreterdaten in Sicherheitsrichtlinien, Incident-Response-Runbooks und technischer Dokumentation hinterlegen.
7. Meldung vorbereiten: Vorlagen für Schwachstellenmeldung (Early Warning, 72h-Notifikation, Abschlussbericht) vorbefüllen und mindestens zwei Submitter mit ENISA-Plattformzugang benennen.
8. Erreichbarkeit prüfen: Sicherstellen, dass der Vertreter 24/7 erreichbar ist, um Meldungen fristgerecht weiterzuleiten.

Best Practice: Vor Vertragsabschluss eine Meldesimulation mit dem Anbieter durchführen, um Reaktionszeiten und Abläufe zu prüfen.

CRA-Compliance-Checkliste für Hersteller außerhalb der EU

1. Prüfen, ob digitale Produkte in der EU verkauft werden
2. Produkt gemäß CRA klassifizieren (Standard, wichtig I/II, kritisch)
3. EU-Vertreter mit Art. 18 Mandat benennen
4. Kanäle und Prozesse für 24/7 Schwachstellenmeldung einrichten
5. Benennung in technischer Dokumentation und internen Richtlinien dokumentieren
6. Mindestens zwei Submitter mit ENISA-Plattformzugang benennen
7. Meldungsvorlagen (Early Warning, Notifikation, Abschlussbericht) vorbereiten
8. Ressourcen für mindestens 5 Jahre Sicherheitsupdates bereitstellen
9. Vertreterabdeckung in allen relevanten EU-Ländern prüfen
10. Meldesimulation durchführen, um operative Bereitschaft zu testen

Was Anbieter oft verschweigen: Ausschlüsse, Grenzen und praktische Risiken

• Mandat deckt nur rechtliche Vertretung ab: Keine Konformitätsbewertung, Sicherheitstests, SBOM oder technische Unterstützung im Basispreis.
• Hauptkosten intern: CRA-Compliance erfordert Engineering-Ressourcen, Support und Updates, die nicht im Vertreterservice enthalten sind.
• Automatische Verlängerungen und nicht veröffentlichte Preise: Manche Anbieter geben Verlängerungspreise nicht an oder erhöhen diese intransparent. REP27 veröffentlicht Preise und Verlängerungen vorab.
• Desk nicht immer 24/7 aktiv: Erfragen Sie, wie Meldungen außerhalb der Geschäftszeiten gehandhabt werden.
• Begrenzte Haftung: Der Vertreter übernimmt keine technische Produktverantwortung, nur die Übermittlung von Mitteilungen.
• Gebühren pro Anfrage: Einige Anbieter könnten Zusatzkosten für komplexe Anfragen, zusätzliche Sprachen oder Vorfälle außerhalb der Geschäftszeiten verlangen. Vor Vertragsabschluss prüfen.

Entscheidungsmatrix: Wer muss einen CRA-Vertreter benennen?

Diese Matrix hilft, die Benennungspflicht schnell anhand der Rolle und Geschäftsmodell zu bestimmen.

Praxisbeispiele: Drei reale Szenarien und die einfachste Lösung

• USA SaaS: Ein US-Unternehmen bietet eine Softwareplattform für EU-Kunden an. Es muss einen CRA-Vertreter benennen, Meldestellen einrichten und das Zertifikat in die technische Dokumentation aufnehmen. Lösung: REP27 bietet Mandat zu €490/Jahr, 24/7 Desk, verifizierbares Zertifikat.
• Amazon-Verkäufer China: Ist der Verkäufer Hersteller des digitalen Produkts, muss er einen CRA-Vertreter benennen und Meldedokumentation vorbereiten. Ist er nur Wiederverkäufer/Importeur, gilt keine Pflicht. Lösung: Herstellerdefinition prüfen und nur bei Bedarf Vertreter benennen.
• UK-Shop: Ein britischer Online-Shop, der digitale Geräte produziert und in der EU verkauft, muss einen CRA-Vertreter benennen und Meldeprozesse einrichten. Importiert er nur unveränderte Produkte Dritter, besteht keine Pflicht. Lösung: Rolle in Lieferkette klären und Anbieter mit veröffentlichten Preisen und 24/7 Desk wählen.

In allen Fällen reduziert die Wahl eines transparenten Anbieters Risiken und unerwartete Kosten.