Verbundene Geräte und Software mit digitalen Elementen

• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2019/1020 — market surveillance
• Directive 2014/53/EU — Radio Equipment, for radio products

Wer muss benennen

Hersteller, die außerhalb der Union ansässig sind und Produkte mit digitalen Elementen auf dem EU-Markt anbieten. 'Produkte mit digitalen Elementen' umfasst Hardware, deren beabsichtigte Verwendung eine Datenverbindung einschließt — Kameras, Router, intelligente Geräte, industrielle Sensoren, tragbare Technologien — und separat bereitgestellte Software, unabhängig davon, ob sie verkauft, lizenziert oder indirekt monetarisiert wird. Importeure und Händler haben eigene Pflichten und treten in die Fußstapfen des Herstellers, wenn sie das Produkt unter ihrem eigenen Namen vermarkten. Wenn der Hersteller außerhalb der Union ansässig ist und dort kein Importeur vorhanden ist, ist der bevollmächtigte Vertreter die Stelle, an die die Behörden sich wenden.

Schwellen und Ausnahmen

Es gelten keine Umsatz- oder Größenanforderungen für die wesentlichen Verpflichtungen. Kostenlose und Open-Source-Software, die außerhalb des Rahmens einer kommerziellen Tätigkeit entwickelt oder bereitgestellt wird, fällt nicht in den Anwendungsbereich, und Open-Source-Verwalter haben ein leichteres Regime. Kleinstunternehmen und kleine Unternehmen erhalten Verfahrenserleichterungen bei einigen Dokumentationen, jedoch keine Ausnahme. Produkte, die bereits von gleichwertigen sektoralen Cybersicherheitsvorschriften — medizinische Geräte, Kraftfahrzeuge, Zivilluftfahrt, Marineausrüstung — abgedeckt sind, sind ausgeschlossen, um Doppelarbeit zu vermeiden.

Was auf das Etikett gehört

Der Name des Herstellers, der eingetragene Handelsname oder die Marke sowie die Postanschrift, und dasselbe für den bevollmächtigten Vertreter, auf dem Produkt, seiner Verpackung oder einem begleitenden Dokument. Ein einziger Ansprechpartner für die Meldung von Schwachstellen, der leicht zu finden und maschinenlesbar sein muss, wo dies praktikabel ist. Die CE-Kennzeichnung, sobald die Konformitätsverpflichtungen ab Dezember 2027 gelten. Informationen für den Benutzer über den Unterstützungszeitraum, während dessen Sicherheitsupdates bereitgestellt werden, über die Art und Weise, wie Updates bereitgestellt werden, sowie über den beabsichtigten Zweck und bekannte Risiken.

Marktplatz-Felder

Es gibt noch kein spezielles Marktplatzfeld, aber die bereits für CE-gekennzeichnete Waren verwendeten Compliance-Felder werden diese Details enthalten, und die Beschaffung von Unternehmen in der Union fragt jetzt routinemäßig, wer der CRA-Vertreter ist und wie der erklärte Unterstützungszeitraum aussieht. Erwarten Sie, dass Marktplätze ein Feld für den Unterstützungszeitraum hinzufügen, wenn sich der Dezember 2027 nähert, so wie sie 2024 das Feld für die verantwortliche Person gemäß der GPSR hinzugefügt haben.

Unterlagen, die Sie vorhalten müssen

Technische Dokumentation, die die Design-, Entwicklungs- und Schwachstellenbehandlungsprozesse abdeckt. Eine Cybersicherheitsrisikobewertung, die über den Unterstützungszeitraum aktualisiert wird und bestimmt, welche der wesentlichen Anforderungen gemäß Anhang I gelten und wie. Eine Software-Bill of Materials in einem gängigen maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abdeckt. Eine koordinierte Schwachstellenoffenlegungspolitik, die öffentlich verfügbar ist. Aufzeichnungen über Schwachstellen und deren Behebung. Die EU-Konformitätserklärung. Wo das Produkt in eine wichtige oder kritische Klasse gemäß Anhang III oder IV fällt, das Zertifikat der benannten Stelle oder die relevante Schema-Zertifizierung.

Normen und Prüfungen

Die Konformitätsbewertungswege hängen von der Klasse ab. Standardprodukte können interne Kontrollen gegen die wesentlichen Anforderungen nutzen. Wichtige Produkte der Klasse I können sich selbst bewerten, wenn harmonisierte Standards vollständig angewendet werden, andernfalls ist eine Drittpartei erforderlich. Klasse II erfordert immer eine Drittpartei. Kritische Produkte können eine europäische Cybersicherheitszertifizierung erfordern. Harmonisierte Standards gemäß dem CRA werden noch entwickelt, was bedeutet, dass die Selbstbewertung derzeit auf dokumentierten Überlegungen zu Anhang I basiert und nicht auf einer Standardnummer.

Sprachanforderungen

Anleitungen und Benutzerinformationen, einschließlich des Unterstützungszeitraums und des Kontakts für Schwachstellen, in einer Sprache, die von den Benutzern in jedem Mitgliedstaat, in dem das Produkt auf den Markt gebracht wird, leicht verstanden werden kann, wie von diesem Staat bestimmt.

Ab wann es gilt

Drei Daten sind wichtig. Ab dem 11. September 2026 gelten die Meldepflichten gemäß Artikel 14: aktiv ausgenutzte Schwachstellen und schwere Vorfälle müssen über die einheitliche Meldestelle gemeldet werden. Ab dem 11. Dezember 2027 gelten die verbleibenden Verpflichtungen in vollem Umfang, einschließlich CE-Kennzeichnung, Konformitätsbewertung und den wesentlichen Anforderungen. Produkte, die vor diesem Datum auf den Markt gebracht werden, sind in der Regel nicht rückwirkend betroffen, es sei denn, sie wurden danach wesentlich geändert, aber die Meldepflichten treten früher in Kraft.

Aufbewahrungsfristen

Technische Dokumentation und die EU-Konformitätserklärung für mindestens zehn Jahre nach dem Inverkehrbringen des Produkts oder die Dauer des Unterstützungszeitraums, je nachdem, was länger ist. Der Unterstützungszeitraum muss mindestens fünf Jahre betragen, es sei denn, die erwartete Nutzung ist kürzer, und die Begründung für einen kürzeren Zeitraum muss dokumentiert werden.

Was bei Verstößen passiert

Bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für Verstöße gegen die wesentlichen Anforderungen oder die Kernpflichten des Herstellers. Bis zu 10 Millionen Euro oder 2 % für die meisten anderen Verpflichtungen und bis zu 5 Millionen Euro oder 1 % für die Bereitstellung falscher oder irreführender Informationen an eine benannte Stelle oder Behörde. Neben Geldstrafen können die Behörden den Rückruf vom Markt anordnen, die Bereitstellung des Produkts verbieten oder einschränken und Rückrufe verlangen.

Wer kontrolliert

Nationale Marktüberwachungsbehörden, die für den CRA, ENISA und die CSIRTs, die als Koordinatoren für die Meldepflichten benannt sind. Die Kommission hat Durchsetzungsbefugnisse für Produkte, die ein erhebliches Cybersicherheitsrisiko in mehreren Mitgliedstaaten darstellen.

Wo die Grenze verläuft

Die meisten Geschäftsanwendungen sind betroffen, aber es gibt Grenzen, die es wert sind, bekannt zu sein. Ein Produkt, das nur außerhalb der Union verkauft wird, fällt nicht in den Anwendungsbereich; die gleiche Software für EU-Nutzer herunterladbar zu machen, tut dies jedoch. SaaS fällt in der Regel nicht unter den CRA, es sei denn, es handelt sich um eine Lösung zur Fernverarbeitung von Daten, die für die Funktionen eines Produkts unerlässlich ist, in diesem Fall wird es über das Produkt erfasst. Medizinische Geräte, Fahrzeuge und die Luftfahrt folgen ihren eigenen Cybersicherheitsregimen. Und der CRA steht neben NIS2, anstatt es zu ersetzen: NIS2 betrifft Vorfälle, die Ihren Dienst als Einheit betreffen, der CRA betrifft Schwachstellen im Produkt, das Sie auf den Markt bringen.

Häufige Fragen

Wir sind ein kleines Softwareunternehmen — gilt das wirklich für uns?

Ja, wenn die Software kommerziell an Nutzer in der Union bereitgestellt wird. Es gibt keine SME-Ausnahme, nur einige Verfahrensvereinfachungen. Was sich mit der Größe ändert, ist die Tiefe der erwarteten Dokumentation, nicht ob die Verpflichtungen bestehen.

Fällt unsere SaaS-Plattform in den Anwendungsbereich?

In der Regel nicht allein. Sie fällt in den Anwendungsbereich, wenn es sich um eine Lösung zur Fernverarbeitung von Daten handelt, deren Fehlen verhindern würde, dass ein Produkt mit digitalen Elementen seine Funktionen erfüllt, in diesem Fall wird sie als Teil dieses Produkts bewertet.

Brauchen wir jetzt eine CE-Kennzeichnung?

Noch nicht. Die CE-Kennzeichnung und die Konformitätsbewertung gelten ab dem 11. Dezember 2027. Die Meldepflichten gemäß Artikel 14 gelten ab dem 11. September 2026, was die nähere Frist ist und wofür die meisten Hersteller unvorbereitet sind.

Was zählt als Unterstützungszeitraum?

Der Zeitraum, in dem Sie Sicherheitsupdates bereitstellen, der widerspiegeln muss, wie lange die Nutzer vernünftigerweise erwarten können, das Produkt zu nutzen und mindestens fünf Jahre betragen muss, es sei denn, ein kürzerer Zeitraum ist gerechtfertigt und dokumentiert. Er muss den Nutzern vor dem Kauf mitgeteilt werden.