Zahlungsterminals, POS- und Kiosk-Hardware

• Directive 2014/53/EU — Radio Equipment
• Directive 2014/35/EU — Low Voltage
• Regulation (EU) 2024/2847 — Cyber Resilience Act
• Regulation (EU) 2016/679 — GDPR
• Directive (EU) 2015/2366 — PSD2 for the payment service itself

Wer muss benennen

Hersteller außerhalb der Union, die Zahlungsterminals, Selbstbedienungskioske oder Kartenlesegeräte auf dem EU-Markt bereitstellen. Die Hardwareverpflichtungen liegen beim Hersteller; die Verpflichtungen des Zahlungsdienstes liegen bei der Zahlungsinstitution, die eine separate regulierte Einheit ist, und Anbieter verwechseln häufig die beiden.

Schwellen und Ausnahmen

Keine für die Hardware. Die PSD2-Autorisierung gilt für den Zahlungsdienstleister und nicht für den Terminalhersteller, es sei denn, der Anbieter verwaltet auch Gelder oder den Zugang zu Konten.

Was auf das Etikett gehört

CE-Kennzeichnung, Hersteller- und EU-Vertreterdetails, Modell- und Seriennummer, Funkparameter, wo drahtlos, und ab Dezember 2027 der CRA-Unterstützungszeitraum und der Kontaktpunkt für Schwachstellen.

Marktplatz-Felder

Erwerber und Zahlungspläne verlangen PCI PIN Transaction Security-Zulassung als kommerzielle Voraussetzung, die eine Anforderungen des Plans und nicht des EU-Rechts ist, aber in der Praxis entscheidend ist: Ein nicht genehmigter Terminal kann unabhängig von der CE-Kennzeichnung nicht eingesetzt werden.

Unterlagen, die Sie vorhalten müssen

EU-Konformitätserklärung, technische Unterlagen, Funk- und Sicherheitsprüfberichte, Cybersecurity-Dokumentation gemäß EN 18031 und ab 2026 der CRA-Prozess zur Behandlung von Schwachstellen und SBOM. Wo der Anbieter eine Management-Cloud betreibt, das Artikel 30-Protokoll, die Artikel 27-Bezeichnung und den Übertragungsmechanismus.

Normen und Prüfungen

EN IEC 62368-1 für Sicherheit, die anwendbaren Funkstandards, EN 55032 und EN 55035 für EMV, EN 18031 für die RED-Cybersecurity-Anforderungen und separat die PCI PTS-Bewertung für das PIN-Eingabegerät.

Sprachanforderungen

Anleitungen und dokumentation für Händler in der Sprache jedes Mitgliedstaates des Einsatzes.

Ab wann es gilt

Hardwaredokumentation vor dem Inverkehrbringen. CRA-Schwachstellenberichterstattung ab dem 11. September 2026 und das vollständige Regime ab dem 11. Dezember 2027, was für Terminals mit langen Einsatzlebenszyklen bedeutet, dass der Unterstützungszeitraum jetzt geplant werden muss.

Aufbewahrungsfristen

Zehn Jahre für technische Dokumentation oder den CRA-Unterstützungszeitraum, wenn dieser länger ist, was für Zahlungshardware typischerweise die gesamte Einsatzdauer ist.

Was bei Verstößen passiert

Rücknahme und Zollverweigerung für die Hardware. Nach dem CRA bis zu 15 Millionen € oder 2,5 % des Umsatzes. Separat ist eine Schwachstelle in eingesetzten Terminals ein reputations- und vertragsrechtliches Ereignis mit Erwerbern, das in der Regel die regulatorischen Kosten übersteigt.

Wer kontrolliert

Marktüberwachungsbehörden und Funkregulierungsbehörden, CSIRTs für CRA-Berichterstattung, Datenschutzbehörden, wenn personenbezogene Daten verarbeitet werden, und nationale zuständige Behörden für die Seite des Zahlungsdienstes.

Wo die Grenze verläuft

Die CE-Kennzeichnung und die PCI-Zulassung machen den Anbieter nicht zu einer Zahlungsinstitution, und umgekehrt befreit eine PSD2-Lizenz die Hardware nicht von der Produktkonformität. Lange Einsatzzyklen machen den CRA-Unterstützungszeitraum zu dem schwierigsten Engagement in dieser Kategorie, da Terminals ein Jahrzehnt im Einsatz bleiben.

Häufige Fragen

Ist die PCI-Zulassung eine gesetzliche Anforderung in der EU?

Nein, es ist eine Anforderung des Plans, die von den Kartenetzwerken und Erwerbern auferlegt wird. Sie ist kommerziell entscheidend, ersetzt jedoch nicht die CE-Kennzeichnung oder die CRA-Verpflichtungen.

Wer meldet eine Schwachstelle in eingesetzten Terminals?

Der Hersteller, gemäß Artikel 14 CRA ab September 2026, innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat, dass sie ausgenutzt wird.