Cyber Resilience Act (CRA) für Händler: wer ist betroffen, was gilt?

Stand: 02.11.2026

Das Wichtigste in Kürze

Der Cyber Resilience Act (CRA), amtlich Cyberresilienz-Verordnung (Verordnung (EU) 2024/2847), ist seit 10.12.2024 in Kraft (Art. 71 Abs. 1). Die Meldepflichten der Hersteller (Art. 14) gelten seit 11.09.2026, die Pflichten der Händler (Art. 20) ab 11.12.2027 (Art. 71 Abs. 2).

Gilt für: Produkte mit digitalen Elementen: Hard- und Software mit direkter oder indirekter Datenverbindung zu einem Gerät oder Netz, z. B. Router, Kameras, Smart-Home-Geräte, Spielzeug mit App, Software (Art. 2 Abs. 1, Art. 3 Nr. 1). Für Shops heißt das: Viele Produkte mit App, WLAN, Bluetooth oder Firmware fallen darunter.
Gilt nicht für: u. a. Medizinprodukte, In-vitro-Diagnostika und Fahrzeuge, für die eigene EU-Regeln gelten (Art. 2 Abs. 2)

Pflichten für Händler

Ab 11.12.2027 vor dem Verkauf u. a. prüfen, ob CE-Kennzeichnung, Herstellerangaben, Anleitung, Konformitätserklärung und das Enddatum des Support-Zeitraums vorhanden sind (Art. 20 Abs. 2). Das Enddatum, mindestens Monat und Jahr, muss der Hersteller beim Kauf klar angeben (Art. 13 Abs. 19). Alle Händlerpflichten: Art. 20.

Händler, Importeur oder Hersteller: Welche Rolle haben Sie?

Ihre Rolle	Wann	Pflichten
Händler	Sie verkaufen ein Produkt unverändert weiter, das ein anderer in der EU in Verkehr gebracht hat (Art. 3 Nr. 17).	Sorgfalts- und Prüfpflichten (Art. 20)
Importeur (im CRA: Einführer)	Sie bringen ein Produkt eines Herstellers aus einem Nicht-EU-Land als Erster in der EU in Verkehr, z. B. Direktimport aus China.	umfangreiche Prüfpflichten und eigene Kontaktangabe (Art. 19)
Hersteller	Sie verkaufen unter eigenem Namen oder eigener Marke oder ändern ein Produkt wesentlich.	alle Herstellerpflichten inklusive Meldepflichten (Art. 3 Nr. 13, Art. 13, Art. 14; für Händler und Einführer ausdrücklich ab 11.12.2027: Art. 21)

Tipp: Viele Shops sind gleichzeitig Händler (Markenware) und Einführer oder Hersteller (Direktimport, Eigenmarke). Prüfen Sie die Rolle pro Produkt.

Was Sie jetzt und bis 11.12.2027 tun

Schon jetzt, bei Eigenmarke: Sie gelten als Hersteller (Art. 3 Nr. 13) → CRA-Meldepflicht seit 11.09.2026 (Art. 14). Bei Direktimport fremder Marken sind Sie Einführer (Art. 3 Nr. 16); Ihre Pflichten nach Art. 19 gelten ab 11.12.2027. Rolle je Produkt prüfen.
Bis 11.12.2027, als Händler: CE, Herstellerangaben, Support-Enddatum, Konformitätserklärung beim Lieferanten anfragen → Vorlage; vor dem Verkauf prüfen (Art. 20 Abs. 2) → CRA-Checkliste. Details: Händlerpflichten nach Art. 20 und Support-Enddatum.

Bußgelder

Wer	Höhe	Fundstelle
Händler, Einführer (Pflichten aus Art. 18 bis 23)	bis 10 Mio. € oder bis 2 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist	Art. 64 Abs. 3
Hersteller (grundlegende Anforderungen nach Anhang I, Pflichten aus Art. 13, 14)	bis 15 Mio. € oder bis 2,5 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist	Art. 64 Abs. 2
Falsche, unvollständige oder irreführende Angaben gegenüber Behörden/notifizierten Stellen	bis 5 Mio. € oder bis 1 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist	Art. 64 Abs. 4

Art. 64 gilt erst ab 11.12.2027 (Art. 71 Abs. 2); die deutschen Bußgeldvorschriften sollen ebenfalls am 11.12.2027 in Kraft treten (Art. 4 des Gesetzes in der vom Bundestag beschlossenen Fassung, BT-Drs. 21/8622). Ausnahme für Kleinst- und Kleinunternehmen bei der Frühwarnung: Meldepflichten.

Wer kontrolliert in Deutschland?

Nach dem vom Bundestag am 15.10.2026 beschlossenen CRA-Durchführungsgesetz soll das BSI Marktüberwachungsbehörde werden (BT-Drs. 21/6134 in der Fassung von BT-Drs. 21/8622). Bis zum 02.11.2026 war das Gesetz noch nicht im Bundesgesetzblatt verkündet; der Bundesrat berät es im zweiten Durchgang (Innenausschuss am 05.11.2026). Wie Bußgelder in Deutschland verhängt werden, regelt dieses Gesetz.

Alle Stichtage zum CRA: CRA-Fristen.

Weiterlesen: Alle Fristen · CRA-FAQ · Data Act: Informationspflicht vor dem Kauf