Cyber Resilience Act (CRA): häufige Fragen von Händlern

Die Händlerpflichten aus Art. 20 gelten ab 11.12.2027 (Art. 71 Abs. 2). Wer unter eigener Marke verkauft, ist Hersteller (Art. 3 Nr. 13) und hat schon seit 11.09.2026 Meldepflichten (Art. 14). Ab 11.12.2027 regelt Art. 21 das für Händler ausdrücklich.

Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden, unterliegen den CRA-Anforderungen nur bei späterer wesentlicher Änderung (Art. 69 Abs. 2). Maßgeblich ist das einzelne Stück, nicht das Modell (Blue Guide 2022, 2.3). Bewahren Sie Lieferbelege mit Datum auf.

Hard- und Software mit direkter oder indirekter Datenverbindung zu einem Gerät oder Netz (Art. 2 Abs. 1). Beispiele: Router, Kameras, smarte Steckdosen, Spielzeug mit App, Wearables, Software. Ausgenommen sind u. a. Medizinprodukte und Fahrzeuge (Art. 2 Abs. 2).

Ja. Händler ist, wer ein Produkt auf dem Unionsmarkt bereitstellt, ohne Hersteller oder Einführer zu sein (Art. 3 Nr. 17). Der Verkaufskanal ändert daran nichts.

Meist nicht. Einführer ist, wer in der EU niedergelassen ist und ein Produkt mit dem Namen oder der Marke eines Unternehmens außerhalb der EU in Verkehr bringt (Art. 3 Nr. 16). Ab 11.12.2027 (Art. 71 Abs. 2) stellen Sie dann vor dem Inverkehrbringen sicher, dass der Hersteller die Konformitätsbewertung durchgeführt und die technische Dokumentation erstellt hat, dass das Produkt die CE-Kennzeichnung trägt und ihm die EU-Konformitätserklärung sowie die Informationen und Anleitungen nach Anhang II in einer für Nutzer leicht verständlichen Sprache beiliegen, und dass der Hersteller Art. 13 Abs. 15, 16 und 19 erfüllt hat (Art. 19 Abs. 2). Ihre eigenen Kontaktangaben gehören auf das Produkt, die Verpackung oder ein Begleitdokument (Art. 19 Abs. 4). Eine Kopie der EU-Konformitätserklärung halten Sie mindestens 10 Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum bereit, je nachdem, was länger ist, und stellen sicher, dass die technische Dokumentation der Behörde vorgelegt werden kann (Art. 19 Abs. 6). Verkaufen Sie unter eigenem Namen oder eigener Marke, gelten Sie als Hersteller (Art. 21). Für Produkte, die vor dem 11.12.2027 in Verkehr gebracht wurden, gelten diese Pflichten nur nach einer wesentlichen Änderung (Art. 69 Abs. 2).

Die Pflicht trifft den Hersteller: Angabe zum Zeitpunkt des Kaufs, mindestens Monat und Jahr (Art. 13 Abs. 19). Sie prüfen, ob er das erfüllt (Art. 20 Abs. 2 lit. b). Ob dafür die Produktseite im Shop nötig ist, ist noch nicht abschließend geklärt. Mehr: Support-Enddatum.

Für Pflichten aus Art. 18 bis 23, also auch Händlerpflichten, sind Geldbußen bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vorgesehen (Art. 64 Abs. 3). Behörden können zudem Rücknahme oder Rückruf verlangen. Für Hersteller, die Kleinst- oder Kleinunternehmen im Sinne der Empfehlung 2003/361/EG sind, werden für das Versäumen der 24-Stunden-Frist für die Frühwarnung (Art. 14 Abs. 2 lit. a und Abs. 4 lit. a) keine Geldbußen verhängt (Art. 64 Abs. 10 lit. a in der berichtigten Fassung, ABl. L 2025/90555; ErwG 120). Die Meldepflicht selbst und die übrigen Fristen, etwa die 72-Stunden-Meldung und der Abschlussbericht, gelten seit 11.09.2026 unverändert. Geldbußen bis 15 Mio. € oder 2,5 % des weltweiten Jahresumsatzes sieht die Verordnung für Hersteller vor (Art. 64 Abs. 2). Art. 64 gilt nach Art. 71 Abs. 2 erst ab 11.12.2027. Auch die deutschen Bußgeldvorschriften im CRA-Durchführungsgesetz sollen erst am 11.12.2027 in Kraft treten (Art. 4 des Gesetzes in der vom Bundestag am 15.10.2026 beschlossenen Fassung, BT-Drs. 21/8622).

Den Hersteller unverzüglich informieren. Bei erheblichem Cybersicherheitsrisiko zusätzlich die Marktüberwachungsbehörden der Länder, in denen Sie verkauft haben (Art. 20 Abs. 4).

Nach dem vom Bundestag am 15.10.2026 beschlossenen CRA-Durchführungsgesetz soll das BSI Marktüberwachungsbehörde werden (BT-Drs. 21/6134 in der Fassung von BT-Drs. 21/8622). Bis zum 02.11.2026 war das Gesetz noch nicht im Bundesgesetzblatt verkündet; der Bundesrat berät es im zweiten Durchgang (Innenausschuss am 05.11.2026).