Was sind CRA-Hersteller und Wirtschaftsakteure?
Wirtschaftsakteur ist im CRA der Oberbegriff für Hersteller, Bevollmächtigte, Einführer, Händler und jede andere natürliche oder juristische Person, die nach dem CRA Pflichten im Zusammenhang mit der Herstellung oder der Bereitstellung auf dem Markt von Produkten mit digitalen Elementen hat.
Der Normwortlaut
„Wirtschaftsakteur“ den Hersteller, den Bevollmächtigten, den Einführer, den Händler oder jede andere natürliche oder juristische Person, die Verpflichtungen im Zusammenhang mit der Herstellung von Produkten mit digitalen Elementen oder der Bereitstellung auf dem Markt von Produkten mit digitalen Elementen im Einklang mit dieser Verordnung unterliegt;
Normtext und Einordnung: Die einzelnen Rollen ergeben sich ergänzend aus Artikel 3 Nummern 13 bis 17. Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt oder herstellt beziehungsweise konzipieren, entwickeln oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet – gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Einführer und Händler sind davon eigenständig definierte Rollen.
Welche Rolle hat ein Unternehmen?
Entscheidend sind die konkrete Tätigkeit und der jeweilige Marktakt, nicht die Selbstbezeichnung des Unternehmens. Ein Einführer ist eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person erstmals in der Union in Verkehr bringt. Ein Händler stellt es in der Lieferkette auf dem Unionsmarkt bereit, ohne seine Eigenschaften zu ändern; Hersteller und Einführer sind vom Händlerbegriff ausgenommen. Ein Bevollmächtigter ist eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die von einem Hersteller schriftlich beauftragt wurde, in seinem Namen bestimmte Aufgaben wahrzunehmen.
Einführer oder Händler werden nach Artikel 21 wie Hersteller behandelt und unterliegen den Artikeln 13 und 14, wenn sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen oder eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vornehmen. Eine natürliche oder juristische Person, die nicht Hersteller, Einführer oder Händler ist und die ein Produkt wesentlich ändert und anschließend auf dem Markt bereitstellt, wird nach Artikel 22 ebenfalls Hersteller.
Wann greifen die Rollenpflichten?
Hersteller müssen beim Inverkehrbringen insbesondere gewährleisten, dass das Produkt gemäß den grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I konzipiert, entwickelt und hergestellt wurde. Einführer dürfen nur konforme Produkte in Verkehr bringen und müssen zuvor die Nachweise nach Artikel 19 prüfen. Händler müssen vor der Marktbereitstellung insbesondere die CE-Kennzeichnung sowie die in Artikel 20 genannten Hersteller- und Einführeranforderungen prüfen.
Bevollmächtigte dürfen nur die Aufgaben aus dem schriftlichen Auftrag ausführen. Die Herstellerpflichten aus Artikel 13 Absätze 1 bis 11, Absatz 12 Unterabsatz 1 und Absatz 14 dürfen nicht Teil dieses Auftrags sein.
Für welche Produkte gilt die Rollenordnung?
Artikel 2 Absatz 1 erfasst auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt. Die Marktbereitstellung setzt eine Lieferung im Rahmen einer Geschäftstätigkeit zum Vertrieb oder zur Verwendung auf dem Unionsmarkt voraus.
Technische Einordnung: Ein Produkt mit digitalen Elementen kann ein Software- oder Hardwareprodukt einschließlich einer getrennt in Verkehr gebrachten Komponente sein. Eine zugehörige Datenfernverarbeitungslösung ist nur erfasst, wenn sie vom Hersteller oder unter seiner Verantwortung konzipiert und entwickelt wurde und das Produkt ohne sie eine seiner Funktionen nicht erfüllen könnte.
Welche Ausnahmen und Abgrenzungen gelten?
Artikel 2 Absätze 2 bis 7 enthält Produktausschlüsse und Sonderregeln, unter anderem für die dort genannten Medizinprodukte, zertifizierte Luftfahrtprodukte, Schiffsausrüstung, bestimmte identische Ersatzteile sowie Produkte, die ausschließlich für nationale Sicherheit oder Verteidigung oder zur Verarbeitung von Verschlusssachen entwickelt oder geändert wurden. Für Produkte, die anderem Unionsrecht unterliegen, das Anforderungen zur Behandlung aller oder einiger der von den grundlegenden Cybersicherheitsanforderungen aus Anhang I erfassten Risiken festlegt, kann eine Einschränkung oder ein Ausschluss nach Artikel 2 Absatz 5 nur durch einen delegierten Rechtsakt erfolgen und setzt die dort verlangte Vereinbarkeit mit dem allgemeinen Rechtsrahmen sowie ein gleiches oder höheres Schutzniveau voraus.
Der Verwalter quelloffener Software ist nach Artikel 3 Nummer 14 eine eigene Rolle: eine juristische Person, die kein Hersteller ist und die dort beschriebenen quelloffenen Produkte systematisch und nachhaltig unterstützt. Diese Abgrenzung ersetzt weder die Produktausschlüsse noch die Herstellerzuordnung bei wesentlichen Änderungen.
Welche Fristen und Aufbewahrungszeiten gelten?
Eine allgemeine Größenschwelle für die Rollenbestimmung gibt es nicht. Wirtschaftsakteure müssen der Marktüberwachungsbehörde auf Anfrage Angaben zu vor- und nachgelagerten Wirtschaftsakteuren für zehn Jahre ab Bezug beziehungsweise Abgabe vorlegen können. Bevollmächtigte und Einführer müssen die jeweils bezeichneten Konformitätsunterlagen zehn Jahre ab Inverkehrbringen oder während des längeren Unterstützungszeitraums bereithalten.
Artikel 14 gilt ab dem 11. September 2026; die übrigen hier behandelten Vorschriften gelten grundsätzlich ab dem 11. Dezember 2027. Vor diesem Datum in Verkehr gebrachte Produkte unterliegen den CRA-Anforderungen grundsätzlich nur, wenn sie danach wesentlich geändert werden. Abweichend davon gilt Artikel 14 nach Artikel 69 Absatz 3 für alle Produkte, die in den Anwendungsbereich des CRA fallen.
Wie ist die Einordnung zu verstehen?
Auslegung: Die Zuordnung folgt aus den gesetzlichen Definitionen, den Marktakten und den Regeln zum Rollenwechsel. Behördenpraxis: Eine darüber hinausgehende eigenständige Behördenpraxis wird hier nicht behauptet. Empfehlungen in den folgenden Abschnitten sind organisatorische Ableitungen und keine zusätzlichen gesetzlichen Pflichten.
Häufige Fehlannahmen
Die Rollen werden häufig zu pauschal oder nach Alltagssprache zugeordnet. Richtig ist:
- „Jeder Verkäufer ist Händler.“ Nein. Eigenmarkenvertrieb oder eine wesentliche Änderung eines bereits in Verkehr gebrachten Produkts kann nach Artikel 21 Herstellerpflichten auslösen.
- „Ein Bevollmächtigter übernimmt alle Herstellerpflichten.“ Nein. Artikel 18 Absatz 2 schließt zentrale Herstellerpflichten ausdrücklich vom Auftrag aus.
- „Alle digitalen Produkte fallen unter den CRA.“ Nein. Artikel 2 Absatz 1 enthält Verbindungs- und Marktbereitstellungsbedingungen; die Absätze 2 bis 7 enthalten Ausschlüsse und Sonderregeln.
- „Händler müssen dieselben Prozesse wie Hersteller betreiben.“ Nein. Artikel 20 enthält eigene Prüf- und Reaktionspflichten; Herstellerpflichten gelten nur bei der gesetzlichen Herstellerrolle oder einem Rollenwechsel.
- „Die CRA-Pflichten beginnen vollständig erst Ende 2027.“ Nein. Artikel 14 gilt bereits ab dem 11. September 2026 und nach Artikel 69 Absatz 3 auch für zuvor in Verkehr gebrachte Produkte im CRA-Anwendungsbereich.
Was die Geschäftsleitung tun sollte
Die folgenden Schritte sind Umsetzungsempfehlungen, keine zusätzlichen Rechtspflichten:
- Für jedes Produkt Rolle, Marktakt, Niederlassung der Beteiligten und die Grundlage der Zuordnung dokumentieren.
- Eigenmarkenvertrieb und wesentliche Änderungen vor Freigabe auf einen Rollenwechsel nach Artikel 21 oder 22 prüfen.
- Bei Herstellerrolle Risikobewertung, technische Dokumentation, Schwachstellenbehandlung und Unterstützungszeitraum organisatorisch absichern.
- Für Einführer und Händler getrennte Prüf-, Nachweis-, Korrektur- und Eskalationsprozesse vor dem jeweiligen Marktakt einrichten.
- Lieferkettenangaben mit ihrer festen Zehnjahresfrist ab Bezug beziehungsweise Abgabe führen; die bezeichneten Konformitätsunterlagen von Bevollmächtigten und Einführern getrennt davon zehn Jahre ab Inverkehrbringen oder während des längeren Unterstützungszeitraums bereithalten.
Für die Geschäftsleitung
Die CRA-Reichweite entscheidet sich zuerst am Produkt und seinen Ausnahmen, die konkrete Verantwortung danach an Tätigkeit, Marktakt und möglichen Rollenwechseln. Die Geschäftsleitung sollte deshalb je Produkt eine begründete Rollenentscheidung treffen, rollenspezifische Kontrollen vor dem Inverkehrbringen oder der Marktbereitstellung verankern und diese Entscheidung samt Prüf-, Lieferketten- und Aufbewahrungsnachweisen nachvollziehbar festhalten.
Quellen
- Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung), amtlicher deutscher Primärtext, insbesondere Artikel 2, Artikel 3 Nummern 1, 2, 6, 12 bis 17, 22 und 24, Artikel 13, Artikel 14, Artikel 18 bis 23, Artikel 69 und Artikel 71.
