Kurzdefinition: Der Begriff „Produkt mit digitalen Elementen“ bestimmt den Anwendungsbereich des Cyber Resilience Act. Nach Art. 3 Nummer 1 CRA ist es ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen — einschließlich getrennt in den Verkehr gebrachter Komponenten. Ob ein Produkt erfasst ist, entscheidet über die Anwendung der CRA-Pflichten. [N-CRA-3]
Der Normwortlaut
Art. 3 Nummer 1 CRA definiert: „‚Produkt mit digitalen Elementen‘ ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“. [N-CRA-3]
Was ist ein Produkt mit digitalen Elementen?
Jedes Software- oder Hardwareprodukt mit digitaler Funktion. Nach Art. 3 Nummer 1 CRA gehören dazu Software- und Hardwareprodukte und ihre Datenfernverarbeitungslösungen. Erfasst sind auch getrennt in den Verkehr gebrachte Software- oder Hardwarekomponenten. Der Begriff reicht damit vom Betriebssystem über vernetzte Geräte bis zu einzelnen Bauteilen. [N-CRA-3]
Was sind Datenfernverarbeitungslösungen?
Zugehörige Ferndienste. Erfasst sind entfernt stattfindende Datenverarbeitungen, die der Hersteller selbst oder unter seiner Verantwortung konzipiert und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte. Sie fallen nur insoweit in den Anwendungsbereich, als sie für die Produktfunktion notwendig sind. [N-CRA-3]
Warum ist die Definition so wichtig?
Weil sie den Anwendungsbereich öffnet. Ob ein Produkt als Produkt mit digitalen Elementen gilt, entscheidet darüber, ob die grundlegenden Cybersicherheitsanforderungen, die Schwachstellenbehandlung und die Meldepflichten des CRA greifen. Die Einordnung ist der erste Schritt der CRA-Compliance. [N-CRA-3] [N-CRA-13]
Gehören auch Komponenten dazu?
Ja. Art. 3 Nummer 1 CRA bezieht ausdrücklich Software- oder Hardwarekomponenten ein, die getrennt in den Verkehr gebracht werden. Wer einzelne Bauteile oder Softwaremodule liefert, kann damit ebenfalls in den Anwendungsbereich fallen. [N-CRA-3]
Gibt es Produkte, die trotz digitaler Elemente ausgenommen sind?
Ja, für bestimmte Bereiche. Der CRA nimmt Produkte aus, die bereits durch gleichwertige sektorspezifische Unionsvorschriften abgedeckt sind, sowie unter Voraussetzungen nicht kommerziell bereitgestellte freie und quelloffene Software. Die Zuordnung ist im Einzelfall zu prüfen. [N-CRA-3]
Häufige Fehlannahmen
- „Nur reine Softwareprodukte sind erfasst.“ Nein. Erfasst sind Software- und Hardwareprodukte samt Datenfernverarbeitungslösungen. [N-CRA-3]
- „Einzelne Komponenten fallen nicht darunter.“ Doch. Getrennt in den Verkehr gebrachte Komponenten sind ausdrücklich erfasst. [N-CRA-3]
- „Jeder Cloud-Dienst ist ein Produkt mit digitalen Elementen.“ Nicht generell. Datenfernverarbeitungslösungen sind nur erfasst, soweit sie für die Produktfunktion notwendig sind. [N-CRA-3]
- „Die Einordnung ist zweitrangig.“ Nein. Sie entscheidet über die Anwendung aller CRA-Pflichten. [N-CRA-3]
- „Freie und quelloffene Software ist stets erfasst.“ Nein. Nicht kommerziell bereitgestellte freie und quelloffene Software ist unter Voraussetzungen ausgenommen. [N-CRA-3]
- „Hardware ohne Internetverbindung fällt nie darunter.“ Nicht zwingend. Maßgeblich ist die Eigenschaft als Produkt mit digitalen Elementen, nicht allein eine dauerhafte Internetverbindung. [N-CRA-3]
Was die Geschäftsleitung tun sollte
- Produkte einordnen. Das eigene Portfolio auf Produkte mit digitalen Elementen und erfasste Komponenten prüfen.
- Ferndienste bewerten. Zugehörige Datenfernverarbeitungslösungen auf ihre Notwendigkeit für die Produktfunktion prüfen.
- Ausnahmen prüfen. Sektorspezifische Abdeckung und Open-Source-Ausnahmen im Einzelfall bewerten.
- Compliance ableiten. Aus der Einordnung die anwendbaren CRA-Pflichten ableiten.
Für die Geschäftsleitung
Der Begriff „Produkt mit digitalen Elementen“ ist der Türöffner des CRA: Wer Hardware, Software oder Komponenten mit digitaler Funktion in der EU verkauft, sollte zuerst klären, ob seine Produkte erfasst sind. Diese Einordnung entscheidet über den gesamten Umfang der CRA-Pflichten.
Quellen
- [N-CRA-3] Art. 3 CRA (VO (EU) 2024/2847, Begriffsbestimmungen, Nr. 1). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
- [N-CRA-13] Art. 13 CRA (Pflichten der Hersteller). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
