Ja. Der Cyber Resilience Act, Verordnung (EU) 2024/2847, holt Produkte mit digitalen Elementen in das System der CE-Kennzeichnung, das Maschinen, Spielzeug und Funkanlagen seit Jahrzehnten erfasst. Ab dem 11. Dezember 2027 wird ein Produkt im Anwendungsbereich, Hardware oder Software, mit einer CE-Kennzeichnung auf dem EU-Markt in Verkehr gebracht, und die Kennzeichnung behauptet, dass der Hersteller die Konformität mit den grundlegenden Anforderungen des Anhangs I nachgewiesen hat.

Für Softwareunternehmen ist das neu, und die naheliegende Frage ist, wohin eine Kennzeichnung auf etwas ohne Oberfläche gehört. Artikel 30 beantwortet sie direkt.

Wohin die Kennzeichnung gehört

Artikel 30 Absatz 1: Die CE-Kennzeichnung wird sichtbar, lesbar und dauerhaft auf dem Produkt angebracht. Wo das aufgrund der Art des Produkts nicht möglich oder nicht gerechtfertigt ist, kommt sie auf die Verpackung und auf die EU-Konformitätserklärung, die das Produkt begleitet. Dann, eigens für Software: „Bei Produkten mit digitalen Elementen in Form von Software wird die CE-Kennzeichnung entweder auf der in Artikel 28 genannten EU-Konformitätserklärung oder auf der das Softwareprodukt begleitenden Website angebracht. Im letzteren Fall muss der betreffende Abschnitt der Website für Verbraucher leicht und unmittelbar zugänglich sein.“

Ein Softwarehersteller hat also zwei Möglichkeiten: die Kennzeichnung auf der Konformitätserklärung oder die Kennzeichnung in einem Abschnitt der Produkt-Website, den ein Verbraucher unmittelbar erreichen kann. Eines von beiden genügt. Die meisten werden beides tun, weil die Erklärung ohnehin existieren muss und der Website-Abschnitt der ist, den ein Käufer sieht.

Artikel 30 Absatz 2 erlaubt aufgrund der Art des Produkts eine Kennzeichnung unter 5 mm Höhe, sofern sie sichtbar und lesbar bleibt. Artikel 30 Absatz 3: Sie wird angebracht, bevor das Produkt in Verkehr gebracht wird.

Was die Kennzeichnung behauptet, und wer sie anbringt

Die CE-Kennzeichnung ist die Erklärung des Herstellers in eigener Verantwortung, dass das Produkt die geltenden Anforderungen erfüllt und die Konformitätsbewertung durchgeführt wurde. Bei einem Standardprodukt ist diese Bewertung die interne Fertigungskontrolle des Herstellers selbst; bei wichtigen und kritischen Produkten ist eine notifizierte Stelle beteiligt. Artikel 30 Absatz 4: Wo eine notifizierte Stelle im Verfahren der umfassenden Qualitätssicherung (Modul H) beteiligt war, folgt ihre Kennnummer der CE-Kennzeichnung, angebracht von der Stelle oder nach ihren Anweisungen.

Nach Artikel 30 Absatz 5 zeigt die eine Kennzeichnung, wo das Produkt auch anderen Harmonisierungsrechtsvorschriften der Union mit CE-Kennzeichnung unterliegt, die Konformität mit allen an. Ein vernetztes Gerät, das bereits nach der Funkanlagenrichtlinie CE-gekennzeichnet ist, bekommt keine zweite Kennzeichnung; die bestehende behauptet nun auch die CRA-Konformität, und das heißt, die technische Dokumentation dahinter muss diese Behauptung jetzt stützen.

Die Erklärung dahinter: Artikel 28 und Anhang V

Die Kennzeichnung ist nur so gut wie die EU-Konformitätserklärung, auf der sie steht. Artikel 28: Die Erklärung wird vom Hersteller erstellt, stellt fest, dass die Erfüllung der geltenden grundlegenden Anforderungen des Anhangs I nachgewiesen wurde, folgt der Musterstruktur in Anhang V, enthält die Elemente, die das einschlägige Konformitätsbewertungsverfahren in Anhang VIII vorgibt, wird aktuell gehalten und in den Sprachen bereitgestellt, die der Mitgliedstaat verlangt, in dem das Produkt in Verkehr gebracht wird. Eine vereinfachte Erklärung nach dem Muster in Anhang VI kann das Produkt begleiten und auf die vollständige verweisen.

Die Erklärung und die technische Dokumentation werden zehn Jahre nach dem Inverkehrbringen des Produkts oder für den Unterstützungszeitraum, je nachdem, was länger ist, für die nationalen Behörden bereitgehalten. Die Erklärung selbst, Anhang V Punkt für Punkt mit einem ausgearbeiteten Beispiel, hat ihren eigenen Artikel.

Was das für einen Software-Release-Prozess bedeutet

Drei Dinge ändern sich am Punkt der Freigabe.

Ein Tor vor dem „Inverkehrbringen“. Die Erklärung muss unterschrieben und die Kennzeichnung angebracht sein, bevor die Version, die die Anforderungen erstmals auslöst, bereitgestellt wird. Ein Produkt, das erstmals nach dem 11. Dezember 2027 erscheint, braucht sie zur Markteinführung; ein Produkt, das bereits auf dem Markt ist, braucht sie bei der ersten wesentlichen Veränderung nach diesem Datum.

Ein Platz auf der Website. Ein von Verbrauchern unmittelbar erreichbarer Abschnitt mit der CE-Kennzeichnung und, sinnvollerweise, der Erklärung selbst und den Nutzerinformationen, die Anhang II verlangt: Kontakt für Schwachstellen, Unterstützungszeitraum, Installation von Updates.

Eine Dokumentation, die zur ausgelieferten Version passt. Die Kennzeichnung auf Version 4 behauptet, dass die technische Dokumentation Version 4 beschreibt. Ein Release-Prozess, der Erklärung und Dokumentation mit dem Produkt aktualisiert, ist der Unterschied zwischen einer Kennzeichnung und einer Dekoration.

Was sie nicht bedeutet

Die CE-Kennzeichnung ist kein Zertifikat, und keine Behörde stellt sie aus. Sie ist kein Beweis für Sicherheit; sie ist der Beweis, dass der Hersteller Konformität behauptet hat und von der Marktüberwachungsbehörde seines Mitgliedstaats daran festgehalten werden kann. Sie ohne die Dokumentation dahinter anzubringen, ist der Verstoß, den Artikel 64 in seiner zweiten Stufe bepreist.

Das Verfahren, das in der Kennzeichnung endet, Modul A des Anhangs VIII, mit der Tätigkeitsliste der Kommission, den zwei Formen der Konformitätserklärung und dem Zeitplan der harmonisierten Normen, ist ein eigener Artikel.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 30 Absätze 1 bis 5 (für Software zitiert), Artikel 28 und Anhänge V und VI (die Erklärung), Anhang VIII Teil I Nummer 4 (Kennzeichnung und Erklärung bei interner Fertigungskontrolle), Artikel 64, Artikel 69 und Artikel 71 Absatz 2 für die Daten. Gelesen im Amtsblatt-Text auf EUR-Lex am 11. September 2026.

Das ist keine Rechtsberatung. Artikel 30 sind neun Sätze; lesen Sie ihn, bevor Sie entscheiden, wohin Ihre Kennzeichnung gehört.