[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:de:faellt-ihr-produkt-unter-den-cyber-resilience-act":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"de","faellt-ihr-produkt-unter-den-cyber-resilience-act","Fällt Ihr Produkt unter den Cyber Resilience Act? Wo SaaS steht","Die meistgestellte CRA-Frage ist nicht, wie man meldet, sondern ob die Verordnung überhaupt für Sie gilt. Reines Software-as-a-Service ist draußen und fällt unter NIS2; installierte und herunterladbare Software ist drin; Fernverarbeitung, ohne die ein Produkt nicht funktioniert, ist wieder drin. Die Feststellung treffen und dokumentieren Sie selbst. Hier steht der Text, der sie entscheidet.","2026-09-11","\nBevor irgendeine Frist des Cyber Resilience Act zählt, gibt es eine Frage, die zuerst kommt, und jede FAQ zum Thema zeigt, dass es die ist, die Menschen tatsächlich stellen: Gilt das für mich? Ein Softwareunternehmen, das Abonnements für eine Webanwendung verkauft, eine Firma, die ein Gerät mit Firmware ausliefert, ein Entwickler, der eine Bibliothek veröffentlicht, eine Beratung, die Individualsoftware für einen Kunden baut: Jeder von ihnen hat eine andere Antwort, und die Verordnung, Verordnung (EU) 2024\u002F2847, entscheidet sie an ungefähr drei Stellen.\n\nDieser Artikel geht diese Stellen durch. Er sagt Ihnen nicht, ob Ihr Produkt in den Anwendungsbereich fällt, denn diese Feststellung hängt davon ab, was Sie tatsächlich in Verkehr bringen, und sie ist Ihre Sache, und vor allem: Sie ist zu dokumentieren.\n\n## Die Definition: Artikel 3 Absatz 1\n\nDie Verordnung gilt für ein **Produkt mit digitalen Elementen**, in Artikel 3 Absatz 1 definiert als „ein Software- oder Hardwareprodukt und dessen Lösungen für die Datenfernverarbeitung, einschließlich Software- oder Hardwarekomponenten, die getrennt in Verkehr gebracht werden“.\n\nDrei Dinge stecken in diesem Satz.\n\n**Software zählt für sich allein.** Ein Produkt mit digitalen Elementen muss kein physischer Gegenstand sein. Eine Anwendung, die Sie installieren, eine mobile App, ein Desktop-Programm, ein Betriebssystem, eine Bibliothek, ein Firmware-Image: Jedes davon ist ein Softwareprodukt, und jedes kann für sich in Verkehr gebracht werden.\n\n**Komponenten zählen für sich allein.** Eine Bibliothek oder ein Modul, das getrennt verkauft oder geliefert wird, ist ein eigenes Produkt mit eigenem Hersteller.\n\n**Lösungen für die Datenfernverarbeitung gehören zum Produkt.** Das ist die Klausel, die einen Teil der Cloud zurück in den Anwendungsbereich holt, und sie ist im nächsten Absatz definiert.\n\n## Die Verbindungsbedingung: Artikel 2 Absatz 1\n\nArtikel 2 Absatz 1 engt die Definition auf Produkte ein, „deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt“.\n\nDiese Bedingung ist weit. Sie heißt nicht „mit dem Internet verbunden“. Ein Gerät, das nie online ist, aber per USB an einem Rechner aktualisiert wird, hat eine physische Datenverbindung mit einem Gerät, und das reicht. Ein deutscher Entwickler, der Firmware für ein handelsübliches Handheld verkauft, hat genau diese Situation im August 2026 auf Hacker News beschrieben: offline, kein Funk, kein Netzwerkstack einkompiliert, Updates durch Neuflashen über ein Kabel, und im Anwendungsbereich, was er herausfand, indem er die Verordnung und die Leitlinien der Kommission selbst las. Niemand hält sich für einen „Hersteller eines Produkts mit digitalen Elementen“, bis er entdeckt, dass er einer ist.\n\n## Wo SaaS steht: Erwägungsgrund 12 und Artikel 3 Absatz 2\n\nDas ist die Frage, die die meisten Softwareunternehmen wirklich stellen, und die Antwort hat zwei Hälften.\n\n**Reines Software-as-a-Service liegt außerhalb des CRA.** Erwägungsgrund 12 sagt, dass Cloud-Dienstmodelle wie Software-as-a-Service keine Produkte mit digitalen Elementen sind, weil sie Dienste sind und keine in Verkehr gebrachten Produkte, und dass sie stattdessen von der NIS2-Richtlinie, Richtlinie (EU) 2022\u002F2555, erfasst werden. Wenn Sie den Zugang zu einer Anwendung verkaufen, die auf Ihrer Infrastruktur läuft, und beim Kunden nichts installiert oder heruntergeladen wird, erreicht der CRA Sie nicht. NIS2 vielleicht, je nach Ihrer Größe und Ihrem Sektor, aber das ist eine andere Vorschrift mit einer anderen Form.\n\n**Fernverarbeitung, ohne die ein Produkt nicht funktioniert, liegt innerhalb.** Artikel 3 Absatz 2 definiert **Datenfernverarbeitung** als Datenverarbeitung aus der Ferne, „für die die Software vom Hersteller oder unter seiner Verantwortung entworfen und entwickelt wurde und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht ausführen könnte“. Erwägungsgrund 12 macht denselben Punkt: Cloud-Komponenten sind erfasst, wenn sie in diesem Sinne Teil des Produkts sind.\n\nEin smartes Türschloss mit mobiler App und Cloud-Backend ist also ein Produkt mit digitalen Elementen, Backend eingeschlossen, weil das Schloss ohne das Backend seine Funktionen nicht ausführen kann. Eine Desktop-Anwendung, die bei einem Lizenzserver nachfragt, ist ein Produkt, dessen Datenfernverarbeitung im Anwendungsbereich liegt. Eine Webanwendung ohne installierte Komponente ist ein Dienst.\n\nDie Grenze lautet nicht „haben Sie eine Cloud“. Sie lautet „gibt es ein in Verkehr gebrachtes Produkt, und tut die Cloud etwas, was dieses Produkt ohne sie nicht kann“. Wo ein Produkt beides ist, liegt der installierte Teil im Anwendungsbereich, und seine wesentliche Fernverarbeitung kommt mit. Welche Teile der Cloud dazugehören, Modul für Modul, mit den zwei Tests der Kommission und ihrem Mobile-Banking-Beispiel, ist [ein eigener Artikel](\u002Farticles\u002Fwhich-parts-of-your-backend-are-inside-the-cra-remote-data-processing).\n\n## Was namentlich draußen ist: der Rest von Artikel 2\n\nDie Verordnung nimmt Produkte aus, die bereits sektorspezifische Vorschriften mit eigenen Cybersicherheitsanforderungen abdecken: Medizinprodukte nach den Verordnungen (EU) 2017\u002F745 und 2017\u002F746, die zivile Luftfahrt nach Verordnung (EU) 2018\u002F1139, die Typgenehmigung von Kraftfahrzeugen nach Verordnung (EU) 2019\u002F2144 und Schiffsausrüstung nach Richtlinie 2014\u002F90\u002FEU. Sie nimmt außerdem Produkte aus, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt oder geändert wurden, und Produkte, die eigens für die Verarbeitung von Verschlusssachen ausgelegt sind.\n\nErsatzteile, die zum Ersatz identischer Komponenten bereitgestellt und nach denselben Spezifikationen gefertigt werden, sind ebenfalls ausgenommen.\n\n## Open Source: erfasst, aber anders\n\nFreie und quelloffene Software, die nicht monetarisiert wird, liegt weitgehend außerhalb der Herstellerpflichten, und Artikel 24 schafft eine eigene, leichtere Regelung für **Verwalter quelloffener Software**: Stiftungen und Organisationen, die die Entwicklung quelloffener Produkte unterstützen, die für gewerbliche Tätigkeiten bestimmt sind. Die Meldepflicht aus Artikel 14 erreicht Verwalter für die Produkte, die sie verwalten, weshalb die Fristen für sie ebenso gelten wie für Hersteller. Wenn Sie aus quelloffenen Komponenten ein kommerzielles Produkt machen, sind Sie der Hersteller dieses Produkts, und die Lizenz der Komponenten ändert daran nichts.\n\n## In Verkehr gebracht, und die Datumsfrage\n\nJede Pflicht hängt daran, dass das Produkt **in Verkehr gebracht** wird, die erstmalige Bereitstellung eines Produkts auf dem Unionsmarkt. Interne Werkzeuge, die Sie für sich selbst bauen und betreiben, werden nicht in Verkehr gebracht. Software, die Sie einem Kunden liefern, schon.\n\nDie Daten zählen für Produkte, die bereits draußen sind. Die Verordnung gilt vollständig ab dem 11. Dezember 2027, und nach Artikel 69 unterliegen Produkte, die vor diesem Datum in Verkehr gebracht wurden, den Anforderungen nur, wenn sie danach wesentlich verändert werden. Die Meldepflicht aus Artikel 14 ist die Ausnahme: Sie gilt seit dem 11. September 2026, und sie erreicht Produkte, die bereits auf dem Markt waren. Es gibt nirgendwo im Text eine Größenschwelle und keine Ausnahme für kleine Unternehmen; was die Verordnung für kleine Hersteller tut, ist, [die Größe zu einem Faktor beim Bußgeld zu machen und ihnen eine vereinfachte Dokumentation zu erlauben](\u002Farticles\u002Fcyber-resilience-act-penalties).\n\n## Standard, wichtig, kritisch\n\nSobald ein Produkt im Anwendungsbereich liegt, fällt es in eine von drei Stufen, und die Stufe entscheidet, wie die Konformität bewertet wird, nicht ob die Pflichten gelten. Die Standardstufe ist die Selbstbewertung. **Wichtige** Produkte sind in Anhang III in zwei Klassen aufgeführt: Klasse I umfasst Passwortmanager, VPN-Produkte, Betriebssysteme, Router und Browser; Klasse II umfasst Hypervisoren, Firewalls und manipulationssichere Mikroprozessoren, und ihre Konformitätsbewertung bezieht eine dritte Stelle ein. **Kritische** Produkte in Anhang IV, etwa Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways und Smartcards, können verpflichtet werden, ein europäisches Cybersicherheitszertifikat zu erlangen. Steht Ihr Produkt auf keiner der Listen, ist es Standard, und die Meldepflicht gilt dafür genau wie für die anderen.\n\n## Das, was Sie tatsächlich tun sollten\n\nSchreiben Sie die Feststellung auf. Eine Seite: was Sie in Verkehr bringen, ob es Software, Hardware oder beides ist, ob es Datenfernverarbeitung im Sinne von Artikel 3 Absatz 2 hat, auf welche Ausnahme in Artikel 2 Sie sich stützen, falls Sie sich auf eine stützen, und in welche Stufe es fällt. Datieren und unterschreiben Sie sie.\n\nWenn Sie lieber von Fragen als von einer leeren Seite ausgehen, erzeugt [die Feststellung in sechs Fragen auf dieser Website](\u002Fcyber-resilience-act\u002Fscope) genau diese eine Seite als Text, mit dem Artikel zu jedem Schritt, und speichert nichts.\n\nDieses Dokument ist es, was Sie vorzeigen, wenn eine Marktüberwachungsbehörde fragt, warum Sie gemeldet oder nicht gemeldet haben, und es ist das, womit Ihr Vorfallsverfahren in Stunde null beginnt, wenn [die 24-Stunden-Uhr](\u002Farticles\u002Fcra-final-report-clock-does-not-start-when-you-become-aware) schon läuft und niemand Zeit hat, Erwägungsgrund 12 noch einmal zu lesen. Lautet die Antwort „im Anwendungsbereich“, ist die nächste Frage, [welches CSIRT Ihres ist](\u002Farticles\u002Fwhich-csirt-do-you-report-to-under-cra-article-14), und dafür gibt es eine Tabelle.\n\nZwei Fragen, die dieser Artikel den Leitlinien der Kommission überlässt, welcher Ihrer Builds überhaupt ein Produkt ist (eine Browsererweiterung oder ein installierter Client schon, eine Web-App im Browser nicht) und wann eine Softwareversion für den Stichtag im Dezember 2027 als in Verkehr gebracht gilt, beantwortet [der Artikel zum Inverkehrbringen](\u002Farticles\u002Fwhen-is-software-placed-on-the-market-under-the-cra-and-which-of-your-builds-is-a-product).\n\n## Quellen\n\n- Verordnung (EU) 2024\u002F2847, Artikel 2 Absätze 1 bis 5, Artikel 3 Absätze 1 und 2, Artikel 14, Artikel 24, Artikel 69, Artikel 71 Absatz 2, Anhänge III und IV sowie Erwägungsgrund 12.\n- Europäische Kommission, technische FAQ zum CRA, Version 1.3 vom 1. Juli 2026, Kapitel zum Anwendungsbereich.\n- [„Ask HN: Is anyone else preparing for the EU Cyber Resilience Act?“](https:\u002F\u002Fnews.ycombinator.com\u002Fitem?id=49520688), August 2026, für das Beispiel des Offline-Handhelds.\n- Die Community-FAQ auf cra.orcwg.org und die FAQ auf cyberresilienceact.eu, gelesen am 8. September 2026, dafür, welche Fragen zuerst gestellt werden.\n\nDas ist keine Rechtsberatung, und die Feststellung des Anwendungsbereichs ist das eine auf dieser Seite, das wir nicht für Sie treffen. Die Artikelverweise stehen da, damit Sie den Text lesen und sie selbst treffen können.\n",1789383973620]