Zwei Wörter tragen mehr des Cyber Resilience Act, Verordnung (EU) 2024/2847, als alle anderen: „in Verkehr gebracht“. Die grundlegenden Anforderungen gelten in diesem Moment (Artikel 13(1)). Die Übergangsregel des Artikels 69(2) sagt, dass vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte der Verordnung „nur unterliegen, wenn sie ab diesem Datum wesentlichen Änderungen unterzogen werden“. Die Stufe, der Unterstützungszeitraum, die technische Dokumentation, alles hängt an einem Produkt, und Artikel 3(21) sagt, ein Produkt wird „bei der erstmaligen Bereitstellung“ in Verkehr gebracht. Bei einem Router ist das eine Lieferung. Bei Software, die als Download, als App-Store-Eintrag oder als vom Kunden installierter Client ausgeliefert wird, war nicht offensichtlich, welcher Moment das ist, oder ob das Ausgelieferte überhaupt ein Produkt ist. Die Leitlinien der Kommission zur Anwendung der Verordnung, C(2026) 5252 vom 27. Juli 2026, Abschnitte 2.1 und 2.2, Randnummern 10 bis 21 mit den Beispielen 1 bis 6, beantworten beides. Dieser Artikel ist diese Randnummern, mit den Übergangseinträgen der FAQ der Kommission, Version 1.4 vom 4. September 2026.

Welche Software ein Produkt mit digitalen Elementen ist

Randnummer 20 gibt den Test: „Ein Softwareprodukt mit digitalen Elementen muss einem Nutzer bereitgestellt, von diesem Nutzer bezogen und auf oder als Teil eines elektronischen Informationssystems auf Seiten des Nutzers betrieben werden.“ Software, „die heruntergeladen, installiert oder anderweitig an den Nutzer geliefert wird und auf dem elektronischen Informationssystem des Nutzers ausgeführt wird, erfüllt diese Kriterien, einschließlich beispielsweise dort, wo sie die Form einer Browsererweiterung oder einer mit Webtechnologien entwickelten, aber zur lokalen Ausführung gelieferten Anwendung annimmt“.

Randnummer 21 gibt die andere Seite: „Software, die aus der Ferne ausgeführt wird und auf die der Nutzer lediglich zugreift, ist allein deshalb kein Produkt mit digitalen Elementen.“ Das „ist typischerweise bei Webanwendungen der Fall, einschließlich Progressive Web Apps, wenn auf sie ausschließlich über einen Webbrowser zugegriffen wird“, und bei Websites, die „selbst nicht als Produkte mit digitalen Elementen anzusehen sind“ und nur „insoweit in die Verordnung fallen, als sie als Datenfernverarbeitung gelten“ für ein Produkt, das eines ist.

Die vier Beispiele zeichnen die Karte für ein Softwareunternehmen. Eine aus einem Store heruntergeladene und installierte mobile App ist ein Produkt (Beispiel 3). Eine Desktop-Anwendung, „die mit Webtechnologien gebaut, aber zur lokalen Installation paketiert ist“, ist ein Produkt (Beispiel 4). „Eine Webanwendung, auf die der Nutzer ausschließlich über einen Webbrowser zugreift, ist kein Produkt mit digitalen Elementen“, aber „eine Anwendung, die dem Nutzer als lokal installierter Client geliefert wird und auf dem Gerät des Nutzers ausgeführt wird, ist eines“, und wenn dieser Client für eine Funktion auf Verarbeitung aus der Ferne angewiesen ist, gehört diese Verarbeitung ebenfalls zum Produkt (Beispiel 5). Eine Website, die Informationen präsentiert, ist kein Produkt (Beispiel 6). Ob ein Produkt dann im Anwendungsbereich liegt, ist Artikel 2 und der Test der Geschäftstätigkeit; der Artikel zum Anwendungsbereich und die kostenlose Bestimmung übernehmen von dort.

Ein Unternehmen, das dieselbe Funktionalität als browserbasiertes SaaS und als Desktop-Client anbietet, hat also eines außerhalb der Verordnung und eines innerhalb, und die Datumsfrage der Verordnung gilt für das zweite.

Wann eigenständige Software in Verkehr gebracht wird

Randnummer 11 erinnert an die Regel des Blue Guide, dass sich das Inverkehrbringen „auf jedes einzelne Produkt bezieht, nicht auf einen Produkttyp“. Randnummer 13 passt sie dann an Software an, die „keinen physischen Produktions- oder Lagerbeschränkungen unterliegt: Jeder Akt der Bereitstellung der Software zum Download oder zur Verbreitung führt dazu, dass eine neue identische Kopie für den Nutzer erzeugt wird“. Die Schlussfolgerung: „Solange diese Version der Software nicht in einer Weise geändert wird, die die Konformität mit dem CRA berührt, gilt das Inverkehrbringen auf dem EU-Markt als im Moment des ersten Angebots zur Verbreitung oder Nutzung erfolgt.“

Randnummer 14 formuliert die Regel vollständig, und sie ist zitierenswert, weil sie den Dezember 2027 für jedes bereits verkaufte Softwareprodukt entscheidet: „Ein eigenständiges Softwareprodukt mit digitalen Elementen sollte als in Verkehr gebracht gelten, wenn seine Herstellungsphase abgeschlossen ist und diese Software erstmals im Rahmen einer Geschäftstätigkeit zur Verbreitung oder Nutzung auf dem EU-Markt geliefert wird. Der Hersteller sollte als jemand gelten, der gleichzeitig mehrere Kopien desselben Softwareprodukts mit digitalen Elementen in Verkehr gebracht hat.“ Die Kopien bleiben einzelne Produkte, aber „sie gelten als gleichzeitig in Verkehr gebracht, unabhängig davon, wann der Besitz oder die Nutzung jeder einzelnen Kopie übertragen wird“. Beispiel 1: Version 1.0.0 erstmals angeboten am 1. Januar 2028, eine Kopie an diesem Tag gekauft, eine weitere am 15. Januar; beide wurden am 1. Januar in Verkehr gebracht.

Zwei Einschränkungen in denselben Randnummern sind für eine Produktlinie wichtig. Erstens sind Varianten getrennte Produkte: „Wo der Hersteller Software in verschiedenen Varianten bereitstellt, die sich in den enthaltenen Komponenten, Konfigurationen oder aktivierten Funktionen unterscheiden (etwa Builds für verschiedene Betriebssysteme oder Pakete mit unterschiedlichem Funktionsumfang), können diese Varianten nicht als mehrere Kopien desselben Softwareprodukts angesehen werden“ und „sollten für die Zwecke des Inverkehrbringens als eigenständige Produkte mit digitalen Elementen behandelt werden“. Zweitens Randnummer 15: „Spätere Iterationen eines Softwareprodukts mit digitalen Elementen gelten als neu in Verkehr gebracht, wenn diese Iterationen eine ‚wesentliche Änderung‘ darstellen“, und „Iterationen, die keine wesentlichen Änderungen darstellen, verlangen vom Hersteller kein neues Konformitätsbewertungsverfahren und ändern daher das Datum des Inverkehrbringens dieser Software nicht“. Beispiel 2: Version 1.0.1, keine wesentliche Änderung, gekauft am 30. Januar, wird am 1. Januar mit Version 1.0.0 in Verkehr gebracht. Randnummer 16 beschränkt all das auf eigenständige Software; mit Hardware kombinierte Software folgt Abschnitt 2.4.

Was das für den 11. Dezember 2027 bedeutet

Setzen Sie die beiden Regeln mit Artikel 69(2) zusammen. Ein Softwareprodukt, das vor dem 11. Dezember 2027 erstmals angeboten wurde, wurde vor diesem Datum in Verkehr gebracht, und ebenso alle Kopien, die Kunden danach herunterladen, solange die angebotene Version nicht wesentlich geändert wird. Die Design- und Konformitätspflichten der Verordnung erreichen es erst bei der ersten wesentlichen Änderung, und dann, nach Randnummer 124 der Leitlinien, nur die geänderten Teile, es sei denn, die Sicherheit des Produkts als Ganzes ist berührt. Die Meldepflicht des Artikels 14 erreicht es unabhängig davon, seit dem 11. September 2026, wie Artikel 69(3) sagt.

Der Eintrag 7.2 der FAQ ist das Spiegelbild für Hardware und lässt sich für Software leicht falsch lesen. Er sagt, die Verordnung „gilt für einzelne Produkte und nicht für Produkttypen“, sodass ein Hersteller, der 10.000 Router vor dem 11. Dezember 2027 in Verkehr gebracht hat, sie nicht in Übereinstimmung bringen muss, aber „nicht weitere 5.000 Exemplare dieses Routers herstellen und nach“ diesem Datum in Verkehr bringen darf. Bei einer physischen Einheit wird jede in Verkehr gebracht, wenn sie geliefert wird. Bei einer Softwareversion sagt Randnummer 14, dass alle Kopien mit dem ersten Angebot in Verkehr gebracht wurden, sodass ein Download einer 2027 erstmals angebotenen Version im Jahr 2028 kein neues Inverkehrbringen ist. Ein neues Inverkehrbringen ist eine neue Variante, eine wesentlich geänderte Version oder, nach dem Smart-TV-Beispiel in FAQ 1.4, ein Update, das „die ursprünglich vorgesehenen Funktionen ändert“.

Drei Dinge folgen für ein Unternehmen mit Produkten, die bereits verkauft werden. Halten Sie für jedes Produkt und jede Variante das Datum fest, an dem die derzeit angebotene Version erstmals geliefert wurde, denn das ist das Datum, das Artikel 69(2) liest. Führen Sie die Liste der Varianten ehrlich: Ein Windows-Build und ein macOS-Build, eine kostenlose Stufe und eine bezahlte Stufe mit anderen Funktionen sind verschiedene Produkte mit eigenen Daten und später eigenen Dokumentationen. Und betrachten Sie die Roadmap bis Dezember 2027 als das letzte Fenster, in dem eine wesentliche Änderung frei von der Konformitätsbewertung ist, was dafür spricht, die Änderungen, die die Grenzen des Produkts verändern, vor dem Datum zu machen und nicht danach.

Betas, Archive und Software für den eigenen Gebrauch

Drei FAQ-Einträge schließen die verbleibenden Lücken. Artikel 4(3) erlaubt Herstellern, „unfertige Software, die dieser Verordnung nicht entspricht, bereitzustellen, sofern die Software nur für einen begrenzten, für Testzwecke erforderlichen Zeitraum mit einem sichtbaren Hinweis bereitgestellt wird, der klar angibt, dass sie dieser Verordnung nicht entspricht und nicht für andere Zwecke als Tests auf dem Markt bereitgestellt wird“; FAQ 1.6 bestätigt, dass das „Alpha-Versionen, Beta-Versionen oder Release Candidates“ umfasst, und zitiert Erwägungsgrund 37: Solche Software sollte „erst nach einer Risikobewertung“ freigegeben werden, „so weit wie möglich“ konform sein, die Schwachstellenbehandlung „so weit wie möglich“ umsetzen, und Hersteller „sollten Nutzer nicht zwingen, auf Versionen umzusteigen, die nur zu Testzwecken freigegeben wurden“. Ein Beta-Kanal ist erlaubt; ein Beta-Kanal, in dem das Produkt lebt, nicht.

Artikel 13(11) erlaubt öffentliche Softwarearchive historischer Versionen, sofern „die Nutzer klar und leicht zugänglich über die Risiken der Nutzung nicht unterstützter Software informiert werden“ (FAQ 1.7). Und FAQ 1.5 hält mit Abschnitt 2.2 des Blue Guide Produkte, die nur für den eigenen Gebrauch des Herstellers hergestellt werden, außerhalb der Verordnung: Interne Werkzeuge, die Sie nie liefern, werden nicht in Verkehr gebracht.

Was Sie aufschreiben

Für jedes Produkt und jede Variante, die Sie Nutzern liefern: die Form, die es auf Seiten des Nutzers annimmt, und die daraus folgende Antwort nach Randnummer 20 oder 21; das Datum, an dem die aktuelle Version erstmals auf dem EU-Markt angeboten wurde; die Versionen seither, jede als wesentliche Änderung markiert oder nicht, nach den vier Fragen der Randnummer 110; die Testkanäle und ihren sichtbaren Hinweis; und das Archiv alter Versionen und die Warnung darauf. Diese Seite ist der erste Abschnitt der technischen Dokumentation für die Produkte, die eine brauchen, und die Aufzeichnung, die sagt, warum die anderen noch keine brauchen.

Quellen

  • Verordnung (EU) 2024/2847, Artikel 3(1), (21) und (22), Artikel 4(3), Artikel 13(1) und (11), Artikel 69(2) und (3), Erwägungsgründe 11, 12, 37 und 41.
  • Europäische Kommission, Leitlinien der Kommission zur Anwendung der Verordnung (EU) 2024/2847, C(2026) 5252 final vom 27. Juli 2026, Anhang, Abschnitte 2.1 und 2.2, Randnummern 10 bis 21 und Beispiele 1 bis 6; Abschnitt 4.4.2, Randnummer 124.
  • Europäische Kommission, FAQ zum Cyber Resilience Act, Version 1.4 vom 4. September 2026, Einträge 1.4, 1.5, 1.6, 1.7, 7.2 und 7.5.
  • Europäische Kommission, der Blue Guide zur Umsetzung der EU-Produktvorschriften 2022, Abschnitte 2.2 und 2.3, wie die Leitlinien sie zitieren.

Dies ist keine Rechtsberatung. Die Randnummern 13 bis 15 sind eine halbe Seite und die zwei Beispiele vier Zeilen; es ist die halbe Seite, die entscheidet, ob Ihr bestehendes Produkt im Dezember 2027 in der Verordnung ist.