Schützt mich der Cyber Resilience Act vor der Produkthaftung?

Nein. Konformität mit dem CRA ist keine Einrede und begründet keine Vermutung, dass das Produkt fehlerfrei ist. Ein Verstoß dagegen lässt den Kläger den Fehler vermuten (Artikel 10 Absatz 2 Buchstabe b), wie die Tabelle oben zeigt.

Kann ich diese Haftung in meinen Nutzungsbedingungen beschränken?

Nein. Nach Artikel 15 kann die Haftung gegenüber dem Geschädigten weder durch Vertrag noch durch nationales Recht beschränkt oder ausgeschlossen werden.

Wir liefern nur Software, keine Hardware. Betrifft uns das?

Ja. Artikel 4 Absatz 1 nennt Software als Produkt.

Wir haben das Produkt vor dem Stichtag in Verkehr gebracht.

Artikel 2 Absatz 1 gilt für Produkte, die nach dem 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Was davor liegt, bleibt unter der Richtlinie von 1985, die Artikel 21 mit einer Übergangsbestimmung aufhebt.

Ist ein nicht ausgeliefertes Sicherheitsupdate ein Fehler?

Das kann es sein. Artikel 11 Absatz 2 Buchstabe c nimmt die Befreiung für einen später entstandenen Fehler zurück, wenn die Fehlerhaftigkeit auf fehlende Aktualisierungen zurückgeht, die zur Aufrechterhaltung der Sicherheit nötig sind und in Ihrer Kontrolle liegen.

Produkthaftungsrichtlinie

Die Produkthaftungsrichtlinie: nichts zu zertifizieren, und eine technische Dokumentation, deren Herausgabe ein Gericht anordnen kann

Für wen es gilt: Jeder Hersteller eines Produkts, das in der EU in Verkehr gebracht wird, und Software ist ausdrücklich ein Produkt (Artikel 4 Absatz 1). Sitzt der Hersteller außerhalb der Union, können stattdessen der Einführer, der Bevollmächtigte oder der Fulfilment-Dienstleister haften.
Die Termine: Produkte, die nach dem 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Die Mitgliedstaaten müssen ihr nationales Recht bis zum 9. Dezember 2026 in Kraft setzen: ein Tag Abstand, so steht es in der Richtlinie selbst.
Das eine, was zu tun ist: Nichts zu registrieren, zu zertifizieren oder zu erklären, daher kann kein Unternehmen mit dieser Richtlinie konform sein. Senken Sie das Risiko, und halten Sie die Beweismittel bereit, deren Offenlegung ein Gericht anordnen kann.

Wo der Cyber Resilience Act auf sie trifft, und in welche Richtung

6 der 9 Verbindungen wirken gegen den Hersteller. Konformität mit dem CRA schützt niemanden vor dieser Haftung; ein Verstoß dagegen ist die Abkürzung des Klägers.

Wie jede Vorschrift der Richtlinie auf den Cyber Resilience Act trifft, und ob sie dem Hersteller hilft oder schadet
Für den Hersteller	Richtlinie	CRA	Was es bedeutet
Gegen Sie	Art. 10(2)(b)10(2)(b)	CRA 13(1)	Ein Verstoß gegen den CRA lässt den Fehler vermuten Die Fehlerhaftigkeit wird vermutet, wenn der Kläger nachweist, dass das Produkt verbindliche Anforderungen an die Produktsicherheit aus Unionsrecht oder nationalem Recht nicht erfüllt, die vor der Gefahr des erlittenen Schadens schützen sollen. Die grundlegenden Anforderungen des CRA sind solche verbindlichen Anforderungen der Union. Ein Kläger, der einen Verstoß nachweist, muss die Fehlerhaftigkeit nicht gesondert beweisen; der Hersteller muss die Vermutung widerlegen.
Gegen Sie	Art. 7(2)(f)7(2)(f)	CRA 13(1)	Cybersicherheitsanforderungen fließen in die Fehlerprüfung ein Einschlägige Anforderungen an die Produktsicherheit, einschließlich sicherheitsrelevanter Cybersicherheitsanforderungen, gehören zu den Umständen, die ein Gericht bei der Beurteilung der Fehlerhaftigkeit berücksichtigt. Schwächer als die Vermutung oben, und sie weist in dieselbe Richtung: Der CRA ist ein Maßstab, an dem ein Gericht das Produkt messen kann, kein Schutz davor.
Gegen Sie	Art. 11(2)(c)11(2)(c)	CRA 13(8)	Ein nicht ausgeliefertes Sicherheitsupdate liegt innerhalb der Haftung Ein Hersteller ist in der Regel befreit, wenn der Fehler erst nach dem Inverkehrbringen entstanden ist. Diese Befreiung gilt nicht, wenn die Fehlerhaftigkeit auf fehlende Software-Aktualisierungen oder -Upgrades zurückgeht, die zur Aufrechterhaltung der Sicherheit nötig sind und in der Kontrolle des Herstellers liegen. Der CRA verpflichtet Hersteller, im Unterstützungszeitraum Sicherheitsupdates bereitzustellen; Pflicht und Risiko beschreiben also dasselbe Versäumnis.
Gegen Sie	Art. 11(2)(b)11(2)(b)	CRA 13(9)	Ein fehlerhaftes Update gehört ebenfalls dem Hersteller Dieselbe Befreiung gilt nicht, wenn die Fehlerhaftigkeit auf Software zurückgeht, einschließlich Aktualisierungen oder Upgrades, die in der Kontrolle des Herstellers liegt. Ein Update, das den Fehler einführt, lässt sich nicht damit beantworten, dass das Produkt das Werk fehlerfrei verlassen hat.
Gegen Sie	Art. 7(2)(e)7(2)(e)	CRA 13(8)	Ein Unterstützungszeitraum ist ein Zeitraum fortbestehender Kontrolle Maßgeblich für die Beurteilung eines Fehlers ist der Zeitpunkt des Inverkehrbringens oder, wenn der Hersteller danach die Kontrolle behält, der Zeitpunkt, zu dem das Produkt seine Kontrolle verlassen hat. Ein Unterstützungszeitraum nach dem CRA ist ein Zeitraum fortbestehender Kontrolle und damit auch der Zeitraum, den die Fehlerprüfung betrachtet.
Gegen Sie	Art. 10(2)(a)10(2)(a)	CRA 13(7)	Die Herausgabe der technischen Dokumentation kann angeordnet werden, und wer sie zurückhält, lässt den Fehler vermuten Ein Gericht kann einen Beklagten anordnen, einschlägige Beweismittel in seiner Verfügungsgewalt offenzulegen, und legt er sie nicht offen, wird die Fehlerhaftigkeit vermutet. Eine technische Dokumentation nach dem CRA ist ein solches Beweismittel. Eine geordnete Dokumentation macht die Anordnung überstehbar; keine zu führen, vermeidet sie nicht.
Für Sie	Art. 11(1)(e)11(1)(e)		Die Einrede des Entwicklungsrisikos, die auf Wissen abstellt, nicht auf Konformität Ein Hersteller ist befreit, wenn der Fehler nach dem objektiven Stand der wissenschaftlichen und technischen Erkenntnisse zum maßgeblichen Zeitpunkt nicht erkannt werden konnte. Das kommt einer Einrede für einen sorgfältigen Hersteller am nächsten, und es kommt darauf an, was erkennbar war, nicht darauf, was zertifiziert war. Artikel 18 erlaubt einem Mitgliedstaat, sie auszuschließen; sie steht also nicht überall zur Verfügung.
Für Sie	Art. 7(3)7(3)		Ein späteres besseres Produkt macht das alte nicht fehlerhaft Ein Produkt ist nicht allein deshalb fehlerhaft, weil inzwischen ein besseres Produkt, einschließlich Aktualisierungen oder Upgrades, in Verkehr gebracht wurde. Verbesserungen auszuliefern ist kein Eingeständnis.
Weder noch	Art. 1515		Nichts davon lässt sich vertraglich ausschließen Die Haftung nach der Richtlinie kann gegenüber dem Geschädigten weder durch Vertragsbestimmungen noch durch nationales Recht beschränkt oder ausgeschlossen werden. Nutzungsbedingungen erreichen sie nicht, und eine Konformitätsbewertung nach dem CRA auch nicht: Nichts in der Richtlinie macht die Konformität mit einem anderen Rechtsakt zur Einrede.

Ihre technische Dokumentation ist ein Beweismittel in Ihrer Verfügungsgewalt

Ein Gericht kann ihre Offenlegung nach Artikel 9 anordnen, und wird sie nicht offengelegt, wird der Fehler nach Artikel 10 Absatz 2 Buchstabe a vermutet. Eine geordnete Dokumentation macht diese Anordnung überstehbar.

Die technische Dokumentation nach dem CRA

Die Vorschriften der Richtlinie im Wortlaut des Amtsblatts

33 Vorschriften, nach ihrer Funktion gruppiert. Der Text ist der des Amtsblatts in berichtigter Fassung, mit den Absatznummern, die es druckt.

Anwendungsbereich

Art. 2(1)(1) Diese Richtlinie gilt für Produkte, die nach dem 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden.
Art. 21(1)Die Richtlinie 85/374/EWG wird mit Wirkung vom 9. Dezember 2026 aufgehoben. Sie gilt jedoch weiterhin für Produkte, die vor diesem Zeitpunkt in Verkehr gebracht oder in Betrieb genommen wurden. Bezugnahmen auf die aufgehobene Richtlinie gelten als Bezugnahmen auf die vorliegende Richtlinie und sind nach Maßgabe der Entsprechungstabelle im Anhang zu lesen.

Begriffsbestimmungen

Art. 4(1)Für die Zwecke dieser Richtlinie gelten folgende Begriffsbestimmungen: 1. „Produkt“ bezeichnet jede bewegliche Sache, auch wenn diese in eine andere bewegliche oder unbewegliche Sache integriert oder damit verbunden ist; unter „Produkt“ sind auch Elektrizität, digitale Konstruktionsunterlagen, Rohstoffe und Software zu verstehen; 2. „digitale Konstruktionsunterlage“ bezeichnet eine digitale Version einer beweglichen Sache oder eine digitale Vorlage dafür, die die funktionalen Informationen enthält, die zur Herstellung eines körperlichen Gegenstands erforderlich sind, indem sie die automatische Steuerung von Maschinen oder Werkzeugen ermöglicht; 3. „verbundener Dienst“ bezeichnet einen digitalen Dienst, der so in ein Produkt integriert oder so mit ihm verbunden ist, dass das Produkt ohne ihn eine oder mehrere seiner Funktionen nicht ausführen könnte; 4. „Komponente“ bezeichnet jeden körperlichen oder nicht-körperlichen Gegenstand, Rohstoff oder verbundenen Dienst, der in ein Produkt integriert oder mit dem Produkt verbunden ist; 5. „Kontrolle des Herstellers“ bezeichnet den Umstand, dass

Schaden

Art. 5(1)(1) Die Mitgliedstaaten stellen sicher, dass jede natürliche Person, die einen durch ein fehlerhaftes Produkt verursachten Schaden erleidet (im Folgenden „geschädigte Person“), Anspruch auf Schadensersatz gemäß dieser Richtlinie hat.
Art. 6(1)(1) Das Recht auf Schadensersatz gemäß Artikel 5 gilt nur für die folgenden Arten von Schäden:

Fehlerhaftigkeit

Art. 7(1)(1) Ein Produkt ist als fehlerhaft anzusehen, wenn es nicht die Sicherheit bietet, die eine Person erwarten darf oder die gemäß Unionsrecht oder nationalem Recht vorgeschrieben ist.
Art. 7(2)(c)der Auswirkungen der Fähigkeit des Produkts, nach seinem Inverkehrbringen oder seiner Inbetriebnahme weiter zu lernen oder neue Funktionen zu erwerben, auf das Produkt;
Art. 7(2)(d)der vernünftigerweise vorhersehbaren Auswirkungen anderer Produkte auf das Produkt, bei denen davon ausgegangen werden kann, dass sie zusammen mit dem Produkt verwendet werden, einschließlich durch eine Verbindung mit dem Produkt;
Art. 7(2)(e)des Zeitpunktes, zu dem das Produkt in Verkehr gebracht oder in Betrieb genommen wurde, oder, wenn der Hersteller nach diesem Zeitpunkt die Kontrolle über das Produkt behält, des Zeitpunktes, in dem das Produkt die Kontrolle des Herstellers verlassen hat;
Art. 7(2)(f)der einschlägigen Anforderungen an die Produktsicherheit, einschließlich sicherheitsrelevanter Cybersicherheitsanforderungen;
Art. 7(3)(3) Ein Produkt ist nicht allein deshalb als fehlerhaft anzusehen, weil ein besseres Produkt, einschließlich Updates oder Upgrades eines Produkts, bereits in Verkehr gebracht oder in Betrieb genommen wurde oder künftig in Verkehr gebracht oder in Betrieb genommen wird.

Wer haftet

Art. 8(1)(1) Die Mitgliedstaaten stellen sicher, dass die folgenden Wirtschaftsakteure gemäß dieser Richtlinie für Schäden haftbar sind:
Art. 8(2)(2) Jede natürliche oder juristische Person, die ein Produkt außerhalb der Kontrolle des Herstellers wesentlich verändert und es anschließend auf dem Markt bereitstellt oder in Betrieb nimmt, gilt für die Zwecke des Absatzes 1 als Hersteller dieses Produkts.
Art. 12(1)(1) Unbeschadet des nationalen Rechts über Tatbeiträge und Rückgriffsrechte stellen die Mitgliedstaaten sicher, dass in Fällen, in denen zwei oder mehr Wirtschaftsakteure für denselben Schaden gemäß dieser Richtlinie haftbar sind, diese gesamtschuldnerisch haftbar gemacht werden können.
Art. 15Die Mitgliedstaaten stellen sicher, dass die Haftung eines Wirtschaftsakteurs nach dieser Richtlinie gegenüber der geschädigten Person nicht durch eine vertragliche Bestimmung oder durch nationales Recht beschränkt oder ausgeschlossen wird.

Offenlegung von Beweismitteln

Art. 9(1)(1) Die Mitgliedstaaten stellen sicher, dass auf Antrag einer Person, die in einem Verfahren vor einem nationalen Gericht Klage auf Ersatz des durch ein fehlerhaftes Produkt verursachten Schadens erhoben (im Folgenden „Kläger“) und Tatsachen vorgetragen und Beweismittel vorgelegt hat, welche die Plausibilität des Schadensersatzanspruchs ausreichend stützen, der Beklagte verpflichtet ist, unter den in diesem Artikel festgelegten Bedingungen in der Verfügungsgewalt des Beklagten befindliche relevante Beweismittel offenzulegen.

Beweislast

Art. 10(2)(2) Die Fehlerhaftigkeit des Produkts wird vermutet, wenn eine der folgenden Bedingungen erfüllt ist:
Art. 10(2)(a)Der Beklagte unterlässt es, relevante Beweismittel nach Artikel 9 Absatz 1 offenzulegen,
Art. 10(2)(b)der Kläger weist nach, dass das Produkt verbindlichen Anforderungen des Unionsrechts oder des nationalen Rechts an die Produktsicherheit nicht entspricht, die vor dem Risiko der Schädigung schützen sollen, die die geschädigte Person erlitten hat, oder
Art. 10(2)(c)der Kläger weist nach, dass der Schaden durch eine offensichtliche Funktionsstörung des Produkts bei vernünftigerweise vorhersehbarem Gebrauch oder unter gewöhnlichen Umständen verursacht wurde.
Art. 10(3)(3) Der ursächliche Zusammenhang zwischen der Fehlerhaftigkeit des Produkts und dem Schaden wird vermutet, wenn festgestellt wurde, dass das Produkt fehlerhaft und der entstandene Schaden seiner Art nach typischerweise auf den betreffenden Fehler zurückzuführen ist.

Haftungsbefreiungen

Art. 11(1)(1) Ein Wirtschaftsakteur nach Artikel 8 haftet nicht für Schäden, die durch ein fehlerhaftes Produkt verursacht wurden, wenn er einen der folgenden Umstände beweist:
Art. 11(1)(c)dass es wahrscheinlich ist, dass die Fehlerhaftigkeit, die den Schaden verursacht hat, zum Zeitpunkt des Inverkehrbringens, der Inbetriebnahme oder, bei einem Lieferanten, des Bereitstellens auf dem Markt noch nicht bestanden hat oder dass diese Fehlerhaftigkeit erst nach dem betreffenden Zeitpunkt entstanden ist;
Art. 11(1)(e)dass die Fehlerhaftigkeit nach dem objektiven Stand der Wissenschaft und Technik zum Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme des Produkts oder in dem Zeitraum, in dem sich das Produkt unter der Kontrolle des Herstellers befand, nicht erkannt werden konnte;
Art. 11(2)(2) Abweichend von Absatz 1 Buchstabe c wird ein Wirtschaftsakteur nicht von der Haftung befreit, wenn die Fehlerhaftigkeit eines Produkts auf eine der folgenden Ursachen zurückzuführen ist, sofern sie der Kontrolle des Herstellers unterliegt:
Art. 11(2)(a)einen verbundenen Dienst,
Art. 11(2)(b)Software, einschließlich Software-Updates oder -Upgrades,
Art. 11(2)(c)ein Fehlen von Software-Updates oder -Upgrades, die zur Aufrechterhaltung der Sicherheit erforderlich sind,
Art. 18(1)(1) Abweichend von Artikel 11 Absatz 1 Buchstabe e können die Mitgliedstaaten in ihren Rechtsordnungen bestehende Maßnahmen beibehalten, wonach ein Wirtschaftsakteur auch dann haftbar ist, wenn er beweist, dass die Fehlerhaftigkeit nach dem objektiven Stand der Wissenschaft und Technik zum Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme des Produkts oder in dem Zeitraum, in dem sich das Produkt unter der Kontrolle des Herstellers befand, nicht erkannt werden konnte. Mitgliedstaaten, die gemäß diesem Absatz Maßnahmen beibehalten möchten, teilen der Kommission den Wortlaut der Maßnahmen spätestens 9. Dezember 2026 mit. Die Kommission setzt die anderen Mitgliedstaaten davon in Kenntnis.

Rückgriff

Art. 14(1)Wenn mehr als ein Wirtschaftsakteur für denselben Schaden haftbar ist, ist ein Wirtschaftsakteur, der der geschädigten Person Schadensersatz geleistet hat, berechtigt, im Einklang mit dem nationalen Recht Rückgriffsansprüche gegen andere gemäß Artikel 8 haftbare Wirtschaftsakteure geltend zu machen.

Fristen

Art. 16(1)(1) Die Mitgliedstaaten stellen sicher, dass für die Einleitung von Verfahren zur Geltendmachung von Schadensersatzansprüchen, die in den Anwendungsbereich dieser Richtlinie fallen, eine Verjährungsfrist von drei Jahren gilt. Die Verjährungsfrist läuft ab dem Tag, an dem die geschädigte Person Kenntnis von allem Folgendem erlangt hat oder vernünftigerweise hätte erlangen müssen:
Art. 17(1)(1) Die Mitgliedstaaten stellen sicher, dass eine geschädigte Person nach Ablauf von zehn Jahren keinen Anspruch auf Schadensersatz gemäß dieser Richtlinie mehr hat, es sei denn, diese geschädigte Person hat in der Zwischenzeit ein Verfahren gegen einen Wirtschaftsakteur eingeleitet, der nach Artikel 8 haftbar gemacht werden kann. Diese Frist beginnt

Umsetzung

Art. 22(1)(1) Die Mitgliedstaaten setzen die Rechts- und Verwaltungsvorschriften in Kraft, die erforderlich sind, um dieser Richtlinie bis zum 9. Dezember 2026 nachzukommen. Sie setzen die Kommission unverzüglich davon in Kenntnis. Bei Erlass dieser Maßnahmen nehmen die Mitgliedstaaten in den Vorschriften selbst oder durch einen Hinweis bei der amtlichen Veröffentlichung auf diese Richtlinie Bezug. Die Mitgliedstaaten regeln die Einzelheiten dieser Bezugnahme.

Nationales Recht

Jeder Mitgliedstaat muss seine nationalen Maßnahmen bis zum 9. Dezember 2026 in Kraft setzen. Welche Staaten bisher Maßnahmen mitgeteilt haben, steht im EU-Register der nationalen Umsetzungsmaßnahmen. Es führt nur, was eine Regierung mitgeteilt hat; ein Staat, dessen Parlament gehandelt, aber nichts mitgeteilt hat, erscheint dort ohne Maßnahme. Nationale Umsetzungsmaßnahmen auf EUR-Lex

Gelesen aus Directive (EU) 2024/2853 im Amtsblatt am 29. September 2026, mit der Berichtigung in jeder gezeigten Sprache. EUR-Lex

Fragen

Schützt mich der Cyber Resilience Act vor der Produkthaftung?: Nein. Konformität mit dem CRA ist keine Einrede und begründet keine Vermutung, dass das Produkt fehlerfrei ist. Ein Verstoß dagegen lässt den Kläger den Fehler vermuten (Artikel 10 Absatz 2 Buchstabe b), wie die Tabelle oben zeigt.
Kann ich diese Haftung in meinen Nutzungsbedingungen beschränken?: Nein. Nach Artikel 15 kann die Haftung gegenüber dem Geschädigten weder durch Vertrag noch durch nationales Recht beschränkt oder ausgeschlossen werden.
Wir liefern nur Software, keine Hardware. Betrifft uns das?: Ja. Artikel 4 Absatz 1 nennt Software als Produkt.
Wir haben das Produkt vor dem Stichtag in Verkehr gebracht.: Artikel 2 Absatz 1 gilt für Produkte, die nach dem 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden. Was davor liegt, bleibt unter der Richtlinie von 1985, die Artikel 21 mit einer Übergangsbestimmung aufhebt.
Ist ein nicht ausgeliefertes Sicherheitsupdate ein Fehler?: Das kann es sein. Artikel 11 Absatz 2 Buchstabe c nimmt die Befreiung für einen später entstandenen Fehler zurück, wenn die Fehlerhaftigkeit auf fehlende Aktualisierungen zurückgeht, die zur Aufrechterhaltung der Sicherheit nötig sind und in Ihrer Kontrolle liegen.

Halten Sie die Dokumentation bereit, die ein Gericht verlangen kann

StandardOS führt die technische Dokumentation nach dem CRA, den Unterstützungszeitraum und die Aufzeichnung jedes Updates an einem Ort, versioniert, damit die Beweismittel existieren und zeigen, was Sie wann getan haben.

14 Tage kostenlos testen

Siehe auch:Cyber Resilience Act Artikel

Diese Seite auf:English Français Nederlands Español Dansk