Bin ich vom CRA betroffen? Selbstcheck für Hersteller

Verfasst von der NIS2Compass Redaktion | Stand: Oktober 2026

Direkt vom Cyber Resilience Act, der Verordnung (EU) 2024/2847, betroffen ist, wer Produkte mit digitalen Elementen herstellt, einführt oder vertreibt. Auch wer zugekaufte Geräte unter eigener Marke verkauft, kann als Hersteller gelten. Der kostenlose CRA-Betroffenheits-Check von NIS2Compass ordnet Ihre Rolle mit 20 Fragen ein, als Word und PDF, ohne E-Mail-Gate.

Warum reicht die NIS2-Betroffenheitsprüfung für den CRA nicht aus?

NIS2 fragt, ob Ihr Unternehmen als Einrichtung Pflichten hat. Der CRA fragt, ob Sie ein Produkt mit digitalen Elementen auf den EU-Markt bringen, unabhängig von Sektor und Größe. Ein Unternehmen kann deshalb CRA-Hersteller sein, ohne NIS2-pflichtig zu sein, und umgekehrt.

NIS2 und das BSIG regeln die Organisation, der CRA regelt das Produkt. Art. 2 CRA knüpft an Produkte an, die auf dem Markt bereitgestellt werden, nicht an Mitarbeiterzahl oder Umsatz. Was der CRA ist und wie er sich zu NIS2 verhält, erklärt ein eigener Beitrag.

Die NIS2-Betroffenheitsprüfung beantwortet die NIS2-Frage, der neue Check die CRA-Frage. Beide ergänzen sich, keiner ersetzt den anderen. Die Schwellenwerte und Sektoren hinter der NIS2-Frage erklärt der Beitrag Bin ich von NIS2 betroffen?. Für die Umsetzung der NIS2-Pflichten stellt die Vorlagen-Bibliothek von NIS2Compass 45+ Vorlagen mit §-Verweisen bereit.

Seit dem 11. September 2026 gilt die Meldepflicht nach Art. 14 für Hersteller, und zwar auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3, Art. 71 Abs. 2). Die übrigen Pflichten für Hersteller, Einführer und Händler gelten ab dem 11. Dezember 2027. Gemeldet wird laut BSI-Pressemitteilung vom 11.09.2026 über die ENISA-Plattform CRA-SRP, CERT-Bund im BSI ist das koordinierende CSIRT. Ob Sie Hersteller sind, entscheidet also schon heute über eine Meldepflicht.

Was prüft der CRA-Betroffenheits-Check in fünf Abschnitten?

Der Check führt in fünf Schritten zu Ihrer Rolle: Ist es ein Produkt mit digitalen Elementen, stellen Sie es auf dem Markt bereit, in welcher Rolle, greift die Eigenmarken-Regel, und steht das Produkt in Anhang III oder IV? Am Ende steht eine von sechs Ergebnis-Kategorien mit Ampel.

• A: Produkt mit digitalen Elementen? Software oder Hardware mit direkter oder indirekter Datenverbindung zu einem Gerät oder Netz, einschließlich ihrer Datenfernverarbeitung. Ausnahmen regelt Art. 2 Abs. 2 bis 7 (Art. 2, Art. 3 Nr. 1 und 2).
• B: Bereitstellung auf dem Markt? Gemeint ist die entgeltliche oder unentgeltliche Abgabe im Rahmen einer Geschäftstätigkeit. Nicht monetarisierte Open-Source-Software ist ausgenommen (Art. 3 Nr. 22, Erwägungsgründe 15 und 18).
• C: Welche Rolle? Hersteller, Einführer oder Händler (Art. 3 Nr. 13, 16, 17). Wer von einem Hersteller schriftlich beauftragt ist, übernimmt als Bevollmächtigter die Aufgaben aus seinem Mandat (Art. 3 Nr. 15, Art. 18).
• D: Eigenmarken-Regel? Eigene Marke oder wesentliche Änderung machen Einführer und Händler ab dem 11. Dezember 2027 zu Herstellern (Art. 21, Art. 3 Nr. 30). In der Praxis wird das oft Eigenmarken-Falle genannt.
• E: Produktkategorie? Wichtige Produkte (Anhang III, Klasse I und II) und kritische Produkte (Anhang IV) unterliegen einer strengeren Konformitätsbewertung (Art. 7, 8, 32).

Die sechs Ergebnisse lauten: nicht betroffen, nur Beschaffungsrolle, Händler, Einführer, Hersteller (auch über die Eigenmarken-Regel) und Klärungsbedarf. Die Ampel zeigt den Umfang der Pflichten, keine Gefahrenstufe. Bei fünf Grenzfall-Fragen können Sie „Unklar“ ankreuzen. Dann lautet das Ergebnis „Klärungsbedarf“ statt einer erzwungenen Antwort.

Anhang III nennt 23 Kategorien wichtiger Produkte, 19 in Klasse I und 4 in Klasse II, Anhang IV drei Kategorien kritischer Produkte. Zwei Beispiele: Smart-Meter-Gateways stehen ausdrücklich in Anhang IV, was Stadtwerke und Energieversorger betrifft. Router, Modems und Switches stehen in Anhang III Klasse I.

Für Maschinenbauer mit vernetzten Steuerungen sind vor allem die Abschnitte C und D entscheidend. Die technische Beschreibung der Kategorien legt die Durchführungsverordnung (EU) 2025/2392 vom 28. November 2025 fest.

Aufgebaut ist der Check wie der Geschäftsführer-Selbstcheck nach § 38 BSIG: Ja/Nein-Fragen, Rechtsgrundlage neben jeder Frage, Auswertung auf einer Seite.

Wann wird ein Händler oder Einführer zum Hersteller?

Ab dem 11. Dezember 2027 gilt ein Einführer oder Händler nach Art. 21 CRA als Hersteller, wenn er ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder wesentlich verändert. Dann treffen ihn die Herstellerpflichten aus Art. 13 und 14. Ob das Umlabeln schon heute zur Meldepflicht führt, ist nicht abschließend geklärt.

Angenommen, ein mittelständischer Zulieferer aus der Industrieautomation kauft ein netzwerkfähiges Edge-Gateway bei einem Hersteller außerhalb der EU. Er verkauft es an Maschinenbauer weiter.

Vorher: Das Gerät trägt die Marke des Ursprungsherstellers. Der Zulieferer ist Einführer (Art. 3 Nr. 16). Ab dem 11. Dezember 2027 muss er unter anderem Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung prüfen, seine Kontaktdaten angeben und Schwachstellen an den Hersteller melden (Art. 19). Die EU-Konformitätserklärung hält er mindestens zehn Jahre oder für den Unterstützungszeitraum bereit, je nachdem, welcher Zeitraum länger ist (Art. 19 Abs. 6).

Nachher: Der Zulieferer lässt das Gerät mit eigenem Logo und eigener Produktbezeichnung ausliefern. Ab dem 11. Dezember 2027 gilt er nach Art. 21 als Hersteller. Damit treffen ihn die Pflichten aus Art. 13, etwa die Anforderungen aus Anhang I, die Konformitätsbewertung und ein festgelegter Unterstützungszeitraum, sowie die Meldepflicht aus Art. 14.

Und heute schon? Art. 14 gilt seit dem 11. September 2026 für Hersteller, auch für bereits ausgelieferte Produkte (Art. 69 Abs. 3). Art. 21 gilt dann noch nicht.

Es lässt sich aber vertreten, dass der Zulieferer bereits nach der Herstellerdefinition in Art. 3 Nr. 13 Hersteller ist: Er lässt das Gerät herstellen und vermarktet es unter seiner Marke. Abschließend geklärt ist das nicht. Der Check markiert diesen Fall deshalb bis zum 11. Dezember 2027 mit einem Hinweis.

Der Unterschied ist auch in Zahlen sichtbar. Verstöße gegen die Pflichten von Bevollmächtigten, Einführern und Händlern (Art. 18 bis 23) können mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen Art. 13 und 14 mit bis zu 15 Mio. Euro oder 2,5 % (Art. 64 Abs. 2 und 3). Art. 64 gilt ab dem 11. Dezember 2027. Mit dem eigenen Etikett steigt der Bußgeldrahmen also von 10 auf 15 Mio. Euro.

Ab dem 11. Dezember 2027 gilt dasselbe ohne neues Etikett, wenn das Gerät wesentlich geändert wird, etwa um neue Funktionen oder Schnittstellen (Art. 3 Nr. 30, Art. 21). Wer weder Einführer noch Händler ist, ein Produkt so ändert und es weitergibt, gilt ab dem 11. Dezember 2027 nach Art. 22 als Hersteller, unter Umständen nur für den geänderten Teil. Reine Sicherheitsaktualisierungen, die die Zweckbestimmung nicht ändern, sind keine wesentliche Änderung (Erwägungsgrund 39). Abschnitt D des Checks fragt diese Konstellationen ab, auch den Einbau zugekaufter Komponenten in ein eigenes Produkt.

Welche Fälle kann der Check nicht eindeutig entscheiden?

Drei Konstellationen sind besonders häufig unklar: Software, die nur im Browser läuft, rein intern genutzte Eigenentwicklungen und Open Source mit bezahltem Support. Die EU-Kommission hat dazu am 27.07.2026 Leitlinien mit 67 Beispielen veröffentlicht, die aber nicht verbindlich sind. Der Check markiert solche Fälle als Klärungsbedarf.

Bei SaaS und Web-Anwendungen gilt nach Auslegung der Kommission: Eine Web-Anwendung, die ausschließlich im Browser genutzt wird, ist für sich kein Produkt mit digitalen Elementen (Leitlinien Rn. 20 und 21, Beispiel 5). Sie gehört aber als Datenfernverarbeitung zum Produkt, wenn dieses ohne sie eine seiner Funktionen nicht erfüllen kann und die Software vom Hersteller stammt (Art. 3 Nr. 2, Erwägungsgründe 11 und 12). Für Cloud-Dienste wie SaaS gilt die NIS2-Richtlinie (Erwägungsgrund 12). Das betrifft vor allem IT-Dienstleister.

Bei interner Eigenentwicklung ist offen, ob reine Eigennutzung im Unternehmen ausscheidet. Der CRA erfasst nur Produkte, die im Rahmen einer Geschäftstätigkeit an andere abgegeben werden (Art. 3 Nr. 22). Ausdrücklich geregelt ist die reine Eigennutzung nur für öffentliche Verwaltungen (Erwägungsgrund 16). Für die Weitergabe an Konzerngesellschaften oder Partner gibt es keine ausdrückliche Regel.

Bei Open Source entscheidet die Monetarisierung. Nicht monetarisierte freie und quelloffene Software ist keine Geschäftstätigkeit (Erwägungsgrund 18). Wer Open Source dauerhaft für kommerzielle Nutzung unterstützt, kann als Verwalter quelloffener Software einem leichteren Regime unterliegen (Art. 3 Nr. 14, Art. 24).

Neben diesen drei Fällen markiert der Check auch die Datenfernverarbeitung und die wesentliche Änderung als Klärungsbedarf, wenn Sie „Unklar“ ankreuzen.

Die Kommission versteht ihre Leitlinien ausdrücklich als Hilfe. Exekutiv-Vizepräsidentin Henna Virkkunen sagte zur Veröffentlichung der CRA-Leitlinien: „Diese Leitlinien sind Teil unserer Vereinfachungsagenda und helfen Unternehmen, ihre Pflichten aus dem Cyber Resilience Act rechtzeitig und mit Zuversicht zu erfüllen.“ (eigene Übersetzung)

Was als Nächstes zu tun ist, hängt vom Ergebnis ab:

• Hersteller: Legen Sie eine Produktliste mit Versionen und Unterstützungszeitraum an und klären Sie den Meldeweg über die CRA-SRP. Wie die Meldung nach Art. 14 abläuft, beschreibt ein eigener Beitrag.
• Klärungsbedarf: Gleichen Sie die markierten Fragen mit dem passenden Kapitel der Leitlinien ab und lassen Sie offene Punkte fachlich prüfen.
• Beschaffungsrolle: Fragen Sie beim Einkauf nach CE-Kennzeichnung und dem Enddatum des Unterstützungszeitraums, das Hersteller beim Kauf angeben müssen (Art. 13 Abs. 19).

Häufig gestellte Fragen

Bin ich als reiner Anwender vernetzter Produkte vom CRA betroffen?

Nicht direkt. Pflichten nach dem CRA haben Wirtschaftsakteure, also Hersteller, Bevollmächtigte, Einführer und Händler (Art. 3 Nr. 12). Als Anwender betrifft Sie der CRA über den Einkauf: Achten Sie auf CE-Kennzeichnung und das angegebene Ende des Unterstützungszeitraums (Art. 13 Abs. 19). Jede Einrichtung kann zudem eigene Anforderungen für Beschaffung oder Nutzung festlegen (Erwägungsgrund 13).

Gilt der CRA auch für Software as a Service?

Eine reine Web-Anwendung, die nur im Browser läuft, ist nach den Leitlinien der EU-Kommission, einer nicht verbindlichen Auslegung, kein Produkt mit digitalen Elementen. Sie gehört aber als Datenfernverarbeitung zum Produkt, wenn ein Produkt ohne sie eine seiner Funktionen nicht erfüllen kann (Art. 3 Nr. 2). Für Cloud-Dienste wie SaaS selbst gilt die NIS2-Richtlinie (Erwägungsgrund 12).

Gibt es beim CRA Ausnahmen für kleine Unternehmen?

Beim Anwendungsbereich nicht: Er richtet sich nach dem Produkt, nicht nach der Unternehmensgröße (Art. 2). Die Verordnung sieht aber Unterstützung vor, etwa einen Helpdesk der koordinierenden CSIRTs zur Meldepflicht (Art. 17 Abs. 6) und Leitlinien mit Schwerpunkt auf KMU (Art. 26). Die Unternehmensgröße fließt zudem in die Bemessung von Geldbußen ein (Art. 64 Abs. 5).

Ist das Ergebnis des Selbstchecks rechtsverbindlich?

Nein. Der CRA-Betroffenheits-Check von NIS2Compass gibt eine Orientierung zu Ihrer Rolle, ersetzt aber keine Rechtsberatung und keine Einzelfallprüfung. Maßgeblich sind der Verordnungstext und die Auslegung der Behörden, in Deutschland des BSI als Marktüberwachungsbehörde. Fragen mit der Antwort „Unklar“ sollten Sie gezielt prüfen lassen.