Cloud und SaaS: Wo der CRA aufhört
2026-08-01
Reine Cloud-Dienste fallen nicht unter den CRA — aber Client-Software, Apps und produktgebundene Fernverarbeitung ändern die Einordnung. Die wichtigsten Grenzfälle.
Die Grundregel
Der CRA gilt für Produkte mit digitalen Elementen — Software und Hardware, die beim Kunden laufen. Reine Cloud-Dienste, die ausschließlich in der Verantwortung des Anbieters betrieben werden, sind ausgenommen; für sie gilt in der Regel die NIS2-Richtlinie.
Grenzfall 1: Client-Software und Apps
Sobald zum Cloud-Angebot eine installierbare Komponente gehört — ein Desktop-Client, eine mobile App, ein Browser-Plugin oder ein Agent auf dem Gerät des Kunden — ist diese Komponente ein Produkt mit digitalen Elementen und unterliegt dem CRA vollständig: Meldestelle, Meldeprozess, SBOM.
Grenzfall 2: Produktgebundene Fernverarbeitung
Eine Cloud-Komponente, ohne die ein Gerät seine Funktion nicht erfüllen kann — etwa die Verarbeitung von Sensordaten eines verkauften Geräts in der Cloud des Herstellers — zählt zum Produkt. Die Verordnung spricht von Fernverarbeitung, die zum Produkt gehört. In diesem Fall erfasst der CRA den Cloud-Anteil mit.
Kriterium ist die Funktionsabhängigkeit: Fällt das Produkt ohne die Cloud-Verbindung in seiner bestimmungsgemäßen Verwendung aus oder verliert es wesentliche Funktionen, ist die Fernverarbeitung Teil des Produkts.
Grenzfall 3: Weiterverkauf und eigene Marke
Wer einen Cloud-Dienst oder eine Software eines Dritten unter eigener Marke anbietet, wird als Hersteller behandelt — mit allen Pflichten. Die bloße Weitergabe unveränderter Produkte unter fremdem Namen macht Sie dagegen zum Händler mit deutlich geringeren Pflichten.
Häufige Fragen
Gilt der CRA für SaaS-Angebote?
Für reine SaaS ohne Client-Komponente in der Regel nicht — dort greift meist NIS2. Sobald Client-Software, Apps oder produktgebundene Fernverarbeitung dazukommen, gilt der CRA für diese Anteile.
Ist eine mobile App ein Produkt mit digitalen Elementen?
Ja. Mobile Apps werden beim Nutzer installiert und gelten als Softwareprodukte im Sinne des CRA — unabhängig davon, wie stark sie auf Cloud-Dienste angewiesen sind.
Was bedeutet produktgebundene Fernverarbeitung?
Cloud-Verarbeitung, ohne die ein verkauftes Produkt seine bestimmungsgemäße Funktion verliert. Sie zählt rechtlich zum Produkt und unterliegt denselben CRA-Anforderungen.