CRA-Pflichten für Hersteller
2026-08-01
Was Hersteller von Produkten mit digitalen Elementen ab September 2026 und ab Dezember 2027 leisten müssen — von der Meldestelle bis zur CE-Kennzeichnung.
Wer ist Hersteller im Sinne des CRA
Hersteller ist, wer ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in der EU bereitstellt — unabhängig davon, wo entwickelt oder produziert wird. Wer ein fremdes Produkt unter eigenem Namen verkauft oder wesentlich verändert, gilt ebenfalls als Hersteller.
Die Verordnung unterscheidet nicht nach Unternehmensgröße. Entscheidend ist allein das Produkt und seine Bereitstellung auf dem EU-Markt.
Pflichten ab dem 11. September 2026
Ab diesem Datum gilt die Meldepflicht nach Artikel 14. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an das zuständige CSIRT und die Marktaufsicht melden — über die zentrale Meldeplattform der ENISA.
Die Fristen sind gestaffelt: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnis, eine Vollmeldung innerhalb von 72 Stunden und ein Abschlussbericht innerhalb von 14 Tagen nach Behebung. Voraussetzung dafür ist eine veröffentlichte Meldestelle, über die Schwachstellen überhaupt gemeldet werden können, sowie ein dokumentierter interner Prozess.
Pflichten ab dem 11. Dezember 2027
Das vollständige Pflichtenprogramm umfasst eine dokumentierte Risikobewertung je Produkt, eine technische Dokumentation, eine maschinenlesbare Stückliste der Software-Bestandteile (SBOM), eine Konformitätsbewertung und die CE-Kennzeichnung unter Referenz auf den CRA.
Außerdem müssen Hersteller Sicherheitsaktualisierungen für die erwartete Produktlebensdauer bereitstellen, mindestens jedoch fünf Jahre.
Was bei Verstößen droht
Verstöße gegen die Meldepflicht und die wesentlichen Produktanforderungen können mit Bußgeldern bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes belegt werden. Die Marktaufsicht kann darüber hinaus die Bereitstellung eines Produkts untersagen oder einen Rückruf anordnen.
Häufige Fragen
Ab wann gelten die CRA-Pflichten für Hersteller?
Die Meldepflicht für Schwachstellen und Vorfälle gilt ab dem 11. September 2026. Alle weiteren Pflichten — Risikobewertung, technische Dokumentation, SBOM, CE-Kennzeichnung — gelten ab dem 11. Dezember 2027.
Gilt der CRA auch für kleine Hersteller?
Ja. Die Verordnung enthält keine Größenbeschränkung. Für Kleinstunternehmen und kleine Unternehmen sind lediglich Erleichterungen bei der Dokumentation vorgesehen, keine Ausnahme von den Pflichten.
Wann ist ein Unternehmen Hersteller im Sinne des CRA?
Wenn es ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in der EU bereitstellt. Auch wer ein fremdes Produkt umbenennt oder wesentlich verändert, wird als Hersteller behandelt.