CRA und Bestandsprodukte: Was gilt ab 11. Dezember 2027?

Der Cyber Resilience Act, das Inverkehrbringen und die richtige Einordnung von Bestandsprodukten

Ab dem 11. Dezember 2027 gelten die zentralen Anforderungen des Cyber Resilience Act (CRA) für Produkte mit digitalen Elementen, die erstmals auf dem Unionsmarkt in Verkehr gebracht werden.

Für neue Produkte ist die Konsequenz klar: Hersteller müssen die einschlägigen Anforderungen an Cybersicherheit, Konformitätsbewertung, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung erfüllen.

Schwieriger wird es bei Produkten, die bereits vor dem Stichtag auf dem Markt waren. Welche Anforderungen gelten, wenn ein Produktmodell seit Jahren unverändert produziert wird? Was gilt für Einheiten, die am Stichtag noch im Lager des Herstellers liegen? Und wann liegt nur eine weitere Bereitstellung vor – statt eines neuen Inverkehrbringens?

Die Übergangsregelung in Art. 69 Abs. 2 CRA schützt Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, grundsätzlich vor der vollständigen Anwendung der CRA-Anforderungen. Voraussetzung ist, dass sie danach keiner wesentlichen Änderung unterliegen.

Entscheidend ist jedoch: Der Übergangsschutz knüpft nicht allein an eine Produktlinie oder ein Produktmodell an. Ausgangspunkt ist grundsätzlich die konkret betroffene Einheit und der Zeitpunkt, zu dem sie erstmals auf dem Unionsmarkt bereitgestellt wurde.

Kurzantwort:
Art. 69 Abs. 2 CRA erfasst Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 tatsächlich in Verkehr gebracht wurden und danach keiner wesentlichen Änderung unterliegen. Wird eine Einheit dagegen erst ab diesem Stichtag erstmals auf dem Unionsmarkt bereitgestellt, gelten grundsätzlich die regulären Anforderungen für das Inverkehrbringen – auch dann, wenn ein baugleiches Produktmodell bereits zuvor angeboten wurde.

Das typische Szenario: Das Produktmodell ist alt, die Einheit ist neu

Ein Hersteller bringt ein Produkt mit digitalen Elementen erstmals im Jahr 2026 auf dem Unionsmarkt in Verkehr. Das Produktmodell wird anschließend unverändert weiterproduziert.

Im Januar 2028 befindet sich eine neu hergestellte Charge noch beim Hersteller und soll erstmals an einen Kunden, Importeur oder Distributor in der Europäischen Union ausgeliefert werden.

Die zentrale Frage lautet:

Handelt es sich bei dieser Einheit um ein vor dem Stichtag in Verkehr gebrachtes Bestandsprodukt – oder wird sie erst mit der Auslieferung im Januar 2028 erstmals in Verkehr gebracht?

Diese Frage entscheidet darüber, ob die Einheit die für das Inverkehrbringen geltenden CRA-Anforderungen erfüllen muss.

Die Ausgangslage ist nicht auf einzelne Maschinen beschränkt. Sie betrifft Hersteller von Software, IoT-Produkten, vernetzter Hardware, Steuerungen und sonstigen Produkten mit digitalen Elementen mit langen Produktlebenszyklen, Serienproduktion und zeitversetzten Lieferketten.

Was der CRA selbst sagt

Art. 3 Nr. 21 CRA definiert das Inverkehrbringen als die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt.

Art. 3 Nr. 22 CRA definiert die Bereitstellung auf dem Markt als die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit.

Daraus folgt:

• Ein Produkt wird einmal in Verkehr gebracht, nämlich bei seiner erstmaligen Bereitstellung auf dem Unionsmarkt.
• Spätere Lieferungen derselben Einheit innerhalb der Lieferkette sind grundsätzlich weitere Bereitstellungen auf dem Markt.
• Maßgeblich ist nicht allein, wann ein Produktmodell entwickelt wurde, wann eine Charge produziert wurde oder wie lange sie im Herstellerlager liegt.

Art. 69 Abs. 2 CRA enthält die zentrale Übergangsregelung:

Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.

Der CRA stellt außerdem klar, dass die grundlegenden Cybersicherheitsanforderungen beim Inverkehrbringen für jedes einzelne Produkt gelten – unabhängig davon, ob es als Einzelstück oder in Serie hergestellt wurde.

Art. 69 Abs. 3 CRA enthält eine wichtige Ausnahme: Die Pflichten nach Art. 14 CRA gelten auch für Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden und in den Anwendungsbereich der Verordnung fallen. Art. 14 CRA gilt bereits ab dem 11. September 2026.

Damit sind drei Fallgruppen zu unterscheiden:

1. Produkte, die vor dem Stichtag in Verkehr gebracht wurden:
   Sie profitieren grundsätzlich von Art. 69 Abs. 2 CRA, solange sie nach dem Stichtag keiner wesentlichen Änderung unterliegen.
2. Produkte, die ab dem Stichtag erstmals in Verkehr gebracht werden:
   Für sie gelten grundsätzlich die regulären CRA-Anforderungen für das Inverkehrbringen.
3. Meldepflichten nach Art. 14 CRA:
   Sie gelten bereits ab dem 11. September 2026 auch für vor dem Stichtag in Verkehr gebrachte Produkte im Anwendungsbereich des CRA.

Der entscheidende Unterschied: Inverkehrbringen und weitere Bereitstellung

Für die Praxis ist die Abgrenzung zwischen erstmaligem Inverkehrbringen und weiterer Bereitstellung entscheidend.

Wurde eine konkrete Einheit vor dem 11. Dezember 2027 erstmals an einen EU-Importeur, Distributor oder Kunden abgegeben, ist sie grundsätzlich vor dem Stichtag in Verkehr gebracht worden. Art. 69 Abs. 2 CRA kann dann einschlägig sein.

Liegt eine Einheit am Stichtag dagegen noch im Lager des Herstellers und wird erst 2028 erstmals in die EU-Lieferkette abgegeben, spricht viel dafür, dass diese Einheit erst nach dem Stichtag in Verkehr gebracht wird.

Anders liegt der Fall, wenn ein Hersteller eine Einheit bereits vor dem Stichtag an einen Distributor geliefert hat und dieser sie im Jahr 2028 an einen Endkunden weiterverkauft. Dabei handelt es sich grundsätzlich nicht um ein erneutes Inverkehrbringen, sondern um eine weitere Bereitstellung derselben Einheit.

Die Historie eines Produktmodells bleibt dennoch relevant. Sie hilft dabei, Produktstände, Versionen, Sicherheitsaktualisierungen und mögliche wesentliche Änderungen nachzuvollziehen. Sie ersetzt aber nicht die Prüfung, wann die konkret betroffene Einheit erstmals auf dem Unionsmarkt bereitgestellt wurde.

Warum der Blue Guide relevant ist

Der Blue Guide 2022 der Europäischen Kommission ist kein Gesetz und keine Verordnung. Er ist ein nicht bindender Leitfaden zur Anwendung der EU-Produktharmonisierungsvorschriften.

Für die Begriffe „Bereitstellung auf dem Markt“ und „Inverkehrbringen“ beschreibt der Blue Guide eine einzelstückbezogene Betrachtung. Die Konzepte beziehen sich auf jedes einzelne Produkt, nicht allein auf einen Produkttyp oder eine Produktserie.

Das passt zur Systematik des CRA: Auch dort ist das Inverkehrbringen auf die erstmalige Bereitstellung eines Produkts mit digitalen Elementen bezogen.

Der Blue Guide ist deshalb keine eigenständige Rechtsgrundlage. Er ist aber eine wichtige Auslegungshilfe, insbesondere bei der Frage, ob eine konkrete, erst nach dem Stichtag ausgelieferte Einheit bereits vor dem Stichtag in Verkehr gebracht wurde.

Für Hersteller bedeutet das:

• Ein Verweis auf eine bereits vor 2027 vermarktete Produktlinie genügt nicht ohne Weiteres.
• Ebenso wenig ist jede spätere Lieferung automatisch ein neues Inverkehrbringen.
• Entscheidend sind die Lieferkette, die konkrete Einheit, der Zeitpunkt ihrer erstmaligen Bereitstellung und ihr technischer Produktstand.

Wann Art. 69 Abs. 2 CRA hilft

Art. 69 Abs. 2 CRA ist für Produkte relevant, die vor dem 11. Dezember 2027 bereits in Verkehr gebracht wurden.

Für diese Produkte stellt sich anschließend die Frage, ob sie nach dem Stichtag eine wesentliche Änderung erfahren.

Art. 3 Nr. 30 CRA definiert eine wesentliche Änderung als eine Änderung des Produkts mit digitalen Elementen nach dessen Inverkehrbringen, die sich auf die Konformität des Produkts mit den grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks führt.

Nicht jede Änderung ist automatisch wesentlich.

Sicherheitsaktualisierungen, die das Cybersicherheitsrisiko verringern und die Zweckbestimmung nicht verändern, sind grundsätzlich nicht automatisch wesentliche Änderungen. Das gilt insbesondere für geringfügige Quellcodeanpassungen zur Behebung bekannter Schwachstellen. Auch geringfügige visuelle Anpassungen, zusätzliche Sprachen oder Piktogramme in einer Benutzeroberfläche können regelmäßig außerhalb einer wesentlichen Änderung liegen.

Dagegen können neue Funktionen, neue Schnittstellen, geänderte Leistungsmerkmale oder eine veränderte Zweckbestimmung wesentlich sein. Das Hinzufügen einer Funktion kann etwa die Angriffsfläche erweitern und eine erneute Bewertung erforderlich machen.

Die Bewertung bleibt immer produkt- und änderungsbezogen. Eine starre Liste von Änderungen, die stets wesentlich oder stets unwesentlich sind, gibt es nicht.

Was Hersteller dokumentieren sollten

Eine belastbare Dokumentation ersetzt keine Konformitätsbewertung, wenn diese rechtlich erforderlich ist. Sie schafft aber eine nachvollziehbare Grundlage für die interne Steuerung und für die Kommunikation mit Marktüberwachungsbehörden, Importeuren, Distributoren oder notifizierten Stellen.

1. Den Zeitpunkt des erstmaligen Inverkehrbringens nachweisen

Hersteller sollten dokumentieren, wann die konkret betroffene Einheit erstmals auf dem Unionsmarkt bereitgestellt wurde.

Geeignete Nachweise können – abhängig vom Vertriebsmodell – sein:

• Vertrag, Bestellung und Nachweis der tatsächlichen Abgabe,
• Rechnung und Lieferschein,
• Versand- und Zustellnachweise,
• Import- und Zolldokumentation,
• Vertriebs- und Distributionsvereinbarungen,
• Seriennummern-, Chargen- oder Produktzuordnungen.

Eine Bestellung allein reicht regelmäßig nicht aus. Die Unterlagen sollten erkennen lassen, dass die Einheit tatsächlich zum Vertrieb oder zur Verwendung auf dem Unionsmarkt bereitgestellt wurde.

2. Produktidentität und Produktstand beschreiben

Für jede relevante Einheit oder klar abgegrenzte Produktgruppe sollte nachvollziehbar sein, welcher Produktstand betrachtet wird. Dazu gehören insbesondere:

• Produktbezeichnung und Typ,
• Modell- und Variantenbezeichnung,
• Serien- oder Chargennummer,
• Hardwarestand,
• Firmware- und Softwarestand,
• bestimmungsgemäßer Zweck,
• relevante Schnittstellen, Funktionen und Konfigurationen.

Je eindeutiger die Produktidentität festgehalten ist, desto besser lässt sich beurteilen, ob ein Produkt nach seinem Inverkehrbringen verändert wurde.

3. Änderungen bewerten und freigeben

Hersteller sollten Änderungen nicht nur technisch, sondern auch regulatorisch bewerten.

Ein Änderungsvermerk sollte mindestens festhalten:

• Beschreibung der Änderung,
• Anlass und Zeitpunkt der Änderung,
• betroffene Hardware-, Firmware- oder Softwareversion,
• Auswirkungen auf Cybersicherheitsrisiken,
• Auswirkungen auf die Zweckbestimmung,
• Bewertung, ob eine wesentliche Änderung nach Art. 3 Nr. 30 CRA vorliegt,
• verantwortliche Freigabeinstanz und Entscheidungsdatum.

Diese Prüfung gehört in den Änderungs-, Entwicklungs- und Freigabeprozess. Sie sollte nicht erst dann erfolgen, wenn eine Marktüberwachungsbehörde oder ein Geschäftspartner Unterlagen anfordert.

4. Die regulatorische Entscheidungsgrundlage festhalten

Für relevante Übergangsfälle empfiehlt sich ein kurzer regulatorischer Entscheidungsvermerk. Dieser sollte enthalten:

• die einschlägigen Vorschriften, insbesondere Art. 3 Nr. 21, Nr. 22 und Nr. 30 sowie Art. 14 und Art. 69 CRA,
• den dokumentierten Zeitpunkt des erstmaligen Inverkehrbringens,
• die Identifikation der betroffenen Einheit oder Produktgruppe,
• den technischen und funktionalen Produktstand,
• die Bewertung späterer Änderungen,
• die Begründung, weshalb Art. 69 Abs. 2 CRA anwendbar ist oder nicht anwendbar ist,
• verbleibende Unsicherheiten und gegebenenfalls erforderliche Zusatzmaßnahmen.

Was die Dokumentation nicht leisten kann

Eine Dokumentation schafft keinen rechtlichen Bestandsschutz, wenn die Voraussetzungen des Art. 69 Abs. 2 CRA tatsächlich nicht erfüllt sind.

Sie ersetzt insbesondere keine Konformitätsbewertung, wenn eine Einheit erst nach dem 11. Dezember 2027 erstmals in Verkehr gebracht wird oder ein bereits in Verkehr gebrachtes Produkt nach diesem Zeitpunkt wesentlich geändert wurde.

Ihre Funktion liegt in Governance, Nachweisbarkeit und Entscheidungsfähigkeit. Hersteller vermeiden damit, dass die Bewertung erst im Fall einer Marktüberwachung, eines Lieferkettenkonflikts oder eines Sicherheitsvorfalls improvisiert werden muss.

Die drei Fragen für die Praxis

Vor einer Lieferung nach dem 11. Dezember 2027 sollten Hersteller mindestens diese Fragen beantworten können:

1. Wann wurde die konkret betroffene Einheit erstmals auf dem Unionsmarkt bereitgestellt?
2. Ist die aktuelle Lieferung ein erstmaliges Inverkehrbringen oder nur eine weitere Bereitstellung einer bereits in Verkehr gebrachten Einheit?
3. Welche Änderungen wurden seit dem Inverkehrbringen vorgenommen – und warum liegt keine wesentliche Änderung im Sinne des CRA vor?

Wer diese Fragen nicht beantworten kann, hat nicht zwangsläufig ein Konformitätsproblem. Es besteht aber ein erhebliches Nachweis-, Steuerungs- und Haftungsrisiko.

Fazit: Übergangsrecht braucht eine dokumentierte Einzelfallentscheidung

Art. 69 Abs. 2 CRA ist keine pauschale Freistellung für sämtliche älteren Produktlinien. Die Übergangsregelung betrifft Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 tatsächlich in Verkehr gebracht wurden und danach keiner wesentlichen Änderung unterliegen.

Für die Praxis bedeutet das:

• Nicht allein das Alter eines Produktmodells ist entscheidend.
• Maßgeblich ist grundsätzlich der Zeitpunkt, zu dem die konkrete Einheit erstmals auf dem Unionsmarkt bereitgestellt wurde.
• Produkt-, Versions- und Änderungsdokumentation sind unverzichtbar, um den Produktstand und mögliche wesentliche Änderungen nachvollzuziehen.
• Die Meldepflichten nach Art. 14 CRA gelten für Bestandsprodukte bereits ab dem 11. September 2026.

Das ist Lean Compliance: keine vorsorglicher Aktionismus bei bereits rechtmäßig in Verkehr gebrachter Produkte, aber auch kein ungedecktes Vertrauen darauf, dass eine alte Produktlinie jede spätere neue Einheit schützt.

FAQ: CRA und Bestandsprodukte

Verlieren alle Bestandsprodukte am 11. Dezember 2027 ihren Marktzugang, wenn sie nicht alle CRA-Anforderungen erfüllen?

Nein. Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 bereits in Verkehr gebracht wurden, verlieren ihren Marktzugang nicht allein wegen des Geltungsbeginns der zentralen CRA-Anforderungen.

Sie können grundsätzlich weiter auf dem Markt bereitgestellt werden, sofern sie nach diesem Zeitpunkt keiner wesentlichen Änderung unterliegen. Der Weiterverkauf einer bereits vor dem Stichtag in Verkehr gebrachten Einheit durch einen Distributor oder Händler ist grundsätzlich kein erneutes Inverkehrbringen.

Anders kann es bei Einheiten liegen, die am Stichtag noch nicht auf dem Unionsmarkt in Verkehr gebracht wurden und erst danach erstmals an einen EU-Importeur, Distributor oder Kunden abgegeben werden. Für diese Einheiten gelten grundsätzlich die Anforderungen des CRA für das Inverkehrbringen.

Unabhängig davon gelten die Meldepflichten nach Art. 14 CRA bereits ab dem 11. September 2026 auch für vor dem Stichtag in Verkehr gebrachte Produkte im Anwendungsbereich des CRA.

Gilt der CRA ab dem 11. Dezember 2027 automatisch für jede neue Charge?

Nicht allein wegen der Herstellung einer neuen Charge. Entscheidend ist, wann die einzelne Einheit erstmals auf dem Unionsmarkt bereitgestellt wird.

Wird eine Einheit ab dem 11. Dezember 2027 erstmals an einen EU-Kunden, Importeur oder Distributor abgegeben, gelten grundsätzlich die Anforderungen für das Inverkehrbringen. Dass ein baugleiches Produktmodell bereits vor dem Stichtag verkauft wurde, genügt dafür nicht allein.

Wurde die konkrete Einheit dagegen bereits vor dem Stichtag in Verkehr gebracht und danach nur weiter bereitgestellt, kann Art. 69 Abs. 2 CRA einschlägig sein, sofern keine wesentliche Änderung vorliegt.

Ist der Blue Guide verbindlich?

Nein. Der Blue Guide ist ein nicht bindender Leitfaden der Europäischen Kommission zur Anwendung der EU-Produktharmonisierungsvorschriften.

Er ist eine wichtige Auslegungshilfe. Maßgeblich bleiben jedoch der verbindliche Wortlaut des CRA sowie dessen Auslegung durch zuständige Behörden und Gerichte.

Sind Bestandsprodukte vollständig vom CRA ausgenommen?

Nein. Art. 69 Abs. 2 CRA betrifft Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden und danach keiner wesentlichen Änderung unterliegen.

Die Meldepflichten nach Art. 14 CRA gelten nach Art. 69 Abs. 3 CRA auch für vor dem Stichtag in Verkehr gebrachte Produkte im Anwendungsbereich der Verordnung.

Wann ist eine wesentliche Änderung anzunehmen?

Eine wesentliche Änderung liegt nach Art. 3 Nr. 30 CRA vor, wenn sie die Konformität mit den grundlegenden Cybersicherheitsanforderungen beeinflusst oder den bestimmungsgemäßen Zweck verändert.

Das ist im Einzelfall zu prüfen. Sicherheitsaktualisierungen zur Risikosenkung sind nicht automatisch wesentliche Änderungen. Neue Funktionen oder Schnittstellen können dagegen eine neue Bewertung erforderlich machen.

Was sollten Hersteller jetzt tun?

Hersteller sollten ihre Produktlinien und Lieferketten erfassen, den Zeitpunkt des erstmaligen Inverkehrbringens dokumentieren, Produktstände eindeutig versionieren und Änderungen regulatorisch bewerten.

Für Lieferungen ab dem 11. Dezember 2027 sollte vorab dokumentiert werden, ob es sich um ein erstmaliges Inverkehrbringen oder um eine weitere Bereitstellung einer bereits in Verkehr gebrachten Einheit handelt.

Weiterführend:

• Cyber Resilience Act: Anforderungen und Umsetzung  
• CRA-Meldepflichten für Schwachstellen und Sicherheitsvorfälle  
• Technische Dokumentation und Software Bill of Materials  
• CRA-Beratung für Hersteller von Produkten mit digitalen Elementen

Hinweis: Dieser Beitrag gibt eine fachliche Einordnung des Cyber Resilience Act wieder und stellt keine Rechtsberatung dar. Maßgeblich sind der verbindliche Wortlaut der Verordnung (EU) 2024/2847 sowie die Auslegung durch zuständige Behörden und Gerichte.

‍