CRA-Herstellerbenachrichtigungen: Was Software-Käufer verlangen sollten

Von DataTip · Veröffentlicht 14. November 2026

Der CRA legt Meldepflichten für Hersteller fest, aber diese Pflichten sagen Ihnen nicht genau, wann ein Softwarelieferant Ihre Organisation benachrichtigt oder was seine Nachricht enthalten wird. CRA-Lieferantenbenachrichtigungen sind eine separate Frage der Lieferantenbedingungen: Käufer sollten prüfen, wer Kontakt aufnehmen wird, wie schnell und welche Informationen ihren Teams bei der Reaktion helfen.

Der CRA verpflichtet Hersteller, qualifizierende aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle zu melden, einschließlich einer ersten Warnung innerhalb von 24 Stunden und einer direkten Benachrichtigung betroffener Nutzer. Diese Pflicht begründet keine allgemeine Frist vom Lieferanten an den Kunden. Käufer sollten die Lieferantenbedingungen auf einen klaren Kontaktweg, den erwarteten Zeitrahmen und nützliche Informationen prüfen.

Die Meldeanforderungen des CRA traten am 11. September 2026 in Kraft. Das umfassendere Produktkonformitätsregime soll ab dem 11. Dezember 2027 gelten. Der CRA wird als EU-Cybersicherheitsgesetzgebung für Produkte mit digitalen Elementen beschrieben. Dieselbe Meldung hebt die 24-Stunden-Meldefristen der Hersteller hervor, doch diese regulatorische Uhr ist keine pauschale Frist für jede Benachrichtigung vom Lieferanten an den Kunden.

Gilt der CRA für das Produkt oder die Dienstleistung, die Sie kaufen?

Der CRA erfasst Produkte mit digitalen Elementen, einschließlich Software- und Hardwareprodukten, deren Fernverarbeitungslösungen sowie separat vermarktete Software- oder Hardwarekomponenten. Beispiele hierfür sind Betriebssysteme, mobile Anwendungen, Netzwerkausrüstung, Firmware, vernetzte Verbrauchergeräte und industrielle Steuerungen.

Einige Produktkategorien sind ausgeschlossen. Dazu gehören Medizinprodukte und In-vitro-Diagnostika, typgenehmigte Kraftfahrzeuge, zertifizierte zivile Luftfahrtausrüstung und Marineausrüstung. Die Ausnahmen umfassen auch Produkte, die ausschließlich für die nationale Sicherheit oder Verteidigung entwickelt oder geändert wurden, Produkte, die für die Verarbeitung klassifizierter Informationen ausgelegt sind, sowie Ersatzteile, die nach denselben Spezifikationen hergestellt werden wie die Teile, die sie ersetzen.

Eigenständiges Software-as-a-Service fällt in der Regel nicht unter den CRA. Die genannte Ausnahme gilt, wenn eine Fernverarbeitungslösung vom Hersteller konzipiert und entwickelt wird und das Produkt seine Funktionen ohne diese Lösung nicht erfüllen kann. Gehen Sie daher nicht davon aus, dass jeder SaaS-Dienst oder Cloud-Anbieter erfasst ist.

Für einen Käufer ist dies die erste Grenze, die es zu klären gilt: Identifizieren Sie das Produkt oder die Komponente, die mit der Dienstleistung verbunden ist, und ob der CRA möglicherweise Anwendung findet. Das Gesetz ist keine universelle Vorfallsmelderegel für jede Softwarebeziehung.

Wer hat die Meldepflicht nach dem CRA?

Die Meldepflicht liegt bei den Herstellern. Hersteller ist die Partei, die ein Produkt entwickelt oder herstellt, entwickeln oder herstellen lässt und es unter ihrem eigenen Namen oder ihrer Marke vermarktet. Eine Partei, die ein bereits auf dem Markt befindliches Produkt wesentlich verändert, wird für die Zwecke des CRA ebenfalls zum Hersteller.

Importeure und Händler reichen die Meldungen des Herstellers nicht selbst ein. Wenn sie von einer Schwachstelle Kenntnis erlangen, müssen sie den Hersteller unverzüglich informieren. Wenn ein Produkt ein erhebliches Cybersicherheitsrisiko darstellt, müssen sie unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten informieren, in denen sie das Produkt bereitgestellt haben.

Stewards von Open-Source-Software haben eine separate, leichtere Regelung. Die bereitgestellte Meldung beschreibt die Position der Europäischen Kommission dahingehend, dass der Beginn ihrer Meldepflichten auf den 11. Dezember 2027 festgelegt wird.

Diese Unterscheidungen sind wichtig, wenn ein Käufer mit einem Importeur, Händler oder Unternehmen zu tun hat, das ein Produkt unter seiner eigenen Marke verkauft. Der kommerzielle Lieferant und der rechtliche Hersteller müssen nicht dieselbe Partei sein. Käufer sollten klären, wer mit ihnen kommuniziert; die rechtliche Pflicht des Herstellers und die Verpflichtung eines Lieferanten zur Kundenbenachrichtigung bleiben getrennt.

Welche Schwachstellen und Vorfälle lösen eine Meldepflicht aus?

Die hier beschriebenen CRA-Meldeauslöser sind aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Produktsicherheit beeinträchtigen. Sie bedeuten nicht, dass jede Schwachstelle, jeder Testbefund oder jedes Sicherheitsereignis automatisch eine Meldung auslöst.

Eine aktiv ausgenutzte Schwachstelle erfordert verlässliche Belege dafür, dass ein böswilliger Akteur sie ohne Erlaubnis des Systemeigentümers ausgenutzt hat. Gutgläubige Sicherheitstests und koordinierte Offenlegung ohne böswillige Absicht lösen diese Meldepflicht nicht aus.

Ein schwerwiegender Vorfall ist einer, der die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Produktdaten oder -funktionen negativ beeinträchtigt oder beeinträchtigen könnte. Die Definition umfasst auch bestimmte Vorfälle mit Schadcode. Die bereitgestellten Meldungen sind bei der Erörterung schwerwiegender Vorfälle gekürzt, sodass sie keine vollständigere Liste von Vorfallszenarien stützen.

Diese Auslöserdefinitionen helfen Käufern zu verstehen, worauf sich die Meldepflicht des Herstellers bezieht. Sie definieren für sich genommen nicht jedes Ereignis, das ein Lieferant gemäß seinen Bedingungen direkt einem Kunden melden muss.

Was bedeuten die CRA-Meldefristen für Käufer?

Für eine qualifizierende aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall beschreibt die bereitgestellte Meldung eine erste Warnung innerhalb von 24 Stunden und eine direkte Benachrichtigung betroffener Nutzer. Die Meldeanforderungen begannen am 11. September 2026; das umfassendere Produktkonformitätsregime soll ab dem 11. Dezember 2027 gelten.

Diese Termine und Pflichten beschreiben den regulatorischen Rahmen des CRA. Sie begründen keine universelle Frist für die Kundenbenachrichtigung und legen weder den Ansprechpartner jedes Käufers noch den Inhalt der Mitteilung oder vertragliche Rechte fest. Die direkte Benachrichtigung betroffener Nutzer beantwortet nicht die Frage, ob ein bestimmter Lieferant Ihr Team zeitnah kontaktiert oder Informationen in einer Form bereitstellt, die Ihre Organisation nutzen kann.

Diese Lücke ist der Entscheidungspunkt für den Käufer. Die Meldung eines Herstellers an die zuständigen Behörden und die Mitteilung eines Lieferanten an seinen Kunden hängen zusammen, sind aber keine austauschbaren Pflichten.

Was sollten Sie bei CRA-Anbieterbenachrichtigungen prüfen?

Bewerten Sie bei der Auswahl oder Verlängerung, ob die Bedingungen und Betriebsvereinbarungen des Lieferanten drei praktische Fragen beantworten: Wer wird Ihre Organisation kontaktieren, wie schnell, und welche Informationen werden Ihre Reaktion unterstützen? Die Meldepflichten der CRA liefern den Kontext; sie schreiben keine allgemeine Frist zwischen Anbieter und Kunde vor.
Prüfen Sie, ob der Lieferant Folgendes erläutert:

• Wer die Mitteilung sendet und wohin sie geht. Identifizieren Sie den Kontaktweg und wie die Mitteilung die für die Bewertung verantwortlichen Personen erreichen kann.
• Wann der Lieferant Sie voraussichtlich benachrichtigt. Achten Sie auf eine kundengerichtete Erwartung, die sich von der regulatorischen Meldepflicht des Herstellers unterscheidet. Das bereitgestellte Material begründet keine allgemeine Frist für Mitteilungen vom Lieferanten an den Käufer.
• Was die Mitteilung Ihnen mitteilt. Überlegen Sie, ob sie das Ereignis und das betroffene Produkt oder den betroffenen Dienst beschreibt und – soweit bekannt – Informationen über verfügbare Minderungs- oder Korrekturmaßnahmen bereitstellt.
• Wie Folgeinformationen geteilt werden. Eine erste Mitteilung beantwortet möglicherweise nicht jede Frage. Bewerten Sie, ob der Lieferant erläutert, wie er weitere Informationen bereitstellt, sobald sich sein Verständnis entwickelt.
  Dies sind Fragen, die in den Lieferantenbedingungen zu bewerten sind, keine Behauptung, dass die CRA eine bestimmte Vertragsklausel vorschreibt. Der Vertragswortlaut allein gewährleistet keine regulatorische Konformität. Sein praktischer Wert besteht darin, eine Kommunikationsabhängigkeit zu klären: Wenn Ihr Team Lieferanteninformationen benötigt, um ein Ereignis zu bewerten und zu reagieren, sollten Kontaktweg, erwarteter Zeitpunkt und nützliche Informationen nicht implizit bleiben.

FAQ: Verlangt die CRA, dass jeder Softwareanbieter seine Kunden innerhalb von 24 Stunden benachrichtigt?

Die bereitgestellte Berichterstattung begründet keine pauschale Frist zwischen Anbieter und Kunde. Die 24-stündige Erstmeldung ist Teil der CRA-Meldepflicht des Herstellers. Käufer sollten separat bewerten, welche Fristen für die Kundenbenachrichtigung ihre Lieferantenbedingungen vorsehen.

FAQ: Gilt der CRA für eigenständiges SaaS?

Eigenständiges SaaS fällt im Allgemeinen nicht unter den CRA, vorbehaltlich der genannten Ausnahme für eine vom Hersteller konzipierte und entwickelte Remote-Datenverarbeitungslösung, die für die Funktionen des Produkts erforderlich ist. Käufer sollten nicht davon ausgehen, dass jeder SaaS-Dienst abgedeckt ist.

FAQ: Sind Importeure und Händler für die Einreichung von CRA-Berichten verantwortlich?

Nein. Die Berichtspflicht liegt bei den Herstellern. Importeure und Händler haben separate Pflichten, Hersteller über Schwachstellen zu informieren und die zuständigen Marktüberwachungsbehörden der Mitgliedstaaten zu benachrichtigen, wenn ein Produkt ein erhebliches Cybersicherheitsrisiko darstellt.

Wichtigste Erkenntnisse

• Die CRA-Berichtspflichten begannen am 11. September 2026; das umfassendere Produktkonformitätsregime ist für den 11. Dezember 2027 geplant.
• Hersteller melden qualifizierende Ereignisse. Importeure und Händler haben separate Pflichten, Hersteller oder zuständige Behörden unter bestimmten Umständen zu benachrichtigen.
• Eigenständiges SaaS fällt im Allgemeinen nicht unter den CRA, vorbehaltlich der genannten Ausnahme für Remote-Datenverarbeitungslösungen.
• Prüfen Sie die Lieferantenbedingungen dahingehend, wer Ihre Organisation kontaktiert, wie schnell und welche Informationen Ihre Reaktion unterstützen.

Praktische Tipps

• Identifizieren Sie bei der Auswahl oder Verlängerung den Kontaktweg zum Lieferanten und wie Benachrichtigungen die für ihre Bewertung verantwortlichen Personen erreichen.
• Unterscheiden Sie die CRA-Berichtspflicht des Herstellers von der Kundenbenachrichtigungsverpflichtung des Lieferanten.
• Prüfen Sie, welche Informationen der Lieferant voraussichtlich bereitstellen wird und wie er Updates teilen wird, während sich sein Verständnis weiterentwickelt.