{"id":185027,"date":"2026-11-14T20:53:12","date_gmt":"2026-11-14T20:53:12","guid":{"rendered":"https:\/\/www.datatip.eu\/?p=185027"},"modified":"2026-11-14T20:54:07","modified_gmt":"2026-11-14T20:54:07","slug":"cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten","status":"publish","type":"post","link":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/","title":{"rendered":"CRA-Herstellerbenachrichtigungen: Was Software-K\u00e4ufer verlangen sollten"},"content":{"rendered":"<p class=\"article-byline\" style=\"color:inherit;opacity:0.7;font-size:0.9em;margin-bottom:1.25em;\">Von DataTip \u00b7 Ver\u00f6ffentlicht <time datetime=\"2026-11-14T20:53:12\">14. November 2026<\/time><\/p>\n<div class=\"article-summary\" style=\"border-left:3px solid rgba(127,127,127,0.4);background:rgba(127,127,127,0.1);color:inherit;padding:1em 1.25em;margin-bottom:1.5em;border-radius:6px;line-height:1.6\">\n<p style=\"margin:0;\"><strong>TL;DR:<\/strong> Der CRA verpflichtet Hersteller, qualifizierende aktiv ausgenutzte Schwachstellen und schwerwiegende Vorf\u00e4lle zu melden, einschlie\u00dflich einer ersten Warnung innerhalb von 24 Stunden und einer direkten Benachrichtigung betroffener Nutzer. Diese Pflicht begr\u00fcndet keine allgemeine Frist vom Lieferanten an den Kunden. K\u00e4ufer sollten die Lieferantenbedingungen auf einen klaren Kontaktweg, den erwarteten Zeitrahmen und n\u00fctzliche Informationen pr\u00fcfen.<\/p>\n<ul style=\"margin:0.6em 0 0;padding-left:1.25em;\">\n<li style=\"margin:0.25em 0;\">Die Meldepflichten des CRA gelten seit dem 11. September 2026; das umfassendere Produktkonformit\u00e4tsregime ist f\u00fcr den 11. Dezember 2027 vorgesehen.<\/li>\n<li style=\"margin:0.25em 0;\">Hersteller melden qualifizierende Ereignisse. Importeure und H\u00e4ndler haben gesonderte Pflichten, Hersteller oder zust\u00e4ndige Beh\u00f6rden unter bestimmten Umst\u00e4nden zu benachrichtigen.<\/li>\n<li style=\"margin:0.25em 0;\">Eigenst\u00e4ndiges SaaS f\u00e4llt im Allgemeinen nicht unter den CRA, vorbehaltlich der genannten Ausnahme f\u00fcr Fernverarbeitungsl\u00f6sungen.<\/li>\n<li style=\"margin:0.25em 0;\">Pr\u00fcfen Sie die Lieferantenbedingungen daraufhin, wer Ihre Organisation kontaktieren wird, wie schnell und welche Informationen Ihre Reaktion unterst\u00fctzen werden.<\/li>\n<\/ul>\n<\/div>\n<p>Der CRA legt Meldepflichten f\u00fcr Hersteller fest, aber diese Pflichten sagen Ihnen nicht genau, wann ein Softwarelieferant Ihre Organisation benachrichtigt oder was seine Nachricht enthalten wird. <strong>CRA-Lieferantenbenachrichtigungen sind eine separate Frage der Lieferantenbedingungen:<\/strong> K\u00e4ufer sollten pr\u00fcfen, wer Kontakt aufnehmen wird, wie schnell und welche Informationen ihren Teams bei der Reaktion helfen.<\/p>\n<p>Der CRA verpflichtet Hersteller, qualifizierende aktiv ausgenutzte Schwachstellen und schwerwiegende Vorf\u00e4lle zu melden, einschlie\u00dflich einer ersten Warnung innerhalb von 24 Stunden und einer direkten Benachrichtigung betroffener Nutzer. Diese Pflicht begr\u00fcndet keine allgemeine Frist vom Lieferanten an den Kunden. K\u00e4ufer sollten die Lieferantenbedingungen auf einen klaren Kontaktweg, den erwarteten Zeitrahmen und n\u00fctzliche Informationen pr\u00fcfen.<\/p>\n<p>Die Meldeanforderungen des CRA traten am 11. September 2026 in Kraft. Das umfassendere Produktkonformit\u00e4tsregime soll ab dem 11. Dezember 2027 gelten. Der <a href=\"https:\/\/www.fisherphillips.com\/en\/insights\/insights\/eu-cyber-resilience-act-reporting-is-now-live\">CRA wird als EU-Cybersicherheitsgesetzgebung f\u00fcr Produkte mit digitalen Elementen beschrieben<\/a>. Dieselbe Meldung hebt die <a href=\"https:\/\/www.fisherphillips.com\/en\/insights\/insights\/eu-cyber-resilience-act-reporting-is-now-live\">24-Stunden-Meldefristen<\/a> der Hersteller hervor, doch diese regulatorische Uhr ist keine pauschale Frist f\u00fcr jede Benachrichtigung vom Lieferanten an den Kunden.<\/p>\n<h2 id=\"does-the-cra-apply-to-the-product-or-service-you-are-buying\" style=\"clear:both;\">Gilt der CRA f\u00fcr das Produkt oder die Dienstleistung, die Sie kaufen?<\/h2>\n<p>Der CRA erfasst Produkte mit digitalen Elementen, einschlie\u00dflich Software- und Hardwareprodukten, deren Fernverarbeitungsl\u00f6sungen sowie separat vermarktete Software- oder Hardwarekomponenten. Beispiele hierf\u00fcr sind Betriebssysteme, mobile Anwendungen, Netzwerkausr\u00fcstung, Firmware, vernetzte Verbraucherger\u00e4te und industrielle Steuerungen.<\/p>\n<p>Einige Produktkategorien sind ausgeschlossen. Dazu geh\u00f6ren Medizinprodukte und In-vitro-Diagnostika, typgenehmigte Kraftfahrzeuge, zertifizierte zivile Luftfahrtausr\u00fcstung und Marineausr\u00fcstung. Die Ausnahmen umfassen auch Produkte, die ausschlie\u00dflich f\u00fcr die nationale Sicherheit oder Verteidigung entwickelt oder ge\u00e4ndert wurden, Produkte, die f\u00fcr die Verarbeitung klassifizierter Informationen ausgelegt sind, sowie Ersatzteile, die nach denselben Spezifikationen hergestellt werden wie die Teile, die sie ersetzen.<\/p>\n<p>Eigenst\u00e4ndiges Software-as-a-Service f\u00e4llt in der Regel nicht unter den CRA. Die genannte Ausnahme gilt, wenn eine Fernverarbeitungsl\u00f6sung vom Hersteller konzipiert und entwickelt wird und das Produkt seine Funktionen ohne diese L\u00f6sung nicht erf\u00fcllen kann. Gehen Sie daher nicht davon aus, dass jeder SaaS-Dienst oder Cloud-Anbieter erfasst ist.<\/p>\n<p>F\u00fcr einen K\u00e4ufer ist dies die erste Grenze, die es zu kl\u00e4ren gilt: Identifizieren Sie das Produkt oder die Komponente, die mit der Dienstleistung verbunden ist, und ob der CRA m\u00f6glicherweise Anwendung findet. Das Gesetz ist keine universelle Vorfallsmelderegel f\u00fcr jede Softwarebeziehung.<\/p>\n<h2 id=\"who-has-the-cra-reporting-duty\" style=\"clear:both;\">Wer hat die Meldepflicht nach dem CRA?<\/h2>\n<p>Die Meldepflicht liegt bei den Herstellern. Hersteller ist die Partei, die ein Produkt entwickelt oder herstellt, entwickeln oder herstellen l\u00e4sst und es unter ihrem eigenen Namen oder ihrer Marke vermarktet. Eine Partei, die ein bereits auf dem Markt befindliches Produkt wesentlich ver\u00e4ndert, wird f\u00fcr die Zwecke des CRA ebenfalls zum Hersteller.<\/p>\n<p>Importeure und H\u00e4ndler reichen die Meldungen des Herstellers nicht selbst ein. Wenn sie von einer Schwachstelle Kenntnis erlangen, m\u00fcssen sie den Hersteller unverz\u00fcglich informieren. Wenn ein Produkt ein erhebliches Cybersicherheitsrisiko darstellt, m\u00fcssen sie unverz\u00fcglich die Markt\u00fcberwachungsbeh\u00f6rden der Mitgliedstaaten informieren, in denen sie das Produkt bereitgestellt haben.<\/p>\n<p>Stewards von Open-Source-Software haben eine separate, leichtere Regelung. Die bereitgestellte Meldung beschreibt die Position der Europ\u00e4ischen Kommission dahingehend, dass der Beginn ihrer Meldepflichten auf den 11. Dezember 2027 festgelegt wird.<\/p>\n<p>Diese Unterscheidungen sind wichtig, wenn ein K\u00e4ufer mit einem Importeur, H\u00e4ndler oder Unternehmen zu tun hat, das ein Produkt unter seiner eigenen Marke verkauft. Der kommerzielle Lieferant und der rechtliche Hersteller m\u00fcssen nicht dieselbe Partei sein. K\u00e4ufer sollten kl\u00e4ren, wer mit ihnen kommuniziert; die rechtliche Pflicht des Herstellers und die Verpflichtung eines Lieferanten zur Kundenbenachrichtigung bleiben getrennt.<\/p>\n<h2 id=\"which-vulnerabilities-and-incidents-trigger-reporting\" style=\"clear:both;\">Welche Schwachstellen und Vorf\u00e4lle l\u00f6sen eine Meldepflicht aus?<\/h2>\n<p>Die hier beschriebenen CRA-Meldeausl\u00f6ser sind aktiv ausgenutzte Schwachstellen und schwerwiegende Vorf\u00e4lle, die die Produktsicherheit beeintr\u00e4chtigen. Sie bedeuten nicht, dass jede Schwachstelle, jeder Testbefund oder jedes Sicherheitsereignis automatisch eine Meldung ausl\u00f6st.<\/p>\n<figure style=\"clear:both;max-width:760px;margin:32px auto;text-align:center;\"><img decoding=\"async\" src=\"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/the-evidence-threshold-cover.webp\" alt=\"Eine kleine petrolfarbene Schicht scheint durch ein Nadel\u00f6hr in einer straffen, geschichteten Papiermembran hindurch.\" style=\"border-radius:8px;width:100%;box-shadow:0 4px 16px rgba(0,0,0,0.2);\"><figcaption style=\"font-size:13px;color:#888;margin-top:8px;font-style:italic;\">Eine kleine petrolfarbene Schicht scheint durch ein Nadel\u00f6hr in einer straffen, geschichteten Papiermembran hindurch.<\/figcaption><\/figure>\n<p>Eine aktiv ausgenutzte Schwachstelle erfordert verl\u00e4ssliche Belege daf\u00fcr, dass ein b\u00f6swilliger Akteur sie ohne Erlaubnis des Systemeigent\u00fcmers ausgenutzt hat. Gutgl\u00e4ubige Sicherheitstests und koordinierte Offenlegung ohne b\u00f6swillige Absicht l\u00f6sen diese Meldepflicht nicht aus.<\/p>\n<p>Ein schwerwiegender Vorfall ist einer, der die Verf\u00fcgbarkeit, Authentizit\u00e4t, Integrit\u00e4t oder Vertraulichkeit von Produktdaten oder -funktionen negativ beeintr\u00e4chtigt oder beeintr\u00e4chtigen k\u00f6nnte. Die Definition umfasst auch bestimmte Vorf\u00e4lle mit Schadcode. Die bereitgestellten Meldungen sind bei der Er\u00f6rterung schwerwiegender Vorf\u00e4lle gek\u00fcrzt, sodass sie keine vollst\u00e4ndigere Liste von Vorfallszenarien st\u00fctzen.<\/p>\n<p>Diese Ausl\u00f6serdefinitionen helfen K\u00e4ufern zu verstehen, worauf sich die Meldepflicht des Herstellers bezieht. Sie definieren f\u00fcr sich genommen nicht jedes Ereignis, das ein Lieferant gem\u00e4\u00df seinen Bedingungen direkt einem Kunden melden muss.<\/p>\n<h2 id=\"what-do-the-cra-reporting-deadlines-mean-for-buyers\" style=\"clear:both;\">Was bedeuten die CRA-Meldefristen f\u00fcr K\u00e4ufer?<\/h2>\n<p>F\u00fcr eine qualifizierende aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall beschreibt die bereitgestellte Meldung eine erste Warnung innerhalb von 24 Stunden und eine direkte Benachrichtigung betroffener Nutzer. Die Meldeanforderungen begannen am 11. September 2026; das umfassendere Produktkonformit\u00e4tsregime soll ab dem 11. Dezember 2027 gelten.<\/p>\n<p>Diese Termine und Pflichten beschreiben den regulatorischen Rahmen des CRA. Sie begr\u00fcnden keine universelle Frist f\u00fcr die Kundenbenachrichtigung und legen weder den Ansprechpartner jedes K\u00e4ufers noch den Inhalt der Mitteilung oder vertragliche Rechte fest. Die direkte Benachrichtigung betroffener Nutzer beantwortet nicht die Frage, ob ein bestimmter Lieferant Ihr Team zeitnah kontaktiert oder Informationen in einer Form bereitstellt, die Ihre Organisation nutzen kann.<\/p>\n<p>Diese L\u00fccke ist der Entscheidungspunkt f\u00fcr den K\u00e4ufer. Die Meldung eines Herstellers an die zust\u00e4ndigen Beh\u00f6rden und die Mitteilung eines Lieferanten an seinen Kunden h\u00e4ngen zusammen, sind aber keine austauschbaren Pflichten.<\/p>\n<h2 id=\"what-should-you-check-in-cra-vendor-notifications\" style=\"clear:both;\">Was sollten Sie bei CRA-Anbieterbenachrichtigungen pr\u00fcfen?<\/h2>\n<p>Bewerten Sie bei der Auswahl oder Verl\u00e4ngerung, ob die Bedingungen und Betriebsvereinbarungen des Lieferanten drei praktische Fragen beantworten: <strong>Wer wird Ihre Organisation kontaktieren, wie schnell, und welche Informationen werden Ihre Reaktion unterst\u00fctzen?<\/strong> Die Meldepflichten der CRA liefern den Kontext; sie schreiben keine allgemeine Frist zwischen Anbieter und Kunde vor.<br \/>\nPr\u00fcfen Sie, ob der Lieferant Folgendes erl\u00e4utert:<\/p>\n<ul style=\"clear:both;\">\n<li><strong>Wer die Mitteilung sendet und wohin sie geht.<\/strong> Identifizieren Sie den Kontaktweg und wie die Mitteilung die f\u00fcr die Bewertung verantwortlichen Personen erreichen kann.<\/li>\n<li><strong>Wann der Lieferant Sie voraussichtlich benachrichtigt.<\/strong> Achten Sie auf eine kundengerichtete Erwartung, die sich von der regulatorischen Meldepflicht des Herstellers unterscheidet. Das bereitgestellte Material begr\u00fcndet keine allgemeine Frist f\u00fcr Mitteilungen vom Lieferanten an den K\u00e4ufer.<\/li>\n<li><strong>Was die Mitteilung Ihnen mitteilt.<\/strong> \u00dcberlegen Sie, ob sie das Ereignis und das betroffene Produkt oder den betroffenen Dienst beschreibt und \u2013 soweit bekannt \u2013 Informationen \u00fcber verf\u00fcgbare Minderungs- oder Korrekturma\u00dfnahmen bereitstellt.<\/li>\n<li><strong>Wie Folgeinformationen geteilt werden.<\/strong> Eine erste Mitteilung beantwortet m\u00f6glicherweise nicht jede Frage. Bewerten Sie, ob der Lieferant erl\u00e4utert, wie er weitere Informationen bereitstellt, sobald sich sein Verst\u00e4ndnis entwickelt.<br \/>\nDies sind Fragen, die in den Lieferantenbedingungen zu bewerten sind, keine Behauptung, dass die CRA eine bestimmte Vertragsklausel vorschreibt. Der Vertragswortlaut allein gew\u00e4hrleistet keine regulatorische Konformit\u00e4t. Sein praktischer Wert besteht darin, eine Kommunikationsabh\u00e4ngigkeit zu kl\u00e4ren: Wenn Ihr Team Lieferanteninformationen ben\u00f6tigt, um ein Ereignis zu bewerten und zu reagieren, sollten Kontaktweg, erwarteter Zeitpunkt und n\u00fctzliche Informationen nicht implizit bleiben.<\/li>\n<\/ul>\n<figure style=\"clear:both;max-width:760px;margin:32px auto;text-align:center;\"><img decoding=\"async\" src=\"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/the-notification-commitment-as-a-working-joint-cover.webp\" alt=\"Ein t\u00fcrkisfarbener Papierdrehpunkt verbindet blasse gefaltete Bl\u00e4tter mit einer dunklen, kantigen Papierstruktur.\" style=\"border-radius:8px;width:100%;box-shadow:0 4px 16px rgba(0,0,0,0.2);\"><figcaption style=\"font-size:13px;color:#888;margin-top:8px;font-style:italic;\">Ein t\u00fcrkisfarbener Papierdrehpunkt verbindet blasse gefaltete Bl\u00e4tter mit einer dunklen, kantigen Papierstruktur.<\/figcaption><\/figure>\n<h3 id=\"faq-does-the-cra-require-every-software-vendor-to-notify-customers-within-24-hours\" style=\"clear:both;\">FAQ: Verlangt die CRA, dass jeder Softwareanbieter seine Kunden innerhalb von 24 Stunden benachrichtigt?<\/h3>\n<p>Die bereitgestellte Berichterstattung begr\u00fcndet keine pauschale Frist zwischen Anbieter und Kunde. Die 24-st\u00fcndige Erstmeldung ist Teil der CRA-Meldepflicht des Herstellers. K\u00e4ufer sollten separat bewerten, welche Fristen f\u00fcr die Kundenbenachrichtigung ihre Lieferantenbedingungen vorsehen.<\/p>\n<h3 id=\"faq-does-the-cra-apply-to-standalone-saas\" style=\"clear:both;\">FAQ: Gilt der CRA f\u00fcr eigenst\u00e4ndiges SaaS?<\/h3>\n<p>Eigenst\u00e4ndiges SaaS f\u00e4llt im Allgemeinen nicht unter den CRA, vorbehaltlich der genannten Ausnahme f\u00fcr eine vom Hersteller konzipierte und entwickelte Remote-Datenverarbeitungsl\u00f6sung, die f\u00fcr die Funktionen des Produkts erforderlich ist. K\u00e4ufer sollten nicht davon ausgehen, dass jeder SaaS-Dienst abgedeckt ist.<\/p>\n<h3 id=\"faq-are-importers-and-distributors-responsible-for-filing-cra-reports\" style=\"clear:both;\">FAQ: Sind Importeure und H\u00e4ndler f\u00fcr die Einreichung von CRA-Berichten verantwortlich?<\/h3>\n<p>Nein. Die Berichtspflicht liegt bei den Herstellern. Importeure und H\u00e4ndler haben separate Pflichten, Hersteller \u00fcber Schwachstellen zu informieren und die zust\u00e4ndigen Markt\u00fcberwachungsbeh\u00f6rden der Mitgliedstaaten zu benachrichtigen, wenn ein Produkt ein erhebliches Cybersicherheitsrisiko darstellt.<\/p>\n<h2 id=\"key-takeaways\" style=\"clear:both;\">Wichtigste Erkenntnisse<\/h2>\n<ul style=\"clear:both;\">\n<li>Die CRA-Berichtspflichten begannen am 11. September 2026; das umfassendere Produktkonformit\u00e4tsregime ist f\u00fcr den 11. Dezember 2027 geplant.<\/li>\n<li>Hersteller melden qualifizierende Ereignisse. Importeure und H\u00e4ndler haben separate Pflichten, Hersteller oder zust\u00e4ndige Beh\u00f6rden unter bestimmten Umst\u00e4nden zu benachrichtigen.<\/li>\n<li>Eigenst\u00e4ndiges SaaS f\u00e4llt im Allgemeinen nicht unter den CRA, vorbehaltlich der genannten Ausnahme f\u00fcr Remote-Datenverarbeitungsl\u00f6sungen.<\/li>\n<li>Pr\u00fcfen Sie die Lieferantenbedingungen dahingehend, wer Ihre Organisation kontaktiert, wie schnell und welche Informationen Ihre Reaktion unterst\u00fctzen.<\/li>\n<\/ul>\n<h2 id=\"practical-tips\" style=\"clear:both;\">Praktische Tipps<\/h2>\n<ul style=\"clear:both;\">\n<li>Identifizieren Sie bei der Auswahl oder Verl\u00e4ngerung den Kontaktweg zum Lieferanten und wie Benachrichtigungen die f\u00fcr ihre Bewertung verantwortlichen Personen erreichen.<\/li>\n<li>Unterscheiden Sie die CRA-Berichtspflicht des Herstellers von der Kundenbenachrichtigungsverpflichtung des Lieferanten.<\/li>\n<li>Pr\u00fcfen Sie, welche Informationen der Lieferant voraussichtlich bereitstellen wird und wie er Updates teilen wird, w\u00e4hrend sich sein Verst\u00e4ndnis weiterentwickelt.<\/li>\n<\/ul>\n<p><script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"BlogPosting\",\"headline\":\"CRA-Herstellerbenachrichtigungen: Was Software-K\u00e4ufer verlangen sollten\",\"description\":\"Die gesetzliche Meldefrist eines Lieferanten beantwortet nicht die Frage des K\u00e4ufers: Wer wird sich wann und mit welchen Informationen an Ihr Team wenden?\",\"url\":\"https:\/\/www.datatip.eu\/cra-vendor-notifications-what-software-buyers-should-require\/\",\"datePublished\":\"2026-11-14T20:53:12\",\"dateModified\":\"2026-11-14T20:53:18.063Z\",\"author\":{\"@type\":\"Organization\",\"name\":\"DataTip\"},\"publisher\":{\"@type\":\"Organization\",\"name\":\"datatip.eu\"},\"mainEntityOfPage\":{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.datatip.eu\/cra-vendor-notifications-what-software-buyers-should-require\/\"},\"image\":\"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp\",\"wordCount\":1326,\"timeRequired\":\"PT6M\",\"inLanguage\":\"de\",\"keywords\":\"Cyber Resilience Act, Software Procurement, Vendor Risk, Incident Notification\"}<\/script><br \/>\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"BreadcrumbList\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Startseite\",\"item\":\"https:\/\/datatip.eu\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Blog\",\"item\":\"https:\/\/www.datatip.eu\/category\/technology\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"CRA-Herstellerbenachrichtigungen: Was Software-K\u00e4ufer verlangen sollten\",\"item\":\"https:\/\/www.datatip.eu\/cra-vendor-notifications-what-software-buyers-should-require\/\"}]}<\/script><br \/>\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"Verlangt der CRA, dass jeder Software-Hersteller seine Kunden innerhalb von 24 Stunden benachrichtigt?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Die vorliegenden Meldepflichten sehen keine pauschale Frist f\u00fcr die Benachrichtigung von Kunden durch Hersteller vor. Die 24-st\u00fcndige Erstmeldung ist Teil der CRA-Meldepflicht des Herstellers. K\u00e4ufer sollten gesondert pr\u00fcfen, welche Fristen f\u00fcr die Kundenbenachrichtigung ihre Lieferantenbedingungen vorsehen.\"}},{\"@type\":\"Question\",\"name\":\"Gilt der CRA f\u00fcr eigenst\u00e4ndiges SaaS?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Eigenst\u00e4ndiges SaaS f\u00e4llt grunds\u00e4tzlich nicht unter den CRA, vorbehaltlich der genannten Ausnahme f\u00fcr eine vom Hersteller konzipierte und entwickelte Remote-Datenverarbeitungsl\u00f6sung, die f\u00fcr die Funktionen des Produkts erforderlich ist. K\u00e4ufer sollten nicht davon ausgehen, dass jeder SaaS-Dienst abgedeckt ist.\"}},{\"@type\":\"Question\",\"name\":\"Sind Importeure und H\u00e4ndler f\u00fcr die Einreichung von CRA-Meldungen verantwortlich?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Nein. Die Meldepflicht liegt bei den Herstellern. Importeure und H\u00e4ndler haben separate Pflichten, Hersteller \u00fcber Schwachstellen zu informieren und die zust\u00e4ndigen Markt\u00fcberwachungsbeh\u00f6rden der Mitgliedstaaten zu benachrichtigen, wenn ein Produkt ein erhebliches Cybersicherheitsrisiko darstellt.\"}}]}<\/script><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die gesetzliche Meldefrist eines Lieferanten beantwortet nicht die Frage des K\u00e4ufers: Wer wird sich wann und mit welchen Informationen an Ihr Team wenden?<\/p>\n","protected":false},"author":1,"featured_media":185000,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"rs_blank_template":"","rs_page_bg_color":"","slide_template_v7":"","footnotes":""},"categories":[929,1714],"tags":[1142,1153,1750,1778],"class_list":["post-185027","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","category-cybersecurity","tag-lieferantenrisiko","tag-softwarebeschaffung","tag-cyber-resilience-act","tag-incident-notification"],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v28.8 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>CRA-Herstellerbenachrichtigungen: Was K\u00e4ufer pr\u00fcfen sollten<\/title>\n<meta name=\"description\" content=\"Verstehen Sie die CRA-Meldepflichten und bewerten Sie, ob Software-Lieferantenbedingungen festlegen, wer Sie benachrichtigt, wann dies geschieht und welche\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/\" \/>\n<meta property=\"og:locale\" content=\"de_DE\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"CRA-Herstellerbenachrichtigungen: Was K\u00e4ufer pr\u00fcfen sollten\" \/>\n<meta property=\"og:description\" content=\"Verstehen Sie die CRA-Meldepflichten und bewerten Sie, ob Software-Lieferantenbedingungen festlegen, wer Sie benachrichtigt, wann dies geschieht und welche\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/\" \/>\n<meta property=\"og:site_name\" content=\"DATATIP\" \/>\n<meta property=\"article:publisher\" content=\"http:\/\/facebook.com\/datatip.eu\" \/>\n<meta property=\"article:published_time\" content=\"2026-11-14T20:53:12+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2026-11-14T20:54:07+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp\" \/>\n\t<meta property=\"og:image:width\" content=\"1920\" \/>\n\t<meta property=\"og:image:height\" content=\"1080\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/webp\" \/>\n<meta name=\"author\" content=\"DataTip\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Verfasst von\" \/>\n\t<meta name=\"twitter:data1\" content=\"DataTip\" \/>\n\t<meta name=\"twitter:label2\" content=\"Gesch\u00e4tzte Lesezeit\" \/>\n\t<meta name=\"twitter:data2\" content=\"8\u00a0Minuten\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"Article\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/#article\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/\"},\"author\":{\"name\":\"DataTip\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#\\\/schema\\\/person\\\/42e58f2c85d280383632fe4803e70928\"},\"headline\":\"CRA-Herstellerbenachrichtigungen: Was Software-K\u00e4ufer verlangen sollten\",\"datePublished\":\"2026-11-14T20:53:12+00:00\",\"dateModified\":\"2026-11-14T20:54:07+00:00\",\"mainEntityOfPage\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/\"},\"wordCount\":1640,\"publisher\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#organization\"},\"image\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/www.datatip.eu\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp\",\"keywords\":[\"Lieferantenrisiko\",\"Softwarebeschaffung\",\"Cyber Resilience Act\",\"Incident Notification\"],\"articleSection\":[\"Technologie\",\"Cybersecurity\"],\"inLanguage\":\"de\"},{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/\",\"url\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/\",\"name\":\"CRA-Herstellerbenachrichtigungen: Was K\u00e4ufer pr\u00fcfen sollten\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/#primaryimage\"},\"image\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/#primaryimage\"},\"thumbnailUrl\":\"https:\\\/\\\/www.datatip.eu\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp\",\"datePublished\":\"2026-11-14T20:53:12+00:00\",\"dateModified\":\"2026-11-14T20:54:07+00:00\",\"description\":\"Verstehen Sie die CRA-Meldepflichten und bewerten Sie, ob Software-Lieferantenbedingungen festlegen, wer Sie benachrichtigt, wann dies geschieht und welche\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/#breadcrumb\"},\"inLanguage\":\"de\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/#primaryimage\",\"url\":\"https:\\\/\\\/www.datatip.eu\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp\",\"contentUrl\":\"https:\\\/\\\/www.datatip.eu\\\/wp-content\\\/uploads\\\/2026\\\/11\\\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp\",\"width\":1920,\"height\":1080},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/startseite\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"CRA-Herstellerbenachrichtigungen: Was Software-K\u00e4ufer verlangen sollten\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#website\",\"url\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/\",\"name\":\"DATATIP\",\"description\":\"MAKES IT EASIER\",\"publisher\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"de\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#organization\",\"name\":\"DATATIP\",\"url\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/www.datatip.eu\\\/wp-content\\\/uploads\\\/2025\\\/01\\\/cropped-image002.jpg\",\"contentUrl\":\"https:\\\/\\\/www.datatip.eu\\\/wp-content\\\/uploads\\\/2025\\\/01\\\/cropped-image002.jpg\",\"width\":512,\"height\":512,\"caption\":\"DATATIP\"},\"image\":{\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"http:\\\/\\\/facebook.com\\\/datatip.eu\"]},{\"@type\":\"Person\",\"@id\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/#\\\/schema\\\/person\\\/42e58f2c85d280383632fe4803e70928\",\"name\":\"DataTip\",\"image\":{\"@type\":\"ImageObject\",\"inLanguage\":\"de\",\"@id\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/31559e6d4de9111d156a57421779652c2c55967e338ba2064406b71ba220f212?s=96&d=mm&r=g\",\"url\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/31559e6d4de9111d156a57421779652c2c55967e338ba2064406b71ba220f212?s=96&d=mm&r=g\",\"contentUrl\":\"https:\\\/\\\/secure.gravatar.com\\\/avatar\\\/31559e6d4de9111d156a57421779652c2c55967e338ba2064406b71ba220f212?s=96&d=mm&r=g\",\"caption\":\"DataTip\"},\"url\":\"https:\\\/\\\/www.datatip.eu\\\/de\\\/author\\\/admin\\\/\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"CRA-Herstellerbenachrichtigungen: Was K\u00e4ufer pr\u00fcfen sollten","description":"Verstehen Sie die CRA-Meldepflichten und bewerten Sie, ob Software-Lieferantenbedingungen festlegen, wer Sie benachrichtigt, wann dies geschieht und welche","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/","og_locale":"de_DE","og_type":"article","og_title":"CRA-Herstellerbenachrichtigungen: Was K\u00e4ufer pr\u00fcfen sollten","og_description":"Verstehen Sie die CRA-Meldepflichten und bewerten Sie, ob Software-Lieferantenbedingungen festlegen, wer Sie benachrichtigt, wann dies geschieht und welche","og_url":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/","og_site_name":"DATATIP","article_publisher":"http:\/\/facebook.com\/datatip.eu","article_published_time":"2026-11-14T20:53:12+00:00","article_modified_time":"2026-11-14T20:54:07+00:00","og_image":[{"width":1920,"height":1080,"url":"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp","type":"image\/webp"}],"author":"DataTip","twitter_card":"summary_large_image","twitter_misc":{"Verfasst von":"DataTip","Gesch\u00e4tzte Lesezeit":"8\u00a0Minuten"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/#article","isPartOf":{"@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/"},"author":{"name":"DataTip","@id":"https:\/\/www.datatip.eu\/de\/#\/schema\/person\/42e58f2c85d280383632fe4803e70928"},"headline":"CRA-Herstellerbenachrichtigungen: Was Software-K\u00e4ufer verlangen sollten","datePublished":"2026-11-14T20:53:12+00:00","dateModified":"2026-11-14T20:54:07+00:00","mainEntityOfPage":{"@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/"},"wordCount":1640,"publisher":{"@id":"https:\/\/www.datatip.eu\/de\/#organization"},"image":{"@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/#primaryimage"},"thumbnailUrl":"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp","keywords":["Lieferantenrisiko","Softwarebeschaffung","Cyber Resilience Act","Incident Notification"],"articleSection":["Technologie","Cybersecurity"],"inLanguage":"de"},{"@type":"WebPage","@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/","url":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/","name":"CRA-Herstellerbenachrichtigungen: Was K\u00e4ufer pr\u00fcfen sollten","isPartOf":{"@id":"https:\/\/www.datatip.eu\/de\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/#primaryimage"},"image":{"@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/#primaryimage"},"thumbnailUrl":"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp","datePublished":"2026-11-14T20:53:12+00:00","dateModified":"2026-11-14T20:54:07+00:00","description":"Verstehen Sie die CRA-Meldepflichten und bewerten Sie, ob Software-Lieferantenbedingungen festlegen, wer Sie benachrichtigt, wann dies geschieht und welche","breadcrumb":{"@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/#breadcrumb"},"inLanguage":"de","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/"]}]},{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/#primaryimage","url":"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp","contentUrl":"https:\/\/www.datatip.eu\/wp-content\/uploads\/2026\/11\/cra-vendor-notifications-what-software-buyers-should-require-cover.webp","width":1920,"height":1080},{"@type":"BreadcrumbList","@id":"https:\/\/www.datatip.eu\/de\/cra-herstellerbenachrichtigungen-was-software-kaufer-verlangen-sollten\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/www.datatip.eu\/de\/startseite\/"},{"@type":"ListItem","position":2,"name":"CRA-Herstellerbenachrichtigungen: Was Software-K\u00e4ufer verlangen sollten"}]},{"@type":"WebSite","@id":"https:\/\/www.datatip.eu\/de\/#website","url":"https:\/\/www.datatip.eu\/de\/","name":"DATATIP","description":"MAKES IT EASIER","publisher":{"@id":"https:\/\/www.datatip.eu\/de\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.datatip.eu\/de\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"de"},{"@type":"Organization","@id":"https:\/\/www.datatip.eu\/de\/#organization","name":"DATATIP","url":"https:\/\/www.datatip.eu\/de\/","logo":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/www.datatip.eu\/de\/#\/schema\/logo\/image\/","url":"https:\/\/www.datatip.eu\/wp-content\/uploads\/2025\/01\/cropped-image002.jpg","contentUrl":"https:\/\/www.datatip.eu\/wp-content\/uploads\/2025\/01\/cropped-image002.jpg","width":512,"height":512,"caption":"DATATIP"},"image":{"@id":"https:\/\/www.datatip.eu\/de\/#\/schema\/logo\/image\/"},"sameAs":["http:\/\/facebook.com\/datatip.eu"]},{"@type":"Person","@id":"https:\/\/www.datatip.eu\/de\/#\/schema\/person\/42e58f2c85d280383632fe4803e70928","name":"DataTip","image":{"@type":"ImageObject","inLanguage":"de","@id":"https:\/\/secure.gravatar.com\/avatar\/31559e6d4de9111d156a57421779652c2c55967e338ba2064406b71ba220f212?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/31559e6d4de9111d156a57421779652c2c55967e338ba2064406b71ba220f212?s=96&d=mm&r=g","contentUrl":"https:\/\/secure.gravatar.com\/avatar\/31559e6d4de9111d156a57421779652c2c55967e338ba2064406b71ba220f212?s=96&d=mm&r=g","caption":"DataTip"},"url":"https:\/\/www.datatip.eu\/de\/author\/admin\/"}]}},"_links":{"self":[{"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/posts\/185027","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/comments?post=185027"}],"version-history":[{"count":1,"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/posts\/185027\/revisions"}],"predecessor-version":[{"id":185028,"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/posts\/185027\/revisions\/185028"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/media\/185000"}],"wp:attachment":[{"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/media?parent=185027"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/categories?post=185027"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.datatip.eu\/de\/wp-json\/wp\/v2\/tags?post=185027"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}