Schützt es uns, wenn wir das Produkt verschenken?

Nein. Die Definition nennt die entgeltliche und die unentgeltliche Abgabe ausdrücklich gleichrangig. Kostenlose Versionen, Testfassungen und werbefinanzierte Produkte sind damit erfasst. Was zählt, ist nicht der Preis, sondern der geschäftliche Zusammenhang.

Was heißt „im Rahmen einer Geschäftstätigkeit“?

Es grenzt die private von der unternehmerischen Abgabe ab. Wer als Privatperson ein selbst geschriebenes Programm veröffentlicht, stellt es nicht im Sinne der Verordnung bereit. Sobald damit ein geschäftlicher Zweck verfolgt wird, und sei es mittelbar über Reichweite, Reputation oder ein zugehöriges Angebot, kippt die Einordnung.

Ist die Weitergabe innerhalb des Konzerns eine Bereitstellung?

Die Verordnung stellt auf die Abgabe zum Vertrieb oder zur Verwendung auf dem Unionsmarkt ab. Eine rein interne Nutzung im eigenen Unternehmen ist typischerweise keine Bereitstellung. Sobald das Produkt jedoch an eine andere juristische Person abgegeben wird (auch an eine verbundene), ist die Abgrenzung nicht mehr eindeutig und gehört dokumentiert.

Cyber Resilience Act

Bereitstellung auf dem Markt

Legaldefinition Art. 3 Nr. 22 CRA

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Verordnung (EU) 2024/2847, Art. 3 Nr. 22 CRA

Während das Inverkehrbringen nur einmal geschieht, beschreibt die Bereitstellung jede Abgabe eines Produkts auf dem Unionsmarkt. Der erste Vorgang ist zugleich das Inverkehrbringen, jeder weitere nur noch Bereitstellung.

Die Definition enthält drei Merkmale, die man einzeln prüfen sollte: die Abgabe, den Zweck (Vertrieb oder Verwendung) und den geschäftlichen Zusammenhang.

Der Preis spielt keine Rolle

Am deutlichsten wird die Reichweite an der ausdrücklichen Gleichstellung von entgeltlicher und unentgeltlicher Abgabe. Wer sein Produkt kostenlos anbietet, entkommt der Verordnung nicht.

Das passt zur Definition des Herstellers, die die Vermarktung ebenfalls „gegen Bezahlung, zur Monetarisierung oder unentgeltlich“ erfasst. Beide Begriffe zielen auf dasselbe: Der Cyber Resilience Act (CRA) soll nicht dadurch umgangen werden können, dass ein Produkt formal verschenkt wird.

Die eigentliche Grenze ist die Geschäftstätigkeit

Was den Anwendungsbereich tatsächlich begrenzt, ist der Zusatz „im Rahmen einer Geschäftstätigkeit“. Er trennt unternehmerisches Handeln von privatem.

In der Praxis ist das die schwierigste Prüfung, gerade im quelloffenen Umfeld. Der CRA hat dafür eine eigene Antwort: Er kennt mit dem Verwalter quelloffener Software eine gesonderte Rolle mit deutlich leichteren Pflichten und stellt ausdrücklich klar, dass dieser kein Hersteller ist.

Warum die Unterscheidung praktisch zählt

An die beiden Begriffe hängen unterschiedliche Pflichten:

Das Inverkehrbringen verlangt Konformitätsbewertung, technische Dokumentation, EU-Konformitätserklärung und CE-Kennzeichnung.
Die Bereitstellung löst die Pflichten der Händler aus: prüfen, ob die Kennzeichnung vorhanden ist und die erforderlichen Unterlagen vorliegen, und mit gebührender Sorgfalt handeln.

Wer beide Rollen einnimmt, etwa ein Hersteller mit zusätzlichem Direktvertrieb an Endkunden, erfüllt beide Pflichtenkreise. Doppelt fallen sie deshalb nicht an: Das Inverkehrbringen geschieht einmal, die Bereitstellung fortlaufend.

Fragen aus der Praxis

: Nein. Die Definition nennt die entgeltliche und die unentgeltliche Abgabe ausdrücklich gleichrangig. Kostenlose Versionen, Testfassungen und werbefinanzierte Produkte sind damit erfasst. Was zählt, ist nicht der Preis, sondern der geschäftliche Zusammenhang.
: Es grenzt die private von der unternehmerischen Abgabe ab. Wer als Privatperson ein selbst geschriebenes Programm veröffentlicht, stellt es nicht im Sinne der Verordnung bereit. Sobald damit ein geschäftlicher Zweck verfolgt wird, und sei es mittelbar über Reichweite, Reputation oder ein zugehöriges Angebot, kippt die Einordnung.
: Die Verordnung stellt auf die Abgabe zum Vertrieb oder zur Verwendung auf dem Unionsmarkt ab. Eine rein interne Nutzung im eigenen Unternehmen ist typischerweise keine Bereitstellung. Sobald das Produkt jedoch an eine andere juristische Person abgegeben wird (auch an eine verbundene), ist die Abgrenzung nicht mehr eindeutig und gehört dokumentiert.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.