Ist unser SaaS-Angebot damit vom CRA erfasst?

Nur, wenn es Datenfernverarbeitung im Sinne der Definition ist, also zur Funktion eines Produkts mit digitalen Elementen gehört. Ein eigenständiges SaaS-Produkt, das niemand als Bestandteil eines anderen Produkts benötigt, fällt grundsätzlich nicht darunter. Ein Backend, ohne das eine App oder ein Gerät eine ihrer Funktionen nicht erfüllen kann, sehr wohl.

Was heißt „eine seiner Funktionen nicht erfüllen könnte“?

Der Test ist enger, als er klingt: Es genügt, dass eine Funktion ausfiele. Das gesamte Produkt muss nicht betroffen sein. Fällt bei einem smarten Thermostat ohne Cloud nur die Fernsteuerung weg, während das Heizen weiterläuft, ist die Fernsteuerung trotzdem eine Funktion des Produkts. Der Wegfall einer Teilfunktion reicht also.

Gilt das auch, wenn wir das Backend nicht selbst betreiben?

Die Definition stellt darauf ab, dass die Software vom Hersteller oder unter dessen Verantwortung konzipiert und entwickelt wird. Wer die Server betreibt, spielt dafür keine Rolle. Ein bei einem Cloud-Anbieter gehostetes eigenes Backend bleibt damit Teil Ihres Produkts. Umgekehrt wird ein fremder Dienst, den Sie lediglich mitnutzen, dadurch nicht automatisch zu Ihrer Datenfernverarbeitung.

Cyber Resilience Act

Datenfernverarbeitung

Legaldefinition Art. 3 Nr. 2 CRA

„entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“

Verordnung (EU) 2024/2847, Art. 3 Nr. 2 CRA

Die Definition des Produkts mit digitalen Elementen zieht Datenfernverarbeitungslösungen ausdrücklich in den Produktbegriff hinein. Dieser Begriff entscheidet damit, wie weit der Cyber Resilience Act (CRA) über das ausgelieferte Gerät oder die installierte Software hinausreicht.

Zwei Merkmale müssen zusammenkommen: Die Software wird vom Hersteller oder unter dessen Verantwortung konzipiert und entwickelt, und ohne sie könnte das Produkt eine seiner Funktionen nicht erfüllen.

Der Funktionstest

Entscheidend ist das Wörtchen „eine“. Der Test fragt nicht, ob das Produkt ohne die entfernte Verarbeitung völlig unbrauchbar wäre, sondern ob irgendeine seiner Funktionen entfiele.

Damit ist die Schwelle niedrig. Ein Gerät, das ohne Cloud noch grundlegend funktioniert, aber seine Fernsteuerung, seine Auswertungen oder seine Update-Verteilung verliert, hat eine Funktion verloren. Das Backend gehört damit zum Produkt.

Was das für SaaS bedeutet

Die häufig zitierte Aussage „reines SaaS fällt nicht unter den CRA“ stimmt, aber sie beantwortet die falsche Frage. Maßgeblich ist nicht das Geschäftsmodell, sondern die Rolle des Dienstes:

Eigenständiges SaaS, das keinem Produkt mit digitalen Elementen zuarbeitet, ist grundsätzlich nicht erfasst.
Backend zu einer App oder einem Gerät, ohne das eine Funktion ausfiele, ist Teil des Produkts und wird mitreguliert.

Wer beides anbietet, sollte die Abgrenzung je Dienst dokumentieren statt pauschal für das Unternehmen.

Praktische Folgen

Gehört ein Backend zum Produkt, gelten die Anforderungen an das Produkt insgesamt: Die grundlegenden Cybersicherheitsanforderungen betreffen auch diesen Teil, seine Komponenten gehören in die Betrachtung, und Schwachstellen darin sind wie alle anderen zu behandeln.

Das hat eine unbequeme Konsequenz für die Architektur: Ein Backend lässt sich nicht dadurch aus dem Anwendungsbereich lösen, dass es organisatorisch getrennt betrieben wird. Maßgeblich bleibt die funktionale Abhängigkeit.

Abgrenzung zur bloßen Anbindung

Nicht jede Verbindung nach außen ist Datenfernverarbeitung. Bindet Ihr Produkt einen fremden Dienst an, den Sie weder konzipiert noch entwickelt haben, fehlt das erste Merkmal der Definition. Der Dienst ist dann Umgebung, nicht Produktbestandteil. Die Anbindung selbst müssen Sie dennoch sicher gestalten.

Fragen aus der Praxis

: Nur, wenn es Datenfernverarbeitung im Sinne der Definition ist, also zur Funktion eines Produkts mit digitalen Elementen gehört. Ein eigenständiges SaaS-Produkt, das niemand als Bestandteil eines anderen Produkts benötigt, fällt grundsätzlich nicht darunter. Ein Backend, ohne das eine App oder ein Gerät eine ihrer Funktionen nicht erfüllen kann, sehr wohl.
: Der Test ist enger, als er klingt: Es genügt, dass eine Funktion ausfiele. Das gesamte Produkt muss nicht betroffen sein. Fällt bei einem smarten Thermostat ohne Cloud nur die Fernsteuerung weg, während das Heizen weiterläuft, ist die Fernsteuerung trotzdem eine Funktion des Produkts. Der Wegfall einer Teilfunktion reicht also.
: Die Definition stellt darauf ab, dass die Software vom Hersteller oder unter dessen Verantwortung konzipiert und entwickelt wird. Wer die Server betreibt, spielt dafür keine Rolle. Ein bei einem Cloud-Anbieter gehostetes eigenes Backend bleibt damit Teil Ihres Produkts. Umgekehrt wird ein fremder Dienst, den Sie lediglich mitnutzen, dadurch nicht automatisch zu Ihrer Datenfernverarbeitung.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.