Wann sind wir Einführer und wann Hersteller?

Entscheidend ist, wessen Name auf dem Produkt steht. Bringen Sie ein Produkt unter der Marke eines Anbieters aus einem Drittstaat in Verkehr, sind Sie Einführer. Vertreiben Sie dasselbe Produkt unter Ihrer eigenen Marke, sind Sie Hersteller und tragen den vollen Pflichtenkatalog. Der Unterschied liegt allein in der Kennzeichnung, nicht in der Lieferkette.

Müssen wir die technische Dokumentation selbst erstellen?

Nein, aber Sie müssen sich vergewissern, dass der Hersteller sie erstellt hat. Der CRA verlangt vom Einführer keine eigene Bewertung, sondern eine Prüfung, ob die Voraussetzungen vorliegen. Faktisch heißt das: Sie brauchen Zugriff auf die Unterlagen und eine vertragliche Grundlage dafür, sonst können Sie Ihre eigene Pflicht nicht erfüllen.

Was, wenn wir Zweifel an der Konformität haben?

Dann dürfen Sie das Produkt nicht in Verkehr bringen. Der CRA erlaubt Einführern nur das Inverkehrbringen konformer Produkte. Entstehen Zweifel erst später, sind unverzüglich Korrekturmaßnahmen zu ergreifen; die Marktüberwachungsbehörden sind zu unterrichten, wenn das Produkt ein erhebliches Cybersicherheitsrisiko birgt. Wegsehen ist ausdrücklich keine Option.

Cyber Resilience Act

Einführer

Legaldefinition Art. 3 Nr. 16 CRA

„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person in der Union in den Verkehr bringt“

Verordnung (EU) 2024/2847, Art. 3 Nr. 16 CRA

Der Einführer ist die Schnittstelle zwischen Drittstaaten und dem Unionsmarkt. Die Definition verlangt zwei Dinge: Der Einführer ist in der Union ansässig, und er bringt ein Produkt in Verkehr, das den Namen oder die Marke eines Anbieters von außerhalb der Union trägt.

Das zweite Merkmal ist die eigentliche Weiche. Es unterscheidet den Einführer vom Hersteller. Dabei verläuft die Grenze nicht bei der Entwicklung, sondern beim Etikett.

Was vor dem Inverkehrbringen zu prüfen ist

Artikel 19 des Cyber Resilience Acts (CRA) verpflichtet Einführer, nur Produkte in Verkehr zu bringen, die den grundlegenden Cybersicherheitsanforderungen aus Anhang I Teil I genügen und deren Herstellerverfahren Teil II genügen. Davor ist unter anderem sicherzustellen, dass

der Hersteller das passende Verfahren der Konformitätsbewertung durchgeführt hat,
die Technische Dokumentation erstellt wurde,
das Produkt die CE-Kennzeichnung trägt,
die EU-Konformitätserklärung sowie die Informationen und Anleitungen für den Nutzer beiliegen, und zwar in einer Sprache, die Nutzer und Marktüberwachungsbehörden leicht verstehen.

Das ist eine Prüf-, keine Herstellungspflicht. Der Einführer muss nichts selbst bewerten, aber er muss belegen können, dass er hingesehen hat.

Warum die Sprachanforderung praktisch relevant ist

Die Anforderung an die Sprache wird oft unterschätzt. Eine englischsprachige Anleitung genügt nicht automatisch. Maßgeblich ist, was die Nutzer im jeweiligen Mitgliedstaat leicht verstehen. Bei Verbraucherprodukten in Deutschland heißt das in der Regel: auf Deutsch.

Da Übersetzungen Zeit brauchen, gehört diese Prüfung an den Anfang der Importplanung und nicht ans Ende.

Wenn der Einführer zum Hersteller wird

Zwei Wege führen aus der Einführerrolle heraus: Wer das Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt, und wer eine Wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vornimmt, gilt als Hersteller.

Gerade der erste Fall trifft häufiger zu als gedacht, etwa beim Rebranding importierter Geräte. Wer das tut, übernimmt die Entwicklungsverantwortung vollständig, obwohl er nichts entwickelt hat.

Nach dem Inverkehrbringen

Die Rolle endet nicht mit dem Import. Einführer müssen ihre Kontaktdaten am Produkt, auf der Verpackung oder in den Begleitunterlagen angeben und den Hersteller unterrichten, sobald sie von einer Schwachstelle in dem Produkt Kenntnis erhalten; die Marktüberwachungsbehörden sind zusätzlich zu unterrichten, wenn das Produkt ein erhebliches Cybersicherheitsrisiko birgt. Sie sind damit ein Meldeweg, über den Informationen aus dem Markt zurück zum Hersteller finden.

Fragen aus der Praxis

: Entscheidend ist, wessen Name auf dem Produkt steht. Bringen Sie ein Produkt unter der Marke eines Anbieters aus einem Drittstaat in Verkehr, sind Sie Einführer. Vertreiben Sie dasselbe Produkt unter Ihrer eigenen Marke, sind Sie Hersteller und tragen den vollen Pflichtenkatalog. Der Unterschied liegt allein in der Kennzeichnung, nicht in der Lieferkette.
: Nein, aber Sie müssen sich vergewissern, dass der Hersteller sie erstellt hat. Der CRA verlangt vom Einführer keine eigene Bewertung, sondern eine Prüfung, ob die Voraussetzungen vorliegen. Faktisch heißt das: Sie brauchen Zugriff auf die Unterlagen und eine vertragliche Grundlage dafür, sonst können Sie Ihre eigene Pflicht nicht erfüllen.
: Dann dürfen Sie das Produkt nicht in Verkehr bringen. Der CRA erlaubt Einführern nur das Inverkehrbringen konformer Produkte. Entstehen Zweifel erst später, sind unverzüglich Korrekturmaßnahmen zu ergreifen; die Marktüberwachungsbehörden sind zu unterrichten, wenn das Produkt ein erhebliches Cybersicherheitsrisiko birgt. Wegsehen ist ausdrücklich keine Option.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.