Wir integrieren nur fremde Komponenten. Sind wir trotzdem Hersteller?

Ja. Wer aus zugekauften Bausteinen ein Produkt zusammenstellt und es unter eigenem Namen vermarktet, ist Hersteller dieses Produkts. Die Definition verlangt keine Eigenentwicklung, sondern stellt auf die Vermarktung unter eigenem Namen oder eigener Marke ab. Die Verantwortung erstreckt sich dabei auf das Gesamtprodukt einschließlich der eingebauten Komponenten.

Macht uns der Einsatz von Open-Source-Software zum Hersteller dieser Software?

Nein. Sie bleiben Hersteller Ihres Produkts, nicht der eingebundenen quelloffenen Komponente. Das entlastet allerdings nicht: Für die Sicherheit Ihres Produkts sind Sie verantwortlich, auch soweit sie von fremden Komponenten abhängt. Entdecken Sie eine Schwachstelle in einer Komponente, sieht der CRA ausdrücklich vor, dass Sie die Korrektur an die Stelle weitergeben, die die Komponente pflegt.

Enden die Pflichten, wenn wir ein Produkt einstellen?

Nicht mit der Einstellung des Vertriebs. Maßgeblich ist der Support-Zeitraum, für den Sie das Produkt mit Sicherheitsaktualisierungen versorgen; bis dahin laufen die Pflichten zum Umgang mit Schwachstellen weiter. Der CRA verlangt zudem, vor dem Wirksamwerden einer Betriebseinstellung die Marktüberwachungsbehörden und, soweit möglich, die Nutzer zu unterrichten. Ein stiller Abschied aus dem Markt ist damit nicht vorgesehen.

Cyber Resilience Act

Hersteller

Legaldefinition Art. 3 Nr. 13 CRA

„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“

Verordnung (EU) 2024/2847, Art. 3 Nr. 13 CRA

Der Cyber Resilience Act (CRA) kennt mehrere Wirtschaftsakteure, aber die Lasten sind sehr ungleich verteilt. Beim Hersteller liegt praktisch alles: die grundlegenden Cybersicherheitsanforderungen, der Umgang mit Schwachstellen über den gesamten Unterstützungszeitraum, die technische Dokumentation, die Konformitätsbewertung und die Meldepflichten.

Umso wichtiger ist die Frage, wer diese Rolle einnimmt. Die Antwort fällt regelmäßig anders aus als erwartet.

Entwickeln ist nicht nötig

Die Definition nennt zwei gleichwertige Wege in die Herstellerrolle: Man entwickelt oder fertigt selbst, oder man lässt entwickeln beziehungsweise fertigen und vermarktet das Ergebnis unter eigenem Namen oder eigener Marke.

Damit ist der klassische Fall des zugekauften Produkts erfasst: Wer ein fremd entwickeltes Gerät oder eine fremd entwickelte Software unter seinem Logo verkauft, ist Hersteller im Sinne der Verordnung. Der tatsächliche Entwickler tritt nach außen gar nicht auf, dennoch bleiben die Pflichten bei dem, dessen Name auf dem Produkt steht.

Auch unentgeltlich zählt

Die Definition erfasst die Vermarktung ausdrücklich „sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“. Ein Preisschild ist also keine Voraussetzung.

Erfasst sind damit auch kostenlose Versionen, Testfassungen und Produkte, die sich indirekt finanzieren. Die Verordnung sieht allerdings eine eigene, deutlich leichtere Rolle für das quelloffene Umfeld vor: Der Verwalter quelloffener Software ist ausdrücklich kein Hersteller. Nicht-kommerzielle Open-Source-Entwicklung wird dadurch nicht in die Herstellerpflichten gezogen.

Wann Händler und Importeure zu Herstellern werden

Artikel 21 regelt einen Fall, der in der Praxis häufig übersehen wird. Ein Einführer oder Händler gilt als Hersteller und unterliegt den Pflichten der Artikel 13 und 14, wenn er

ein Produkt unter eigenem Namen oder eigener Marke in den Verkehr bringt, oder
eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vornimmt.

Artikel 22 zieht denselben Schluss für alle übrigen: Wer weder Hersteller noch Einführer noch Händler ist, ein Produkt aber wesentlich ändert und auf dem Markt bereitstellt, gilt ebenfalls als Hersteller. Die Pflichten treffen ihn für den geänderten Teil des Produkts, und für das ganze Produkt, wenn sich die Änderung auf dessen Cybersicherheit insgesamt auswirkt.

Praktisch heißt das: Rebranding, White-Label-Vertrieb und tiefgreifende Anpassungen für einzelne Kunden verschieben die Verantwortung. Wer ein Produkt „nur weiterverkauft“, sollte prüfen, ob das noch stimmt.

Mehrere Hersteller in einer Lieferkette

Weil einzeln vermarktete Komponenten selbst Produkte mit digitalen Elementen sind, gibt es entlang einer Lieferkette regelmäßig mehrere Hersteller nebeneinander. Der Anbieter eines Moduls ist Hersteller des Moduls, der Gerätehersteller ist Hersteller des Geräts, in dem das Modul steckt.

Die Pflichten verschwinden dabei nicht nach oben. Der Gerätehersteller muss die Sicherheit seines Produkts einschließlich der eingebauten Komponenten verantworten. Das ist der eigentliche Grund, warum Software-Stücklisten im CRA so prominent auftauchen.

Was das organisatorisch bedeutet

Die Herstellerrolle lässt sich nicht vertraglich wegdelegieren. Vereinbarungen mit Zulieferern regeln das Innenverhältnis, gegenüber Behörden und Markt bleibt der Hersteller verantwortlich.

Deshalb lohnt es sich, früh drei Dinge festzuhalten: für welche Produkte man Hersteller ist, wer intern für die Pflichten je Produkt zuständig ist, und welche Zulieferer welche Informationen liefern müssen, damit man diesen Pflichten überhaupt nachkommen kann.

Fragen aus der Praxis

: Ja. Wer aus zugekauften Bausteinen ein Produkt zusammenstellt und es unter eigenem Namen vermarktet, ist Hersteller dieses Produkts. Die Definition verlangt keine Eigenentwicklung, sondern stellt auf die Vermarktung unter eigenem Namen oder eigener Marke ab. Die Verantwortung erstreckt sich dabei auf das Gesamtprodukt einschließlich der eingebauten Komponenten.
: Nein. Sie bleiben Hersteller Ihres Produkts, nicht der eingebundenen quelloffenen Komponente. Das entlastet allerdings nicht: Für die Sicherheit Ihres Produkts sind Sie verantwortlich, auch soweit sie von fremden Komponenten abhängt. Entdecken Sie eine Schwachstelle in einer Komponente, sieht der CRA ausdrücklich vor, dass Sie die Korrektur an die Stelle weitergeben, die die Komponente pflegt.
: Nicht mit der Einstellung des Vertriebs. Maßgeblich ist der Support-Zeitraum, für den Sie das Produkt mit Sicherheitsaktualisierungen versorgen; bis dahin laufen die Pflichten zum Umgang mit Schwachstellen weiter. Der CRA verlangt zudem, vor dem Wirksamwerden einer Betriebseinstellung die Marktüberwachungsbehörden und, soweit möglich, die Nutzer zu unterrichten. Ein stiller Abschied aus dem Markt ist damit nicht vorgesehen.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.