Dürfen wir statt eines Beiblatts einfach auf eine Webseite verlinken?

Nur zum Teil. Für die ausführlichen Anleitungen nennt Anhang II Nummer 8 eine Internetadresse ausdrücklich als Alternative zum Volltext, und Nummer 6 verweist für die EU-Konformitätserklärung ebenfalls auf eine Adresse. Für die übrigen Angaben sieht der CRA diese Ersetzung nicht vor; sie müssen dem Produkt beiliegen, wobei Artikel 13 Absatz 18 die elektronische Form ausdrücklich zulässt, etwa als Datei im Lieferumfang. Wer verlinkt, übernimmt außerdem eine Betriebspflicht, denn ein Link, der nach zwei Produktgenerationen ins Leere führt, verletzt Artikel 13 Absatz 18.

Müssen wir die Nutzerinformationen in jede Amtssprache der Union übersetzen?

Eine Vollübersetzung verlangt der CRA nicht. Artikel 13 Absatz 18 fordert eine Sprache, die von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden kann, und überlässt die nähere Bestimmung dem jeweiligen Zielmarkt. Für die EU-Konformitätserklärung gilt die strengere Regel des Artikels 28 Absatz 2: Sie wird in den Sprachen abgefasst, die der Mitgliedstaat vorschreibt, in dem das Produkt in den Verkehr gebracht oder auf dem Markt bereitgestellt wird. Erwägungsgrund 94 räumt ein, dass Übersetzungskosten kleinere Hersteller erheblich belasten können, und eröffnet den Mitgliedstaaten die Möglichkeit, eine breit verstandene Sprache zu akzeptieren. Bei Verbraucherprodukten bleibt Englisch allein trotzdem riskant.

Müssen wir die Software-Stückliste an die Nutzer herausgeben?

Nein. Anhang II Nummer 9 ist als Wenn-dann-Regel gebaut: Nur wer sich entscheidet, die Software-Stückliste (SBOM) den Nutzern zugänglich zu machen, muss angeben, wo sie abrufbar ist. Erstellen müssen Sie sie unabhängig davon, denn Anhang I Teil II Nummer 1 verlangt eine Stückliste in einem gängigen maschinenlesbaren Format, die zumindest die obersten Abhängigkeiten abbildet. Ihr Pflichtadressat ist nach Anhang VII Nummer 2 Buchstabe b die technische Dokumentation und damit auf begründetes Verlangen die Marktüberwachungsbehörde nach Artikel 13 Absatz 22, nicht der Kunde.

Cyber Resilience Act

Informationen und Anleitungen für den Nutzer

Praxisbegriff

Die Informationen und Anleitungen für den Nutzer sind das Informationspaket, das nach Artikel 13 Absatz 18 des Cyber Resilience Acts (CRA) jedem Produkt mit digitalen Elementen beiliegen muss. Anhang II legt in neun Nummern fest, was darin mindestens steht.

Gemeint ist damit nicht die Bedienungsanleitung im gewohnten Sinn. Der CRA schreibt einen Mindestinhalt vor, der ganz auf Sicherheit zugeschnitten ist, und benennt in Artikel 13 Absatz 18 auch den Zweck: Die Unterlagen müssen die sichere Installation, den sicheren Betrieb und die sichere Verwendung des Produkts ermöglichen. Vorhandene Handbücher lassen sich dafür verwenden, decken den Mindestinhalt aber selten vollständig ab.

Die neun Pflichtangaben aus Anhang II

Name, eingetragener Handelsname oder eingetragene Handelsmarke des Herstellers samt Postanschrift, E-Mail-Adresse oder anderer digitaler Kontaktmöglichkeit und, falls vorhanden, Website (Nummer 1)
die zentrale Kontaktstelle für Schwachstellenmeldungen und der Fundort des Konzepts für die koordinierte Offenlegung von Schwachstellen (Nummer 2)
Name, Typ und alles Weitere, was das Produkt eindeutig identifizierbar macht (Nummer 3)
die Zweckbestimmung einschließlich des vom Hersteller bereitgestellten Sicherheitsumfelds, dazu die Hauptfunktionen und die Sicherheitseigenschaften (Nummer 4)
bekannte oder vorhersehbare Umstände bei bestimmungsgemäßer Verwendung oder bei vernünftigerweise vorhersehbarer Fehlanwendung, die zu erheblichen Cybersicherheitsrisiken führen können (Nummer 5)
gegebenenfalls die Internetadresse, unter der die EU-Konformitätserklärung abrufbar ist (Nummer 6)
die Art der angebotenen technischen Sicherheitsunterstützung und das Enddatum des Unterstützungszeitraums (Nummer 7)
ausführliche Anleitungen zu sechs ausdrücklich genannten Punkten oder eine Internetadresse, die dorthin führt (Nummer 8)
falls der Hersteller die Software-Stückliste herausgibt: wo sie abrufbar ist (Nummer 9)

Nummer 8 wird am häufigsten unterschätzt, weil sie sechs eigene Buchstaben trägt: Maßnahmen für die sichere Inbetriebnahme und den sicheren Betrieb über die gesamte Lebensdauer (a), Auswirkungen von Änderungen am Produkt auf die Datensicherheit (b), Installation sicherheitsrelevanter Aktualisierungen (c), sichere Außerbetriebnahme samt sicherem Entfernen der Nutzerdaten (d), Abschalten der voreingestellten automatischen Installation von Sicherheitsaktualisierungen (e) und, bei Produkten zur Integration in andere Produkte, die Angaben, die ein Integrator für Anhang I und Anhang VII benötigt (f).

Form, Sprache und Verfügbarkeit

Artikel 13 Absatz 18 lässt Papierform und elektronische Form gleichermaßen zu. Die Sprache muss von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden können, und die Unterlagen müssen klar, verständlich, deutlich und lesbar sein.

Für die Dauer gilt dieselbe Regel wie bei den Konformitätsunterlagen: mindestens zehn Jahre ab dem Inverkehrbringen oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist. Die deutsche Fassung nennt als Adressaten nur die Nutzer, die englische zusätzlich die Marktüberwachungsbehörden; wer beide bedient, ist auf der sicheren Seite. Wird online veröffentlicht, muss die Seite über denselben Zeitraum zugänglich und benutzerfreundlich bleiben. Eine Produktseite, die mit dem Vertriebsende abgeschaltet wird, verletzt diese Pflicht.

Was daneben aus Artikel 13 folgt

Vier weitere Absätze des Artikels 13 hängen unmittelbar daran und werden regelmäßig mit Anhang II verwechselt:

Absatz 15: eine Typen-, Chargen- oder Seriennummer oder ein anderes Kennzeichen zur Identifikation, am Produkt selbst oder, wenn das nicht möglich ist, auf der Verpackung oder in den beigefügten Unterlagen.
Absatz 16: Herstellername und Kontaktangaben am Produkt selbst oder, wenn das nicht möglich ist, auf der Verpackung oder in den beigefügten Unterlagen; die englische Fassung stellt die drei Orte gleichrangig nebeneinander, die deutsche setzt das Produkt an die erste Stelle. Dieselben Angaben gehören zusätzlich in die Informationen nach Anhang II.
Absatz 19: das Enddatum des Unterstützungszeitraums, klar und verständlich sowie in leicht zugänglicher Weise, mit mindestens Monat und Jahr, und zwar zum Zeitpunkt des Kaufs. Ist es angesichts der Art des Produkts technisch machbar, müssen die Hersteller den Nutzern außerdem eine Mitteilung anzeigen, dass das Ende des Unterstützungszeitraums erreicht ist.
Absatz 20: eine Kopie der EU-Konformitätserklärung oder eine vereinfachte Fassung nach dem Muster in Anhang VI, die die genaue Internetadresse der vollständigen Erklärung nennt.

Absatz 19 hat die schärfste Folge für die Praxis. Das Enddatum ist zum Zeitpunkt des Kaufs in leicht zugänglicher Weise anzugeben, sofern zutreffend auf dem Produkt selbst, auf seiner Verpackung oder mit digitalen Mitteln. Ein Beiblatt im Innern der Verpackung erfüllt das nicht, denn wer es liest, hat bereits gekauft.

Zugleich Teil der technischen Dokumentation

Anhang VII Nummer 1 Buchstabe d nimmt die Informationen und Anleitungen für den Nutzer in die Technische Dokumentation auf. Damit greift Artikel 31 Absatz 2: Die Dokumentation ist vor dem Inverkehrbringen zu erstellen und gegebenenfalls, zumindest während des Unterstützungszeitraums, laufend zu aktualisieren. Wechselt die Kontaktstelle oder verlängert sich der Unterstützungszeitraum, ist die veröffentlichte Fassung nachzuziehen.

Geprüft wird entlang der Lieferkette

Einführer müssen sich nach Artikel 19 Absatz 2 Buchstabe c vor dem Inverkehrbringen vergewissern, dass dem Produkt die EU-Konformitätserklärung und die Informationen nach Anhang II in einer Sprache beiliegen, die von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden kann. Händler prüfen nach Artikel 20 Absatz 2 Buchstabe b, ob Hersteller und Einführer die Absätze 15, 16, 18, 19 und 20 des Artikels 13 sowie Artikel 19 Absatz 4 erfüllt haben. Fehlende Nutzerinformationen sind damit keine Sache zwischen Hersteller und Kunde, sondern ein Grund, aus dem ein Vertriebspartner die Ware zurückweisen muss.

Die Pflicht gilt ab dem 11. Dezember 2027. Verstöße gegen Artikel 13 fallen in die oberste Sanktionsstufe des Artikels 64 Absatz 2: bis zu 15 000 000 EUR oder, im Falle von Unternehmen, bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Fragen aus der Praxis

: Nur zum Teil. Für die ausführlichen Anleitungen nennt Anhang II Nummer 8 eine Internetadresse ausdrücklich als Alternative zum Volltext, und Nummer 6 verweist für die EU-Konformitätserklärung ebenfalls auf eine Adresse. Für die übrigen Angaben sieht der CRA diese Ersetzung nicht vor; sie müssen dem Produkt beiliegen, wobei Artikel 13 Absatz 18 die elektronische Form ausdrücklich zulässt, etwa als Datei im Lieferumfang. Wer verlinkt, übernimmt außerdem eine Betriebspflicht, denn ein Link, der nach zwei Produktgenerationen ins Leere führt, verletzt Artikel 13 Absatz 18.
: Eine Vollübersetzung verlangt der CRA nicht. Artikel 13 Absatz 18 fordert eine Sprache, die von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden kann, und überlässt die nähere Bestimmung dem jeweiligen Zielmarkt. Für die EU-Konformitätserklärung gilt die strengere Regel des Artikels 28 Absatz 2: Sie wird in den Sprachen abgefasst, die der Mitgliedstaat vorschreibt, in dem das Produkt in den Verkehr gebracht oder auf dem Markt bereitgestellt wird. Erwägungsgrund 94 räumt ein, dass Übersetzungskosten kleinere Hersteller erheblich belasten können, und eröffnet den Mitgliedstaaten die Möglichkeit, eine breit verstandene Sprache zu akzeptieren. Bei Verbraucherprodukten bleibt Englisch allein trotzdem riskant.
: Nein. Anhang II Nummer 9 ist als Wenn-dann-Regel gebaut: Nur wer sich entscheidet, die Software-Stückliste (SBOM) den Nutzern zugänglich zu machen, muss angeben, wo sie abrufbar ist. Erstellen müssen Sie sie unabhängig davon, denn Anhang I Teil II Nummer 1 verlangt eine Stückliste in einem gängigen maschinenlesbaren Format, die zumindest die obersten Abhängigkeiten abbildet. Ihr Pflichtadressat ist nach Anhang VII Nummer 2 Buchstabe b die technische Dokumentation und damit auf begründetes Verlangen die Marktüberwachungsbehörde nach Artikel 13 Absatz 22, nicht der Kunde.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.