Ist jede Auslieferung ein Inverkehrbringen?

Nein, nur die erste. Das Inverkehrbringen geschieht einmal je Produkt. Jede weitere Abgabe ist eine Bereitstellung auf dem Markt. Die Unterscheidung ist wichtig, weil die schwergewichtigen Herstellerpflichten an den ersten Zeitpunkt anknüpfen.

Zählt eine Beta-Version als Inverkehrbringen?

Das hängt davon ab, ob sie im Rahmen einer Geschäftstätigkeit zum Vertrieb oder zur Verwendung abgegeben wird. Ein geschlossener Test mit ausgewählten Partnern unter Vertraulichkeit ist typischerweise noch keine Bereitstellung. Eine öffentlich zugängliche Beta, die jeder herunterladen und nutzen kann, ist es in aller Regel schon. Damit gelten die Pflichten. Für unfertige Software sieht Artikel 4 Absatz 3 allerdings vor, dass die Mitgliedstaaten die Bereitstellung nicht verhindern, solange die Software nur für den zu Testzwecken erforderlichen begrenzten Zeitraum zur Verfügung steht und eine sichtbare Kennzeichnung deutlich auf die fehlende Konformität hinweist.

Was ist mit Produkten, die vor dem Stichtag auf dem Markt waren?

Der CRA knüpft an das Inverkehrbringen an. Für Produkte, die bereits vorher in Verkehr gebracht wurden, greifen die Anforderungen grundsätzlich nicht rückwirkend, es sei denn, sie werden anschließend einer wesentlichen Änderung unterzogen. Dann ist das geänderte Produkt neu zu bewerten.

Cyber Resilience Act

Inverkehrbringen

Legaldefinition Art. 3 Nr. 21 CRA

„die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“

Verordnung (EU) 2024/2847, Art. 3 Nr. 21 CRA

Das Inverkehrbringen ist der schärfste Zeitpunkt im ganzen Cyber Resilience Act (CRA): die erstmalige Bereitstellung eines Produkts auf dem Unionsmarkt. Bis dahin müssen die Konformitätsbewertung, die technische Dokumentation, die EU-Konformitätserklärung und die CE-Kennzeichnung vorliegen.

Der Begriff ist bewusst schlicht gehalten, und seine ganze Wirkung steckt im Wort erstmalig.

Einmal je Exemplar, nicht einmal je Baureihe

Jedes einzelne Exemplar wird genau einmal in Verkehr gebracht, nämlich wenn es der Hersteller erstmals abgibt. Erwägungsgrund 38 sagt das ausdrücklich: Die grundlegenden Anforderungen gelten für jedes einzelne Produkt, wenn es in den Verkehr gebracht wird, gleich ob es als Einzelstück oder in Serie hergestellt wurde. Auch das tausendste Gerät einer Baureihe wird also in Verkehr gebracht und muss in diesem Moment dem Stand entsprechen, etwa alle verfügbaren Sicherheits-Patches tragen.

Nicht erneut in Verkehr gebracht wird ein Exemplar dagegen, wenn es später weiterwandert: der Weitervertrieb durch einen Händler und der Weiterverkauf sind jeweils eine Bereitstellung auf dem Markt. Der Unterschied ist also nicht Baureihe gegen Exemplar, sondern erste Abgabe gegen jede weitere.

Daraus folgt die Rollenverteilung: Die Pflichten rund um Bewertung und Dokumentation treffen denjenigen, der den ersten Schritt macht. Wer später in der Kette steht, hat eigene, deutlich leichtere Pflichten. So prüfen Einführer und Händler im Wesentlichen, ob der Hersteller seine Arbeit gemacht hat.

Was der Zeitpunkt bedeutet

Praktisch ist das Inverkehrbringen eine Deadline, keine Formalie. Wer den Marktstart plant, plant damit zugleich den Zeitpunkt, zu dem die Konformitätsunterlagen vollständig vorliegen müssen.

Das hat Folgen für die Projektplanung: Die Bewertung lässt sich nicht in den Wochen nach dem Start nachholen. Sie muss die Entwicklung begleiten, weil ihre Belege dort entstehen, wo Entscheidungen getroffen werden.

Bei Software ist der Zeitpunkt unscharf, die Pflicht dagegen nicht

Bei Hardware ist der Moment meist klar bestimmbar. Bei Software verschwimmt er: Ist es die Veröffentlichung im Store, die Freischaltung des Downloads, der erste zahlende Kunde?

Maßgeblich ist der Zeitpunkt, zu dem das Produkt im Rahmen einer Geschäftstätigkeit zum Vertrieb oder zur Verwendung auf dem Unionsmarkt abgegeben wird. Wer sich unsicher ist, sollte den frühesten plausiblen Zeitpunkt ansetzen und die Unterlagen entsprechend früher fertigstellen. Die Alternative wäre, den Marktzugang rückwirkend rechtfertigen zu müssen.

Fragen aus der Praxis

: Nein, nur die erste. Das Inverkehrbringen geschieht einmal je Produkt. Jede weitere Abgabe ist eine Bereitstellung auf dem Markt. Die Unterscheidung ist wichtig, weil die schwergewichtigen Herstellerpflichten an den ersten Zeitpunkt anknüpfen.
: Das hängt davon ab, ob sie im Rahmen einer Geschäftstätigkeit zum Vertrieb oder zur Verwendung abgegeben wird. Ein geschlossener Test mit ausgewählten Partnern unter Vertraulichkeit ist typischerweise noch keine Bereitstellung. Eine öffentlich zugängliche Beta, die jeder herunterladen und nutzen kann, ist es in aller Regel schon. Damit gelten die Pflichten. Für unfertige Software sieht Artikel 4 Absatz 3 allerdings vor, dass die Mitgliedstaaten die Bereitstellung nicht verhindern, solange die Software nur für den zu Testzwecken erforderlichen begrenzten Zeitraum zur Verfügung steht und eine sichtbare Kennzeichnung deutlich auf die fehlende Konformität hinweist.
: Der CRA knüpft an das Inverkehrbringen an. Für Produkte, die bereits vorher in Verkehr gebracht wurden, greifen die Anforderungen grundsätzlich nicht rückwirkend, es sei denn, sie werden anschließend einer wesentlichen Änderung unterzogen. Dann ist das geänderte Produkt neu zu bewerten.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.