Bestandsprodukte im Cyber Resilience Act: Warum der Stichtag bei Hardware für jedes einzelne Exemplar gilt

In unseren CRA-Projekten und in Scoping-Gesprächen mit Herstellern kommt eine Frage regelmäßig auf, und kaum eine wird so kontrovers diskutiert: „Unser Gerät ist seit 2024 auf dem Markt. Das ist doch ein Bestandsprodukt, für das der Cyber Resilience Act nicht gilt, oder?“ Die Frage betrifft konkrete Planungen: Produktionsläufe, die über das Jahr 2027 hinausreichen, Rahmenverträge mit langen Lieferzeiten, Pläne zur Produktabkündigung und die Entscheidung, ob ein Modell vor dem Stichtag noch überarbeitet werden muss.

Der Bestandsschutz des CRA gilt bei physischen Produkten nicht für Produktmodelle, sondern für einzelne Exemplare. Jedes Exemplar, das in den Anwendungsbereich des CRA fällt und ab dem 11. Dezember 2027 erstmals auf dem EU-Markt abgegeben wird, muss die Anforderungen der Verordnung(EU)2024/2847 erfüllen, auch wenn das Modell seit Jahren verkauft wird. Diese Lesart entspricht der Auslegung der Europäischen Kommission in Blue Guide, CRA-FAQ und CRA-Leitlinie. Rechtsverbindlich sind diese Dokumente nicht; eine Auslegung durch den Gerichtshof der Europäischen Union liegt bislang nicht vor. Für Standalone-Software gilt eine eigene Regel, dazu unten mehr.

Was Art. 69 Abs. 2 CRA für Bestandsprodukte regelt

Die Übergangsbestimmung in Artikel 69 Absatz 2 CRA lautet:

„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.“

Entscheidend ist, was „Inverkehrbringen“ bedeutet. Artikel 3 CRA definiert den Begriff in zwei Schritten:

• Inverkehrbringen (Nr. 21) ist „die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“.
• Bereitstellung auf dem Markt (Nr. 22) ist „die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“.

Der Wortlaut allein entscheidet die Frage nicht. Die Kommission erläutert diese Begriffe im Blue Guide, in den CRA-FAQ und in ihrer CRA-Leitlinie ausdrücklich. Sie unterscheidet zwei Dinge: was als einzelnes Produkt gilt, und wann dieses Produkt rechtlich als in Verkehr gebracht gilt. Für physische Produkte grenzt „erstmalig“ danach nicht das erste Exemplar eines Modells von allen späteren ab, sondern die erste Abgabe eines Exemplars von allen weiteren Abgaben desselben Exemplars entlang der Lieferkette:

Warum die deutsche Formulierung zum Missverständnis einlädt

Dass so viele Produktverantwortliche zunächst die Modell-Lesart annehmen, hat nachvollziehbare sprachliche Gründe, die wir aus Projektgesprächen kennen, ohne dass sie sich rechtlich belegen ließen:

• „Ein Produkt in den Verkehr bringen“ klingt im Deutschen wie „ein Produkt auf den Markt bringen“, also nach Markteinführung. Im Rechtssinn ist damit aber der Moment gemeint, in dem ein konkretes Exemplar erstmals abgegeben wird, also durch Angebot oder Vereinbarung an einen anderen Wirtschaftsakteur oder Nutzer übergeht.
• „Produkt“ bezeichnet im Unternehmensalltag meist eine Produktlinie oder ein Modell („unser Produkt X“). Im Produktsicherheitsrecht ist das „Produkt“ das einzelne Stück.
• „Bestandsprodukt“ ist kein Begriff der Verordnung. Die Verordnung selbst spricht in Erwägungsgrund 29 von „Altprodukten“, ohne den Begriff zu definieren; Art. 69 Abs. 2 stellt allein auf den Zeitpunkt des Inverkehrbringens ab. Im Produktmanagement steht er für ein bereits eingeführtes Modell, in der CRA-Diskussion wird er dagegen für bereits ausgelieferte Ware verwendet. Präziser ist der Begriff Bestandsexemplar.
• Art. 69 Abs. 1 regelt tatsächlich typbezogene Dokumente: EU-Baumusterprüfbescheinigungen und Zulassungen, die in Bezug auf Cybersicherheitsanforderungen nach anderen Harmonisierungsrechtsvorschriften (etwa der Funkanlagenrichtlinie) erteilt wurden, können für Zwecke des CRA längstens bis zum 11. Juni 2028 herangezogen werden, sofern sie nicht früher ablaufen; ihre Gültigkeit nach den anderen Rechtsvorschriften ist davon zu unterscheiden. Ein weiterer möglicher Grund für das Missverständnis: Wer Absatz 1 und 2 zusammen liest, überträgt den Typbezug leicht auf Absatz 2. Absatz 2 knüpft jedoch allein an das Inverkehrbringen an.

Wie die Europäische Kommission den Begriff auslegt

Die Kommission vertritt diese Auslegung in drei Dokumenten einheitlich. Sie haben unterschiedliches Gewicht: Der Blue Guide ist die seit Jahrzehnten fortgeschriebene Auslegungshilfe für das gesamte harmonisierte EU-Produktrecht, die FAQ sind eine Arbeitshilfe der Kommissionsdienststellen, die Leitlinie ist das in Art. 26 CRA vorgesehene Instrument der Kommission.

Blue Guide 2022: „jedes einzelne Produkt, nicht eine Produktart“

Der LeitfadenfürdieUmsetzungderProduktvorschriftenderEU2022 (Bekanntmachung der Kommission 2022/C 247/01, ABl. C 247 vom 29. Juni 2022) ist die zentrale Auslegungshilfe für den New Legislative Framework (NLF). Die Begriffe „Bereitstellung auf dem Markt“ und „Inverkehrbringen“ übernimmt der CRA aus diesem Rahmen wörtlich. Zur Bereitstellung heißt es in Abschnitt 2.2:

„Der Begriff der Bereitstellung bezieht sich nicht auf eine Produktart, sondern auf jedes einzelne Produkt, unabhängig davon, ob es als Einzelstück oder in Serie hergestellt wurde.“

Abschnitt 2.3 überträgt das auf das Inverkehrbringen und formuliert genau die Übergangssituation, die Art. 69 Abs. 2 CRA regelt:

„Nach den Harmonisierungsrechtsvorschriften der Union kann jedes einzelne Produkt nur einmal auf dem Unionsmarkt in Verkehr gebracht werden. […] Daher muss jedes einzelne Produkt eines Produktmodells oder einer Produktart, das nach dem Inkrafttreten neuer Anforderungen in Verkehr gebracht wird, diese erfüllen, auch wenn die Bereitstellung des Produktmodells oder der Produktart vor dem Inkrafttreten neuer Harmonisierungsrechtsvorschriften der Union mit neuen obligatorischen Anforderungen erfolgte.“

Abschnitt 2.2 beschreibt außerdem, was eine Abgabe ist: ein Angebot oder eine schriftliche oder mündliche Vereinbarung über die Übertragung von Eigentum, Besitz oder eines sonstigen Rechts an dem Produkt nach Abschluss der Herstellung; eine physische Übergabe ist dafür nicht erforderlich. Das ist der Maßstab für die Übergangsprüfung am Ende dieses Beitrags.

CRA-FAQ der Kommissionsdienststellen: das Router-Beispiel

Die FAQzurCRA-Umsetzung (Version 1.4 vom 4. September 2026) sind eine Arbeitshilfe der Kommissionsdienststellen und nach eigener Aussage keine offizielle Position der Kommission. Sie behandeln die Frage dieses Beitrags aber so direkt wie kein anderes Dokument. Abschnitt 7.2 trägt die Überschrift „A manufacturer develops a product type before the CRA applies. Can it continue to manufacture products identical to that type after the CRA applies?“ und antwortet (im englischen Original):

„Union harmonisation legislation including the CRA applies to individual products, and not product types. Therefore, only individual products that have been placed on the market before 11 December 2027 do not need to comply with the CRA. Products that are manufactured according to a type that is not compliant with the CRA cannot be placed on the market on or after 11 December 2027, even if the first instance of that product ‘type’ has been placed on the market before 11 December 2027.“

Die FAQ illustrieren das mit einem eigenen Beispiel: Ein Hersteller fertigt 10.000 Router nach einem nicht CRA-konformen Typ und bringt sie vor dem Stichtag in Verkehr. Diese Exemplare muss er nicht nachrüsten, „even if those units have not reached their final user“. Weitere 5.000 Exemplare desselben Typs darf er nach dem Stichtag nicht in Verkehr bringen, „as those 5 000 copies would not be compliant with the CRA“.

Abschnitt 6.4 („Are manufacturers required to ensure the conformity of ‘existing’ product types?“) formuliert dieselbe Aussage aus Sicht der Konformitätsbewertung:

„The CRA is applicable to products placed as individual units on the market as of its date of applicability. In other words, legacy types or models are not exempted from the application of the CRA if, after the aforementioned date, new units are placed on the market.“

Abschnitt 1.4 beschreibt den umgekehrten Fall: Ein Mitte 2027 in Verkehr gebrachter Smart-TV muss den CRA nicht erfüllen, auch nicht nach einem Bugfix-Update im Jahr 2028. Erst ein Update, das eine wesentliche Änderung darstellt, etwa die neue Steuerung von Smart-Home-Systemen, ändert das.

CRA-Leitlinie der Kommission: Abschnitt 2.7 für vor dem CRA entwickelte Produkte

Die LeitliniederKommissionnachArt.26CRA (Anhang zu C(2026) 5252 final vom 27. Juli 2026) übernimmt in Rn. 11 die Formulierung des Blue Guide: Inverkehrbringen und Bereitstellung beziehen sich „to each individual product, not to a type of product, and whether it was manufactured as an individual unit or in series“. Vor allem aber widmet sie der Konstellation dieses Beitrags einen eigenen Abschnitt 2.7 („Products with digital elements designed before the CRA entered into application“). Rn. 33 beschreibt den Fall:

„In some cases, a manufacturer will place on the market, after the CRA enters into application on 11 December 2027, units of a product with digital elements manufactured in accordance with a type or model designed and developed before the date of application of the CRA. In such cases, compliance with this Regulation does not necessarily require that those units of the product with digital elements be redesigned.“

Neue Exemplare eines alten Modells unterliegen nach dem Stichtag damit dem CRA; wie der Nachweis ohne Neuentwicklung gelingt, beschreiben Rn. 33 bis 39 und Beispiel 12 zu einem vor dem CRA entwickelten Mikrocontroller. Fußnote 31 erläutert die Regel für bereits in Verkehr gebrachte Exemplare: Vor dem Stichtag in Verkehr gebrachte Exemplare unterliegen dem zu diesem Zeitpunkt geltenden Unionsrecht und dürfen, wenn sie damals konform waren, weiter verkauft und in Betrieb genommen werden, „unless they are, on or after 11 December 2027, subjected to substantial modifications“. Weitere Fragen aus der Leitlinie haben wir in unserem Beitrag zu fünfProduktentscheidungen aufbereitet.

Was das konkret bedeutet: Modell oder Exemplar?

Für physische Produkte mit digitalen Elementen, etwa IoT-Geräte, Steuerungen oder Netzwerkkomponenten, gelten folgende Regeln:

Ein Modell, von dem nach dem Stichtag neue Exemplare in Verkehr gebracht werden sollen, braucht vor dem ersten dieser Inverkehrbringen eine abgeschlossene Konformitätsbewertung, eine EU-Konformitätserklärung und die CE-Kennzeichnung nach CRA; der Stichtag selbst erzwingt keinen Abschluss im Dezember 2027, wenn das erste neue Exemplar erst später folgt (Leitlinie, Rn. 35). Das gilt auch, wenn die verbauten Komponenten selbst schon vor dem Stichtag gekauft oder in Verkehr gebracht wurden: Die Integration in ein neues Endprodukt ist ein eigenes Inverkehrbringen dieses Produkts, keine Änderung eines bestehenden (Leitlinie, Rn. 120, Beispiele 11 und 51). Ausgenommen bleiben Exemplare, die als identische Ersatzteile für bestehende Produkte geliefert werden (Art. 2 Abs. 6 CRA).

Sonderfall Software: Wann gilt eine Version als in Verkehr gebracht?

Bei reiner Software (Standalone-Software) fehlt das physische Exemplar. Die Leitlinie löst dies wie folgt (Rn. 13 bis 15): Ist die Herstellungsphase einer Softwareversion abgeschlossen und wird sie erstmals auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit zum Vertrieb oder zur Verwendung angeboten, gelten alle Kopien dieser Version als zu diesem Zeitpunkt in Verkehr gebracht, unabhängig davon, wann ein Kunde seine Kopie herunterlädt oder kauft. Entscheidend ist das erste Angebot in der EU: Eine Version, die vor dem Stichtag nur außerhalb der EU angeboten wurde, erhält durch eine spätere erste Abgabe in der EU keinen früheren Zeitpunkt des Inverkehrbringens.

Für Software-Roadmaps bedeutet das, dass bei jeder neuen Version zuerst zu prüfen ist, ob sie noch dasselbe Produkt ist oder bereits eine eigenständige Variante mit eigenem Zeitpunkt des Inverkehrbringens:

• Eine unveränderte Version, die vor dem 11. Dezember 2027 erstmals angeboten wurde, kann nach Lesart der Leitlinie auch danach weiter verteilt werden, ohne dass jede einzelne Kopie neu zu bewerten ist.
• Varianten mit unterschiedlichen Komponenten, Konfigurationen oder Funktionsumfängen (etwa Builds für verschiedene Betriebssysteme oder Editionen mit anderem Funktionsumfang) gelten als eigenständige Produkte mit jeweils eigenem Zeitpunkt des Inverkehrbringens.
• Neue Versionen gelten erst dann als neu in Verkehr gebracht, wenn sie eine wesentliche Änderung darstellen. Gewöhnliche Updates ohne wesentliche Änderung verschieben den Zeitpunkt nicht. Die Fortführung des alten Status ist nach der Leitlinie die Ausnahme für Updates ohne wesentliche Änderung, keine Regel: Je stärker sich Versionsstand, Funktionsumfang, Build, Edition, Betriebssystemvariante oder Sicherheitsarchitektur unterscheiden, desto eher liegt eine eigenständige Variante vor.

Eine offene Flanke: die Asymmetrie zwischen Hardware und Software

Diese Auslegung der Leitlinie führt zu einer auffälligen Asymmetrie; aus dem Verordnungstext selbst folgt sie nicht. Ein neu gefertigtes Hardware-Exemplar eines unveränderten Modells muss ab dem Stichtag die CRA-Anforderungen erfüllen. Eine weitere Kopie einer unveränderten Softwareversion aus der Zeit vor dem Stichtag behält dagegen ihren alten Zeitpunkt des Inverkehrbringens, und ebenso eine spätere Version ohne wesentliche Änderung. Der Unterschied folgt nicht daraus, wie leicht sich ein Produkt ändern lässt, sondern aus der Behandlung des Inverkehrbringens: Hardware-Exemplare gelangen einzeln auf den Markt, identische Softwarekopien gelten als gemeinsam in Verkehr gebracht.

Zwei Einschränkungen gehören dazu. Erstens heißt „von den vollständigen Anforderungen ausgenommen“ nicht „konform“: Die Software erfüllt die grundlegenden Anforderungen nicht automatisch, sie muss sie nur nicht nachweisen; die Meldepflichten nach Art. 14 gelten für sie wie für jedes Bestandsprodukt (Rn. 210). Zweitens nennt die Leitlinie für diese Behandlung kein Ablaufdatum (Rn. 15); die Grenze zieht allein die wesentliche Änderung. „Nicht wesentlich“ bedeutet dabei nicht „ohne neue Funktion“, denn vorab bewertete Funktionserweiterungen können unterhalb der Schwelle bleiben (Rn. 106), und einen Maßstab für die Summe vieler kleiner Änderungen enthält die Leitlinie nicht. Wer eine vor dem Stichtag erstmals angebotene Software über Jahre weiterentwickelt, sollte deshalb nicht davon ausgehen, dass der Verbleib unterhalb der Schwelle je Release die Ausnahme dauerhaft sichert. Aus unserer Sicht sollte jedes Release nicht nur gegen die Vorversion, sondern gegen den ursprünglich bewerteten Stand geprüft werden. Ob die Kommission hier eine hinreichend klare Grenze gezogen hat, ist offen.

Firmware, die auf einem Gerät ausgeliefert wird, ist in der Regel Teil des jeweiligen Geräteexemplars und folgt damit derselben Logik wie die Hardware. Wird Firmware separat in Verkehr gebracht, kann sie selbst ein Produkt im Sinne des CRA sein.

Wesentliche Änderung: Wann ein Bestandsexemplar doch unter den CRA fällt

Die einzige Ausnahme vom Bestandsschutz ist die wesentliche Änderung nach dem Stichtag. Art. 3 Nr. 30 CRA definiert sie als Änderung nach dem Inverkehrbringen, die entweder die Konformität mit den grundlegenden Anforderungen in Anhang I Teil I beeinflusst oder die Zweckbestimmung ändert, für die das Produkt bewertet wurde. Nimmt ein Einführer oder Händler eine solche Änderung vor, gilt er nach Art. 21 CRA als Hersteller; für jede andere Person, die das geänderte Produkt bereitstellt, folgt das aus Art. 22 CRA. Für den ursprünglichen Hersteller leitet die Leitlinie dasselbe Ergebnis aus dem allgemeinen Konzept der wesentlichen Änderung ab (Erwägungsgrund 41, Rn. 115 und 116): Die Bereitstellung eines wesentlich geänderten Produkts gilt als neues Inverkehrbringen, gleich, wer die Änderung vorgenommen hat (Rn. 116 und 117).

Was in der Regel keine wesentliche Änderung ist (Leitlinie, Abschnitte 4.1 bis 4.3):

• Weiterbetrieb beim Endkunden. Die fortgesetzte Nutzung eines Bestandsexemplars ist kein Inverkehrbringen. Der CRA wird nicht allein dadurch anwendbar, dass ein Gerät nach dem Stichtag weiterläuft.
• Reparatur, Wartung und Refurbishment. Der Austausch defekter oder verschlissener Teile ist nach der Leitlinie auch dann keine wesentliche Änderung, wenn das neue Teil leistungsfähiger ist, etwa weil das alte nicht mehr produziert wird (Rn. 93 bis 95). Die Grenze ist erreicht, wenn die Änderung die Konformität mit den grundlegenden Anforderungen beeinflusst oder die Zweckbestimmung über die Risikobewertung hinaus erweitert.
• Ersatzteile: Ist das Ersatzteil selbst ausgenommen? Identische Komponenten nach denselben Spezifikationen sind nach Art. 2 Abs. 6 CRA vom Anwendungsbereich ausgenommen, ausdrücklich auch für Produkte, die vor dem Stichtag bereitgestellt wurden (Erwägungsgrund 29). „Identisch“ verlangt nach der Leitlinie nicht zwingend denselben Chipsatz oder denselben Firmwarestand: Unterschiede, die die cybersicherheitsrelevanten Eigenschaften und das Risikoprofil nicht verändern, schließen die Ausnahme nicht automatisch aus (Rn. 99, Beispiel 38). Umgekehrt genügt es nicht, dass ein Teil baugleich oder austauschbar ist: Maßgeblich sind die cybersicherheitsrelevanten Eigenschaften und der konkrete Verwendungszweck des Ersatzteils. Das kann auch eine komplette Ersatz-SPS erfassen, wenn sie eine identische SPS als Komponente eines größeren Produkts ersetzt und ausdrücklich für dessen Reparatur geliefert wird; der Reparaturzweck muss sich aus den Umständen der Lieferung ergeben und belegbar sein, der Vertriebskanal allein genügt nicht (Rn. 97 und 102, Beispiel 39). Ein Ersatzchip mit geänderter Kryptografie oder neuem Secure Boot ist dagegen nicht identisch, sondern selbst ein CRA-Produkt, dessen Konformität an seiner Zweckbestimmung einschließlich der Kompatibilität mit dem Altprodukt zu messen ist (Rn. 100 und 101, Beispiel 37).
• Ersatzteile: Wird das reparierte Produkt wesentlich geändert? Durch den Teiletausch allein in der Regel nicht, auch nicht durch ein leistungsfähigeres Teil (Rn. 95). Beide Fragen sind getrennt zu beantworten.
• Sicherheits- und Wartungsupdates sind in der Regel keine wesentliche Änderung, sofern sie die Zweckbestimmung unverändert lassen und keine neuen oder erhöhten Cybersicherheitsrisiken einführen, etwa durch neue extern erreichbare Schnittstellen oder geänderte Datenflüsse (Rn. 108 und 109).
• Freischaltung bereits bewerteter Funktionen. Dass eine Funktion in der Architektur angelegt war, genügt für sich nicht. Nur wenn die Funktion und ihre Risiken in der ursprünglichen Risikobewertung samt Schutzmaßnahmen ausdrücklich erfasst waren und ihre Aktivierung weder die Einhaltung von Anhang I noch die bewertete Zweckbestimmung verändert, kann sie später ohne wesentliche Änderung aktiviert werden (Rn. 106, Beispiel 43). Umgekehrt kann ein kleines Komfort-Feature wie ein persistenter Login eine wesentliche Änderung sein, wenn es nicht bewertete Risiken einführt (Rn. 107, Beispiel 44). Entscheidend ist also nicht „neue Schnittstelle oder Funktion“, sondern ob die Änderung die Konformität mit den grundlegenden Anforderungen beeinflusst, etwa durch nicht bewertete Risiken, oder die bewertete Zweckbestimmung ändert.

Was eine wesentliche Änderung sein kann, jeweils abhängig von der konkreten Wirkung auf Konformität und Zweckbestimmung:

• Ein 2026 in Verkehr gebrachtes Industrie-Gateway erhält 2028 ein neues Funkmodul und eine Fernwartungsfunktion. Kommunikationsschnittstellen und Angriffsfläche ändern sich erheblich.
• Ein bislang nur lokal steuerbarer Smart-Home-Hub erhält per Firmware-Upgrade eine cloudbasierte Fernsteuerung mit Nutzerkonten und dauerhaftem Internetzugriff. Die Fernsteuerung kann neue oder erhöhte Cybersicherheitsrisiken einführen, die in der ursprünglichen Risikobewertung nicht berücksichtigt wurden. Ob außerdem die bewertete Zweckbestimmung geändert wird, ist gesondert zu prüfen.
• Ein vor dem Stichtag verkauftes Messgerät wird mit einem Kommunikationsmodul nachgerüstet und in eine zentrale Plattform eingebunden. Aus einem eigenständigen wird ein vernetztes Produkt mit neuen Datenflüssen.

Maßgeblich ist die technische Wirkung der Änderung, nicht ihre Bezeichnung als „Update“ oder „Upgrade“ und nicht die Versionsnummer. Für die geänderte Ausführung sind die CRA-Anforderungen zu erfüllen; nach der Leitlinie beschränken sich die Pflichten dessen, der die Änderung vornimmt, auf die geänderten Teile, sofern die Änderung die Cybersicherheit des Gesamtprodukts nicht negativ beeinflusst, und zwar unabhängig davon, ob es der ursprüngliche Hersteller oder ein Dritter ist (Rn. 118, 119 und 124). Wie ein Release-Team die sicherheitsrelevanten Auswirkungen einer Änderung prüft und dokumentiert, beschreibt unser Beitrag zur CRA-Leitlinie unter „Entscheidung3,Sicherheitsdelta“ .

Was die Anwendung auf einzelne Exemplare nicht bedeutet

Die Anwendung auf einzelne Exemplare wird in Projekten gelegentlich als „Pflicht zum Redesign“ missverstanden. Auch das trifft nicht zu:

• Kein automatisches Redesign. Nach der Leitlinie (Rn. 33 bis 36) können vor dem CRA entwickelte Modelle nach dem Stichtag ohne Neuentwicklung in Verkehr gebracht werden, sofern der Hersteller über die Cybersicherheits-Risikobewertung nach Art. 13 Abs. 2 und die technische Dokumentation nachweist, dass das Produkt ein angemessenes Cybersicherheitsniveau erreicht und die grundlegenden Anforderungen erfüllt. Für Produkte im Verfahren nach Art. 32 Abs. 1 müssen Testergebnisse aus der ursprünglichen Design- und Entwicklungsphase nicht nachträglich erzeugt werden, wenn die aktuelle Risikobewertung zeigt, dass die vorhandenen Maßnahmen den Risiken angemessen begegnen (Rn. 38). Welche aktuellen Prüfungen erforderlich sind, richtet sich weiterhin nach dem Risikoprofil und dem anwendbaren Konformitätsbewertungsverfahren; eine aktuelle Risikobewertung und eine vollständige technische Dokumentation bleiben in jedem Fall erforderlich.
• Keine Abkürzung bei den Formalitäten. Jedes neu in Verkehr gebrachte Exemplar muss von der Konformitätsbewertung und der EU-Konformitätserklärung abgedeckt sein und die CE-Kennzeichnung tragen. Bewertet wird nicht jede Seriennummer, sondern das Produkt (Rn. 37 bis 39). Varianten derselben Produktfamilie können gemeinsam bewertet und dokumentiert werden, sofern sie dieselbe Architektur, dasselbe sicherheitsrelevante Design und dieselbe Zweckbestimmung teilen und denselben Risiken ausgesetzt sind; unterscheiden sie sich etwa bei Kommunikationsschnittstellen, Software-Stack, Update-Mechanismus oder Fernzugriff, muss sich das in Risikobewertung und Dokumentation niederschlagen (Leitlinie, Abschnitt 7.4, Rn. 174 bis 177). Hinzu kommen Prozesse zur Schwachstellenbehandlung nach Anhang I Teil II (Rn. 35 und 39).
• Kein Verkaufsstopp für Händlerware. Exemplare, die vor dem Stichtag in Verkehr gebracht wurden, dürfen weiter bereitgestellt werden. Händler müssen sie nicht nachträglich konform machen, solange sie die Produkte nicht wesentlich ändern (CRA-FAQ, Abschnitt 7.5).
• Vorhandene Zertifikate behalten begrenzte Gültigkeit. EU-Baumusterprüfbescheinigungen und Zulassungen zu Cybersicherheitsanforderungen nach anderem Harmonisierungsrecht, etwa nach der Delegierten Verordnung zur Funkanlagenrichtlinie, können Hersteller für Zwecke des CRA nach der Leitlinie längstens bis zum 11. Juni 2028 heranziehen, sofern sie nicht vorher ablaufen (Art. 69 Abs. 1). Ihre Gültigkeit nach den anderen Rechtsvorschriften ist davon zu unterscheiden. Für Exemplare, die bis dahin in Verkehr gebracht werden, müssen die davon abgedeckten Risiken für Zwecke des CRA nicht erneut bewertet werden (Leitlinie, Rn. 248 bis 252). Die Risikobewertung nach Art. 13 Abs. 2 bleibt dennoch vollständig erforderlich; nicht abgedeckte Risiken und alle übrigen Pflichten gelten uneingeschränkt.
• Keine Ausnahme von den Meldepflichten. Für alle Produkte im Geltungsbereich, also auch für Bestandsexemplare, gelten seit dem 11. September 2026 die Meldepflichten nach Art. 14 für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Das steht ausdrücklich im Verordnungstext: „Abweichend von Absatz 2 des vorliegenden Artikels gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in Verkehr gebracht wurden“ (Art. 69 Abs. 3). Dazu gehört nach Art. 14 Abs. 8 auch, die betroffenen Nutzer über die Schwachstelle oder den Vorfall und über Abhilfemaßnahmen zu informieren. Die Fristen beginnen mit der Kenntnis des Herstellers, also sobald eine erste Bewertung mit hinreichender Sicherheit eine aktive Ausnutzung oder einen schwerwiegenden Vorfall ergibt, und die Meldepflichten bestehen anders als die Schwachstellenbehandlung auch nach dem Ende des Supportzeitraums fort. Hinweise auf einen möglichen meldepflichtigen Sachverhalt sind unverzüglich zu prüfen; die Erstbewertung darf den Beginn der Meldefristen nicht künstlich hinausschieben, und in klaren Fällen besteht Kenntnis sofort (Leitlinie, Rn. 210, 211, 213 und 214). Aus dem vorgezogenen Anwendungsbeginn des Art. 14 folgt nicht, dass für Bestandsexemplare auch die Pflichten zur Schwachstellenbehandlung aus Art. 13 und Anhang I Teil II gelten.

Wie belastbar ist diese Auslegung?

Die Kommissionsdokumente stützen diese Auslegung, sind aber nicht rechtsverbindlich; die FAQ weisen ausdrücklich darauf hin, dass sie nicht die offizielle Position der Kommission darstellen. Nationale Gerichte wenden das Unionsrecht im Einzelfall an; der EuGH gewährleistet dessen einheitliche Auslegung. Uns ist bislang keine einschlägige EuGH-Entscheidung zum CRA bekannt. Wortlaut, Systematik und die seit Jahren etablierte Auslegung derselben Begriffe im Blue Guide, die für alle Harmonisierungsrechtsakte des NLF gilt, weisen allerdings in dieselbe Richtung. Die drei Dokumente sind dabei nicht drei unabhängige Bestätigungen, sondern die einheitliche Position einer Institution. Wer seine Produktplanung auf die Modell-Lesart stützt, geht gegenüber der Marktüberwachung ein erhebliches Risiko ein. In Deutschland ist das BSI die Marktüberwachungsbehörde für den CRA; das Durchführungsgesetz dazu hat der Bundestag am 14. Oktober 2026 beschlossen.

Grenzfälle lassen sich nur am konkreten Sachverhalt beurteilen, etwa bei Lieferverträgen, die vor dem Stichtag geschlossen, aber erst danach erfüllt werden, bei Konsignationslagern, bei der Abgrenzung von Softwarevarianten oder bei der Frage, wann sich viele kleine Softwareänderungen zu einer wesentlichen summieren. Hier ist eine rechtliche Prüfung angezeigt.

Bestandsprodukte prüfen: Übergangsprüfung und nächste Schritte

Für ein physisches Produkt mit digitalen Elementen, das in den Anwendungsbereich des CRA fällt und nicht nach Art. 2 ausgenommen ist, lässt sich die Übergangsfrage je Exemplar so stellen:

Wurde dieses fertiggestellte Exemplar vor dem 11. Dezember 2027 erstmals auf dem Unionsmarkt bereitgestellt, also durch Angebot oder Vereinbarung über die Übertragung von Eigentum, Besitz oder einem sonstigen Recht zum Vertrieb oder zur Verwendung abgegeben? Lagerort und physische Auslieferung sind dafür allein nicht entscheidend.

• Ja: Bestandsexemplar. Der CRA gilt erst bei einer wesentlichen Änderung; die Meldepflichten nach Art. 14 gelten bereits.
• Nein: Die CRA-Anforderungen gelten, sobald dieses Exemplar ab dem Stichtag auf dem Unionsmarkt in Verkehr gebracht wird, unabhängig davon, seit wann das Modell auf dem Markt ist. Exemplare, die im Lager bleiben oder ausschließlich außerhalb der EU abgegeben werden, lösen den CRA nicht aus; für identische Ersatzteile gilt die Ausnahme nach Art. 2 Abs. 6.

Daraus ergeben sich für die Planung bis Dezember 2027 sechs Schritte:

1. Portfolio sichten: Für welche Modelle sollen nach dem 11. Dezember 2027 noch neue Exemplare erstmals in Verkehr gebracht werden? Für diese ist die Konformitätsbewertung nach CRA vor dem ersten Inverkehrbringen nach dem Stichtag abzuschließen. Für alle anderen Modelle ist der letzte Termin für das erstmalige Inverkehrbringen neuer Exemplare festzulegen. Der Abverkauf bereits in Verkehr gebrachter Exemplare über den Handel und die Weitergabe unveränderter Softwareversionen laufen davon unberührt weiter.
2. Supportzeitraum je Produktionslos festlegen: Für jedes nach dem Stichtag in Verkehr gebrachte Exemplar ist ein Supportzeitraum nach Art. 13 Abs. 8 CRA festzulegen.
   • Kriterien: Der Zeitraum muss die erwartete Nutzungsdauer unter Berücksichtigung der dort genannten Kriterien widerspiegeln (Nutzererwartungen, Art und Zweckbestimmung des Produkts, einschlägiges Unionsrecht). Die Festlegung ist eine verhältnismäßige Abwägung und muss nicht genau der erwarteten Nutzungsdauer entsprechen (CRA-FAQ, Abschnitt 4.5.1).
   • Mindestdauer: Grundsätzlich mindestens fünf Jahre; fünf Jahre sind aber kein Standardwert. Bei länger genutzten Produkten ist in der Regel ein längerer Zeitraum angemessen, nur bei kürzerer erwarteter Nutzungsdauer entspricht er dieser (Leitlinie, Rn. 125 und 126).
   • Spätere Lose: Für jedes später in Verkehr gebrachte Los ist zu prüfen, ob das geplante Support-Ende noch ausreicht, und es ist bei Bedarf zu verlängern; ein ohnehin ausreichend fernes gemeinsames Support-Ende kann auch spätere Lose abdecken. Wer 2030 weitere Exemplare eines 2028 eingeführten Loses in Verkehr bringt, braucht auch für diese einen den Kriterien entsprechenden Supportzeitraum (CRA-FAQ, Abschnitt 4.5.3).
   • Planung: Zu prüfen sind der letzte geplante Inverkehrbringungstermin, die Supportzusagen der Komponentenlieferanten und das Budget für Sicherheitsupdates; siehe auch „Entscheidung4,Supportzeitraum“ .
3. Begriffe klären: Intern von „Bestandsexemplaren“ statt von „Bestandsprodukten“ sprechen oder den Begriff ausdrücklich definieren, damit Vertrieb, Produktmanagement und Fertigung dasselbe meinen.
4. Nachweise sichern: Geeignete Nachweise der ersten Bereitstellung sichern, etwa Auftragsbestätigungen, Rechnungen oder Lieferscheine, und sie den betroffenen Exemplaren oder eindeutig abgegrenzten Chargen zuordnen. Fertigungsdatum und Lagerort allein belegen kein Inverkehrbringen.
5. Risikobewertung für weiterhin angebotene Modelle: Für Modelle, von denen ab dem 11. Dezember 2027 neue Exemplare erstmals auf dem Unionsmarkt in Verkehr gebracht werden sollen, eine aktuelle Cybersicherheits-Risikobewertung erstellen und prüfen, ob die vorhandenen Maßnahmen die Anforderungen aus Anhang I erfüllen. Methodisch eignet sich dafür eine produktbezogene Bedrohungs-undRisikoanalyse ; ob die Maßnahmen im Gerät tatsächlich wirken, zeigt ein EmbeddedSecurityAssessment .
6. Melde- und Informationsprozess für alle ausgelieferten Produkte: Sicherstellen, dass der PSIRT-Prozess auch Bestandsexemplare abdeckt, einschließlich der Information betroffener Nutzer nach Art. 14 Abs. 8, denn hier gelten die Meldepflichten bereits seit September 2026.

Wenn Sie klären möchten, von welchen Ihrer Modelle nach dem Stichtag noch neue Exemplare in Verkehr gebracht werden sollen und welche technischen Nachweise vor dem ersten Inverkehrbringen ab dem Stichtag vorliegen müssen, unterstützen wir Sie gerne mit Risikobewertung und technischer Prüfung. Die rechtliche Einordnung der Betroffenheit übernimmt auf Wunsch ein auf IT- und Cyber-Regulierung spezialisierter Rechtsanwalt, mit dem wir zusammenarbeiten; Details finden Sie auf unserer CRA-Seite . VereinbarenSieeinkostenfreiesErstgespräch , um die nächsten Schritte für Ihr Portfolio gemeinsam zu planen.

Häufige Fragen zu Bestandsprodukten im CRA

Vielen Dank an Rechtsanwalt Jörg Uzarek von uzarek.legal für den Austausch und die Diskussionen zu diesem Thema.

Dieser Beitrag ist eine fachliche Einordnung auf Basis der Verordnung und der Auslegungshilfen der Europäischen Kommission (Stand November 2026). Er stellt keine Rechtsberatung dar und ersetzt keine rechtliche Prüfung des Einzelfalls.

Quellen

• Verordnung(EU)2024/2847(CyberResilienceAct),insbesondereArt.2Abs.6,Art.3Nr.21,22und30,Art.21und22sowieArt.69
• EuropäischeKommission:LeitfadenfürdieUmsetzungderProduktvorschriftenderEU2022(„BlueGuide“),Bekanntmachung2022/C247/01,ABl.C247vom29.Juni2022,Abschnitte2.2und2.3
• EuropäischeKommission:CyberResilienceActImplementation–FrequentlyAskedQuestions,Version1.4vom4.September2026,Abschnitte1.4,4.5,5.3,6.4,7.2und7.5
• EuropäischeKommission:LeitliniezurAnwendungdesCyberResilienceAct,C(2026)5252,27.Juli2026,Rn.10bis15,33bis39,90bis107,114bis126,174bis177,210bis214und247bis252