Hersteller, Importeur oder Händler: Rollen und Aufgaben nach dem Cyber Resilience Act

Hersteller: Produkt unter eigener Verantwortung

Als Hersteller gilt nach der EU-Zusammenfassung eine natürliche oder juristische Person, die ein Produkt mit digitalen Elementen entwickelt oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet. Für Hersteller liegen die zentralen Pflichten in Risikobewertung, Erfüllung der grundlegenden Cybersicherheitsanforderungen, technischer Dokumentation, Konformitätsbewertung, Supportzeitraum und Schwachstellenbehandlung.

Importeur: Produkt eines Herstellers außerhalb der EU

Ein Importeur ist in der EU niedergelassen und bringt ein Produkt mit digitalen Elementen eines außerhalb der EU ansässigen Herstellers auf den Unionsmarkt. Zu seinen Aufgaben gehört unter anderem zu prüfen, ob der Hersteller die erforderlichen Schritte vorgenommen hat, ob technische Unterlagen erstellt wurden und ob das Produkt die CE-Kennzeichnung trägt. Auch für den Umgang mit erkannten Abweichungen und Schwachstellen bestehen eigene Pflichten.

Händler: weitergeben ohne Produktveränderung

Ein Händler stellt ein Produkt in der Lieferkette auf dem Markt bereit, ohne Hersteller oder Importeur zu sein und ohne die Produkteigenschaften zu verändern. Vor der Bereitstellung soll er unter anderem CE-Kennzeichnung, Hersteller- und Importeurangaben sowie bestimmte Nutzerinformationen und Angaben zum Supportzeitraum prüfen. Damit ist auch der reine Vertrieb nicht völlig außerhalb des CRA-Prozesses.

Wann sich die Rolle verschieben kann

Besonders wichtig sind Eigenmarken und wesentliche Änderungen. Nach Artikel 21 kann ein Importeur oder Händler für CRA-Zwecke als Hersteller gelten, wenn er ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert. Auch andere Personen können durch eine wesentliche Änderung und anschließende Marktbereitstellung Herstellerpflichten übernehmen.

Welche Fragen intern geklärt werden sollten

Für jede Produktlinie sollte dokumentiert sein: Wer steht als Hersteller auf dem Produkt? Wo sitzt der ursprüngliche Hersteller? Wird das Produkt technisch oder softwareseitig verändert? Unter wessen Marke erfolgt der Vertrieb? Wer hält technische Unterlagen und Schwachstelleninformationen vor? Eine unverbindliche Vorprüfung kann diese Rollenfragen strukturieren und die Punkte markieren, die rechtlich vertieft werden müssen. Sie ersetzt keine Rechtsberatung und trifft kein öffentliches Urteil über andere Unternehmen.

Häufige Fragen