Blackfort Technology
CRA-Insights

Cyber Resilience Act

Rollen unter dem CRA: Hersteller, Importeur und Händler im Überblick

Betroffenheit prüfenErstgespräch anfragen
Rollen unter dem CRA: Hersteller, Importeur und Händler im Überblick

Stand: 2026-10-09

Der EU Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) verteilt seine Pflichten nicht gleichmäßig über alle Beteiligten. Wer ein Produkt mit digitalen Elementen entwickelt, einführt oder weiterverkauft, trägt jeweils eine andere Verantwortung. Diese Seite ordnet die vier Wirtschaftsakteur-Rollen technisch-organisatorisch ein und stellt ihre Pflichten gegenüber. Sie liefert Orientierung, keine verbindliche Einzelfallberatung; eine rechtliche Bewertung im Einzelfall bleibt der Rechtsberatung vorbehalten.

Die Kernaussage vorweg

Die substanzielle Last der Produktsicherheit liegt beim Hersteller (Art. 13): Er erfüllt die grundlegenden Anforderungen, betreibt das Schwachstellen-Management, erstellt die technische Dokumentation, führt die Konformitätsbewertung durch, stellt die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an. Importeur (im Verordnungstext „Einführer“, Art. 19) und Händler (Art. 20) sind vor allem Torwächter: Sie prüfen, ob der Hersteller seine Pflichten erfüllt hat, und dürfen nicht-konforme Produkte nicht in Verkehr bringen bzw. bereitstellen. Die Herstellerpflichten übernehmen sie nicht.

Hersteller (Art. 13) - die Hauptlast der Produktsicherheit

Der Hersteller trägt die eigentliche inhaltliche Verantwortung. Zu seinen Pflichten gehören:

  • Erfüllung der grundlegenden Cybersicherheitsanforderungen nach Anhang I Teil I auf Basis einer dokumentierten Risikobewertung.
  • Schwachstellen-Management nach Anhang I Teil II über den gesamten Unterstützungszeitraum, mit Software-Stückliste (SBOM), Sicherheitsupdates und einer Strategie zur koordinierten Offenlegung von Schwachstellen (CVD).
  • Technische Dokumentation nach Anhang VII.
  • Konformitätsbewertung nach Art. 32: Selbstbewertung (Modul A) für Produkte ohne Eintrag in Anhang III oder IV; Bewertung durch Dritte für Klasse II und kritische Produkte sowie für Klasse I, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema nicht vollständig angewandt werden.
  • EU-Konformitätserklärung (Art. 28, Anhang V) und Anbringen der CE-Kennzeichnung (Art. 30).
  • Meldepflichten nach Art. 14 (aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit des Produkts) über die einheitliche Meldeplattform (Art. 16).
  • Bei Nichtkonformität: Korrekturmaßnahmen, Rücknahme oder Rückruf.

Zwei Kennzahlen prägen den Herstelleraufwand: Der Unterstützungszeitraum beträgt mindestens fünf Jahre (kürzer nur, wenn die voraussichtliche Nutzungsdauer kürzer ist), und technische Dokumentation sowie EU-Konformitätserklärung sind mindestens zehn Jahre aufzubewahren (bzw. für den Unterstützungszeitraum, je nachdem, was länger ist). Alle Details in unserem Beitrag zu den Herstellerpflichten unter dem CRA.

Wer trägt welche Pflicht? Anhang I, Schwachstellen-Management, technische Dokumentation, Hersteller Art. 13: ja, Importeur Art. 19: nein, Händler Art. 20: nein; Konformitätsbewertung, EU-Konformitätserklärung, CE anbringen, Hersteller Art. 13: ja, Importeur Art. 19: nein, Händler Art. 20: nein; Meldung nach Art. 14, Hersteller Art. 13: ja, Importeur Art. 19: nein, Händler Art. 20: nein; CE-Kennzeichnung prüfen, Hersteller Art. 13: nein, Importeur Art. 19: ja, Händler Art. 20: ja; Konformitätsbewertung und Dokumentation prüfen, Hersteller Art. 13: nein, Importeur Art. 19: ja, Händler Art. 20: nein; Pflichterfüllung von Hersteller/Importeur prüfen, Hersteller Art. 13: nein, Importeur Art. 19: ja, Händler Art. 20: ja; Nicht-konforme Produkte nicht bereitstellen, Korrekturmaßnahmen, Hersteller Art. 13: ja, Importeur Art. 19: ja, Händler Art. 20: ja; Hersteller oder Behörden informieren, Hersteller Art. 13: ja, Importeur Art. 19: ja, Händler Art. 20: ja. Bevollmächtigter (Art. 18): nimmt nur die im Auftrag festgelegten Aufgaben wahr und kann die Kernpflichten des Herstellers nicht übernehmen. Rollenwechsel (Art. 21): Ein Importeur oder Händler, der unter eigenem Namen in Verkehr bringt oder wesentlich ändert, gilt als Hersteller. Fußzeile: Allgemeine technisch-organisatorische Einordnung nach VO (EU) 2024/2847, keine Rechtsberatung.
Pflichten-Matrix: was Hersteller, Importeur und Händler nach dem CRA tragen.

Importeur (Art. 19) - der Torwächter beim Markteintritt

Der Importeur bringt Produkte eines außerhalb der EU ansässigen Herstellers auf den Unionsmarkt. Seine Aufgabe ist, die Konformität zu prüfen, bevor er das Produkt in Verkehr bringt. Seine Kernpflichten:

  • Nur Produkte in Verkehr bringen, die konform sind, und konkret prüfen, ob die Konformitätsbewertung durchgeführt, die technische Dokumentation erstellt und die CE-Kennzeichnung angebracht wurde.
  • Keine nicht-konformen Produkte in Verkehr bringen.
  • Eigene Kontaktangaben auf dem Produkt, der Verpackung oder in den Begleitunterlagen angeben.
  • Bei Nichtkonformität: Korrekturmaßnahmen ergreifen.
  • Den Hersteller über Schwachstellen und bei erheblichem Cybersicherheitsrisiko die Marktüberwachungsbehörden informieren.

Zur Abgrenzung: Der Importeur führt selbst keine Konformitätsbewertung durch, erstellt keine technische Dokumentation und bringt keine CE-Kennzeichnung an - das bleibt Herstellerpflicht. Mehr dazu auf unserer Seite zu den Importeurpflichten.

Händler (Art. 20) - Sorgfalt in der Lieferkette

Der Händler (Distributor) macht ein Produkt auf dem Markt bereit, ohne Hersteller oder Importeur zu sein. Er befolgt die Vorschriften des CRA mit der gebührenden Sorgfalt (Art. 20 Abs. 1):

  • Prüfen, dass die CE-Kennzeichnung vorhanden ist und dass Hersteller bzw. Importeur ihre Kennzeichnungs- und Informationspflichten erfüllt haben.
  • Keine nicht-konformen Produkte auf dem Markt bereitstellen.
  • Bei Nichtkonformität: dafür sorgen, dass Korrekturmaßnahmen ergriffen werden.
  • Den Hersteller über Schwachstellen und bei erheblichem Cybersicherheitsrisiko die Marktüberwachungsbehörden informieren.

Die Prüftiefe des Händlers ist geringer als die des Importeurs - es ist eine Plausibilitäts- und Sorgfaltsprüfung, keine Nachbewertung der Konformität. Details finden Sie bei den Händlerpflichten.

Bevollmächtigter (Art. 18) - Aufgaben nach schriftlichem Auftrag

Ein Hersteller kann schriftlich einen Bevollmächtigten benennen; praktisch relevant ist das vor allem für Hersteller außerhalb der EU. Der Auftrag muss es dem Bevollmächtigten mindestens ermöglichen, die EU-Konformitätserklärung und die technische Dokumentation für die Marktüberwachungsbehörden bereitzuhalten, ihnen auf begründetes Verlangen die Nachweise zu übermitteln und mit ihnen zusammenzuarbeiten (Art. 18 Abs. 3). Wichtig: Bestimmte Herstellerpflichten können nicht Teil des Auftrags sein (Art. 18 Abs. 2): Konzeption nach Anhang I, Risikobewertung, Schwachstellenbehandlung, das Erstellen der technischen Dokumentation und die Konformität in der Serienfertigung bleiben beim Hersteller.

Rollenwechsel beachten: Ein Importeur oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich ändert, gilt als Hersteller und unterliegt den Pflichten nach Art. 13 und 14 (Art. 21). Andere Personen, die ein Produkt wesentlich ändern und bereitstellen, treffen diese Pflichten für den geänderten Teil, bei Auswirkung auf die Cybersicherheit des ganzen Produkts für das ganze Produkt (Art. 22). Ein Importeur oder Händler kann also unbeabsichtigt zum Hersteller werden, etwa durch Umlabeln oder Modifikation. Diese Zuordnung ist ein Stolperstein.

Pflichten-Matrix: Wer trägt was?

Die folgende Übersicht zeigt, welche Rolle für welche Pflicht verantwortlich ist. Der Bevollmächtigte (Art. 18) ist bewusst nicht als eigene Spalte geführt, da er nur die im Auftrag festgelegten Aufgaben wahrnimmt (mindestens Bereithalten von EU-Konformitätserklärung und Dokumentation, Auskunft und Zusammenarbeit mit den Behörden) und die in Art. 18 Abs. 2 genannten Herstellerpflichten nicht übernehmen kann.

PflichtHersteller (Art. 13)Importeur (Art. 19)Händler (Art. 20)
Grundlegende Anforderungen (Anhang I) erfüllen✅ - -
Schwachstellen-Management (Anhang I Teil II)✅ - -
Technische Dokumentation erstellen (Anhang VII)✅ - -
Konformitätsbewertung durchführen (Art. 32)✅ - -
EU-Konformitätserklärung ausstellen (Art. 28)✅ - -
CE-Kennzeichnung anbringen (Art. 30)✅ - -
Meldung nach Art. 14 (Schwachstellen/Vorfälle)✅ - -
Vorhandensein von CE prüfen - ✅✅
Prüfen, dass Konformitätsbewertung erfolgt ist - ✅ -
Prüfen, dass techn. Dokumentation erstellt wurde - ✅ -
Prüfen, dass Hersteller/Importeur Pflichten erfüllt haben - ✅✅
Nicht-konforme Produkte nicht in Verkehr bringen / bereitstellen✅✅✅
Korrekturmaßnahmen bei Nichtkonformität✅✅✅
Hersteller / Behörden informieren✅✅✅

✅ = Pflicht der Rolle · - = keine originäre Pflicht dieser Rolle unter dem CRA

Der praktische Einstieg

Bevor Sie Pflichten zuordnen, klären Sie zwei Fragen: Welche Rolle nehme ich je Produkt tatsächlich ein? und Ist das Produkt überhaupt im Anwendungsbereich des CRA? Ein und dasselbe Unternehmen kann für verschiedene Produkte gleichzeitig Hersteller, Importeur und Händler sein - die Pflichten bestimmen sich pro Produkt und Rolle, nicht pauschal pro Firma. Praktisch bedeutet das: Erstellen Sie ein Produkt-Rollen-Register, in dem für jedes Produkt festgehalten ist, in welcher Rolle Sie es auf den Markt bringen und welche der oben gezeigten Pflichten daraus folgen. Dieses Register wird zugleich zur Grundlage für die Nachweisführung gegenüber den Marktüberwachungsbehörden. Eine erste Orientierung je Produkt gibt unsere Betroffenheitsprüfung.

Hinweis: Diese Ausführungen sind allgemeine technisch-organisatorische Information, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG). Die Rollenzuordnung und die daraus folgenden Pflichten hängen vom Einzelfall ab und können sich durch Leitlinien der Kommission ändern.

Häufige Fragen

Wer trägt unter dem CRA die meisten Pflichten?+
Die substanzielle Last liegt beim Hersteller (Art. 13): Er erfüllt die grundlegenden Anforderungen (Anhang I), betreibt das Schwachstellen-Management, erstellt die technische Dokumentation (Anhang VII), führt die Konformitätsbewertung durch (Art. 32), stellt die EU-Konformitätserklärung aus (Art. 28), bringt die CE-Kennzeichnung an (Art. 30) und erfüllt die Meldepflichten (Art. 14). Importeur (Art. 19) und Händler (Art. 20) sind vor allem prüfende Torwächter und übernehmen diese Herstellerpflichten nicht.
Was muss ein Importeur nach dem CRA prüfen?+
Der Importeur (Art. 19) darf nur konforme Produkte in Verkehr bringen. Er prüft, ob der Hersteller die Konformitätsbewertung durchgeführt, die technische Dokumentation erstellt und die CE-Kennzeichnung angebracht hat. Nicht-konforme Produkte darf er nicht in Verkehr bringen; bei Problemen ergreift er Korrekturmaßnahmen und informiert Hersteller sowie Marktüberwachungsbehörden. Er führt jedoch selbst weder die Konformitätsbewertung noch die technische Dokumentation durch und bringt keine CE-Kennzeichnung an.
Worin unterscheiden sich Händler und Importeur unter dem CRA?+
Beide sind Torwächter, aber mit unterschiedlicher Prüftiefe. Der Importeur (Art. 19) bringt Produkte von außerhalb der EU in Verkehr und prüft detailliert, ob Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung vorliegen. Der Händler (Art. 20) stellt Produkte auf dem Markt bereit und befolgt die Vorschriften mit der gebührenden Sorgfalt: Er prüft das Vorhandensein der CE-Kennzeichnung und dass Hersteller bzw. Importeur ihre Kennzeichnungs- und Informationspflichten erfüllt haben - es ist eine Plausibilitäts- und Sorgfaltsprüfung, keine Nachbewertung der Konformität.
Kann ein Bevollmächtigter die Herstellerpflichten übernehmen?+
Nur zum Teil. Ein Bevollmächtigter (Art. 18) wird vom Hersteller schriftlich benannt und nimmt die Aufgaben aus seinem Auftrag wahr, mindestens das Bereithalten von EU-Konformitätserklärung und technischer Dokumentation für die Behörden sowie Auskunft und Zusammenarbeit auf Verlangen. Die Kernpflichten des Herstellers kann er nicht übernehmen: Konzeption nach Anhang I, Risikobewertung, Schwachstellenbehandlung, das Erstellen der technischen Dokumentation und die Konformität in der Serienfertigung bleiben beim Hersteller (Art. 18 Abs. 2).
Kann ein Importeur oder Händler zum Hersteller werden?+
Ja. Ein Importeur oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich ändert, gilt als Hersteller und unterliegt den Pflichten nach Art. 13 und 14 (Art. 21). Ein Importeur oder Händler kann so, etwa durch Umlabeln oder Modifikation, unbeabsichtigt in die Herstellerrolle rutschen. Andere Personen, die ein Produkt wesentlich ändern und bereitstellen, treffen diese Pflichten für den geänderten Teil, bei Auswirkung auf die Cybersicherheit des ganzen Produkts für das ganze Produkt (Art. 22).

Quellen

Diese Inhalte dienen der allgemeinen technischen und organisatorischen Information zum Cyber Resilience Act (Verordnung (EU) 2024/2847) und stellen keine Rechtsberatung dar (keine Rechtsdienstleistung i.S.d. RDG).