Blackfort TechnologyBlackfort Technology

Rollen unter dem CRA: Hersteller, Importeur und Händler im Überblick

Blackfort Technology · Wissen zum Cyber Resilience Act

Hinweis: Dieser Beitrag bietet allgemeine technisch-organisatorische Information zum Cyber Resilience Act (Verordnung (EU) 2024/2847) und ist keine Rechtsberatung. Maßgeblich ist stets der geltende Verordnungstext; eine verbindliche Beurteilung Ihres Einzelfalls ersetzt dieser Beitrag nicht. Blackfort Technology erbringt technisch-organisatorische IT-Security- und Compliance-Beratung, keine Rechtsdienstleistungen i.S.d. RDG.

Der EU Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) verteilt seine Pflichten nicht gleichmäßig über alle Beteiligten. Wer ein Produkt mit digitalen Elementen entwickelt, einführt oder weiterverkauft, trägt jeweils eine andere Verantwortung. Diese Seite ordnet die vier Wirtschaftsakteur-Rollen technisch-organisatorisch ein und stellt ihre Pflichten gegenüber. Sie liefert Orientierung, keine verbindliche Einzelfallberatung; eine rechtliche Bewertung im Einzelfall bleibt der Rechtsberatung vorbehalten.

Die Kernaussage vorweg

Die substanzielle Last der Produktsicherheit liegt beim Hersteller (Art. 13): Er erfüllt die grundlegenden Anforderungen, betreibt das Schwachstellen-Management, erstellt die technische Dokumentation, führt die Konformitätsbewertung durch, stellt die EU-Konformitätserklärung aus und bringt die CE-Kennzeichnung an. Importeur (Art. 19) und Händler (Art. 20) sind vor allem Torwächter: Sie prüfen, ob der Hersteller seine Pflichten erfüllt hat, und dürfen nicht-konforme Produkte nicht in Verkehr bringen bzw. bereitstellen. Sie übernehmen jedoch nicht die Herstellerpflichten selbst.

Hersteller (Art. 13) — die Hauptlast der Produktsicherheit

Der Hersteller trägt die eigentliche inhaltliche Verantwortung. Zu seinen Pflichten gehören:

  • Erfüllung der grundlegenden Cybersicherheitsanforderungen nach Annex I Teil I auf Basis einer dokumentierten Risikobewertung.
  • Schwachstellen-Management nach Annex I Teil II über den gesamten Supportzeitraum — inklusive SBOM, Sicherheitsupdates und einer verbindlichen Policy zur koordinierten Offenlegung von Schwachstellen (CVD).
  • Technische Dokumentation nach Annex VII.
  • Konformitätsbewertung nach Art. 32 (im Regelfall Selbstbewertung, Drittprüfung nur für höhere Produktklassen).
  • EU-Konformitätserklärung (Art. 28, Annex V) und Anbringen der CE-Kennzeichnung (Art. 30).
  • Meldepflichten nach Art. 14 (aktiv ausgenutzte Schwachstellen und schwere Vorfälle) über die Single Reporting Platform.
  • Bei Nichtkonformität: Korrekturmaßnahmen, Rücknahme oder Rückruf.

Zwei Kennzahlen prägen den Herstelleraufwand: Der Supportzeitraum beträgt mindestens 5 Jahre (oder die kürzere erwartete Nutzungsdauer), und technische Unterlagen sowie die EU-Konformitätserklärung sind mindestens 10 Jahre aufzubewahren (bzw. den Supportzeitraum, je nachdem, was länger ist). Alle Details in unserem Beitrag zu den Herstellerpflichten unter dem CRA.

Importeur (Art. 19) — der Torwächter beim Markteintritt

Der Importeur bringt Produkte eines außerhalb der EU ansässigen Herstellers auf den Unionsmarkt. Er stellt keine eigene Produktsicherheit her, sondern prüft die Konformität, bevor er in Verkehr bringt. Seine Kernpflichten:

  • Nur Produkte in Verkehr bringen, die konform sind — konkret prüfen, ob die Konformitätsbewertung durchgeführt, die technische Dokumentation erstellt und die CE-Kennzeichnung angebracht wurde.
  • Keine nicht-konformen Produkte in Verkehr bringen.
  • Bei Nichtkonformität: Korrekturmaßnahmen ergreifen.
  • Den Hersteller über Schwachstellen und die Marktüberwachungsbehörden über erhebliche Risiken informieren.

Entscheidend ist die Abgrenzung: Der Importeur führt selbst keine Konformitätsbewertung durch, erstellt keine technische Dokumentation und bringt keine CE-Kennzeichnung an — das bleibt Herstellerpflicht. Mehr dazu auf unserer Seite zu den Importeurpflichten.

Händler (Art. 20) — Sorgfalt in der Lieferkette

Der Händler (Distributor) macht ein Produkt auf dem Markt bereit, ohne Hersteller oder Importeur zu sein. Von ihm wird die gebotene Sorgfalt erwartet:

  • Prüfen, dass die CE-Kennzeichnung vorhanden ist und dass Hersteller bzw. Importeur ihre jeweiligen Pflichten erfüllt haben.
  • Keine nicht-konformen Produkte auf dem Markt bereitstellen.
  • Bei Nichtkonformität: Korrekturmaßnahmen ergreifen.
  • Hersteller und Behörden bei Bedarf informieren.

Die Prüftiefe des Händlers ist geringer als die des Importeurs — es ist eine Plausibilitäts- und Sorgfaltsprüfung, keine Nachbewertung der Konformität. Details finden Sie bei den Händlerpflichten.

Bevollmächtigter (Art. 18) — der verlängerte Arm, aber nicht der Ersatz

Ein Hersteller außerhalb der EU kann einen Bevollmächtigten per schriftlichem Mandat benennen. Dieser hält die EU-Konformitätserklärung und die technische Dokumentation für die Behörden bereit und wirkt als Ansprechpartner. Wichtig: Der Bevollmächtigte kann die Kernpflichten des Herstellers nach Art. 13 nicht übernehmen — Design, Schwachstellen-Management und die eigentliche Konformität bleiben Sache des Herstellers. Er ist der verlängerte Arm, nicht der Ersatz.

Rollenwechsel beachten: Wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert, gilt nach dem CRA als Hersteller und übernimmt dessen volle Pflichten. Ein Importeur oder Händler kann also unbeabsichtigt zum Hersteller werden — etwa durch Umlabeln oder Modifikation. Diese Zuordnung ist einer der häufigsten Stolpersteine.

Pflichten-Matrix: Wer trägt was?

Die folgende Übersicht zeigt, welche Rolle für welche Pflicht verantwortlich ist. Der Bevollmächtigte (Art. 18) ist bewusst nicht als eigene Spalte geführt, da er nur ein definiertes Teilset (Bereithalten von EU-Konformitätserklärung und Dokumentation) übernimmt und die Herstellerpflichten nach Art. 13 gerade nicht ersetzt.

PflichtHersteller (Art. 13)Importeur (Art. 19)Händler (Art. 20)
Grundlegende Anforderungen (Annex I) erfüllen✅——
Schwachstellen-Management (Annex I Teil II)✅——
Technische Dokumentation erstellen (Annex VII)✅——
Konformitätsbewertung durchführen (Art. 32)✅——
EU-Konformitätserklärung ausstellen (Art. 28)✅——
CE-Kennzeichnung anbringen (Art. 30)✅——
Meldung nach Art. 14 (Schwachstellen/Vorfälle)✅——
Vorhandensein von CE prüfen—✅✅
Prüfen, dass Konformitätsbewertung erfolgt ist—✅—
Prüfen, dass techn. Dokumentation erstellt wurde—✅—
Prüfen, dass Hersteller/Importeur Pflichten erfüllt haben—✅✅
Nicht-konforme Produkte nicht in Verkehr bringen / bereitstellen✅✅✅
Korrekturmaßnahmen bei Nichtkonformität✅✅✅
Hersteller / Behörden informieren✅✅✅

✅ = Pflicht der Rolle · — = keine originäre Pflicht dieser Rolle unter dem CRA

Der praktische Einstieg

Bevor Sie Pflichten zuordnen, klären Sie zwei Fragen: Welche Rolle nehme ich je Produkt tatsächlich ein? und Ist das Produkt überhaupt im Anwendungsbereich des CRA? Ein und dasselbe Unternehmen kann für verschiedene Produkte gleichzeitig Hersteller, Importeur und Händler sein — die Pflichten bestimmen sich pro Produkt und Rolle, nicht pauschal pro Firma. Praktisch bedeutet das: Erstellen Sie ein Produkt-Rollen-Register, in dem für jedes Produkt festgehalten ist, in welcher Rolle Sie es auf den Markt bringen und welche der oben gezeigten Pflichten daraus folgen. Dieses Register wird zugleich zur Grundlage für die Nachweisführung gegenüber den Marktüberwachungsbehörden. Den ersten Schritt macht unsere Betroffenheitsprüfung: Sie ordnet Ihr Portfolio ein und zeigt, wo Sie die Hauptlast (Hersteller) und wo Sie die Torwächter-Rolle (Importeur/Händler) tragen.

Hinweis: Diese Ausführungen sind allgemeine technisch-organisatorische Information, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes (RDG). Die Rollenzuordnung und die daraus folgenden Pflichten hängen vom Einzelfall ab und können sich durch Leitlinien der Kommission ändern.

Häufige Fragen

Wer trägt unter dem CRA die meisten Pflichten?
Die substanzielle Last liegt beim Hersteller (Art. 13): Er erfüllt die grundlegenden Anforderungen (Annex I), betreibt das Schwachstellen-Management, erstellt die technische Dokumentation (Annex VII), führt die Konformitätsbewertung durch (Art. 32), stellt die EU-Konformitätserklärung aus (Art. 28), bringt die CE-Kennzeichnung an (Art. 30) und erfüllt die Meldepflichten (Art. 14). Importeur (Art. 19) und Händler (Art. 20) sind vor allem prüfende Torwächter und übernehmen diese Herstellerpflichten nicht.
Was muss ein Importeur nach dem CRA prüfen?
Der Importeur (Art. 19) darf nur konforme Produkte in Verkehr bringen. Er prüft, ob der Hersteller die Konformitätsbewertung durchgeführt, die technische Dokumentation erstellt und die CE-Kennzeichnung angebracht hat. Nicht-konforme Produkte darf er nicht in Verkehr bringen; bei Problemen ergreift er Korrekturmaßnahmen und informiert Hersteller sowie Marktüberwachungsbehörden. Er führt jedoch selbst weder die Konformitätsbewertung noch die technische Dokumentation durch und bringt keine CE-Kennzeichnung an.
Worin unterscheiden sich Händler und Importeur unter dem CRA?
Beide sind Torwächter, aber mit unterschiedlicher Prüftiefe. Der Importeur (Art. 19) bringt Produkte von außerhalb der EU in Verkehr und prüft detailliert, ob Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung vorliegen. Der Händler (Art. 20) stellt Produkte auf dem Markt bereit und schuldet die gebotene Sorgfalt: Er prüft das Vorhandensein der CE-Kennzeichnung und dass Hersteller bzw. Importeur ihre Pflichten erfüllt haben — es ist eine Plausibilitäts- und Sorgfaltsprüfung, keine Nachbewertung der Konformität.
Kann ein Bevollmächtigter die Herstellerpflichten übernehmen?
Nein. Ein Bevollmächtigter (Art. 18) wird per schriftlichem Mandat benannt und hält die EU-Konformitätserklärung sowie die technische Dokumentation für die Behörden bereit. Er kann die Kernpflichten des Herstellers nach Art. 13 — etwa Design, Schwachstellen-Management und die eigentliche Konformität — jedoch nicht übernehmen. Diese bleiben Sache des Herstellers.
Kann ein Importeur oder Händler zum Hersteller werden?
Ja. Wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert, gilt nach dem CRA als Hersteller und übernimmt dessen volle Pflichten nach Art. 13. Ein Importeur oder Händler kann so — etwa durch Umlabeln oder Modifikation — unbeabsichtigt in die Herstellerrolle rutschen. Das ist einer der häufigsten Stolpersteine bei der Rollenzuordnung.

Passende Leistungen von Blackfort Technology

Blackfort Technology unterstützt bei der technisch-organisatorischen Umsetzung — keine Rechtsberatung.

Cyber-Resilience-Act-Beratung

Sprechen wir über Ihre CRA-Readiness

Unklar, welche CRA-Rolle Sie je Produkt tragen und welche Pflichten daraus folgen? Wir ordnen Ihr Portfolio technisch-organisatorisch ein, klären Hersteller-, Importeur- und Händlerpflichten und entwickeln einen belastbaren Fahrplan — sprechen Sie mit Blackfort Technology aus Bonn.

Erstgespräch anfragen Betroffenheit prüfen
Die Inhalte dieser Website dienen der allgemeinen technischen und organisatorischen Information zum Cyber Resilience Act (Verordnung (EU) 2024/2847) und stellen keine Rechtsberatung dar. Blackfort Technology erbringt IT-Security- und Compliance-Beratung im technisch-organisatorischen Sinne, keine Rechtsdienstleistungen i.S.d. RDG.