Gilt der CRA für Nicht-EU-Unternehmen?

Eine der häufigsten Fehldeutungen des Cyber Resilience Act ist, er binde nur europäische Unternehmen. Das tut er nicht. Der CRA folgt dem Produkt in den Markt, nicht dem Unternehmen, das es hergestellt hat. Wird ein Gerät oder eine Software mit digitalen Elementen auf dem EU-Markt in Verkehr gebracht oder bereitgestellt, fällt es in den Anwendungsbereich — ob es in San Francisco, Manchester, Shenzhen oder Bangalore gebaut wurde.

Dieser Leitfaden erklärt, was „auf dem EU-Markt in Verkehr gebracht" bedeutet, wie der Verkauf in die EU die Verordnung auslöst, welche Rolle Sie in der Lieferkette einnehmen und warum die meisten Nicht-EU-Hersteller eine in der EU ansässige Anlaufstelle brauchen werden.

Nicht sicher, ob der CRA für Ihr Produkt gilt? Machen Sie zuerst den kostenlosen 3-Minuten-Scope-Check — er liefert Ihre Risikoklasse und die Fristen, die für Sie gelten.

Hängt der CRA davon ab, wo mein Unternehmen sitzt?

Nein — und das ist das Wichtigste, was man verstehen muss. Der CRA ist eine Produktverordnung nach dem EU-Binnenmarktrecht, aus derselben Rechtsfamilie wie die CE-Kennzeichnungsregeln für Spielzeug, Maschinen und Funkanlagen. Sein Auslöser ist ein Produkt, das auf dem EU-Markt bereitgestellt wird, definiert als jede Abgabe zum Vertrieb oder zur Verwendung im Rahmen einer geschäftlichen Tätigkeit, ob gegen Entgelt oder unentgeltlich.

Das bedeutet: Ihr Hauptsitz, Ihre Rechtsform, Ihr Steuersitz und der Standort Ihrer Server sind allesamt für den Anwendungsbereich unerheblich. Was zählt, ist eine einzige Frage: Erreicht Ihr Produkt mit digitalen Elementen EU-Nutzer? Wenn ja, fallen Sie in den Anwendungsbereich.

Was bedeutet „auf dem EU-Markt in Verkehr gebracht"?

„In Verkehr bringen" ist die erstmalige Bereitstellung eines Produkts auf dem EU-Markt. „Bereitstellen" ist jede darauffolgende Abgabe. Beide sind geschäftliche Handlungen, und der CRA erfasst sie alle. In der Praxis verkaufen Sie in die EU — und fallen damit in den Anwendungsbereich — über drei Hauptkanäle, und jeder davon zählt:

• Direktverkauf. Sie versenden Hardware an EU-Kunden, oder EU-Nutzer laden Ihre Software oder Firmware direkt bei Ihnen herunter und installieren sie.
• Über Händler oder Einführer. Ein in der EU ansässiger Einführer oder Händler verkauft Ihr Produkt weiter. Sie bleiben der Hersteller; jene übernehmen ihre eigenen Pflichten (siehe unten).
• Über einen Online-Marktplatz. Ein Produkt, das an EU-Käufer versandt wird, auf einem Marktplatz zu listen, ist Bereitstellung auf dem EU-Markt. Dass der Marktplatz außerhalb der EU sitzt, ändert daran nichts.

Trifft eines davon auf Sie zu, gilt die Verordnung für Ihr Produkt, unabhängig vom Standort Ihres Unternehmens.

Gilt der CRA für US-Unternehmen?

Ja. Ein US-Unternehmen, das in die EU verkauft, wird genau wie ein EU-Hersteller behandelt. Nehmen Sie einen US-IoT-Hersteller, der eine WLAN-Sicherheitskamera über seinen eigenen Webshop und über Amazon an europäische Käufer versendet: Die Kamera ist ein Produkt mit digitalen Elementen, das auf dem EU-Markt bereitgestellt wird, also greift das volle Pflichtenpaket — eine Software-Stückliste, Schwachstellen-Monitoring, die Bereitschaft zur 24-Stunden-ENISA-Meldung, technische Dokumentation nach Anhang VII und CE-Kennzeichnung. Es gibt keine US-Ausnahme, und die Einhaltung von US-Rahmenwerken (NIST, FCC, IoT-Gesetze einzelner Bundesstaaten) ersetzt den CRA nicht.

Was ist mit britischen Unternehmen nach dem Brexit?

Ebenfalls ja. Der Austritt aus der EU hat an der Reichweite des CRA nichts geändert — wenn überhaupt, hat er britische Unternehmen für diese Zwecke eindeutig zu „Nicht-EU" gemacht. Ein britischer Softwareanbieter, dessen Desktop-Anwendung oder Firmware von Kunden in Deutschland, Frankreich oder den Niederlanden heruntergeladen und installiert wird, bringt ein Produkt mit digitalen Elementen auf dem EU-Markt in Verkehr. Die Pflichten und Fristen sind identisch mit denen eines in der EU ansässigen Anbieters, und ein britisches Unternehmen wird typischerweise einen in der EU ansässigen Bevollmächtigten brauchen, genau wie ein US- oder asiatisches. Die britische Konformitätskennzeichnung (UKCA) ist davon getrennt und erfüllt den CRA nicht.

Welche Rolle habe ich — und was schuldet jede Rolle?

Der CRA weist Pflichten nach der Rolle in der Lieferkette zu, nicht nach der Nationalität. Ein Nicht-EU-Unternehmen kann mehr als eine Rolle zugleich einnehmen.

Die praktische Folge für einen Nicht-EU-Hersteller: Sie tragen die Herstellerpflichten in vollem Umfang, und Sie brauchen in der Regel einen in der EU ansässigen Bevollmächtigten als Anlaufstelle für die Marktaufsichtsbehörden. Ihre EU-Einführer und -Händler nehmen Ihnen Ihre Pflichten nicht ab — sie fügen ihre eigenen Prüfpflichten obendrauf, und zunehmend werden sie sich weigern, ein Produkt zu führen, dessen Dokumentation und SBOM nicht in Ordnung sind, weil Nicht-Konformität auch sie in Gefahr bringt.

Sind die Pflichten und Fristen für Nicht-EU-Unternehmen anders?

Nein. Das ist es wert, klar gesagt zu werden, weil Teams außerhalb der EU oft auf ein milderes Regime hoffen. Es gibt keines. Es gelten dieselben inhaltlichen Anforderungen — eine Software-Stückliste in CycloneDX oder SPDX, kontinuierliches Schwachstellen-Monitoring, die Meldeabfolge (Frühwarnung innerhalb von 24 Stunden, Schwachstellenmeldung innerhalb von 72 Stunden, Abschlussbericht innerhalb von 14 Tagen, Wochenenden inklusive, an die ENISA und die zuständige nationale CSIRT), technische Dokumentation nach Anhang VII und CE-Kennzeichnung —, und dieselben zwei Fristen bestimmen den Zeitplan:

• 11. September 2026 — die Meldepflicht für Schwachstellen und Vorfälle innerhalb von 24 Stunden beginnt, auch für Produkte, die bereits auf dem EU-Markt sind.
• 11. Dezember 2027 — die vollständige Konformität, einschließlich SBOM, technischer Dokumentation und CE-Kennzeichnung, ist erforderlich, um ein Produkt auf dem EU-Markt in Verkehr zu bringen.

Die Durchsetzung erreicht Nicht-EU-Unternehmen über dieselben Mechanismen: Marktaufsichtsbehörden können nicht-konforme Produkte vom EU-Markt nehmen lassen, und die Bußgelder erreichen bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. „Weltweiter Umsatz" bedeutet, dass der globale Umsatz eines Nicht-EU-Unternehmens die Bemessungsgrundlage ist, nicht nur sein EU-Umsatz.

Was sollte ein Nicht-EU-Unternehmen zuerst tun?

Arbeiten Sie in derselben Reihenfolge wie ein EU-Hersteller, mit einer Ergänzung ganz am Anfang:

1. Scope und Klasse bestätigen. Stellen Sie fest, dass Ihr Produkt in den Anwendungsbereich fällt und in welche Risikoklasse (rund 90 % der Produkte sind Standardklasse und bewerten sich selbst). Unser Leitfaden zu den Fristen zeigt, was jedes Datum verlangt.
2. Einen in der EU ansässigen Bevollmächtigten benennen. Legen Sie das Mandat vor Dezember 2027 schriftlich nieder; Einführer und Behörden werden danach fragen.
3. Den Compliance-Kern aufbauen. SBOM, Monitoring, Meldebereitschaft, technische Dokumentation. Die CRA-Compliance-Checkliste ordnet jeden Schritt in eine Abfolge, und vieles davon kann eine dedizierte CRA-Compliance-Software übernehmen, statt es von Hand zusammenzustellen.

Wenn ein Teil dessen, was Sie verkaufen, ein reiner Cloud-Dienst ist, beachten Sie: Die SaaS-Grenze funktioniert für Nicht-EU-Unternehmen genauso wie für EU-Unternehmen — unser Leitfaden ob der CRA für SaaS gilt geht diese Linie entlang. Der Scope folgt in jedem Fall dem Markt: Ihr Hauptsitz stellt Sie nie außerhalb davon.

Drei Minuten zur Gewissheit: prüfen Sie, ob Ihr Produkt in den Anwendungsbereich fällt — keine Anmeldung, auf Basis des Verordnungstextes.