Anwendungsbereich
Gilt die Cyberresilienz-Verordnung für SaaS?
Stand August 2026, geprüft anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Die kurze Antwort, die im Netz kursiert („SaaS ist ausgenommen“), trifft zur Hälfte zu und bleibt auf gefährliche Weise unvollständig. Die Verordnung erfasst Produkte mit digitalen Elementen, und deren Begriffsbestimmung wiegt schwerer als der Name, unter dem Sie Ihr Angebot vermarkten.
„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“
Der Regelfall: reine Dienste bleiben außen vor
Gelangt nichts auf die Systeme Ihrer Kundinnen und Kunden, läuft Ihr Code also vollständig auf Ihrer eigenen Infrastruktur und greifen die Nutzer allein über den Browser darauf zu, so stellen Sie in aller Regel kein Produkt mit digitalen Elementen bereit. Der Dienst bleibt ein Dienst und wird nicht zu einem Produkt auf dem Markt.
Die Ausnahmen, die Sie zurückholen
- Software beim Kunden. Eine mobile Anwendung, ein Agent auf dem Arbeitsplatzrechner, eine Erweiterung für den Browser oder ein Konnektor im Netz des Kunden ist installierbare Software. Sie fällt aus eigenem Recht in den Anwendungsbereich, selbst wenn Ihr Backend draußen bleibt.
- Bündel mit Hardware. Wer seine Plattform zusammen mit einem Gateway, einem Sensor oder einem Gerät verkauft, unterliegt für diese Verbindung auch dem Hardwareteil der Verordnung.
- Installationen beim Kunden. An dem Tag, an dem Sie eine vom Kunden selbst betriebene Instanz ausliefern, bringen Sie Software in den Verkehr.
Die Frage für die Bestandsaufnahme
Nicht „sind wir SaaS?“, sondern „was betreibt der Kunde tatsächlich selbst?“ Nehmen Sie jedes Erzeugnis auf, das Ihre Infrastruktur verlässt: Anwendungen, Agenten, Programmbibliotheken, die auf Kundenseite ausgeführt werden, Konnektoren, selbst Hilfsprogramme für die Einrichtung. Jedes davon braucht eine eigene Prüfung des Anwendungsbereichs, und jedes kann anders eingestuft werden als das Hauptprodukt, nach Anhang III oder Anhang IV.
Wer quelloffene Software veröffentlicht, gerät in eine verwandte Falle: Eine entgeltliche Verbreitung oder kostenpflichtige Stufen rund um quelloffenen Code holen die Software wie jedes andere kommerzielle Produkt in den Anwendungsbereich zurück.
Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.