Anwendungsbereich

Gilt die Cyberresilienz-Verordnung für mein Produkt?

Von HEXENKRAFT. Geprüft gegen den Primärtext am 2026-10-19.

Veröffentlicht am 19. Oktober 2026.

Ja, wenn Sie ein Produkt mit digitalen Elementen herstellen, einführen oder vertreiben und auf dem Unionsmarkt bereitstellen, unabhängig von der Größe Ihres Unternehmens, sofern keine Ausnahme nach Art. 2 greift. Ein Produkt mit digitalen Elementen ist Software oder Hardware, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1, Art. 3 Nummer 1). Ein reiner Dienst, der ausschließlich auf Ihren eigenen Servern läuft, liegt in aller Regel außerhalb des Anwendungsbereichs, sofern er nicht die Datenfernverarbeitung eines Produkts ist oder Sie zusätzlich Software oder Hardware an Kunden ausliefern.

Die folgenden Abschnitte folgen den Fragen in der Reihenfolge, in der Käufer sie stellen. Jede Antwort nennt den Artikel, auf dem sie beruht.

Was ist ein Produkt mit digitalen Elementen?

Ein Software- oder Hardwareprodukt samt seinen Datenfernverarbeitungslösungen, einschließlich Komponenten, die getrennt in den Verkehr gebracht werden (Art. 3 Nummer 1). Die Vorschrift zum Anwendungsbereich ergänzt das Kriterium: Der bestimmungsgemäße Zweck oder die vernünftigerweise vorhersehbare Verwendung schließt eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz ein (Art. 2 Abs. 1).

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

„Diese Verordnung gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“

Ein Router, ein Firmware-Abbild, eine mobile Anwendung und ein einzeln verkauftes Plug-in erfüllen alle das Kriterium der Datenverbindung. Ein Produkt ohne jede Datenverbindung, beabsichtigt oder vernünftigerweise vorhersehbar, erfüllt es nicht; ein rein mechanisches Produkt ohne Elektronik ist das einfachste Beispiel.

Gilt die Verordnung für Software und Apps, auch für Open Source?

Ja, für Software, die Sie im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt abgeben, entgeltlich oder unentgeltlich. Quelloffene Software fällt nicht wegen ihrer Lizenz heraus: Maßgeblich ist die Geschäftstätigkeit, nicht ein Preisschild.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Erwägungsgrund 15 nennt, was eine Abgabe zur Geschäftstätigkeit machen kann: einen Preis, bezahlten Support über die Deckung der tatsächlichen Kosten hinaus, die Absicht zur Monetarisierung, eine Bedingung zur Verarbeitung personenbezogener Daten oder Spenden über die Kosten hinaus. Erwägungsgrund 18 hält fest, dass freie und quelloffene Software, die ihr Hersteller nicht monetarisiert, nicht im Rahmen einer Geschäftstätigkeit abgegeben wird. Gegenbeispiel: Eine Bibliothek aus Liebhaberei in einem öffentlichen Repository ohne Preis, ohne Bezahlstufe und ohne Zugangsschranke wird in diesem Sinne nicht bereitgestellt. Dieselbe Bibliothek, ausgeliefert in einem Produkt, das Sie verkaufen, gehört zu dem, was Sie in Verkehr bringen. Die Einzelheiten stehen in Freie Software und die Verordnung: Geld ist nicht der Maßstab.

Gilt die Verordnung für SaaS und Webdienste?

Ein Dienst, der nur auf Ihrer eigenen Infrastruktur läuft, ist in aller Regel kein Produkt mit digitalen Elementen, die Antwort lautet also in aller Regel nein. Zwei Dinge holen ihn zurück: Software oder Hardware, die Sie an Kunden ausliefern (Anwendungen, Agenten, Konnektoren, Gateways), und ein Backend, das als Datenfernverarbeitung des Produkts gilt.

„entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“

Gegenbeispiel: Ein Rechnungswerkzeug, das nur im Browser läuft, liegt außerhalb des Anwendungsbereichs. Kommt eine mobile Anwendung hinzu, die Kunden installieren, fällt die Anwendung selbst in den Anwendungsbereich. Die ganze Herleitung steht in Gilt die Cyberresilienz-Verordnung für SaaS?, und die kostenlose Prüfung der Datenfernverarbeitung geht die drei Fragen des Art. 3 Nummer 2 für Ihr Backend durch.

Welche Produkte sind ausgenommen?

Die wichtigsten Ausnahmen: Produkte, für die die in Art. 2 Abs. 2 aufgeführten Rechtsakte der Union gelten (Medizinprodukte, In-vitro-Diagnostika, Typgenehmigung von Kraftfahrzeugen nach der Verordnung (EU) 2019/2144); nach der Luftfahrt-Verordnung (EU) 2018/1139 zertifizierte Produkte (Art. 2 Abs. 3); Ausrüstung im Anwendungsbereich der Schiffsausrüstungs-Richtlinie 2014/90/EU (Art. 2 Abs. 4); Ersatzteile für identische Komponenten (Art. 2 Abs. 6); sowie Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder für Verteidigungszwecke entwickelt oder geändert wurden, und Produkte, die speziell für die Verarbeitung von Verschlusssachen konzipiert sind (Art. 2 Abs. 7). Nach Art. 2 Abs. 5 kann die Kommission die Anwendung zudem durch delegierte Rechtsakte für Produkte begrenzen oder ausschließen, die anderen Unionsvorschriften unterliegen. Lesen Sie jede Vorschrift im Amtsblatt, bevor Sie sich darauf stützen.

„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“

„Diese Verordnung gilt nicht für Ersatzteile, die auf dem Markt bereitgestellt werden, um identische Komponenten in Produkten mit digitalen Elementen zu ersetzen, und die nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen.“

Die Ausnahme folgt der jeweiligen Vorschrift, nicht der Produktkategorie: Ein vernetztes Produkt, das keine dieser Vorschriften erfasst, bleibt im Anwendungsbereich. Ein Ersatzteil, das nach anderen Spezifikationen gebaut ist als die Komponente, die es ersetzt, wird von Art. 2 Abs. 6 nicht beschrieben.

Ob ein Produkt erfasst ist, ist eine andere Frage als die, welches Konformitätsbewertungsverfahren gilt. Manche Kategorien sind in den Anhängen benannt: Router, Modems für die Internetanbindung und Switches stehen in Anhang III Klasse I (siehe die Seite zu Netzwerkgeräten), und Hardware-Sicherheitsmodule und Sicherheitselemente können unter Anhang IV fallen, wenn sie der technischen Beschreibung der Kommission entsprechen. Die übrigen Kategorien führen die Seiten zu den Produktklassen auf.

Sind kleine Unternehmen oder Start-ups ausgenommen?

Der Anwendungsbereich kennt keine Größenschwelle. Art. 2 Abs. 1 knüpft an das Produkt und seine Datenverbindung an, nicht an Beschäftigtenzahl oder Umsatz; ein Start-up mit zwei Personen, das ein vernetztes Gerät unter eigenem Namen verkauft, ist Hersteller im Sinne des Art. 3 Nummer 13. Die Obergrenzen des Art. 64 richten sich nach der verletzten Pflicht, nicht nach der Unternehmensgröße. Bei der Bemessung der einzelnen Geldbuße zählt die Größe aber: Die Größe des Unternehmens, insbesondere bei Kleinstunternehmen sowie kleinen und mittleren Unternehmen einschließlich Start-ups, ist einer der zu berücksichtigenden Umstände (Art. 64 Abs. 5 Buchst. c), und nach Art. 64 Abs. 10 (in der Fassung der Berichtigung, ABl. L 2025/90555 vom 2. Juli 2025) in Verbindung mit Erwägungsgrund 120 werden gegen Kleinst- und Kleinunternehmen keine Geldbußen nach Art. 64 Abs. 2 bis 9 verhängt, wenn sie die 24-Stunden-Frist für die Frühwarnung nach Art. 14 Abs. 2 Buchst. a oder Abs. 4 Buchst. a versäumen. Kleinst- und Kleinunternehmen können die technische Dokumentation zudem in einem vereinfachten Format vorlegen, das die Kommission per Durchführungsrechtsakt festlegt (Art. 33 Abs. 5), und die Mitgliedstaaten sollen für sie gegebenenfalls Sensibilisierungs-, Schulungs- und Unterstützungsmaßnahmen anbieten (Art. 33 Abs. 1). Siehe die Seite zu den Geldbußen.

Gilt die Verordnung, wenn mein Unternehmen außerhalb der EU sitzt?

Ja, wenn Sie Produkte auf dem Unionsmarkt bereitstellen. Maßgeblich ist der Markt, nicht der Sitz des Unternehmens: Art. 2 Abs. 1 erfasst auf dem Markt bereitgestellte Produkte, und Art. 3 Nummer 22 definiert das als Abgabe auf dem Unionsmarkt. Die Begriffsbestimmung des Herstellers in Art. 3 Nummer 13 knüpft nicht an den Ort der Niederlassung an.

„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person in der Union in den Verkehr bringt“

Gegenbeispiel: Ein Unternehmen, das den Unionsmarkt nie beliefert, stellt dort nichts bereit. Ein Hersteller außerhalb der Union, dessen Produkt in die Union gelangt, bleibt Hersteller; das in der Union niedergelassene Unternehmen, das das Produkt unter dem Namen der Partei außerhalb der Union erstmals auf dem Unionsmarkt in Verkehr bringt, ist Einführer (Art. 3 Nummer 16), spätere Verkäufer sind Händler. Ein Hersteller kann schriftlich einen Bevollmächtigten benennen (Art. 18 Abs. 1); das ist eine Möglichkeit, keine Pflicht, und die Pflichten nach Art. 13 Abs. 1 bis 11, Abs. 12 Unterabsatz 1 und Abs. 14 können nicht Teil seines Auftrags sein (Art. 18 Abs. 2).

Welche Rolle habe ich: Hersteller, Einführer oder Händler?

In der Regel entscheidet der Name auf dem Produkt. Verkaufen Sie es unter eigenem Namen oder eigener Marke, sind Sie Hersteller; bringen Sie als in der Union niedergelassenes Unternehmen ein Produkt in Verkehr, das den Namen einer Partei außerhalb der Union trägt, sind Sie Einführer; stellen Sie ein Produkt bereit, ohne seine Eigenschaften zu beeinflussen, sind Sie Händler.

Eine neue Marke ändert die Rolle: Ein Einführer oder Händler, der ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder wesentlich verändert, gilt als Hersteller (Art. 21). Wer sonst ein Produkt wesentlich verändert und auf dem Markt bereitstellt, gilt ebenfalls als Hersteller (Art. 22). Mehr dazu unter Hersteller, Einführer oder Händler: welche Rolle Ihnen zufällt.

Ab wann gelten die Pflichten?

Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Kapitel IV (Notifizierung von Konformitätsbewertungsstellen) gilt ab dem 11. Juni 2026, der Rest der Verordnung ab dem 11. Dezember 2027 (Art. 71 Abs. 2).

„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“

Der Fristenplan zeigt, was jedes Datum für jede Rolle bedeutet.

Welche Rahmen gibt es für Geldbußen?

Artikel 64 setzt drei Obergrenzen, bestimmt durch die verletzte Pflicht und nicht durch die Unternehmensgröße: 15 000 000 EUR oder 2,5 % (Art. 64 Abs. 2), 10 000 000 EUR oder 2 % (Art. 64 Abs. 3) und 5 000 000 EUR oder 1 % (Art. 64 Abs. 4), jeweils ein Anteil am gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Bei der Bemessung der einzelnen Geldbuße wird unter anderem die Unternehmensgröße berücksichtigt (Art. 64 Abs. 5 Buchst. c). Die Obergrenzen beschreiben den Aufbau des Rechtsakts und sind keine Vorhersage über ein einzelnes Unternehmen. Einzelheiten: Wie hoch sind die Geldbußen?

Selbsttest in fünf Fragen

1. Enthält es Software oder Hardware, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine Datenverbindung mit einem Gerät oder Netz einschließt? (Art. 2 Abs. 1)
2. Geben Sie es im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt ab, entgeltlich oder unentgeltlich? (Art. 3 Nummer 22)
3. Unterliegt es einem der in Art. 2 Abs. 2 bis 4 aufgeführten Rechtsakte der Union, ist es ein Ersatzteil für eine identische Komponente (Art. 2 Abs. 6), oder wurde es ausschließlich für Zwecke der nationalen Sicherheit oder der Verteidigung entwickelt oder speziell für Verschlusssachen konzipiert (Art. 2 Abs. 7)?
4. Trägt es Ihren Namen oder Ihre Marke oder den Namen einer Partei außerhalb der Union, den Sie in die Union bringen? (Art. 3 Nummern 13, 16, 17)
5. Falls ein Cloud-Backend beteiligt ist: Wird dessen Software von Ihnen oder in Ihrem Auftrag konzipiert, und könnte das Produkt ohne sie eine seiner Funktionen nicht erfüllen? (Art. 3 Nummer 2)

Ja bei 1 und 2 und nein bei 3 spricht dafür, dass die Verordnung für Sie gilt, in der Rolle, die Frage 4 nahelegt. Prüfen Sie das am Amtsblatt, bevor Sie sich darauf stützen. Alles Unklarere ist eine Grauzone, und die kostenlose Cybiq-Prüfung macht daraus konkrete nächste Schritte.

Häufige Fragen

Gilt die Verordnung für ein Produkt, das ich nur weiterverkaufe?

Ja, in einer Rolle. Geben Sie das Produkt unverändert unter dem Namen des Herstellers weiter, sind Sie Händler mit den Sorgfaltspflichten des Artikels 20. Verkaufen Sie es unter Ihrem eigenen Namen oder Ihrer eigenen Marke oder ändern Sie es wesentlich, behandelt Sie Artikel 21 als Hersteller.

Fällt eine mobile Anwendung in den Anwendungsbereich, wenn sie nur mit meinem Cloud-Dienst spricht?

In aller Regel ja, wenn Sie sie im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt abgeben und keine Ausnahme nach Art. 2 greift. Sie ist Software, die Sie auf Geräte abgeben, und ihr Zweck schließt eine Datenverbindung mit einem Netz ein (Art. 2 Abs. 1, Art. 3 Nummer 1). Ob das Cloud-Backend zum Produkt gehört, ist eine eigene Prüfung nach Art. 3 Nummer 2: Software, die der Hersteller selbst oder unter seiner Verantwortung konzipiert und entwickelt und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte.

Erfasst die Meldepflicht auch Produkte, die ich vor September 2026 verkauft habe?

Ja, bei Produkten im Anwendungsbereich, die sich bereits auf dem Markt befinden. Artikel 14 gilt seit dem 11. September 2026 und erfasst sie (Art. 69 Abs. 3). Die übrigen Anforderungen erfassen Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nur, wenn diese ab diesem Datum wesentlich verändert werden (Art. 69 Abs. 2).

Quellen

• Verordnung (EU) 2024/2847, ABl. L, 20.11.2024 (CELEX 32024R2847): Art. 2, Art. 3, Art. 13, Art. 14, Art. 18 bis 22, Art. 33, Art. 64, Art. 69, Art. 71, Erwägungsgründe 15, 18 und 120.
• Leitlinien der Kommission C(2026) 5252, 27. Juli 2026 (EN), nicht verbindlich, zu freier und quelloffener Software.

Weiterlesen

• Was die Verordnung ist und wen sie bindet
• Fragen zum Anwendungsbereich im FAQ
• Glossar: Produkt mit digitalen Elementen
• Kostenlose Werkzeuge

Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.