Cyber Resilience Act Response Center Demo anfragen

Leitfaden Stand Lesezeit 12 Min.

Wer ist Hersteller nach dem CRA? Agentur, Auftraggeber, Eigenmarke, Importeur

Die meisten Pflichten des Cyber Resilience Act hängen an einer Rolle: der des Herstellers. Wer sie trägt, ist nicht immer der, der den Code geschrieben hat. Diese Seite erklärt den Herstellerbegriff, den Rollenwechsel bei Eigenmarke und wesentlicher Änderung und die typischen Zweifelsfälle.

Hersteller nach dem Cyber Resilience Act ist, wer ein Produkt mit digitalen Elementen entwickelt oder herstellt, oder es entwickeln oder herstellen lässt, und es unter eigenem Namen oder eigener Marke vermarktet (Artikel 3 Nummer 13). Entscheidend ist also nicht, wer den Code schreibt, sondern unter wessen Namen das Produkt auf den Markt kommt. Eine Agentur, die nach Vorgaben eines Auftraggebers entwickelt, ist Dienstleister; der Auftraggeber ist Hersteller, wenn er die Software vermarktet. Importeure und Händler werden selbst Hersteller, sobald sie ein Produkt unter eigener Marke in Verkehr bringen oder wesentlich ändern (Artikel 21). Der Hersteller trägt die Pflichten aus Artikel 13 und die Meldepflicht aus Artikel 14.

Das Wichtigste

  • Hersteller ist, wer ein Produkt unter eigenem Namen oder eigener Marke vermarktet, auch wenn ein anderer es entwickelt hat (Artikel 3 Nummer 13).
  • Eigenmarke oder wesentliche Änderung machen einen Importeur oder Händler zum Hersteller mit allen Pflichten (Artikel 21). Für sonstige Dritte gilt Artikel 22.
  • Nur Software, die ein Unternehmen selbst für den eigenen Betrieb entwickelt und nicht weitergibt, wird nicht in Verkehr gebracht. Wird Individualsoftware gegen Entgelt an einen Kunden geliefert, gehen BSI und EU-Kommission von einem Inverkehrbringen aus, auch wenn der Kunde sie nur intern nutzt; sie fällt dann unabhängig von der Stückzahl unter den CRA (BSI-FAQ zum CRA, FAQ der Kommission 4.2.5, Leitlinie Beispiel 7).
  • Der Bevollmächtigte nach Artikel 18 ist kein Hersteller; die Kernpflichten bleiben beim Hersteller.
  • Die Meldepflicht nach Artikel 14 trifft seit dem 11. September 2026 den Hersteller; Importeure und Händler geben Schwachstellen an ihn weiter.

Wie definiert die Verordnung den Hersteller?

Die Definition in Artikel 3 Nummer 13 hat zwei Hälften: die Tätigkeit (ein Produkt konzipieren, entwickeln oder herstellen, oder das tun lassen) und den Marktauftritt (es unter eigenem Namen oder eigener Marke vermarkten). Beide zusammen ergeben den Hersteller.

Die Formulierung "entwickeln lassen" ist der Schlüssel für viele Zweifelsfälle. Wer die Entwicklung einkauft und das Ergebnis unter seinem Namen verkauft, ist Hersteller. Wer entwickelt, aber unter dem Namen eines anderen vermarkten lässt, ist es nicht. Der Hersteller trägt die Pflichten aus Artikel 13 und die Meldepflicht aus Artikel 14; eine Übersicht gibt der Leitfaden Die Pflichten der Hersteller nach Artikel 13. Voraussetzung ist immer, dass das Produkt im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt wird (Artikel 3 Nummer 22). Ob das zutrifft, klärt der Betroffenheitscheck.

Agentur oder Auftraggeber: Wer ist Hersteller bei Individualsoftware?

Artikel 3 Nummer 13 gibt die Richtung vor: Wer entwickeln lässt und unter eigenem Namen vermarktet, ist Hersteller. Die Kommissionsleitlinie C(2026) 5252 vom 27. Juli 2026 enthält für Auftragsentwicklung keine eigene Regel; den Begriff der primären Kontrolle ("primary control") über Entwicklung, Releases und Vertrieb verwendet sie nur für quelloffene Software (Randnummer 49). Maßgeblich bleibt Artikel 3 Nummer 13: Entwickelt eine Agentur nach Vorgaben des Auftraggebers, ist der Auftraggeber Hersteller, wenn er die Software unter eigenem Namen vermarktet; die Agentur ist Dienstleister. Die Leitlinie ist rechtlich unverbindlich.

Drei Fälle lassen sich unterscheiden:

  • Der Auftraggeber nutzt die Software nur intern. Eine Agentur baut ein Planungswerkzeug für einen Kunden, der es ausschließlich selbst einsetzt. Dass der Kunde die Software nur intern nutzt, nimmt sie nicht vom CRA aus: Die Lieferung gegen Entgelt ist nach BSI und Kommission eine Bereitstellung auf dem Markt. Das BSI nennt in seiner FAQ zum CRA ausdrücklich "Individual-Software, unabhängig von der Stückzahl", die FAQ der Kommission behandelt Software für einen bestimmten gewerblichen Nutzer als maßgeschneidertes Produkt (Frage 4.2.5), und die Leitlinie wertet die Lizenz für eine interne Plattform als Inverkehrbringen (Randnummer 11, Beispiel 7). Hersteller ist in der Regel die Agentur, denn der Kunde vermarktet nichts unter seinem Namen. Anders liegt es nur, wenn der Kunde selbst entwickelt und nichts weitergibt (FAQ der Kommission, Frage 1.5). Nicht geklärt ist, wer Hersteller ist, wenn die Software unter dem Namen des Kunden läuft oder unter dessen Weisung und Kontrolle entsteht.
  • Der Auftraggeber vermarktet die Software. Ein Maschinenbauer lässt eine Bedien-App entwickeln und liefert sie mit seinen Maschinen aus. Er ist Hersteller der App, die Agentur Dienstleister.
  • Die Agentur vermarktet selbst. Verkauft die Agentur ihr Produkt unter eigenem Namen, etwa ein Shop-System oder ein Plugin, ist sie Hersteller. Nach der Lesart des BSI (FAQ zum CRA) gilt das unabhängig von der Stückzahl und allgemeinen Verfügbarkeit: Auch kommerziell gelieferte Individualsoftware für einen einzigen Kunden ist ein Produkt.

Ein Vertrag kann Aufgaben verteilen, ändert aber nichts daran, wer das Produkt unter eigenem Namen oder eigener Marke vermarktet. Agentur und Auftraggeber sollten deshalb vorab klären, wer Releases freigibt, wer Schwachstellen behandelt und wer meldet. Mehr dazu im Leitfaden CRA für Agenturen und Individualsoftware.

Eigenmarke und White Label: Wann wird ein Händler zum Hersteller?

Nach Artikel 21 gilt ein Importeur oder Händler in zwei Fällen als Hersteller mit den Pflichten aus Artikel 13 und 14. Erstens, wenn er ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt. Zweitens, wenn er an einem bereits in Verkehr gebrachten Produkt eine wesentliche Änderung vornimmt. Das ist der klassische White-Label-Fall: Ein Systemhaus kauft eine Firewall zu, klebt sein Logo darauf und vertreibt sie als eigenes Produkt. Es ist damit Hersteller eines wichtigen Produkts der Klasse II mit Prüfung durch eine notifizierte Stelle oder ein Zertifizierungsschema (Artikel 32 Absatz 3). Dass es den Code nie gesehen hat, spielt keine Rolle.

Wer nur weiterverkauft, ohne den Namen zu ändern, bleibt Händler mit den Prüfpflichten aus Artikel 20 und gibt Schwachstellen, von denen er erfährt, unverzüglich an den Hersteller (Artikel 20 Absatz 4). Wer aus einem Drittland in die EU holt, ist Importeur nach Artikel 19. Beide Rollen beschreibt der Leitfaden Importeure, Händler und Bevollmächtigte.

Wesentliche Änderung durch Dritte: Artikel 22

Artikel 21 betrifft Importeure und Händler. Für alle anderen gilt Artikel 22 Absatz 1: Jede Person, die an einem bereits in Verkehr gebrachten Produkt eine wesentliche Änderung vornimmt und es dann bereitstellt, gilt als Hersteller, etwa ein Systemhaus, das Firmware anpasst. Artikel 22 Absatz 2 begrenzt die Folge: Die Pflichten aus Artikel 13 und 14 gelten für den geänderten Teil oder, wenn die Cybersicherheit insgesamt berührt ist, für das ganze Produkt. Wesentlich ist nach Artikel 3 Nummer 30 eine Änderung, die sich auf die Konformität mit Anhang I Teil I auswirkt oder die Zweckbestimmung ändert. Ein Sicherheitsupdate ist das nicht, eine neue Fernverbindung in der Regel schon; Beispiele im Leitfaden Wesentliche Änderung.

Konzern, Bevollmächtigter, Open-Source-Steward: Die Sonderfälle

Tochter importiert von der Mutter aus einem Drittland

Der CRA kennt keine Konzernprivilegien. Bringt eine EU-Tochter Produkte in Verkehr, die die Mutter außerhalb der EU unter deren Namen herstellt, ist die Tochter Importeur (Artikel 3 Nummer 16, Pflichten Artikel 19). Vertreibt sie unter eigener Marke, wird sie nach Artikel 21 Hersteller. Eine mögliche Lösung: Die Mutter bleibt Hersteller, die Tochter ist Importeur und wird mit schriftlichem Auftrag zugleich Bevollmächtigte nach Artikel 18. Der Blue Guide der Kommission sieht diese Doppelrolle ausdrücklich vor; die Tochter trägt dann beide Pflichtenkreise (Abschnitte 3.2 und 3.3). Konformitätserklärung und technische Dokumentation hält sie für die Marktüberwachung bereit (Artikel 18 Absatz 3), die Herstellerpflichten aus Artikel 13 Absatz 1 bis 11 bleiben bei der Mutter (Artikel 18 Absatz 2).

Der Bevollmächtigte ist kein Hersteller

Ein Hersteller kann nach Artikel 18 Absatz 1 schriftlich einen Bevollmächtigten in der EU benennen; das ist eine Option, keine Pflicht. Der Bevollmächtigte hält Konformitätserklärung und technische Dokumentation für die Marktüberwachung bereit, übermittelt Nachweise und kooperiert bei der Abwehr von Risiken (Artikel 18 Absatz 3). Die Kernpflichten bleiben beim Hersteller: Artikel 18 Absatz 2 schließt die Übertragung von Artikel 13 Absatz 1 bis 11, der technischen Dokumentation und der Serienkonformität aus. Nicht zu verwechseln ist der Bevollmächtigte mit dem Assigned Representative, der Rolle, die auf der ENISA-Plattform Meldungen absetzt.

Open-Source-Steward

Ein Verwalter quelloffener Software ist nach Artikel 3 Nummer 14 eine juristische Person, die kein Hersteller ist und die Entwicklung freier und quelloffener Software für kommerzielle Tätigkeiten dauerhaft unterstützt, typischerweise eine Stiftung oder ein Verein. Nach Artikel 24 gilt ein leichteres Regime: Cybersicherheitsstrategie, Kooperation mit der Marktüberwachung, ab dem 11. Dezember 2027 Meldung aktiv ausgenutzter Schwachstellen und in Grenzen schwerwiegender Sicherheitsvorfälle (Artikel 24 Absatz 3); kein CE-Zeichen, keine Bußgelder (Artikel 64 Absatz 10). Wer Open Source verkauft, ist Hersteller wie jeder andere. Details im Leitfaden Open Source und CRA.

Entscheidungsbaum: Welche Rolle habe ich?

  1. Wird das Produkt im Rahmen einer Geschäftstätigkeit auf dem EU-Markt bereitgestellt?Nein: Der CRA greift nicht (Artikel 3 Nummer 22), etwa bei selbst entwickelten internen Werkzeugen oder Open Source ohne Monetarisierung. Ja: weiter.
  2. Steht Ihr Name oder Ihre Marke auf dem Produkt?Ja: Sie sind Hersteller (Artikel 3 Nummer 13), auch wenn ein anderer entwickelt hat. Nein: weiter.
  3. Haben Sie das Produkt wesentlich geändert und stellen es bereit?Ja: Sie gelten als Hersteller, als Importeur oder Händler nach Artikel 21, sonst nach Artikel 22. Dort beschränkt Absatz 2 die Pflichten auf den geänderten Teil oder, wenn die Cybersicherheit insgesamt berührt ist, auf das ganze Produkt. Nein: weiter.
  4. Holen Sie das Produkt aus einem Drittland in die EU?Ja: Importeur (Artikel 3 Nummer 16, Pflichten Artikel 19). Nein: weiter.
  5. Verkaufen Sie Produkte anderer weiter?Ja: Händler (Artikel 3 Nummer 17, Pflichten Artikel 20). Nein: weiter.
  6. Tragen Sie als juristische Person ein Open-Source-Projekt ohne eigenen Verkauf?Ja: möglicherweise Verwalter quelloffener Software (Artikel 3 Nummer 14, Pflichten Artikel 24). Nein: Dienstleister ohne eigene Rolle, etwa als Agentur, oder Nutzer.

Beispiele

Alle Beispiele sind erfunden; im Einzelfall entscheidet, wer das Produkt unter eigenem Namen oder eigener Marke vermarktet (Artikel 3 Nummer 13).

FallRolleBegründung
Ein Hersteller von Verpackungsmaschinen kauft eine Steuerung zu, baut sie ein und verkauft die Maschine unter eigenem Namen.Hersteller der MaschineDie Maschine mit Steuerung ist sein Produkt (Artikel 3 Nummer 13). Für die zugekaufte Steuerung gilt die Sorgfaltspflicht nach Artikel 13 Absatz 5; Hersteller der Steuerung bleibt der Zulieferer.
Ein Fachhändler für Netzwerktechnik verkauft Router eines EU-Herstellers unverändert weiter.HändlerKein eigener Name, keine Änderung (Artikel 3 Nummer 17, Pflichten Artikel 20).
Derselbe Fachhändler lässt die Router mit eigenem Logo und eigener Typenbezeichnung fertigen.HerstellerInverkehrbringen unter eigener Marke (Artikel 21). Router sind wichtige Produkte der Klasse I.
Eine Agentur entwickelt eine App, die ein Gerätehersteller unter seinem Namen mit seinen Geräten ausliefert.Gerätehersteller ist Hersteller, Agentur ist DienstleisterDer Gerätehersteller lässt entwickeln und vermarktet unter eigenem Namen (Artikel 3 Nummer 13).
Ein Softwarehaus bietet seine Anwendung ausschließlich im Browser an, ohne Installation beim Kunden.Kein Hersteller nach CRAReine SaaS-Anwendungen sind kein Produkt mit digitalen Elementen (Erwägungsgrund 12); je nach Größe gilt NIS2. Eine App oder ein Backend, ohne das eine Produktfunktion ausfällt, wäre dagegen erfasst; siehe SaaS, Cloud und Fernverarbeitung.

Was das praktisch heißt

Die Rolle entscheidet über die Meldepflicht. Seit dem 11. September 2026 muss der Hersteller aktiv ausgenutzte Schwachstellen binnen 24 Stunden nach Kenntnis an die ENISA-Plattform melden. Importeure und Händler melden nicht selbst, sie informieren den Hersteller unverzüglich (Artikel 19 Absatz 5, Artikel 20 Absatz 4). Wer sich für einen Händler hält, aber ein Produkt unter eigener Marke führt, hat die Meldepflicht und weiß es nicht. Wer als Auftraggeber Software vermarkten lässt, trägt sie, auch wenn die Agentur den Code pflegt.

Die Geschäftsführung sollte deshalb klären, für welche Produkte das Unternehmen Hersteller ist, einschließlich Eigenmarken und vermarkteter Auftragsentwicklungen, und wer intern die Kenntnis bewertet und die Frist auslöst. Für den zweiten Punkt hält CRA Response Center die Bereitschaft: Es erkennt wichtige Meldungen am Sicherheits-Postfach, benachrichtigt die zuständigen Personen und hält Kenntnis und Fristen im Verlauf fest. Die Rolle klärt der Hersteller, im Zweifel anwaltlich.

Kostenlose VorlagenCRA-Meldepflicht-KitMelde-Playbook, Kenntnisvermerk, Meldevorlagen für die ENISA-Plattform, Rufkette und Fristenrechner. Sechs Word-Vorlagen, zwei Excel-Mappen und ein Handbuch, kostenlos per E-Mail.Kit anfordern

Häufige Fragen

Bin ich Hersteller, wenn ich die Software nicht selbst programmiert habe?

Ja, wenn Sie sie entwickeln lassen und unter eigenem Namen oder eigener Marke vermarkten (Artikel 3 Nummer 13). Der Entwickler ist dann Ihr Dienstleister oder Zulieferer.

Werde ich Hersteller, wenn ich nur mein Logo auf ein fremdes Produkt klebe?

Ja. Artikel 21 macht Importeure und Händler zum Hersteller, sobald sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen. Alle Pflichten aus Artikel 13 und 14 gehen auf Sie über.

Wer ist Hersteller, wenn eine Agentur für einen Auftraggeber entwickelt?

Nach Artikel 3 Nummer 13 der, der die Software entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet. In der Regel ist das der Auftraggeber; die Agentur ist Dienstleister. Die Kommissionsleitlinie enthält dazu keine eigene Regel.

Gilt der CRA für Individualsoftware, die nur ein Kunde nutzt?

Entwickelt der Kunde selbst für den eigenen Betrieb und gibt die Software nicht weiter, fehlt die Abgabe an einen anderen und damit das Inverkehrbringen. Liefert ein Anbieter Individualsoftware gegen Entgelt, gilt der CRA nach der Lesart des BSI unabhängig von der Stückzahl und allgemeinen Verfügbarkeit; die FAQ der Kommission (Frage 4.2.5) und die Kommissionsleitlinie (Randnummer 11, Beispiel 7) sehen das ebenso. Leitlinie und FAQ sind unverbindlich, verbindlich auslegen kann nur der Europäische Gerichtshof. Offen ist vor allem, wer in Grenzfällen Hersteller ist, etwa wenn die Software unter dem Namen des Kunden läuft.

Muss ein Importeur oder Händler selbst an die ENISA melden?

Nein. Die Meldepflicht nach Artikel 14 trifft den Hersteller. Importeure und Händler informieren den Hersteller unverzüglich und bei erheblichem Risiko zusätzlich die Marktüberwachungsbehörden (Artikel 19 Absatz 5, Artikel 20 Absatz 4).

Weiterlesen

Quellen

Die Meldepflicht läuft. Wer nimmt bei Ihnen nachts ab?

CRA Response Center liest Ihr Sicherheits-Postfach mit, erkennt wichtige Meldungen mit einer KI in Deutschland, ohne OpenAI und Co., und benachrichtigt Ihre Leute per SMS und E-Mail. 190 Euro im Monat je Domain inklusive Mehrwertsteuer, 30 Tage kostenlos testen.

30 Tage kostenlos testen