Nicht nur wer ein Produkt entwickelt. Sondern auch wer es verändert. Wer es bündelt. Wer es unter eigenem Namen verkauft. Wer sicherheitsrelevante Kon

Ich dachte ich bin nur Händler.

Das ist der Satz den ich in den nächsten Jahren öfter hören werde. Von Unternehmern die gut vorbereitet waren. Auf alles außer das.

Der Cyber Resilience Act – kurz CRA – macht Cybersicherheit ab Dezember 2027 zur nachweispflichtigen Eigenschaft digitaler Produkte. Wer ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt muss belegen dass es sicher ist. Nicht behaupten. Belegen. Mit technischer Dokumentation, Konformitätsbewertung und CE-Kennzeichnung.

Soweit bekannt. Was die meisten nicht wissen ist wer unter dem CRA als Hersteller gilt.

Nicht nur wer ein Produkt entwickelt. Sondern auch wer es verändert. Wer es bündelt. Wer es unter eigenem Namen verkauft. Wer sicherheitsrelevante Konfigurationen anpasst.

Vier konkrete Auslöser die aus einem Händler oder Integrator einen Hersteller machen.

Erstens: Wer mehrere Fremdprodukte zu einem System zusammenstellt und unter eigenem Namen vertreibt. Zweitens: Wer Firmware oder Software über Standardparameter hinaus anpasst. Drittens: Wer ein Drittland-Produkt unter eigener Marke verkauft – Private Labeling. Viertens: Wer eine Managed-Lösung anbietet bei der sicherheitsrelevante Konfigurationsänderungen vorgenommen werden.

Jeder dieser vier Punkte reicht alleine aus.

Das ist keine Randnotiz im Gesetzestext. Es ist ein strukturelles Problem das viele KMU im Mittelstand betrifft die sich nie als Hersteller verstanden haben – und die ab Dezember 2027 alle Herstellerpflichten tragen ohne jemals Herstellervorbereitung betrieben zu haben.

Was das konkret bedeutet: technische Dokumentation die nachweist wie das Produkt funktioniert und welche Sicherheitsanforderungen es erfüllt. Eine Konformitätsbewertung. CE-Kennzeichnung. Ein strukturiertes Schwachstellenmanagement. Und Meldefristen die eingehalten werden müssen wenn eine Schwachstelle aktiv ausgenutzt wird.

Das ist kein administrativer Aufwand. Das ist ein Haftungsrisiko das entsteht ohne dass jemand eine bewusste Entscheidung dafür getroffen hat.

Die erste Frage die jedes Unternehmen jetzt beantworten sollte ist einfach: In welcher Rolle stehe ich unter dem CRA – für jedes einzelne Produkt das ich auf dem Markt bringe?

Die Antwort ist nicht immer dieselbe. Und sie ist selten so einfach wie ich bin nur Händler.

Wenn Sie mehr zum Thema Unternehmer-Resilienz und digitale Compliance wissen möchten – kurze DM genügt.