CRA-Anwendungsbereich: Produkte, Cloud & Open Source

Der CRA betrifft Produkte mit digitalen Elementen, die im Rahmen einer wirtschaftlichen Tätigkeit auf dem EU-Markt bereitgestellt werden und deren vorgesehene oder vernünftigerweise vorhersehbare Nutzung eine Datenverbindung einschließt. Für die Betroffenheit zählen Produktfunktion, Bereitstellung und mögliche Ausnahmen. Ein Cloudanteil oder eine Open-Source-Lizenz allein entscheidet die Frage noch nicht.

Stand: 3. Oktober 2026. Diese Themenübersicht führt von der ersten Einordnung zu konkreten Fachartikeln. Den Zusammenhang des Regelwerks erklärt der Überblick zum Cyber Resilience Act.

Welche Produkte muss ein Unternehmen zuerst prüfen?

Beginnen Sie mit einem Produktinventar. Erfassen Sie Software, Geräte, separat vertriebene Komponenten und die zugehörigen Remote-Funktionen. Dokumentieren Sie je Produkt die verantwortliche Gesellschaft, Marke, Vertriebswege, vorgesehenen Nutzer und den ersten EU-Marktzugang. So entsteht eine nachvollziehbare Entscheidung je Produkt statt einer pauschalen Aussage über das gesamte Unternehmen.

Die Fachthemen im Zusammenhang

Anwendungsbereich Schritt für Schritt prüfen

Die Einordnung beginnt bei der Funktion und Bereitstellung des Produkts. Beschreiben Sie auch indirekte Verbindungen, separat vertriebene Komponenten und begründete Ausnahmen. Der Fachartikel erläutert die Prüfmerkmale und hilft, einen belastbaren Betroffenheitsvermerk aufzubauen.

CRA-Anwendungsbereich: Welche Produkte und Unternehmen sind betroffen? →

Open Source und wirtschaftliche Bereitstellung unterscheiden

Eine freie Lizenz beantwortet noch nicht, wer welche Verantwortung trägt. Trennen Sie eigene wirtschaftliche Bereitstellung, integrierte Fremdkomponenten und die Rolle eines Stewards. Diese Unterscheidung verhindert sowohl falsche Ausnahmen als auch unnötige Pflichten für nichtwirtschaftliche Projekte.

CRA und Open Source: Wann freie Software betroffen ist und was für Stewards gilt →

Cloud und Remote-Datenverarbeitung abgrenzen

Erfassen Sie, welche Produktfunktion ohne Backend ausfällt und wer die Remote-Lösung verantwortet. Halten Sie diese Abgrenzung mit Architektur und Lieferantenverträgen konsistent. Der Detailbeitrag erklärt, warum ein optionaler Dienst anders zu prüfen ist als ein funktional notwendiges Hersteller-Backend.

CRA Remote-Datenverarbeitung: Wann Cloud und SaaS Teil des Produkts werden →

Änderungen im Produktlebenszyklus neu bewerten

Nach der ersten Einordnung können neue Funktionen, Integrationen oder Änderungen des vorgesehenen Verwendungszwecks eine erneute Prüfung erforderlich machen. Eine Änderung ist nicht schon deshalb wesentlich, weil die Versionsnummer steigt. Entscheidend sind die konkreten rechtlichen Kriterien und Sicherheitsauswirkungen.

Wesentliche Änderung nach CRA: Wann Updates eine neue Herstellerpflicht auslösen →

Vier Arbeitsschritte für die Praxis

Produkt und Version beschreiben: Welche Funktionen werden angeboten, welche Komponenten gehören dazu?
Wirtschaftliche Bereitstellung und Datenverbindung prüfen; kostenlose Angebote können ebenfalls relevant sein.
Ausnahmen und sektorspezifische EU-Regeln anhand des konkreten Produkts bewerten.
Herstellerrolle, Produktklasse und nächste Arbeitsschritte dokumentieren.

Welche Ergebnisse sollten Sie festhalten?

Verwenden Sie einen produktbezogenen Entscheidungsvermerk. Er benennt Produkt und Version, betrachtete Funktionen, verantwortliche Gesellschaft und das Datum der Bewertung. Halten Sie außerdem die verwendeten Quellen und die offenen Fragen fest. Eine Entscheidung ist erst belastbar, wenn erkennbar ist, auf welchen Informationen sie beruht und wer sie freigegeben hat.

Für jedes offene Arbeitspaket sollten Verantwortliche, Vertretung, Zieltermin und Nachweisziel feststehen. Prüfen Sie den Fortschritt anhand von Ergebnissen: eine freigegebene Bewertung, ein getesteter Prozess oder eine eindeutig zugeordnete Dokumentation. Ein Termin im Kalender oder ein begonnenes Dokument zeigt allein noch nicht, dass die Anforderung umgesetzt ist.

Wann ist eine erneute Prüfung sinnvoll?

Überprüfen Sie die Einordnung bei relevanten Produktänderungen, neuen Vertriebsmodellen, geänderten Lieferanten oder aktualisierten rechtlichen Vorgaben. Ordnen Sie die Überprüfung einem konkreten Anlass zu und bewahren Sie frühere Entscheidungen nachvollziehbar auf. So können Entwicklung und Compliance erkennen, welche Annahmen weiterhin gelten und welche neu bewertet werden müssen.

Nächster Schritt: Wählen Sie oben den Fachartikel, der Ihre wichtigste offene Frage beantwortet. Wenn die Betroffenheit noch unklar ist, beginnen Sie mit dem kostenlosen CRA-Schnellcheck und dokumentieren Sie das Ergebnis anschließend anhand Ihres konkreten Produkts.

Häufige Fragen

Gilt der CRA auch in Deutschland?

Ja. Als EU-Verordnung gilt er unmittelbar; die einzelnen Verpflichtungen haben gestaffelte Anwendungstermine. Für die praktische Umsetzung müssen außerdem die zuständigen Behörden und die jeweils geltenden ergänzenden Rechtsakte berücksichtigt werden.

Ist jede Cloudanwendung automatisch ein CRA-Produkt?

Die Bezeichnung Cloud oder SaaS genügt nicht zur Einordnung. Entscheidend ist unter anderem, ob eine Datenfernverarbeitungslösung unter Herstellerverantwortung für eine Funktion eines erfassten Produkts erforderlich ist.

Bedeutet Open Source automatisch eine Ausnahme?

Nein. Wirtschaftliche Bereitstellung, Herstellerrolle und die besonderen Regeln für Open-Source-Software-Stewards müssen getrennt geprüft werden.

Fachliche Grundlage und weiterführende Themen

Die Einordnung stützt sich auf die Verordnung (EU) 2024/2847 und die Erläuterungen der Europäischen Kommission.

Redaktioneller Quellenabgleich dieser Übersicht: 3. Oktober 2026. Beispiele und Arbeitsschritte dienen der praktischen Orientierung; die verbindliche Einordnung richtet sich nach dem geltenden Recht und den Eigenschaften des einzelnen Produkts.

Aktuelle Fachbeiträge vertiefen

Die folgenden veröffentlichten Beiträge ergänzen die Themenübersicht mit konkreten Prüfungen und Umsetzungsschritten.

CRA Grundlagen & Anwendungsbereich: Ist Ihr Produkt betroffen?