CRA-Pflichten für Händler: Prüf-, Reaktions- und Dokumentationspflichten im Vertrieb

Händler müssen unter dem Cyber Resilience Act vor dem Verkauf prüfen, ob zentrale formale CRA-Anforderungen erfüllt sind. Dazu gehören unter anderem CE-Kennzeichnung, Hersteller- und Importeurangaben, Nutzerinformationen, EU-Konformitätserklärung und Angaben zum Supportzeitraum. Haben Händler konkrete Informationen, die auf eine Nichtkonformität oder ein erhebliches Cybersicherheitsrisiko hindeuten, dürfen sie nicht einfach weiterverkaufen.

Einordnung im CRA-Wissen: Dieser Fachartikel gehört zum Themenbereich Rollen & Pflichten. Dort finden Sie die angrenzenden Anforderungen und eine praktische Reihenfolge für die Umsetzung.

Für belastbare Kontakt- und Eskalationswege sollten Händler wissen, ob ein CRA-Bevollmächtigter benannt ist und welche Aufgaben dessen Mandat umfasst.

Welche Pflichten haben Händler nach dem CRA?

Händler müssen nach Artikel 20 beim Bereitstellen eines Produkts mit digitalen Elementen mit der gebotenen Sorgfalt handeln. Vor dem Verkauf oder einer anderen Form der Marktbereitstellung prüfen sie bestimmte formale Voraussetzungen. Außerdem müssen sie reagieren, wenn ihnen Hinweise auf eine Nichtkonformität, eine Schwachstelle oder ein erhebliches Cybersicherheitsrisiko vorliegen.

Die Händlerpflichten gelten grundsätzlich mit der vollständigen Anwendung des CRA ab 11. Dezember 2027. Unternehmen sollten sie trotzdem deutlich früher in Einkauf, Artikelanlage und Reklamationsprozesse integrieren. Die CRA-Fristen machen deutlich, dass Cybersecurity-Prozesse bereits 2026 an Bedeutung gewinnen.

Wer gilt als Händler im Sinne des CRA?

Händler ist ein Wirtschaftsakteur in der Lieferkette, der weder Hersteller noch Importeur ist und ein Produkt mit digitalen Elementen auf dem Unionsmarkt bereitstellt, ohne dessen Eigenschaften zu verändern. Typisch ist ein deutscher Fachhändler, Großhändler oder Onlinehändler, der Produkte von einem EU-Hersteller oder einem bereits in der EU ansässigen Importeur bezieht.

Die Rollenabgrenzung ist wichtig. Bezieht ein Unternehmen Ware direkt von einem Hersteller außerhalb der EU und bringt sie erstmals in den Unionsmarkt, kann es Importeur sein. Verkauft es unter eigener Marke oder verändert das Produkt wesentlich, kann es zum Hersteller werden. Deshalb sollte jeder Vertriebsprozess mit einer Rollenprüfung beginnen.

Ob das Produkt überhaupt unter die Verordnung fällt, klärt zunächst der CRA-Anwendungsbereich.

Was muss ein Händler vor dem Verkauf prüfen?

Der Händler muss mehrere konkret benannte Punkte verifizieren. Der CRA verlangt dabei keine vollständige technische Neuprüfung des Produkts, wohl aber eine belastbare formale Kontrolle.

Muss der Händler die technische Dokumentation selbst bewerten?

Nein, der Händler muss nicht die vollständige technische Produktakte wie eine Prüf- oder Entwicklungsabteilung analysieren. Seine Pflicht ist stärker auf die formalen Voraussetzungen und die ihm vorliegenden Informationen ausgerichtet.

Das bedeutet aber nicht, dass ein bloßer Haken im ERP genügt. Ein Händler sollte nachweisen können, wann und wie geprüft wurde, welche Produktversion betroffen ist und welche Unterlagen vom Hersteller oder Importeur vorlagen. Gerade bei Software können Produktversionen entscheidend sein, weil Kennzeichnung, Sicherheitsstatus und Supportzeitraum nicht zwingend für alle Releases identisch sind.

Welche Herstellerpflichten muss der Händler indirekt kontrollieren?

Artikel 20 verweist ausdrücklich auf bestimmte Herstellerpflichten. Der Händler prüft unter anderem, ob die Produktidentifikation vorhanden ist, Herstellerkontaktdaten bereitgestellt wurden, die Informationen und Nutzeranweisungen verfügbar sind, das Supportende angegeben wird und die EU-Konformitätserklärung bereitgestellt wurde.

Das ist bewusst eine Kette: Der Hersteller erstellt die Nachweise, der Importeur prüft bei Drittstaatenware zusätzliche Punkte und der Händler kontrolliert vor der Marktbereitstellung, ob die zentralen Voraussetzungen sichtbar und dokumentiert sind.

Was muss ein Händler bei Importware zusätzlich beachten?

Bei Produkten, die über einen Importeur in die EU gekommen sind, muss der Händler prüfen, ob auch dessen vorgeschriebene Kontaktangaben vorhanden sind. Ein fehlender Importeurhinweis ist deshalb kein Detail, das der Händler ignorieren sollte.

Wer selbst direkt aus einem Drittstaat einkauft, muss prüfen, ob er nicht bereits Importeur statt Händler ist. Die weitergehenden Pflichten beschreibt der separate Entwurf zu CRA-Importeuren; als veröffentlichte Grundlage hilft außerdem die Übersicht zu den Herstellerpflichten, weil ein Rollenwechsel die Verantwortung stark erweitert.

Was passiert, wenn ein Händler vor dem Verkauf Zweifel hat?

Hat der Händler aufgrund der ihm vorliegenden Informationen Grund zu der Annahme, dass das Produkt oder die Herstellerprozesse nicht den wesentlichen Cybersicherheitsanforderungen entsprechen, darf er das Produkt nicht bereitstellen, bis die Konformität hergestellt ist.

Das verlangt eine echte Sperrmöglichkeit. Ein Hinweis aus dem Security-Team, ein Hersteller-Recall, eine unplausible Dokumentation oder ein offener Konformitätsmangel darf nicht in einem Ticketsystem hängen bleiben, während der Onlineshop weiter verkauft.

Wie sollte ein Verkaufsstopp technisch umgesetzt werden?

Der Händler sollte einen Status verwenden, der Vertrieb über alle Kanäle stoppt: Shop, Marktplatz, Filiale, B2B-Bestellung und automatisierte Nachbestellung. Gleichzeitig muss klar sein, wer die Sperre wieder aufheben darf und welche Nachweise dafür erforderlich sind.

Wann muss der Händler Behörden informieren?

Stellt ein Produkt ein erhebliches Cybersicherheitsrisiko dar, muss der Händler den Hersteller und die Marktüberwachungsbehörden ohne unangemessene Verzögerung informieren. Ist das Produkt bereits verkauft worden und wird später eine erhebliche Risikolage bekannt, bestehen ebenfalls Reaktions- und Informationspflichten.

Das ist von den eigenen CRA-Meldepflichten der Hersteller nach Artikel 14 zu unterscheiden. Händler haben nicht denselben 24/72-Stunden-Prozess wie Hersteller, müssen aber bei den in Artikel 20 beschriebenen Risikosituationen trotzdem schnell handeln.

Was gilt, wenn nach dem Verkauf eine Schwachstelle bekannt wird?

Erfährt ein Händler von einer Schwachstelle in einem von ihm bereitgestellten Produkt, muss er den Hersteller ohne unangemessene Verzögerung informieren. Zusätzlich muss er bei einer bekannten Nichtkonformität sicherstellen, dass notwendige Korrekturmaßnahmen ergriffen werden.

Je nach Fall kann das bedeuten, dass das Produkt konform gemacht, aus dem Vertrieb genommen oder zurückgerufen wird. Bei Software kann ein Sicherheitsupdate genügen; bei einem Produkt mit fehlender oder falscher Konformitätsbewertung kann der Korrekturweg deutlich umfangreicher sein.

Muss ein Händler Rückrufe selbst organisieren?

Der CRA verlangt, dass Händler bei bereits bereitgestellten nichtkonformen Produkten sicherstellen, dass notwendige Korrekturmaßnahmen erfolgen. Ein Rückruf ist eine mögliche Maßnahme, wenn er angemessen ist.

In der Praxis sollte deshalb bereits vor einem Vorfall geklärt sein, welche Kundendaten und Vertriebskanäle für eine Sicherheitsinformation oder einen Rückruf verfügbar sind. Ein anonymes Ladengeschäft hat andere Möglichkeiten als ein B2B-Händler mit Seriennummern und Kundenkonten. Die Maßnahmen müssen zur tatsächlichen Vertriebsstruktur passen.

Welche Unterlagen muss ein Händler für Behörden bereithalten?

Auf begründete Anfrage der Marktüberwachung muss der Händler Informationen und Dokumentation bereitstellen können, die zur Beurteilung der Konformität des Produkts und der Herstellerprozesse notwendig sind. Er muss außerdem bei Maßnahmen zur Beseitigung von Cybersicherheitsrisiken kooperieren.

Deshalb sollte nicht nur der aktuelle Produktkatalog, sondern auch die historische Lieferkette nachvollziehbar sein. Welche Version wurde wann von welchem Lieferanten bezogen? Wer war Hersteller oder Importeur? Welche Unterlagen lagen bei Freigabe vor? Diese Fragen können Jahre nach dem ersten Verkauf relevant werden.

Was passiert, wenn der Hersteller den Betrieb einstellt?

Wird dem Händler bekannt, dass der Hersteller seine Tätigkeit eingestellt hat und seine CRA-Pflichten deshalb nicht mehr erfüllen kann, muss der Händler die zuständigen Marktüberwachungsbehörden ohne unangemessene Verzögerung informieren. Soweit möglich, sollen auch Nutzer erreicht werden.

Das betrifft besonders Produkte mit langem Supportzeitraum. Wenn Sicherheitsupdates zugesagt wurden, der Hersteller aber nicht mehr existiert, entsteht für Nutzer ein reales Sicherheitsproblem.

Wann wird der Händler selbst zum Hersteller?

Ein Händler wird nach Artikel 21 wie ein Hersteller behandelt, wenn er ein Produkt unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr bringt oder eine wesentliche Änderung vornimmt. Dann greifen nicht mehr nur die Händlerpflichten.

Das ist für Eigenmarken und White-Label-Geschäfte entscheidend. Wer einen fremden Router einkauft, sein eigenes Logo aufbringt und ihn unter eigenem Namen als Produkt anbietet, sollte die Herstellerrolle früh prüfen. Gleiches gilt bei technischen Änderungen, die Zweckbestimmung oder Cybersicherheitsrisiko wesentlich verändern.

Wie sollte ein CRA-Händlerprozess im Alltag aussehen?

Ein guter Prozess verbindet Einkauf, Stammdaten, Wareneingang, Security und Reklamation. Die Prüfpflicht darf nicht allein an einer Person hängen.

1. Rolle klären: Händler, Importeur oder bereits Hersteller?
2. Produkt erfassen: Modell, Version und Lieferant eindeutig dokumentieren.
3. Formale CRA-Prüfung: CE, Identifikation, Kontakte, Supportende und Nutzerunterlagen kontrollieren.
4. Freigabestatus setzen: Nur vollständig geprüfte Produkte werden aktiv verkauft.
5. Sicherheitskontakt speichern: Hersteller- und Importeurkontakt für Schwachstellen hinterlegen.
6. Warnkanal einrichten: Sicherheitsmeldungen aus Kundenservice, Hersteller oder öffentlichen Advisories an eine zuständige Stelle leiten.
7. Sperr- und Rückrufprozess testen: Vertrieb und Kommunikation müssen im Ereignisfall schnell reagieren können.

Welche typischen Fehler sollten Händler vermeiden?

CE mit vollständiger CRA-Prüfung gleichsetzen

Die Kennzeichnung ist wichtig, aber nicht der einzige Prüfpunkt.

Onlinehandel und Marktplätze vergessen

Ein Verkaufsstopp muss alle Kanäle erreichen. Ein deaktivierter Artikel im Hauptshop hilft nicht, wenn Marktplatzangebote weiterlaufen.

Sicherheitsmeldungen im Kundenservice verlieren

Eine Meldung wie „Gerät lässt sich ohne Passwort übernehmen“ darf nicht wie eine normale Reklamation behandelt werden. Das Team braucht Erkennungs- und Eskalationsregeln.

Eigenmarke ohne Rollenprüfung

Private Label kann aus einem Händler einen Hersteller machen. Dann ändern sich die Pflichten vollständig.

Wie können Händler den CRA mit wenig Aufwand vorbereiten?

Der beste Start ist eine zentrale CRA-Checkliste in der Artikelanlage. Sie muss nicht komplex sein, sollte aber für digitale Produkte Pflichtfelder enthalten: Hersteller, Importeur, Produktidentifikation, CE, Konformitätserklärung, Supportende, Sicherheitskontakt und Nutzerinformationen.

Danach sollte ein reales Produkt getestet werden. Kann der Händler innerhalb kurzer Zeit alle Angaben zusammenstellen und einen Verkauf über sämtliche Kanäle sperren? Wenn nicht, liegt die Lücke meist nicht im Rechtstext, sondern im internen Prozess.

Was gilt bei Marktplätzen, Dropshipping und mehreren Vertriebskanälen?

Die praktische Händlerpflicht wird komplizierter, wenn dasselbe Produkt gleichzeitig im eigenen Shop, auf Marktplätzen, im stationären Handel und über Dropshipping angeboten wird. Ein Sicherheitsproblem oder Konformitätsmangel muss dann kanalübergreifend beherrscht werden. Es reicht nicht, lediglich den Artikel im Hauptshop zu deaktivieren, während automatisierte Feeds andere Plattformen weiter beliefern.

Händler sollten deshalb für jedes digitale Produkt eine eindeutige interne Produkt-ID mit den externen Angeboten verknüpfen. Ein Sperrstatus muss alle Vertriebswege erreichen. Ebenso sollte nachvollziehbar sein, über welchen Lieferanten welche Version bezogen wurde. Gerade bei scheinbar identischen Geräten können Firmwarestände oder Herstellerchargen unterschiedlich sein.

Beim Dropshipping ist zusätzlich zu klären, welche Angaben tatsächlich am Produkt oder in den Begleitinformationen ankommen. Dass die Ware das eigene Lager nie berührt, beseitigt die Händlerrolle nicht automatisch. Der Händler braucht einen Prozess, mit dem er die vorgeschriebenen Informationen trotzdem verifizieren kann.

Wo stehen die Händlerpflichten im Original?

Die verbindlichen Pflichten für Händler stehen in Artikel 20 der Verordnung (EU) 2024/2847 bei EUR-Lex. Für die konkrete Umsetzung sind zusätzlich Rolle, Produkttyp, Vertriebsweg und Risikolage zu berücksichtigen.