CRA und Bestandsprodukte: Was gilt für Altgeräte?

Die beruhigende Nachricht zuerst — und ihre drei Haken

Kaum eine Frage kommt in Gesprächen mit Herstellern so verlässlich wie diese: „Was passiert mit den Geräten, die schon draußen sind?” Die Grundregel steht in Artikel 69 Absatz 2 des Cyber Resilience Act: Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den CRA-Anforderungen nur dann, wenn sie ab diesem Zeitpunkt wesentlich geändert werden.¹

Niemand muss also zehntausende ausgelieferte Sensoren zurückrufen oder für die 2019er-Produktgeneration nachträglich eine Konformitätsbewertung durchführen. So weit die Entlastung. Sie hat drei Haken, und jeder davon ist in der Praxis schon jemandem auf die Füße gefallen, der die Übergangsregel zu großzügig gelesen hat.

Haken 1: Die Meldepflichten gelten auch für Altgeräte

Artikel 69 Absatz 3 nimmt die Meldepflichten ausdrücklich von der Übergangsregel aus: Die Pflichten aus Artikel 14 gelten für alle Produkte im Anwendungsbereich — auch für solche, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.¹

Konkret heißt das ab dem 11. September 2026: Erfährt ein Hersteller, dass eine Schwachstelle in einem seiner Produkte aktiv ausgenutzt wird, muss die Frühwarnung binnen 24 Stunden beim koordinierenden CSIRT — in Deutschland dem BSI — und bei der ENISA eingehen. Das gilt für die Maschine, die seit 2020 beim Kunden läuft, genauso wie für das Produkt, das nächste Woche ausgeliefert wird. Die Fristen und das Verfahren beschreibt der Artikel zur Schwachstellen-Meldepflicht.

Eine Grenze zieht die Regel bei der Rückwirkung: Schwachstellen, deren aktive Ausnutzung dem Hersteller schon vor dem Stichtag bekannt war, lösen keine Nachmeldepflicht aus. Erfährt er aber nach dem 11. September 2026 von der Ausnutzung — auch bei einem Altprodukt —, greift die Meldepflicht in voller Schärfe.

Für die Vorbereitung bedeutet das: Der Meldeprozess muss das gesamte im Feld befindliche Portfolio abdecken, nicht nur die aktuellen Produkte. Wer seine Altgeräte-Versionen nicht mehr im Schwachstellen-Monitoring hat, kann eine 24-Stunden-Frist strukturell nicht einhalten.

Haken 2: „Inverkehrbringen” zählt pro Einheit, nicht pro Modell

Die Übergangsregel schützt Produkte, nicht Produktmodelle. Inverkehrbringen meint nach der Systematik des EU-Produktrechts die erste Bereitstellung der einzelnen Einheit auf dem Unionsmarkt.² Daraus folgen zwei sehr unterschiedliche Szenarien:

• Lagerware in der Lieferkette: Geräte, die der Hersteller vor dem 11. Dezember 2027 an einen Distributor abgegeben hat, sind in Verkehr gebracht. Sie dürfen danach weiterverkauft werden — der Abverkauf bestehender Handelsbestände ist zulässig.
• Weiterproduktion eines alten Modells: Ein Gerätemodell, das seit 2021 unverändert gebaut wird, genießt keinen Bestandsschutz für neue Einheiten. Jede Einheit, die der Hersteller nach dem Stichtag erstmals abgibt, muss den CRA erfüllen — mit CE-Kennzeichnung, Konformitätsbewertung und allem, was dazugehört.

Das zweite Szenario wird aus meiner Sicht unterschätzt. Besonders im Maschinenbau und bei Embedded-Produkten mit Laufzeiten von zehn und mehr Jahren heißt das: Für jede Produktlinie, die über den Dezember 2027 hinaus verkauft werden soll, fällt jetzt die Entscheidung — CRA-fähig machen oder geordnet abkündigen. Der Artikel zu den Herstellerpflichten zeigt, was „CRA-fähig” im Einzelnen bedeutet.

Haken 3: Die wesentliche Änderung beendet den Bestandsschutz

Wird ein Bestandsprodukt nach dem 11. Dezember 2027 wesentlich geändert, gilt es als neues Produkt — mit voller CRA-Pflicht inklusive Konformitätsbewertung.¹ Die Abgrenzung ist dieselbe wie bei Artikel 23: Verändert die Modifikation Sicherheitseigenschaften, Angriffsfläche oder Risikoprofil?

Unkritisch sind Sicherheitspatches und Bugfixes — der CRA stellt klar, dass Sicherheitsupdates ein Produkt nicht zu einem neuen machen. Kritisch wird es bei Funktionserweiterungen: Die nachgerüstete Cloud-Anbindung für das Bestandsgerät, das neue Fernwartungsmodul, die geöffnete API. Genau die Modernisierungen also, mit denen Hersteller ihre installierte Basis attraktiv halten wollen. Die Kriterien im Detail behandelt der Artikel zu wesentlichen Produktänderungen.

Die unbequeme Konsequenz: Wer plant, Bestandsgeräte 2028 per Feature-Update aufzuwerten, sollte die CRA-Konformität dieser Geräte gleich mitplanen — oder das Update vor den Stichtag ziehen.

Sonderfall Zertifikate: was Artikel 69 noch regelt

Für Hersteller, die bereits Konformitätsbewertungen nach anderen Regimen durchlaufen, enthält Artikel 69 eine zweite Übergangslinie: Bestehende EU-Baumusterprüfbescheinigungen und Zulassungen für Funkanlagen nach der Funkanlagenrichtlinie bleiben befristet gültig.¹ Wie RED-Konformität und CRA zusammenspielen — und warum die EN-18031-Arbeit nicht verloren ist —, steht im Artikel CRA und RED.

Entscheidungshilfe: vier Fragen für jedes Produkt im Portfolio

1. Wird das Produkt nach dem 11. Dezember 2027 noch verkauft? Wenn ja: volle CRA-Compliance für alle danach abgegebenen Einheiten — die Reihenfolge liefert die CRA-Checkliste.
2. Ist das Produkt im Feld und wird noch unterstützt? Dann gehört es ab September 2026 ins Schwachstellen-Monitoring und in den Meldeprozess.
3. Sind Feature-Updates für Bestandsgeräte geplant? Dann jetzt prüfen, ob sie die Schwelle zur wesentlichen Änderung überschreiten.
4. Lohnt sich die Umstellung wirtschaftlich? Für Produkte am Ende ihres Lebenszyklus ist die geordnete Abkündigung vor dem Stichtag oft die ehrlichere Antwort als eine halbherzige Nachrüstung.

Ob ein konkretes Produkt überhaupt in den Anwendungsbereich fällt und in welche Risikoklasse es gehört, klärt der kostenlose RouteCheck in rund fünf Minuten.

Quellen

1. EU-Verordnung 2024/2847 (Cyber Resilience Act), Artikel 69 (Übergangsbestimmungen) und Artikel 71 (Inkrafttreten und Geltung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
2. Blue Guide — Leitfaden der Kommission für die Umsetzung der EU-Produktvorschriften, Abschnitt „Inverkehrbringen”: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52022XC0629(04)
3. EU-Verordnung 2024/2847, Artikel 14 (Meldepflichten) in Verbindung mit Artikel 69 Absatz 3: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
4. BSI — Cyber Resilience Act, Hinweise für Hersteller: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/