Braucht reine Software eine CE-Kennzeichnung?

Ja. Ab dem 11. Dezember 2027 dürfen Produkte mit digitalen Elementen — auch reine Software — nur noch mit CE-Kennzeichnung in der EU in Verkehr gebracht werden. Da Software kein Gehäuse hat, wird das CE-Zeichen auf der EU-Konformitätserklärung oder auf einer leicht zugänglichen Website angebracht.

Wer darf die CE-Kennzeichnung anbringen?

Der Hersteller selbst — nach abgeschlossener Konformitätsbewertung. Bei Produkten der Default-Kategorie reicht die interne Kontrolle (Modul A). Eine Behörde oder Prüfstelle vergibt das CE-Zeichen nicht; der Hersteller übernimmt mit der Anbringung die volle Verantwortung.

Was kostet die CE-Kennzeichnung unter dem CRA?

Das CE-Zeichen selbst kostet nichts. Die Kosten entstehen durch die Vorarbeit: Risikoanalyse, Umsetzung der Anforderungen aus Anhang I, technische Dokumentation und — je nach Risikoklasse — die Prüfung durch eine notifizierte Stelle.

CE-Kennzeichnung nach CRA: So funktioniert sie

Das CE-Zeichen wird zur Eintrittskarte für digitale Produkte

Bisher kannten Software-Hersteller die CE-Kennzeichnung höchstens vom Hörensagen — als Pflicht für Maschinenbauer, Spielzeughersteller und Medizintechnik. Das ändert sich grundlegend: Ab dem 11. Dezember 2027 darf ein Produkt mit digitalen Elementen nur noch dann in der EU in Verkehr gebracht werden, wenn es die CE-Kennzeichnung trägt.¹ Das gilt für die Firmware im Temperatursensor genauso wie für ein ERP-System, das als Download vertrieben wird.

Die CE-Kennzeichnung ist dabei kein Prüfsiegel, das eine Behörde vergibt. Sie ist eine Selbsterklärung des Herstellers: Wer das Zeichen anbringt, erklärt rechtsverbindlich, dass das Produkt alle anwendbaren EU-Vorschriften erfüllt — und haftet dafür. Genau deshalb ist die Reihenfolge entscheidend. Das CE-Zeichen ist der letzte Schritt einer Kette, nicht der erste.

Was vor der Kennzeichnung passieren muss

Artikel 30 CRA regelt die Anbringung der CE-Kennzeichnung.² Anbringen darf sie nur, wer vorher vier Stufen abgeschlossen hat:

Risikoanalyse und Anhang I umsetzen: Das Produkt muss die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllen — von Secure-by-Default-Konfiguration bis zum Schutz der Datenintegrität. Die Grundlage dafür ist eine dokumentierte Risikoanalyse.
Technische Dokumentation erstellen: Anhang VII verlangt eine vollständige technische Dokumentation, die zehn Jahre aufbewahrt werden muss.
Konformitätsbewertung durchführen: Je nach Risikoklasse per interner Kontrolle (Modul A), EU-Baumusterprüfung (Modul B+C) oder umfassender Qualitätssicherung (Modul H). Welches Verfahren für welches Produkt gilt, ist im Artikel zu den Konformitätsbewertungsmodulen beschrieben.
EU-Konformitätserklärung ausstellen: Erst wenn die Erklärung nach Anhang V unterschrieben vorliegt, darf das CE-Zeichen angebracht werden. Aufbau und Inhalt sind im Artikel zur Konformitätserklärung erklärt.

Wer diese Reihenfolge umdreht — erst kennzeichnen, dann dokumentieren — riskiert ein Bußgeld. Die Marktaufsicht kann die technische Dokumentation jederzeit anfordern, und eine CE-Kennzeichnung ohne belastbare Unterlagen gilt als nicht konforme Kennzeichnung.

Wie kennzeichnet man Software ohne Gehäuse?

Die klassische Regel lautet: sichtbar, lesbar und dauerhaft auf dem Produkt. Bei einem Industriegateway ist das einfach — Typenschild, fertig. Bei einer Download-Software gibt es nichts, worauf sich ein Zeichen physisch anbringen ließe.

Der CRA löst das pragmatisch. Artikel 30 sieht drei Ebenen vor:²

Am Produkt selbst, wenn physisch möglich (Hardware, Verpackung).
Auf der Verpackung oder den Begleitunterlagen, wenn die Art des Produkts eine Anbringung am Produkt nicht zulässt.
Bei Software: auf der EU-Konformitätserklärung oder auf einer leicht und unmittelbar zugänglichen Website — etwa der Produktseite, von der der Download erfolgt.

In der Praxis bedeutet das für SaaS- und Software-Hersteller: Das CE-Zeichen gehört auf die Konformitätserklärung, und zusätzlich empfiehlt sich eine Compliance-Seite auf der Produktwebsite, die Erklärung, Support-Zeitraum und Kontaktweg für Schwachstellenmeldungen bündelt. Das erfüllt gleich mehrere Informationspflichten aus Anhang II auf einmal.

Ein Detail, das häufig übersehen wird: Ist eine notifizierte Stelle am Konformitätsbewertungsverfahren beteiligt — etwa bei Modul H für kritische Produkte — muss hinter dem CE-Zeichen deren vierstellige Kennnummer stehen. Ohne Beteiligung einer notifizierten Stelle steht das Zeichen allein.

Mindestgröße, Proportionen, Grafik

Die Gestaltung des CE-Zeichens ist nicht verhandelbar. Es gilt das genormte Schriftbild aus Verordnung (EG) 765/2008, auf die Artikel 29 CRA verweist:³

Mindesthöhe 5 mm bei physischer Anbringung (Ausnahmen für sehr kleine Produkte möglich)
Proportionen des Rasters müssen erhalten bleiben — kein Stauchen, kein Verzerren
Bei digitaler Darstellung: ausreichende Auflösung, damit die Form eindeutig erkennbar ist

Die Kommission stellt Vektordateien des Zeichens bereit. Wer das CE-Zeichen aus einem Logo-Generator zieht oder selbst nachbaut, produziert im Zweifel eine formal fehlerhafte Kennzeichnung — ein vermeidbarer Angriffspunkt bei jeder Marktaufsichtsprüfung.

Was passiert bei falscher oder fehlender Kennzeichnung?

Drei Szenarien, drei Konsequenzen:

Fehlende CE-Kennzeichnung ab dem Stichtag: Das Produkt ist nicht verkehrsfähig. Die Marktaufsicht kann Rücknahme oder Rückruf anordnen — der Artikel zur Marktrücknahme beschreibt das Verfahren.
CE-Zeichen ohne erfüllte Anforderungen: Das ist der teuerste Fall. Für Verstöße gegen die grundlegenden Anforderungen sieht Artikel 64 Bußgelder bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor — Details im Artikel zu den CRA-Bußgeldern.
Formfehler (falsche Proportionen, fehlende Kennnummer der notifizierten Stelle): In der Regel zunächst eine Aufforderung zur Korrektur, bei Nichtbeachtung weitergehende Maßnahmen.

Meine Einschätzung nach Sichtung der bisherigen Marktaufsichtspraxis bei anderen CE-Rechtsakten: Behörden beginnen fast immer mit der Dokumentenprüfung. Wer Konformitätserklärung und technische Dokumentation binnen weniger Tage vorlegen kann, hat den unangenehmsten Teil einer Prüfung meist hinter sich. Wer erst suchen muss, zieht Folgefragen an.

Sonderfall: Produkte, die schon eine CE-Kennzeichnung tragen

Viele Hersteller kennzeichnen ihre Produkte bereits nach anderen Rechtsakten — Maschinenverordnung, EMV-Richtlinie, Funkanlagenrichtlinie. Das CE-Zeichen bleibt dann ein einziges Zeichen; es deckt künftig zusätzlich die CRA-Konformität ab. Es gibt kein zweites “Cyber-CE”.

Das heißt aber auch: Die bestehende Konformitätserklärung muss um den CRA erweitert werden, sobald dessen Anforderungen gelten. Ein Maschinenbauer, der seine Erklärung nach dem 11. Dezember 2027 nicht aktualisiert, erklärt formal eine unvollständige Konformität — obwohl am Produkt selbst nichts fehlt. Wie sich die Regelwerke überschneiden, zeigt der Artikel CRA für Maschinenbauer.

Ob Ihr Produkt überhaupt unter den CRA fällt und welches Bewertungsverfahren gilt, klärt der kostenlose RouteCheck in etwa fünf Minuten.

Quellen

EU-Verordnung 2024/2847 (Cyber Resilience Act), Artikel 6 und Artikel 13 (Verkehrsfähigkeit und Herstellerpflichten): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
EU-Verordnung 2024/2847, Artikel 29 (Allgemeine Grundsätze der CE-Kennzeichnung) und Artikel 30 (Vorschriften und Bedingungen für die Anbringung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
Verordnung (EG) 765/2008, Artikel 30 und Anhang II (Gestaltung der CE-Kennzeichnung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32008R0765
Europäische Kommission — CE marking: https://single-market-economy.ec.europa.eu/single-market/ce-marking_en