CRA für Importeure und Händler: Pflichten ab 2027

Der CRA trifft die ganze Lieferkette — nicht nur Entwickler

Wer den Cyber Resilience Act für ein reines Herstellerthema hält, übersieht zwei Artikel: Artikel 19 verpflichtet Importeure, Artikel 20 verpflichtet Händler.¹ Ab dem 11. Dezember 2027 haftet damit jede Stufe der Lieferkette dafür, dass nur konforme Produkte mit digitalen Elementen in der EU verkauft werden. Ein Elektronik-Distributor, ein Systemhaus mit Hardware-Sortiment, ein Online-Shop für Smart-Home-Geräte — sie alle bekommen eigene, bußgeldbewehrte Prüfpflichten.

Die Logik dahinter ist aus anderen CE-Rechtsakten bekannt: Bei Herstellern außerhalb der EU ist der Importeur der erste greifbare Verantwortliche im Binnenmarkt. Die Marktaufsicht muss nicht nach Shenzhen schreiben — sie hält sich an den, der das Produkt eingeführt hat.

Pflichten der Importeure (Artikel 19)

Importeur ist, wer ein Produkt eines Drittlandsherstellers erstmals in der EU in Verkehr bringt. Vor dem Inverkehrbringen muss er sich vergewissern, dass:¹

• der Hersteller ein Konformitätsbewertungsverfahren durchgeführt hat,
• die technische Dokumentation nach Anhang VII erstellt wurde,
• das Produkt die CE-Kennzeichnung trägt und die EU-Konformitätserklärung vorliegt,
• die Informationen und Anleitungen nach Anhang II beiliegen — in einer Sprache, die die Nutzer im Zielmarkt verstehen.

Zusätzlich muss der Importeur seinen eigenen Namen und seine Kontaktdaten am Produkt oder in den Begleitunterlagen angeben. Erkennt er, dass ein Produkt nicht konform ist, darf er es nicht in Verkehr bringen. Und bei Kenntnis einer Schwachstelle gilt eine gestufte Informationspflicht: zuerst an den Hersteller; birgt das Produkt ein erhebliches Cybersicherheitsrisiko, auch an die Marktaufsichtsbehörden.

Der Punkt, der in der Praxis wehtun wird: Der Importeur muss die Konformitätserklärung zehn Jahre bereithalten und sicherstellen, dass die technische Dokumentation den Behörden auf Verlangen vorgelegt werden kann. Das setzt vertragliche Zugriffsrechte gegenüber dem Drittlandshersteller voraus — die man 2027 nicht mehr nachverhandeln möchte.

Pflichten der Händler (Artikel 20)

Die Händlerpflichten sind bewusst schlanker — eine Sichtprüfung, keine technische Bewertung:¹

• CE-Kennzeichnung vorhanden?
• Herstellerangaben und Importeursangaben vorhanden?
• Anleitung und Sicherheitsinformationen beigefügt?

Bestehen Anhaltspunkte, dass ein Produkt nicht konform ist, darf der Händler es erst bereitstellen, wenn die Konformität hergestellt wurde. Bei erheblichem Cybersicherheitsrisiko muss er Hersteller und Marktaufsicht informieren. Erfährt er von einer Schwachstelle, gibt er die Information an den Hersteller weiter.

Für Sortimente mit tausenden Artikeln heißt das: Die Prüfung muss in den Einkaufsprozess. Ein pragmatischer Ansatz, den ich Distributoren empfehle — eine Lieferantenerklärung je Produktlinie, die CE-Status, Konformitätserklärung und Support-Zeitraum abfragt, plus Stichproben im Wareneingang. Das ist keine Kür: Artikel 64 sieht auch für Verstöße gegen Händlerpflichten Bußgelder vor, Details im Artikel zu den CRA-Bußgeldern.

Die Private-Label-Falle: Artikel 21

Der gefährlichste Paragraf für Importeure und Händler ist keiner ihrer eigenen — es ist Artikel 21. Er macht aus Importeuren und Händlern vollwertige Hersteller, wenn einer von zwei Fällen eintritt:¹

1. Vermarktung unter eigenem Namen oder eigener Marke. Das klassische Private-Label-Geschäft: Ein Distributor lässt in Fernost fertigen und verkauft unter Eigenmarke. Aus CRA-Sicht ist er damit Hersteller — mit allen Pflichten von der Risikoanalyse über die Konformitätsbewertung bis zur 24-Stunden-Meldepflicht.
2. Wesentliche Änderung eines bereits in Verkehr gebrachten Produkts. Wer Firmware anpasst, eigene Cloud-Anbindung ergänzt oder das Produkt für einen neuen Einsatzzweck modifiziert, kann die Schwelle überschreiten — wann genau, behandelt der Artikel zu wesentlichen Produktänderungen.

Meine Einschätzung: Artikel 21 wird die Eigenmarken-Kalkulation im Elektronikhandel spürbar verändern. Der Preisvorteil eines White-Label-Produkts schrumpft deutlich, wenn man ehrlich die Kosten für Konformitätsbewertung, technische Dokumentation und einen Meldeprozess über den gesamten Support-Zeitraum einrechnet. Wer Eigenmarken führt, sollte diese Rechnung jetzt aufmachen — nicht erst, wenn die erste Behördenanfrage kommt.

Was Importeure und Händler jetzt konkret tun sollten

1. Sortiment segmentieren: Welche Produkte haben digitale Elemente und fallen unter den CRA? Die Anwendungsbereichs-Prüfung liefert die Kriterien.
2. Rollen klären: Für jedes Produkt festhalten, ob man Händler, Importeur oder — über Artikel 21 — faktisch Hersteller ist. Die Abgrenzungen erklärt der Artikel zu den Wirtschaftsakteuren.
3. Lieferantenverträge anpassen: Zugriff auf Konformitätserklärung und technische Dokumentation, Update-Zusagen über den Support-Zeitraum, Informationspflichten bei Schwachstellen.
4. Eingangsprüfung aufsetzen: CE-Kennzeichnung, Herstellerangaben, Anleitung — als Checkliste im Wareneingang, dokumentiert.
5. Eigenmarken-Portfolio bewerten: Für jedes Private-Label-Produkt die Herstellerpflichten kalkulieren und entscheiden: weiterführen, umstellen oder auslisten.

Für die ersten beiden Schritte reicht ein Nachmittag mit dem RouteCheck — er ordnet jedes Produkt in Anwendungsbereich und Risikoklasse ein.

Quellen

1. EU-Verordnung 2024/2847 (Cyber Resilience Act), Artikel 19 (Pflichten der Einführer), Artikel 20 (Pflichten der Händler), Artikel 21 (Fälle, in denen Herstellerpflichten für Einführer und Händler gelten): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
2. EU-Verordnung 2024/2847, Artikel 64 (Sanktionen): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=OJ:L_202402847
3. Blue Guide — Leitfaden der Kommission für die Umsetzung der EU-Produktvorschriften (Rollen der Wirtschaftsakteure): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52022XC0629(04)
4. BSI — Cyber Resilience Act, Informationen für die Wirtschaft: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/