Ein Einführer oder Händler gilt für die Zwecke dieser Verordnung als Hersteller und unterliegt den in den Artikeln 13 und 14 genannten Pflichten, wenn dieser Einführer oder Händler ein Produkt mit digitalen Elementen unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt mit digitalen Elementen vornimmt.
Kapitel II - PFLICHTEN DER WIRTSCHAFTSAKTEURE UND BESTIMMUNGEN IN BEZUG AUF FREIE UND QUELLOFFENE SOFTWARE
21
Artikel 21
Fälle, in denen die Pflichten der Hersteller auch für Einführer und Händler gelten
Verordnung (EU) 2024/2847 — veröffentlicht 10. Dezember 2024 · Letzte Prüfung durch Kunnus: März 2026
Auslegung der EU-Kommission
Guidance vom 27. Juli 2026Die EU-Kommissions-Guidance vom 27. Juli 2026 enthält offizielle Auslegungshinweise zu dieser Vorschrift. Jeder Abschnitt: Kurzfassung, Kernaussagen und was das konkret für Sie bedeutet.
Abschnitt 4.4Folgen einer wesentlichen Änderung
Ein wesentlich geändertes Produkt gilt bei Bereitstellung als neu in Verkehr gebracht. Wer als Dritter wesentlich ändert, wird Hersteller (Art. 21/22) — bei komponentenbezogenen Änderungen aber nur für den geänderten Teil, sofern die Gesamt-Cybersicherheit nicht beeinträchtigt ist. Der Originalhersteller darf Dokumentation und Tests für unveränderte Teile wiederverwenden.
Kernaussagen
- Abgrenzung zur Integration: Wer Komponenten zu einem neuen eigenen Produkt zusammenbaut, ist regulärer Hersteller des Gesamtprodukts — keine wesentliche Änderung fremder Produkte (Beispiel 51).
- Alt-Produkte: Eine wesentliche Änderung nach dem 11. Dezember 2027 an einem davor in Verkehr gebrachten Produkt macht den Ändernden zum Hersteller (Art. 69 Abs. 2) — die Pflichten beschränken sich aber auf die geänderten Teile, solange die Gesamt-Cybersicherheit unberührt bleibt.
- Die Pflichten des Originalherstellers für das ursprüngliche Produkt (Schwachstellenbehandlung, Konformität der unveränderten Teile) laufen weiter.
- Konformitätsbewertung fokussiert auf die geänderten Teile; für unveränderte Teile dürfen vorhandene Tests und Doku wiederverwendet werden.
Für die Praxis
Zwei Fälle sauber trennen: Verändern Sie ein fremdes, bereits vermarktetes Produkt wesentlich, treffen Sie Herstellerpflichten — aber nur für den geänderten Teil, solange die Gesamt-Cybersicherheit unberührt bleibt. Bauen Sie dagegen Komponenten zu einem eigenen Produkt zusammen, sind Sie regulärer Hersteller des Gesamtprodukts. Vorhandene Tests und Doku für unveränderte Teile dürfen Sie weiterverwenden.
Alle Guidance-Kapitel im Überblick
EU-Kommissions-Guidance (C(2026) 5252 final) — Die Guidance gibt die Auslegung der Europäischen Kommission wieder und ist rechtlich nicht bindend. Eine verbindliche Auslegung des EU CRA kann nur der Gerichtshof der Europäischen Union vornehmen.
Verwandte Erwägungsgründe
(1)CRA-Updates per E-Mail
Fristen, Guidance und Mythos-Faktenchecks rund um den Cyber Resilience Act — kompakt im Newsletter.
Dieser Text wurde aus der Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 übernommen. Die Darstellung dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut. Originaltext auf EUR-Lex