Artikel 69

Ein wesentlich geändertes Produkt gilt bei Bereitstellung als neu in Verkehr gebracht. Wer als Dritter wesentlich ändert, wird Hersteller (Art. 21/22) — bei komponentenbezogenen Änderungen aber nur für den geänderten Teil, sofern die Gesamt-Cybersicherheit nicht beeinträchtigt ist. Der Originalhersteller darf Dokumentation und Tests für unveränderte Teile wiederverwenden.

Kernaussagen

• Abgrenzung zur Integration: Wer Komponenten zu einem neuen eigenen Produkt zusammenbaut, ist regulärer Hersteller des Gesamtprodukts — keine wesentliche Änderung fremder Produkte (Beispiel 51).
• Alt-Produkte: Eine wesentliche Änderung nach dem 11. Dezember 2027 an einem davor in Verkehr gebrachten Produkt macht den Ändernden zum Hersteller (Art. 69 Abs. 2) — die Pflichten beschränken sich aber auf die geänderten Teile, solange die Gesamt-Cybersicherheit unberührt bleibt.
• Die Pflichten des Originalherstellers für das ursprüngliche Produkt (Schwachstellenbehandlung, Konformität der unveränderten Teile) laufen weiter.
• Konformitätsbewertung fokussiert auf die geänderten Teile; für unveränderte Teile dürfen vorhandene Tests und Doku wiederverwendet werden.

Die Meldepflichten nach Artikel 14 gelten ab dem 11. September 2026 für alle Produkte im CRA-Scope — auch für vor dem 11. Dezember 2027 in Verkehr gebrachte und für Produkte nach Supportende. „Bewusstwerden“ heißt: hinreichende Gewissheit nach unverzüglicher Erstbewertung — ab dann laufen die Fristen (24 h Frühwarnung, 72 h Meldung, 14 Tage bzw. 1 Monat Abschlussbericht).

Kernaussagen

• Keine retroaktive Meldung: Aktive Ausnutzung, die dem Hersteller schon vor dem 11.09.2026 bekannt war, ist nicht meldepflichtig; wird die Ausnutzung erst danach bekannt, greift die Pflicht.
• Dritt-Komponenten: Meldepflichtig ist nur eine aktiv ausgenutzte Schwachstelle, die im eigenen Produkt ausnutzbar ist bzw. ausgenutzt wurde — sonst nur freiwillige Meldung (Art. 15) plus Upstream-Meldung an den Komponenten-Maintainer (Art. 13 Abs. 6).
• Der Begriff „Bewusstwerden“ ist bewusst konsistent mit der NIS-2-Durchführungsverordnung und den GDPR-Guidelines ausgelegt.
• Nutzerinformation (Art. 14 Abs. 8) ist risikobasiert: keine indiskriminierte Veröffentlichung — bei sensiblen Umgebungen darf die Detailinformation auf betroffene Nutzer beschränkt werden; breitere Offenlegung nach Behebung, Pflicht-Veröffentlichung fixer Schwachstellen nach Anhang I Teil II Nr. 4.
• Die Meldepflichten laufen — anders als die Schwachstellenbehandlung — auch nach Ende des Supportzeitraums weiter.

Fahrzeug-Komponenten (VO (EU) 2019/2144, VO (EU) Nr. 168/2013) sind vom CRA ausgenommen, wenn sie ausschließlich für die Integration in solche Fahrzeuge bestimmt und geeignet sind — generische Komponenten über offene Vertriebskanäle fallen in den CRA, unabhängig von Intended-Use-Erklärungen. EU-Baumusterprüfbescheinigungen zu Cybersicherheitsanforderungen (z. B. RED Delegated Act, Maschinenverordnung) bleiben bis längstens 11. Juni 2028 als Konformitätsnachweis für die abgedeckten Risiken nutzbar.

Kernaussagen

• Maßgeblich sind die objektiven Vertriebsbedingungen: Verkauf über allgemeine Retail-/Online-Kanäle an die Öffentlichkeit spricht gegen die Fahrzeug-Ausnahme; geschlossene B2B-Kanäle der Automobil-Lieferkette dafür.
• Bestehende Zertifikate (RED DA, Maschinenverordnung Anhang III 1.1.9/1.2.1) ersetzen die CRA-Risikobewertung nicht — sie dienen nur als Nachweis für die dort abgedeckten Risiken.
• Vom Zertifikat nicht abgedeckte CRA-Risiken (z. B. Schwachstellenbehandlungsprozesse, Datenminimierung, Angriffsflächenreduktion) sind zusätzlich zu adressieren.

Sie bleiben grundsätzlich vom rückwirkenden CRA-Anwendungsbereich ausgenommen. Aber: die Schwachstellen-Meldepflicht nach Artikel 14 ab 11. September 2026 gilt auch für diese Produkte, sofern aktiv ausgenutzte Schwachstellen vorliegen.

Eine Änderung, die die Konformität mit der Verordnung beeinflusst oder den bestimmungsgemäßen Gebrauch verändert. Sicherheitsupdates und Bugfixes zählen explizit nicht als wesentliche Änderung. Funktionsänderungen oder neue Schnittstellen tun es.

Nein — nur wenn sie nach dem Stichtag erneut in Verkehr gebracht werden oder eine wesentliche Änderung erfahren. Für Lagerware, die nach dem 11.12.2027 verkauft wird, gilt der CRA jedoch — die „Inverkehrbringen vor Stichtag“-Klausel zählt nicht für „Bereitstellung auf dem Markt“.