Unser Weg zum CRA: Wer ist im CRA Hersteller, obwohl er nichts herstellt?

Datum : 28. Oktober 2026

Wer ist im CRA Hersteller, obwohl er nichts herstellt?

Üblicherweise gilt als Hersteller, wer fertigt. Im Cyber Resilience Act zählt etwas anderes, und für einen großen Teil unserer Produkte führt das zu einer Antwort, die viele überrascht.

Im allgemeinen Sprachgebrauch ist der Hersteller der, der ein Gerät entwickelt, fertigt und zusammenbaut. Der Cyber Resilience Act legt den Begriff anders aus. Rechtlich maßgeblich ist, unter wessen Namen oder Marke ein Produkt vermarktet wird. Ein Aufdruck auf dem Gehäuse ist dafür nicht zwingend. An dieser Rolle hängen die Pflichten der Verordnung: melden, dokumentieren, Schwachstellen behandeln. Seit dem 11. September 2026 gelten die Meldepflichten nach Artikel 14 CRA, auch für Produkte, die längst im Feld sind. Zu melden sind aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Bevor man etwas melden kann, muss klar sein, ob man überhaupt gemeint ist.

Was das Gesetz unter Hersteller versteht

Der CRA definiert seine Begriffe selbst, nachzulesen in Artikel 3. Er steht dabei im Rahmen des New Legislative Framework, des gemeinsamen Ordnungsrahmens des europäischen Produktrechts. Hersteller ist nach Artikel 3 Nummer 13 CRA eine natürliche oder juristische Person, die ein Produkt mit digitalen Elementen entwickelt oder herstellt oder konzipieren, entwickeln oder herstellen lässt und es unter ihrem Namen oder ihrer Marke vermarktet. Ob das gegen Bezahlung, zur Monetarisierung oder unentgeltlich geschieht, spielt dabei keine Rolle.

Maßgeblich ist also die Vermarktung unter eigenem Namen oder eigener Marke. Wer ausschließlich im Auftrag fertigt und nicht unter eigenem Namen vermarktet, ist nach dieser Definition kein Hersteller. Und umgekehrt wird man seine Pflichten nicht los, indem man Dritte beauftragt: Artikel 13 CRA adressiert den Hersteller. Der Blue Guide der EU-Kommission, die Auslegungshilfe zum allgemeinen Produktrecht und nicht zum CRA selbst, stellt diesen Grundsatz in Abschnitt 3.1 ausdrücklich klar. Gerade bei Auftragsentwicklungen liegen die Rollen damit oft anders, als die Beteiligten zunächst vermuten.

Bei kundenspezifischen Geräten ist der Kunde Hersteller

Für einen großen Teil unseres Geschäfts fällt die Antwort deshalb anders aus, als man erwarten würde. Wir entwickeln kundenspezifische Geräte, lassen sie fertigen und halten sie über ihre Lebensdauer instand. In den Markt gehen sie unter dem Namen unserer Kunden. Damit sind unsere Kunden Hersteller im Sinne des CRA, auch wenn Entwicklung und Fertigung bei uns liegen.

Das ist keine Entlastung für uns, sondern eine klare Aufteilung der Rollen. Dass wir entwickeln, fertigen und warten, verschiebt die Herstellerrolle nicht, sie bleibt beim Auftraggeber. Welche Verantwortung wir für unsere Leistungen übernehmen, regeln die Verträge. Anders liegt der Fall bei unseren eigenen Produkten.

Und zugleich sind wir selbst Hersteller

Die DHSOM-Familie beispielsweise vermarkten wir unter eigenem Namen. Für diese Module ist DH electronics Hersteller im Sinne des CRA. Im Gerät unserer Kunden sind dieselben Module zugleich Komponenten, also Hardware oder Software, die für die Integration in ein Produkt mit digitalen Elementen bestimmt ist (Artikel 3 Nummer 6 CRA). Weil wir diese Module einzeln in Verkehr bringen und nicht nur eingebaut ausliefern, sind sie darüber hinaus eigenständige Produkte mit digitalen Elementen nach Artikel 3 Nummer 1 CRA. Eine Komponente, die ausschließlich im fertigen Gerät eines Kunden auf den Markt kommt, wäre das nicht.

Beide Rollen bestehen damit nebeneinander, und sie treffen sich bei der Integration. Baut ein Kunde eines unserer Module in sein Gerät ein, muss er dabei die gebotene Sorgfalt walten lassen, so verlangt es Artikel 13 Absatz 5 CRA. Ob sein Gerät die Anforderungen erfüllt, hängt damit auch davon ab, was wir mit dem Modul liefern. Eine Stufe tiefer in der Lieferkette setzt sich das fort. Soweit Bauteile Software oder digitale Elemente enthalten, ist ihr jeweiliger Produzent deren Hersteller. Sitzt dieser außerhalb der EU, kommen weitere Rollen ins Spiel. Unsere Distributoren sind in der Union niedergelassen: Bringen sie Produkte unter der Marke des Produzenten erstmals in der Union in Verkehr, sind sie Einführer nach Artikel 3 Nummer 16 CRA.

Woran wir noch arbeiten

• In Kundenverträgen fehlen bisher oft explizite Regelungen zu Schwachstellen, Updates und Unterstützungszeiträumen. Es gelten die gesetzlichen Pflichten, die vertragliche Ausgestaltung klären wir gerade.
• Wie sich die Rollen bei der Herkunft zugekaufter Bauteile und entlang der Lieferkette verteilen, prüfen wir laufend.

Was das für unsere Kunden heißt

Wer ein Gerät in Verkehr bringt, klärt am besten zuerst, unter wessen Namen oder Marke es vermarktet wird. Dort liegt die Herstellerrolle. Der zweite Schritt ist die Frage an die eigenen Lieferanten: Welche Nachweise und Informationen dürfen wir von euch erwarten? Denn der CRA endet nicht am einzelnen Produkt. Er zieht sich durch die gesamte Lieferkette, vom Bauteil über die Komponente bis zum fertigen Gerät und auf den Stufen gelten je nach Rolle eigene Pflichten.

Bei dieser Klärung unterstützen wir gern. Die Herstellerrolle können wir niemandem abnehmen, aber wir können dafür sorgen, dass klar ist, was von uns kommt. Wer sich bei seinem Gerät nicht sicher ist, wo die Rollen liegen, kann uns jederzeit ansprechen.