Art. 3(18)Ein Händler ist jede natürliche oder juristische Person in der Lieferkette, die kein Hersteller oder Importeur ist und ein Produkt mit digitalen Elementen auf dem Unionsmarkt bereitstellt, ohne dessen Eigenschaften zu verändern.
11. Dezember 2024 — CRA tritt in Kraft
Die Verordnung ist rechtsgültig. Produkte, die ab diesem Datum auf den Markt gebracht werden, müssen ab den Anwendungsdaten dem CRA entsprechen.
11. September 2026 — Meldepflichten für Schwachstellen gelten
Die Meldung von Schwachstellen und Vorfällen an ENISA gemäß Art. 14 wird obligatorisch. Dies ist die erste harte Frist. Hersteller müssen ihre Meldeprozesse vor diesem Datum eingerichtet haben.
11. Juni 2027 — Benennung von Konformitätsbewertungsstellen
Die Mitgliedstaaten müssen der Kommission Konformitätsbewertungsstellen notifizieren.
11. Dezember 2027 — Vollständige Verordnung gilt
Alle CRA-Anforderungen gelten für alle betroffenen Produkte. Es dürfen keine neuen Produkte auf den EU-Markt gebracht werden, die nicht konform sind.
Bei der Bereitstellung eines Produkts mit digitalen Elementen auf dem Markt müssen Händler mit der gebotenen Sorgfalt handeln und prüfen, ob das Produkt die CE-Kennzeichnung trägt, von den erforderlichen Unterlagen und Informationen begleitet wird und ob Hersteller und Importeur (soweit vorhanden) ihre Kennzeichnungs- und Identifikationspflichten erfüllt haben.
Wenn ein Händler der Ansicht ist oder Grund zu der Annahme hat, dass ein Produkt nicht den grundlegenden CRA-Anforderungen entspricht, darf er das Produkt erst dann auf dem Markt bereitstellen, wenn die Konformität hergestellt wurde, und muss Hersteller und gegebenenfalls die Marktüberwachungsbehörde informieren.
Händler müssen sicherstellen, dass Lagerungs- und Transportbedingungen die Konformität eines Produkts mit digitalen Elementen mit den grundlegenden Cybersicherheitsanforderungen nicht gefährden, solange das Produkt in ihrer Verantwortung liegt.
Wenn ein Händler erfährt, dass ein von ihm auf dem Markt bereitgestelltes Produkt nicht konform ist, muss er unverzüglich Korrekturmaßnahmen ergreifen – einschließlich Rücknahme oder Rückruf, falls erforderlich. Bei einem erheblichen Cybersicherheitsrisiko des Produkts muss er die zuständige nationale Marktüberwachungsbehörde unverzüglich informieren.
Auf begründete Anfrage einer zuständigen Behörde müssen Händler alle Informationen und Unterlagen vorlegen, die zum Nachweis der Konformität eines Produkts erforderlich sind, und bei etwaig erforderlichen Korrekturmaßnahmen dieser Behörde kooperieren.
Ein Importeur oder Händler gilt als Hersteller – und unterliegt damit vollständig den Artikeln 13 und 14 –, wenn er ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke in Verkehr bringt oder eine wesentliche Veränderung an einem bereits in Verkehr gebrachten Produkt vornimmt.
Jede natürliche oder juristische Person – außer dem ursprünglichen Hersteller, Importeur oder Händler –, die eine wesentliche Veränderung an einem Produkt vornimmt und es auf dem Markt bereitstellt, gilt als Hersteller. Diese Person unterliegt dann den Artikeln 13 und 14 entweder für den betroffenen Produktteil oder – sofern die Veränderung die Cybersicherheit des Gesamtprodukts berührt – für das gesamte Produkt.
Alle Wirtschaftsakteure müssen auf Anfrage der Marktüberwachungsbehörden in der Lage sein, (a) jeden Wirtschaftsakteur zu benennen, der ihnen ein Produkt geliefert hat, und (b) jeden Wirtschaftsakteur, dem sie ein Produkt geliefert haben. Die Aufzeichnungen sind ab jeder Transaktion 10 Jahre lang aufzubewahren.
Erkunden Sie die vollständige Pflichtenbibliothek, verstehen Sie Ihre Rolle oder sehen Sie den regulatorischen Zeitplan.