Fällt SaaS unter den CRA?

Nicht automatisch. Grundsätzlich unterfallen reine SaaS-Dienste eher der NIS-2-Richtlinie. Der CRA kann aber für SaaS-, Web- und Cloud-Lösungen relevant sein, wenn sie als Softwareprodukt auf dem EU-Markt bereitgestellt und bspw. als Datenfernverarbeitungslösung für ein Produkt mit digitalen Elementen erforderlich sind. Entscheidend ist die konkrete technische und vertragliche Einordnung.

Gilt der CRA auch für B2B-Software?

Ja, wenn die Software ein Produkt mit digitalen Elementen ist und keine Ausnahme greift. Der CRA unterscheidet nicht grundsätzlich zwischen Verbraucherprodukten und Unternehmenssoftware. Auch industrielle Steuerungssoftware, Fachanwendungen oder Sicherheitssoftware können betroffen sein.

Gilt der CRA auch für Unternehmen außerhalb der EU?

Ja, z.B. wenn ihre Produkte auf dem EU-Markt bereitgestellt werden. Der Sitz des Unternehmens ist nicht allein entscheidend.

Gelten die Meldepflichten auch für Bestandsprodukte?

Ja, die Meldepflichten nach Artikel 14 CRA betreffen auch Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Das gilt insbesondere bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen mit Auswirkungen auf die Sicherheit des Produkts.

Was passiert bei Verstößen gegen den CRA?

Bei schweren Verstößen können erhebliche Bußgelder drohen. Für Verstöße gegen zentrale Cybersicherheitsanforderungen sowie Hersteller- und Meldepflichten sieht der CRA einen Bußgeldrahmen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die konkrete Durchsetzung erfolgt nach den nationalen Sanktionsregeln der Mitgliedstaaten. Daneben können Marktüberwachungsmaßnahmen wie Vertriebsverbote oder Rücknahmen relevant werden.

Welche Fristen gelten für den CRA?

Der CRA ist am 10.12.2024 in Kraft getreten. Ab dem 11.06.2026 gelten die Vorgaben für Konformitätsbewertungsstellen. Bereits ab dem 11.09.2026 sind die Meldepflichten nach Art. 14 CRA anzuwenden. Vollumfängliche anwendbar ist der CRA dann ab dem 11.12.2027 auf Produkte die ab diesem Zeitpunkt in Verkehr gebracht werden bzw. eine wesentliche Änderung erfahren.