Fällt SaaS unter den CRA?

Nicht automatisch. Grundsätzlich unterfallen reine SaaS-Dienste eher der NIS-2-Richtlinie. Der CRA kann aber für SaaS-, Web- und Cloud-Lösungen relevant sein, wenn sie als Softwareprodukt auf dem EU-Markt bereitgestellt und bspw. als Datenfernverarbeitungslösung für ein Produkt mit digitalen Elementen erforderlich sind. Entscheidend ist die konkrete technische und vertragliche Einordnung.

Gilt der CRA auch für B2B-Software?

Ja, wenn die Software ein Produkt mit digitalen Elementen ist und keine Ausnahme greift. Der CRA unterscheidet nicht grundsätzlich zwischen Verbraucherprodukten und Unternehmenssoftware. Auch industrielle Steuerungssoftware, Fachanwendungen oder Sicherheitssoftware können betroffen sein.

Gilt der CRA auch für Unternehmen außerhalb der EU?

Ja, z.B. wenn ihre Produkte auf dem EU-Markt bereitgestellt werden. Der Sitz des Unternehmens ist nicht allein entscheidend.

Gelten die Meldepflichten auch für Bestandsprodukte?

Ja, die Meldepflichten nach Artikel 14 CRA betreffen auch Produkte mit digitalen Elementen, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Das gilt insbesondere bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen mit Auswirkungen auf die Sicherheit des Produkts.

Was passiert bei Verstößen gegen den CRA?

Bei schweren Verstößen können erhebliche Bußgelder drohen. Für Verstöße gegen zentrale Cybersicherheitsanforderungen sowie Hersteller- und Meldepflichten sieht der CRA einen Bußgeldrahmen von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die konkrete Durchsetzung erfolgt nach den nationalen Sanktionsregeln der Mitgliedstaaten. Daneben können Marktüberwachungsmaßnahmen wie Vertriebsverbote oder Rücknahmen relevant werden.

Welche Fristen gelten für den CRA?

Der CRA ist am 10.12.2024 in Kraft getreten. Ab dem 11.06.2026 gelten die Vorgaben für Konformitätsbewertungsstellen. Bereits ab dem 11.09.2026 sind die Meldepflichten nach Art. 14 CRA anzuwenden. Vollumfängliche anwendbar ist der CRA dann ab dem 11.12.2027 auf Produkte die ab diesem Zeitpunkt in Verkehr gebracht werden bzw. eine wesentliche Änderung erfahren.

News & Wissen

Wir sind Ihre erste Anlaufstelle zu aktuellen News, Analysen und Hintergründen rund um die Themen Datenschutz, Künstliche Intelligenz, Informationssicherheit und vielen mehr. Wir informieren Sie mit redaktionell aufbereiteten Neuigkeiten und Wissenswertem. Melden Sie sich am besten direkt bei unserem Newsletter an und verpassen Sie keine Neuigkeiten.

14.10.26

News & Wissen

KI-Kennzeichnungspflicht: So kennzeichnen Sie Chatbots, Deepfakes und andere KI-Inhalte richtig

KI in der Softwareentwicklung: Wem gehört der Code und wer haftet für Fehler?

KI-Agenten im Unternehmen: Wie viel Autonomie rechtlich vertretbar ist

Bestandsschutz für Hochrisiko‑KI: Das müssen Unternehmen jetzt tun

Datenschutz bei KI im Gesundheitswesen: Wie Sie Gesundheitsdaten rechtssicher fürs Training nutzen

CRA-Meldepflicht seit dem 11. September 2026: 24 Stunden bis zur ersten Meldung

Code of Practice zur KI-Kennzeichnung: Was der Kodex vorgibt

§ 393 SGB V: Cloud im Gesundheitswesen mit C5-Testat rechtssicher nutzen

KI & Urheberrecht: Wem gehören KI-Inhalte und was ist erlaubt?

Risikoklassen im EU AI Act: Übersicht mit Pflichten und Fristen

BFSG: Wen das Barrierefreiheitsstärkungsgesetz trifft und was es verlangt

Data Act: Pflichten, Fristen und Umsetzung für Unternehmen

DORA-Anforderungen: Welche Pflichten Finanzunternehmen und IKT-Dienstleister erfüllen müssen

Digital Omnibus AI: Was ändert sich an der KI-Verordnung?

Meldepflichten bei IT-Sicherheitsvorfällen: Wer wann was an wen melden muss

Data Act: Informationspflichten vor Vertragsschluss

Hochrisiko-KI nach dem AI Act: Die neuen Leitlinien der EU-Kommission im Überblick

Kennzeichnungspflicht im AI Act: Was die neue EU-Leitlinie für Deepfakes klarstellt

Gesundheitsdatenschutz 2026: Zwischen EuGH, EHDS, Forschung, KI und Betroffenenrechten

Cyber Resilience Act: Welche Unternehmen und Produkte fallen unter den CRA?

AI Dubbing: Wem gehört die Stimme?