Produkte im Anwendungsbereich des EU-CRA
Sytance · Aktualisiert
Ein Produkt fällt in den Anwendungsbereich, wenn es ein Produkt mit digitalen Elementen ist, im Rahmen einer Geschäftstätigkeit auf dem Unionsmarkt bereitgestellt wird und seine Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst. Artikel 2 kann bestimmte Produktkategorien anschließend aus diesem Anwendungsbereich herausnehmen.
Produkte im Anwendungsbereich
Diese Verordnung gilt für Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden und deren Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk umfasst.
Verordnung (EU) 2024/2847, Artikel 2 Absatz 1
Die Voraussetzungen gelten kumulativ. Produktname, Vertriebsbezeichnung, Branche oder Architekturdiagramm entscheiden die Frage nicht für sich allein. Das Produkt muss die definierten CRA-Begriffe erfüllen, auf den Unionsmarkt gelangen und die betreffende Verbindung muss zu seiner Zweckbestimmung oder vernünftigerweise vorhersehbaren Verwendung gehören.
- Produkt: Software, Hardware, eine separat auf dem Markt bereitgestellte Komponente oder eine Remote-Datenverarbeitungslösung, die Teil des Produkts ist.
- Bereitstellung auf dem Markt: Das Produkt wird im Rahmen einer Geschäftstätigkeit zur Verteilung oder Nutzung auf dem Unionsmarkt bereitgestellt.
- Verbindung: Die Zweckbestimmung oder vernünftigerweise vorhersehbare Verwendung des Produkts umfasst eine logische, physische, direkte oder indirekte Datenverbindung.
- Ausnahme: Artikel 2 oder ein delegierter Rechtsakt kann ein Produkt, das ansonsten in den Anwendungsbereich fällt, aus der CRA herausnehmen.
Produkt mit digitalen Elementen
„Produkt mit digitalen Elementen“ bezeichnet ein Software- oder Hardwareprodukt und seine Remote-Datenverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die separat auf dem Markt bereitgestellt werden;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 1
Die Definition umfasst vollständige Produkte und separat auf dem Markt bereitgestellte Komponenten. Software ist nicht auf in Hardware eingebettete Software beschränkt. Hardware ist nicht auf fertige Verbrauchergeräte beschränkt. Auch eine Komponente kann ein Produkt mit digitalen Elementen sein, wenn sie separat auf dem Markt bereitgestellt wird.
Softwareprodukte
Mobile Apps, Desktop-Programme, Firmware, Treiber, Betriebssysteme, SDKs und herunterladbare Tools können Produkte sein.
Hardwareprodukte
Router, Sensoren, Industriesteuerungen, intelligente Haushaltsgeräte, Motherboards, integrierte Schaltungen und andere elektronische Systeme können Produkte sein.
Separat bereitgestellte Komponenten
Software oder Hardware, die zur Integration bestimmt ist, kann für sich genommen ein Produkt sein, wenn sie separat auf dem Markt bereitgestellt wird.
Remote-Datenverarbeitung
„Remote-Datenverarbeitung“ bezeichnet eine Datenverarbeitung aus der Ferne, für die die Software vom Hersteller oder in dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 2
Eine Remote-Datenverarbeitungslösung ist nicht jeder Cloud-Dienst, auf den ein Nutzer vom Produkt aus zugreifen kann. Die Software muss vom Hersteller oder in dessen Verantwortung konzipiert und entwickelt werden, und ohne diese Verarbeitung muss das Produkt eine seiner Funktionen nicht erfüllen können.
Teil des Produkts
Ein Cloud-Dienst, der eine Produktfunktion ausführt, kann innerhalb der Produktgrenze nach der CRA liegen.
Außerhalb des Produkts
Ein eigenständiger SaaS-Dienst oder eine nicht zugehörige Website wird nicht allein deshalb einbezogen, weil ein Produkt im Anwendungsbereich eine Verbindung zu ihm herstellen kann.
Arten von Datenverbindungen
„Logische Verbindung“ bezeichnet die virtuelle Darstellung einer Datenverbindung, die über eine Softwareschnittstelle umgesetzt wird;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 8
„Physische Verbindung“ bezeichnet eine Verbindung zwischen elektronischen Informationssystemen oder Komponenten, die durch physische Mittel umgesetzt wird, einschließlich elektrischer, optischer oder mechanischer Schnittstellen, Kabel oder Funkwellen;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 9
„Indirekte Verbindung“ bezeichnet eine Verbindung zu einem Gerät oder Netzwerk, die nicht unmittelbar, sondern als Teil eines größeren Systems erfolgt, das direkt mit dem betreffenden Gerät oder Netzwerk verbindbar ist;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 10
Der Verbindungsbegriff der CRA geht über den Internetzugang hinaus. Ein Produkt kann über Softwareschnittstellen, Hostsysteme, Hardwareanschlüsse, Busse, Kabel, optische Verbindungen oder Funkverbindungen angebunden sein. Es kann auch indirekt verbunden sein, wenn es in einem größeren System ausgeführt wird, das mit einem Gerät oder Netzwerk verbunden werden kann.
Beispiele zur Erläuterung der Verbindungsbegriffe:
- Direkte logische Verbindungen: HTTPS-Sitzungen in Browsern, E-Mail-Clients mit IMAP oder SMTP, APIs, Pipes, Dateien, Netzwerk-Sockets und andere Softwareschnittstellen.
- Indirekte logische Verbindungen: ein Offline-Taschenrechner oder Texteditor, der auf einem mit einem Netzwerk verbundenen Betriebssystem ausgeführt wird.
- Physische Verbindungen: USB, Ethernet, Glasfaser, Feldbus, elektrische Schnittstellen, optische Schnittstellen, mechanische Schnittstellen, WLAN, Bluetooth, NFC und andere Funkverbindungen.
- Keine relevante Verbindung: Firmware in einem einfachen Taschenrechner, einer Geschirrspülersteuerung oder einem einfachen Spielzeug, wenn deren Zweckbestimmung und vernünftigerweise vorhersehbare Verwendung keine Verbindung zu einem anderen Gerät oder Netzwerk umfassen.
Bereitstellung auf dem Markt
„Bereitstellung auf dem Markt“ bezeichnet die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 22
Der Preis ist nicht ausschlaggebend. Auch eine unentgeltliche Bereitstellung kann Teil einer Geschäftstätigkeit sein. Die erstmalige Bereitstellung auf dem Unionsmarkt ist das Inverkehrbringen; auch eine spätere Abgabe zum Vertrieb oder zur Verwendung ist eine Bereitstellung auf dem Markt.
Ein Produkt, das ausschließlich für den Eigengebrauch des Herstellers gefertigt wird, unterscheidet sich von einem Produkt, das auf dem Unionsmarkt bereitgestellt wird. In den FAQ der Kommission werden Entwicklungs- und Konfigurationswerkzeuge als Beispiel genannt, die ein Hersteller für den Eigengebrauch erstellt: Diese Werkzeuge fallen nicht in den Anwendungsbereich, sofern sie nicht als eigenständige Produkte auf dem Markt bereitgestellt werden.
Zweckbestimmung und vernünftigerweise vorhersehbare Verwendung
„Zweckbestimmung“ bezeichnet die vom Hersteller vorgesehene Verwendung eines Produkts mit digitalen Elementen, einschließlich des konkreten Kontexts und der Nutzungsbedingungen, wie sie in den vom Hersteller bereitgestellten Gebrauchsanweisungen, Werbe- oder Verkaufsmaterialien und Aussagen sowie in der technischen Dokumentation angegeben sind;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 23
„Vernünftigerweise vorhersehbare Verwendung“ bezeichnet eine Verwendung, die nicht unbedingt der vom Hersteller in Gebrauchsanweisungen, Werbe- oder Verkaufsmaterialien und Aussagen sowie in der technischen Dokumentation angegebenen Zweckbestimmung entspricht, aber wahrscheinlich aus vernünftigerweise vorhersehbarem menschlichem Verhalten oder technischen Vorgängen oder Interaktionen hervorgeht;
Verordnung (EU) 2024/2847, Artikel 3 Absatz 24
Die Zweckbestimmung ergibt sich aus den eigenen Produktinformationen des Herstellers. Die vernünftigerweise vorhersehbare Verwendung verhindert, dass die Bestimmung des Anwendungsbereichs allein von einer eng gefassten angegebenen Verwendung abhängt, wenn normales menschliches Verhalten oder technische Interaktionen eine verbundene Verwendung wahrscheinlich machen.
Die Verbindung muss zur Verwendung gehören
Ein Anschluss, eine API, eine Host-Abhängigkeit, eine Funkschnittstelle oder ein Datei-Workflow ist relevant, wenn er Teil des vorgesehenen oder vernünftigerweise erwarteten Betriebs des Produkts ist.
Beispiele für Produktgrenzen
Eine Produktfamilie kann sowohl Produkte im als auch außerhalb des Anwendungsbereichs umfassen. Die rechtliche Einordnung richtet sich nach den definierten Begriffen und nicht nach der allgemeinen kommerziellen Kategorie.
Druckersoftware
Treiber, die für den Betrieb eines Druckers erforderlich sind, können Teil des Produkts mit digitalen Elementen sein.
FPGA-Tools
Tools zur Entwicklung und Programmierung von FPGAs können Softwareprodukte sein, wenn sie auf dem Markt bereitgestellt werden.
Unterstützende Website
Eine Website ist relevant, wenn sie eine Produktfunktion unterstützt und die Definition der Remote-Datenverarbeitung erfüllt.
Nicht vernetztes Haushaltsgerät
Eingebettete Firmware allein genügt nicht, wenn das Produkt bei seiner Zweckbestimmung oder vernünftigerweise vorhersehbaren Verwendung keine direkte oder indirekte Datenverbindung hat.
Nicht im Anwendungsbereich
Artikel 2 enthält unmittelbare Produktausnahmen, einen Weg über delegierte Rechtsakte für spätere Ausnahmen oder Beschränkungen sowie eine gesonderte Regel für sicherheitssensible Informationen. Ein Produkt ist nicht allein deshalb ausgenommen, weil es einer breit gefassten Branche angehört. Es muss unter den Rechtsakt der Union, den delegierten Rechtsakt oder die Bedingung fallen, durch die die Ausnahme vorgesehen ist.
Die CRA gilt nicht für Produkte mit digitalen Elementen, für die die Verordnung (EU) 2017/745 oder die Verordnung (EU) 2017/746 gilt.
Produkte im Anwendungsbereich der Verordnung (EU) 2019/2144 fallen nicht darunter.
Artikel 2 Absatz 5 ermöglicht es der Kommission, Produkte im Anwendungsbereich anderer Vorschriften der Union zu beschränken oder auszunehmen, wenn diese Vorschriften die betreffenden Cybersicherheitsrisiken behandeln und dasselbe oder ein höheres Schutzniveau bieten.
Die Delegierte Verordnung (EU) 2025/1535 der Kommission nutzt diesen Weg für Produkte mit digitalen Elementen im Anwendungsbereich der Verordnung (EU) Nr. 168/2013 über zwei- oder dreirädrige Fahrzeuge und vierrädrige Fahrzeuge, ausgenommen Fahrzeuge der Klasse L1e, die für das Treten ausgelegt sind.
Produkte, die nach der Verordnung (EU) 2018/1139 zertifiziert sind, sind ausgenommen. Die FAQ der Kommission unterscheiden nicht zertifizierte Produkte und nicht zertifizierte Komponenten, für die weiterhin eine CRA-Anwendungsbereichsanalyse erforderlich sein kann, wenn die Voraussetzungen von Artikel 2 Absatz 1 erfüllt sind.
Ausrüstung im Anwendungsbereich der Richtlinie 2014/90/EU ist ausgenommen. Komponenten für Schiffsausrüstung können weiterhin in den Anwendungsbereich fallen, wenn sie nicht unter diese Richtlinie fallen und als Produkte mit digitalen Elementen auf dem Markt bereitgestellt werden.
Ersatzteile sind ausgenommen, wenn sie identische Komponenten in Produkten mit digitalen Elementen ersetzen und nach denselben Spezifikationen wie die ersetzten Komponenten hergestellt werden.
Die CRA gilt nicht für Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt oder verändert wurden, sowie nicht für Produkte, die speziell zur Verarbeitung von Verschlusssachen konzipiert sind. Dual-Use-Produkte sind nicht allein deshalb ausgenommen, weil sie auch Verteidigungszwecken dienen.
Artikel 2 Absatz 8 ist keine Produktausnahme. Er stellt klar, dass die Verpflichtungen aus der CRA keine Offenlegung von Informationen verlangen, die den wesentlichen Interessen eines Mitgliedstaats an nationaler Sicherheit, öffentlicher Sicherheit oder Verteidigung zuwiderlaufen würde.