Cyber Resilience Act: Pflichten im B2B-Shop ab September

Die Verordnung regelt ihren eigenen Zeitplan in einem einzigen Artikel. Artikel 71 Absatz 2 sagt: Die Verordnung gilt ab dem 11. Dezember 2027, Artikel 14 jedoch ab dem 11. September 2026 und Kapitel IV mit den Artikeln 35 bis 51 ab dem 11. Juni 2026 (Verordnung 2024/2847). Damit stehen drei Daten nebeneinander, die in der Praxis regelmäßig vermischt werden. Kapitel IV betrifft die Notifizierung der Konformitätsbewertungsstellen; es ist die Vorbereitung des Systems und richtet sich an Behörden und Prüfstellen, nicht an Ihr Sortiment. Artikel 14 betrifft Sie unmittelbar, wenn Sie Hersteller im Sinne der Verordnung sind. Alles Weitere - die grundlegenden Cybersicherheitsanforderungen aus Anhang I, die CE-Kennzeichnung, die technische Dokumentation, die Konformitätsbewertung - greift erst zum Dezember 2027.

In Kraft getreten ist die Verordnung dagegen schon am 10. Dezember 2024 (Europäische Kommission). Inkrafttreten und Geltungsbeginn sind zwei verschiedene Dinge: Seit Dezember 2024 ist der Text bindendes Unionsrecht, seine Pflichten werden aber gestaffelt wirksam. Wer die Angabe "seit 2024 in Kraft" liest und daraus ableitet, die Anforderungen gälten längst, verschätzt sich in beide Richtungen - er hält Pflichten für überfällig, die noch nicht greifen, und übersieht die eine, die im September wirklich greift.

Artikel 14 verlangt vom Hersteller zwei Meldestränge. Bei einer aktiv ausgenutzten Schwachstelle: eine Frühwarnung innerhalb von 24 Stunden (Verordnung 2024/2847) nach Kenntniserlangung, eine Schwachstellenmeldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht. Bei einem schwerwiegenden Sicherheitsvorfall gilt derselbe Einstieg mit 24 Stunden und 72 Stunden, der Abschlussbericht folgt innerhalb eines Monats. Gemeldet wird gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, über eine einheitliche Meldeplattform.

Der Anwendungsbereich ist breiter, als der Begriff "Cybersicherheit" vermuten lässt. Erfasst sind Hardware- und Softwareprodukte, deren bestimmungsgemäße Verwendung eine direkte oder indirekte Datenverbindung zu einem Gerät oder Netz umfasst. In einem technischen B2B-Sortiment sind das erheblich mehr Artikel als die offensichtlichen: Router und Switches natürlich, aber auch Sensoren mit Funkmodul, Bedienpanels, Antriebsregler, Ladesäulen, Waagen mit Netzwerkanschluss, Firmware-Downloads und die Konfigurationssoftware, die neben dem Gerät im Katalog steht. Wie eng das mit anderen Regelwerken verzahnt ist, zeigt der Beitrag zu NIS2 und IT-Sicherheit im B2B-Shop: Dort geht es um die Sicherheit des Betreibers, hier um die Sicherheit des Produkts.

Für Funkanlagen gibt es zusätzlich eine Vorgeschichte, die den Zeitplan erklärt. Die Delegierte Verordnung (EU) 2022/30 setzt die Cybersicherheitsanforderungen der Funkanlagenrichtlinie in Kraft; ihr Anwendungsbeginn wurde vom 1. August 2024 auf den 1. August 2025 (Delegierte Verordnung 2023/2444) verschoben, weil die harmonisierten Normen nicht rechtzeitig fertig wurden. Wer vernetzte Funkprodukte führt, arbeitet also seit 2025 bereits unter einem Cybersicherheitsregime und bekommt mit dem CRA kein neues Thema, sondern eine Erweiterung des Kreises. Für die Sortimentsanalyse heißt das: Erst klassifizieren, dann priorisieren.

Artikel 13 Absatz 8 verlangt vom Hersteller, den Unterstützungszeitraum so festzulegen, dass er die voraussichtliche Nutzungsdauer abbildet, und nennt dabei berechtigte Nutzererwartungen, Produktart und einschlägiges Unionsrecht als Kriterien. Unabhängig davon beträgt er mindestens fünf Jahre (Verordnung 2024/2847); ist die Lebensdauer kürzer, entspricht er der voraussichtlichen Nutzungsdauer. Für Industriesteuerungen, Netzwerktechnik und Betriebssysteme geht die Verordnung ausdrücklich von längeren Zeiträumen aus. Sicherheitsaktualisierungen müssen nach Absatz 9 nach ihrer Bereitstellung mindestens zehn Jahre verfügbar bleiben oder für die verbleibende Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist.

Absatz 19 ist der Satz mit der unmittelbarsten Shopwirkung: Das Enddatum muss zum Zeitpunkt des Kaufs in leicht zugänglicher Weise klar und verständlich angegeben werden, mindestens mit Monat und Jahr. "Zum Zeitpunkt des Kaufs" heißt im Onlinehandel: vor dem Absenden der Bestellung sichtbar, also auf der Produktdetailseite und sinnvollerweise auch im Warenkorb. Ein Enddatum, das nur im beigelegten Handbuch steht, erfüllt das nicht. Technisch ist das ein Datumsfeld am Artikel - vergleichbar mit den Datenpunkten, die der digitale Produktpass nach ESPR verlangt, und mit derselben Konsequenz: Ein Feld, das nur teilweise gepflegt ist, erzeugt Lücken, die auffallen.

Melden muss der Hersteller, nicht der Shop. Sind Sie Händler, endet Ihre Pflicht bei Artikel 20 Absatz 4: Sobald Sie von einer Schwachstelle Kenntnis erhalten, informieren Sie unverzüglich den Hersteller; birgt das Produkt ein erhebliches Cybersicherheitsrisiko, zusätzlich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen Sie es bereitgestellt haben (Verordnung 2024/2847). Für Einführer gilt die inhaltlich gleiche Regel in Artikel 19 Absatz 5. Das klingt nach wenig, hat aber eine Voraussetzung, die im Shop liegt: Sie müssen wissen, wer Ihre Kunden für den betroffenen Artikel sind und über welchen Weg Sie diese Information überhaupt entgegennehmen. Eine unbeachtete Sammeladresse reicht dafür nicht.

Artikel 69 Absatz 2 nimmt Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, grundsätzlich aus den Anforderungen aus - es sei denn, sie werden danach wesentlich geändert. Absatz 3 macht davon eine wichtige Ausnahme: Die Pflichten des Artikels 14 gelten für alle Produkte im Anwendungsbereich, die vor diesem Datum in Verkehr gebracht wurden (Verordnung 2024/2847). Für ein Lager mit langlebiger Technik ist das der zentrale Satz. Wer seine Softwarestände ohnehin systematisch nachhält, hat es leichter; die Denkweise entspricht der, die der Beitrag zur Wartungsstrategie für Shopware 6.7 für die eigene Plattform beschreibt - nur eben angewandt auf das Sortiment statt auf den Shop.

Bis zum 11. September 2026 ist die Aufgabe überschaubar, bis zum Dezember 2027 ist sie es nicht mehr. Die Reihenfolge ergibt sich aus der Abhängigkeit: Ohne Klassifizierung des Sortiments lässt sich keine Rolle zuordnen, ohne Rolle kein Pflichtenkreis, ohne Pflichtenkreis kein Feldbedarf. Angesichts von durchschnittlich 119 (BSI) neuen Schwachstellen pro Tag ist die Meldekette ohnehin kein theoretischer Fall.

Die Kommission hat am 27. Juli 2026 praktische Leitlinien veröffentlicht, die Herstellern, Entwicklern und Unternehmen jeder Größe bei der Erfüllung ihrer Pflichten helfen sollen (Europäische Kommission). Für die Shopseite ändern die Leitlinien nichts an der Grundaufgabe: Die Angaben, die der CRA verlangt, sind Produktdaten. Sie entstehen im Einkauf, leben im Produktinformationssystem und werden im Shop sichtbar. Wer diese Kette einmal sauber baut, bedient damit auch die nächsten Regelwerke - und kann Gespräche über Nachweispflichten, die heute noch am Messestand geführt werden, in den Shop verlagern, wie es der Beitrag zu Messekontakten im B2B-Shop für den Vertrieb beschreibt.