Cyber-Resilience-Act

Quelle: all-electronics.de · 11/2025 · Der FBDi im Gespräch mit Online-Redakteur Martin Probst

Der Cyber Resilience Act stellt Dis­tri­bu­to­ren vor neue Pflichten. Im Interview erklärt der FBDi, welche Rollenveränderungen drohen, wo Re­gu­lie­rung noch unklar ist – und wie sich die Bran­che jetzt vorbereiten muss.

Der Cyber Resilience Act der EU ist seit dem 10. Dezember 2024 in Kraft. Er harmonisiert die Cybersicherheit digitaler Produkte und verpflichtet Hersteller, Importeure und Händ­ler, Sicher­heits­ri­si­ken zu berücksichtigen. Ab dem 11. Dezember 2027 dürfen nur noch konforme Produkte in der EU verkauft werden – auch Elektronik Dis­tri­bu­toren müssen sich darauf einstellen.

Pflichten für Hersteller und Importeure – der Kontext für Händler

Hersteller müssen Produkte sicher entwickeln, Risiken bewerten, technische Unterlagen ein­schließ­lich Software Stückliste bereitstellen und Schwachstellen managen. Sie müssen eine Kon­for­mi­täts­er­klärung ausstellen, das CE-Zeichen an­bringen, Sicherheitsupdates wäh­rend eines de­fi­nier­ten Support-Zeitraums bereitstellen und Vorfälle innerhalb weniger Tage melden. Im­por­teuren obliegt die Kon­trolle, ob diese Pflichten eingehalten werden, andernfalls dürfen sie das Produkt nicht ein­führen.
Wer Produkte unter eigener Marke verkauft oder wesentlich verändert, wird rechtlich zum Hersteller mit allen daraus resultierenden Pflichten. Händler sollten deshalb genau definieren, ob sie lediglich vertreiben oder als OEM auftreten.

Was sich konkret für Elektronik Distributoren ändert

Artikel 20 des CRA definiert eine Reihe von Pflichten für Distributoren. Diese sind weniger umfangreich als für Hersteller, verlangen aber spürbare Sorgfalt:

• Sorgfaltspflicht und CE Prüfung: Händler müssen vor dem Verkauf prüfen, ob CE Kennzeichnung und Kon­for­mi­täts­er­klä­rung vorliegen und ob der Hersteller bezie­hungs­weise Importeur alle CRA Pflichten erfüllt. Fehlen Unterlagen wie Software Stückliste oder Support Zeit­raum, darf das Produkt nicht ver­trieben werden.
• Nicht konforme Produkte zurückhalten: Bei Zweifeln an der Konformität oder bei einem erheblichen Sicherheitsrisiko darf das Produkt nicht in den Handel. Lager­ware bleibt ge­sperrt, bis Mängel behoben sind; ge­ge­ben­en­falls sind Rück­rufe mit dem Her­stel­ler zu organisieren.
• Dokumentation und Meldewege: Dis­tri­bu­toren müssen Nachweise bereithalten und auf An­frage der Behörden vor­legen. Werden Schwach­stellen entdeckt, sind Her­steller und ge­ge­ben­en­falls auch Behörden zu in­for­mie­ren. Do­ku­men­tation und Liefer­ketten­kontakte müssen zehn Jahre lang auf­bewahrt werden.
• Pflicht bei Hersteller Ausfall: Wenn der Her­stel­ler keine Sicher­heits­updates mehr liefert, muss der Distributor die Be­hör­den und, soweit möglich, Kunden infor­mieren. Rest­be­stände können dadurch un­ver­käuflich werden.
• Begrenzter, aber definierter Ver­ant­wor­tungs­bereich: Händler müssen die Sorg­falt beim Inverkehrbringen nachweisen. Obwohl sie keine vollständige technische Prüfung schul­den, sind Verstöße teuer – Bußgelder bis zu 15 Millionen Euro oder 2,5 Prozent des welt­wei­ten Jahres­um­satzes sind möglich.

Was Distributoren jetzt tun sollten

Der CRA ist kein Papiertiger. Wer ab Ende 2027 Elektronikartikel verkaufen will, sollte jetzt Prozesse schaffen:

1. Lieferantenmanagement verbessern: Für jedes Produkt müssen CE Kenn­zeich­nung, Konfor­mi­täts­unter­lagen, Soft­ware Stück­liste und Support-Zeit­raum vor­lie­gen. Die Liefer­ver­träge sollten die frist­gerechte Bereit­stellung dieser Infor­ma­tionen regeln.
2. IT Systeme aufrüsten: Eine Datenbank muss Schwachstellenmeldungen, Soft­ware Stück­listen und Sup­port-Zei­träume erfassen und mindestens zehn Jahre aufbewahren können.
3. Schwachstellenmeldungen ver­ar­beiten: Melde­pro­zesse und Schu­lungen sorgen dafür, dass Sicher­heits­vorfälle er­kannt und wei­ter­geleitet werden.
4. Rollen klären: Wer Produkte unter ei­ge­ner Marke vertreibt oder maß­geb­lich verändert, wird zum Hersteller und trägt mehr Ver­ant­wortung.

Damit steht fest: Viele Distributoren müssen ihre Organisationsstruktur und IT Systeme anpassen. Doch wie beurteilt die Branche die neuen Anforderungen, und welche Unterstützung können Händler erwarten? Wir haben beim Fach­ver­band Bauelemente Distribution (FBDi) nachgefragt.

Die EU-Verordnung 2024/2847 ver­langt, dass Her­stel­ler, Im­por­teure und Händler die Cyber­sicher­heit ihrer Produkte über den ge­samten Le­bens­zyklus sicher­stellen. Wie schätzen Sie den Um­fang dieser An­for­derungen für die deutsche Dis­tri­bution ein?

FBDi: Der Umfang der Pflichten hängt stark davon ab, welche Rolle die Distribution im konkreten Fall einnimmt – Hersteller, Im­por­teur oder Händler.

• Händler, die keine Produkte importieren, sind vergleichsweise wenig betroffen. Sie müssen im Wesentlichen nur si­cher­stel­len, dass die von ihnen vertriebene Ware CE-zertifiziert ist.
• Importeure hingegen werden im Rahmen des Cyber Resilience Act in die Ver­ant­wortung des Her­stellers genommen. Sie müssen sicher­stellen, dass der Her­steller alle EU-Vor­gaben erfüllt hat. Das be­deu­tet insbesondere die Prüfung der CE-Kenn­zeich­nung und deren korrekte Aus­stel­lung – bei Risiko­klasse II durch eine benannte Stelle, bei kri­ti­schen Pro­dukten durch eine zu­ge­lassene Si­cher­heits­be­wer­tungs­stelle.  Hin­zu kommen weitere Auf­gaben wie das Meldewesen, die Or­ga­nisation der Verteilung von Si­cher­heits­patches sowie die zehn­jährige Archi­vie­rung rele­vanter Un­ter­lagen. Diese An­for­de­rungen er­weitern die be­ste­henden Pro­zesse eines Dis­tributors erheblich.

Generell bringt der CRA für alle Markt­teil­nehmer tief­grei­fende Pflichten mit sich: Sicherheitslücken melden, Updates über den gesamten Produkt­lebens­zyklus do­ku­men­tieren und technische Unterlagen lang­fristig auf­be­wahren. Der damit ver­bun­dene Auf­wand lässt sich heute noch schwer ab­schätzen – er reicht von umfassenden Mitar­bei­er­schulungen über den Aufbau neuer Prozesse bis hin zu umfangreichen An­pas­sungen der Ab­lauf­struktur.

Trotz des zusätzlichen bürokratischen Aufwands halten wir den CRA für einen wich­tigen und not­wen­digen Schritt: Ange­sichts immer häufigerer und kom­plexerer An­griffe sind diese Maß­nah­men not­wendig, um unsere (Cyber-)Sicherheit zu ver­bes­sern.

Kritische Produkte müssen vor dem Verkauf von einer zugelassenen Stelle bewertet werden. Welche Pro­dukte aus dem typischen Port­fo­lio der Dis­tri­bu­toren sind davon be­trof­fen und wie auf­wendig wird dieser Prozess?

FBDi: Die größte Herausforderung liegt derzeit in der noch nicht abgeschlossenen Klas­si­fi­zierung der betroffenen Produkte. Externe Expertengruppen diskutieren intensiv – und teils kontrovers – über die Einstufung. Beispiel: USB-Sticks und Spei­cher­karten werden je nach Sichtweise entweder als »kritische Produkte« der höchsten Ri­siko­klasse oder gar nicht unter den CRA fal­lend eingestuft.

Für die Distribution bedeutet dies:

• Hoher organisatorischer Aufwand, ins­be­son­dere wenn für kritische Produkte Prozesse etabliert werden müssen, um innerhalb von 24 Stunden auf Melde­pflich­ten reagieren zu können.
• Anpassung der Lieferanten­verträge, um Re­ak­tions­zeiten und Ver­ant­wort­lich­keiten klar zu regeln.
• Marktbereinigung ist wahrscheinlich, da nicht alle Broker oder kleinere Markt­teil­nehmer diese An­for­de­rungen erfüllen können.

Der FBDi bietet ab September ein neues »Competence Team CRA« an, damit sich Distributoren aus­tau­schen und Hilfe­stel­lungen erhalten. Welche kon­kre­ten Leis­tungen liefert dieses Team, und wie können Mit­glieder davon profi­tieren?

FBDi: Unser neu gegründetes Competence Team CRA wird sich zunächst auf Be­trof­fen­heits­ana­lysen für elektronische Komponenten und Module kon­zen­trieren. Mit diesen Ana­ly­sen können die Mit­glieder, basierend auf ihrer jeweiligen Ak­teurs­rolle, Verpflichtungen erkennen und aktiv wahr­nehmen. Hierbei werden wir von Fachjuristen unterstützt, um stets den aktuellen Entscheidungen folgen und diese rechtssicher auslegen zu können. Darauf basierend werden auch Prozesse zu In­for­ma­tions- und Do­ku­men­ta­tions­pflichten intensiv beleuchtet, um unsere Mitglieder in der Um­setzung dieser komplexen Ver­ordnung best­möglich zu un­ter­stützen. Der regel­mäßige praxis­nahe und verbands­interne Erfah­rungs­aus­tausch ermöglicht unseren Mitglieds­un­ter­nehmen, wertvollen Wis­sens­vor­sprung im Umgang mit dem CRA zu erlangen.

Importeuren und Distributoren wird zugemutet, nur Produkte mit CE-Kenn­zeich­nung zu liefern, die tech­ni­sche Dokumentation zu prü­fen und bei Ver­dacht auf Sicher­heits­ri­si­ken Her­steller und Be­hörden zu in­for­mieren. Wie rea­lis­tisch ist es, dass Dis­tri­butoren diese Auf­gaben im Alltag er­fül­len können, und wo sehen Sie noch Klar­stel­lungs­bedarf?

FBDi: Der CRA ist in höchstem Maße zeit­kri­tisch: Auch wenn die voll­stän­dige An­wend­ung erst am 11. Dezember 2027 greift, tritt die Melde­pflicht für Schwach­stellen bereits am 11. September 2026 in Kraft. Für Dis­tri­butoren stellt sich die Frage, wie Lie­feran­ten­ver­träge recht­eitig an­ge­passt werden sollen, wenn har­mo­ni­sierte Normen und dele­gierte Rechts­akte noch fehlen.
Selbst für erfahrene Dis­tri­bu­tions­un­ter­neh­men bedeutet die Rolle des Im­por­teurs im CRA eine enorme He­raus­forderung:

• Aufbau neuer Prozesse mit sehr engen Reaktionszeiten
• Anpassung bestehender Software- und IT-Systeme
• Schulung der Mitarbeitenden in neuen Abläufen und Pflichten

Ständig präsent ist dabei das Risiko von Haf­tung, Produktrückrufen, Folgekosten, Image­schäden und Umsatz­einbußen. Für Importe sind klare Vorgaben und früh­zeitige Guide­lines unverzichtbar. Die Dis­tri­bu­tion ist nicht das letzte Glied der Liefer­kette – sie muss diese Infor­ma­tionen und Prozesse auch mit ihren Kunden abstimmen. Das erfordert ein inten­sives Studium der neuen Pflich­ten und eine genaue Ana­lyse der prozess­tech­nischen Aus­wir­kungen, um recht­zeitig und rechts­kon­form agie­ren zu können.

Kleinere und mittelständische Dis­tri­bu­toren verfügen oft nicht über große Com­pliance-Ab­tei­lungen. Welche spe­zi­fi­schen He­raus­for­de­rungen er­war­ten Sie für diese Unter­neh­men, und wie will der FBDi sie un­ter­stützen?

FBDi: Gerade für kleinere und mittelständische Distributoren sind die umfangreichen He­raus­for­de­rungen des Cyber Resilience Act enorm. Der FBDi unter­stützt seine Mit­glie­der gezielt mit:

• Fachvorträgen und Schulungen durch spezialisierte Juristen und Experten, um rechtliche und technische Anforderungen verständlich zu vermitteln.
• Praxisnahem Austausch im Competence Team CRA – hier werden konkrete Fra­ge­stel­lungen dis­kutiert und ge­mein­sam Lösungen er­ar­beitet.

Trotzdem bleibt die Sorge, dass insbesondere kleinere Unternehmen durch die Vielzahl an Auflagen, unklare Produktkategorisierungen und das Fehlen harmonisierter Normen überfordert werden könnten. Zwar sieht der CRA an einigen Stellen Erleichterungen für KMU und Start-ups vor, doch besteht das Risiko, dass diese in der Praxis nicht aus­rei­chen, um Wettbewerbsnachteile zu ver­hin­dern.

Welche Forderungen hat der FBDi an die EU-Institutionen und die deu­tsche Po­li­tik, um die CRA so um­zu­setzen, dass sie die Cyber­sicher­heit stärkt, ohne die Wert­schöp­fungs­kette für elek­tro­nische Bau­teile zu blockieren?

FBDi: Der FBDi hat zwei zentrale Forderungen an EU-Institutionen und die deutsche Po­li­tik, um den Cyber Resilience Act (CRA) so um­zu­setzen, dass er die Cyber­sicher­heit wirk­sam stärkt, ohne die Wert­schöp­fungs­kette für elek­tro­ni­sche Bau­teile unnötig zu belasten:

1. Frühzeitige Klarheit und Rechtssicherheit
   Zeitnahe Festlegung von Pro­dukt­ka­te­gorien, harmo­ni­sierten Normen und dele­gier­ten Rechts­akten.
   Ziel: Unternehmen müssen frühzeitig wissen, welche An­for­de­rungen gelten, um Pla­nungs­sicher­heit zu haben und ihre Prozesse ent­spre­chend aus­richten zu können.
2. Effektive und faire Markt­über­wachung
   Ausreichende personelle und technische Ausstattung der Markt­über­wachungs­be­hörden, um Ver­stöße schnell und kon­se­quent zu ahnden.
   Hintergrund: Die steigende Kom­plexität und der wachsende Anteil an Kon­for­mi­täts­kosten belasten ins­be­sondere Dis­tri­butoren und Her­stell­er, die sich um EU-ko­nforme Pro­dukte bemühen.
   Wettbewerbsverzerrung: Anbieter aus Dritt­staaten, die sich nicht an EU-Vor­gaben halten, werden nur in einem Bruch­teil der Fälle kon­trol­liert – obwohl Schät­zungen zufolge über 50 % der Sen­dungen nicht konform sind.
   Folge: Konformitätspflichten treffen vor allem die ge­setzes­treuen Markt­teil­nehmer und schwächen sie im Preis­wett­bewerb, ins­be­sondere im Online­handel, wo der Preis oft das ent­schei­dende Kriterium ist.

zur Ausgabe-NR. 03.11.2025