Cyber Resilience Act 2026: Pflichten für Marktplatz-Händler

Die kurze Antwort: Der Cyber Resilience Act (Verordnung (EU) 2024/2847) betrifft jedes Produkt mit digitalen Elementen, das in der EU auf den Markt kommt — vom smarten Türschloss über den WLAN-Adapter bis zur begleitenden App. Zwei Termine sind für Sie entscheidend: Ab 11. September 2026 greifen die Meldepflichten aus Artikel 14 für Hersteller bei aktiv ausgenutzten Schwachstellen und schweren Sicherheitsvorfällen. Ab 11. Dezember 2027 gilt die Verordnung vollständig, inklusive CE-Konformität, technischer Dokumentation und der Pflichten für Einführer und Händler. Der Haken für Marktplatz-Händler: Wer ein Produkt unter eigener Marke verkauft oder wesentlich verändert, gilt selbst als Hersteller — mit allen Pflichten. Die Bußgeldrahmen reichen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes. Dieser Beitrag ersetzt keine Rechtsberatung.

Was der Cyber Resilience Act regelt — und für wen

Der CRA ist am 10. Dezember 2024 in Kraft getreten und schließt eine Lücke, die im europäischen Produktrecht lange offen war: Bisher gab es Anforderungen an mechanische, elektrische und chemische Sicherheit — aber keine durchgängigen Vorgaben zur Cybersicherheit vernetzbarer Produkte.

Erfasst sind "Produkte mit digitalen Elementen". Das ist ein bewusst weiter Begriff und umfasst Hardware wie Router, Smart-Home-Geräte, Kameras, Wearables, Spielkonsolen und Industriesteuerungen ebenso wie reine Software, etwa Betriebssysteme, mobile Apps oder Desktop-Programme.

Maßgeblich ist die Frage: Kann das Produkt direkt oder indirekt Daten mit einem anderen Gerät, einem Netzwerk, einer App, einer Schnittstelle oder der Cloud austauschen? Wenn ja, ist es im Anwendungsbereich.

Nach Einschätzungen aus der Praxis fallen rund 90 Prozent der betroffenen Produkte in die Standardkategorie mit Selbstbewertung. Die übrigen zählen zu den "wichtigen" Produkten der Klassen I und II oder zu den "kritischen" Produkten — dazu gehören etwa Firewalls, Passwortmanager, Hardware-Sicherheitsmodule oder Smart-Meter-Gateways.

Ausgenommen sind Produkte, für die bereits gleichwertige sektorspezifische Cybersicherheitsvorgaben bestehen, etwa Medizinprodukte nach Verordnung (EU) 2017/745. Auch freie und quelloffene Software fällt grundsätzlich nicht in den Anwendungsbereich, solange sie nicht im Rahmen einer wirtschaftlichen Tätigkeit bereitgestellt wird.

Die drei Stichtage, die Sie kennen müssen

Der CRA gilt nicht auf einen Schlag, sondern gestaffelt. Diese Staffelung wird in der Praxis regelmäßig falsch verstanden.

11. Juni 2026 — bereits erfolgt. Seit diesem Datum gelten die Vorschriften zur Notifizierung von Konformitätsbewertungsstellen. Das betrifft Sie als Händler nicht direkt, ist aber die Voraussetzung dafür, dass es ab 2027 überhaupt genügend Prüfstellen gibt.

11. September 2026 — der scharfe Termin. Ab diesem Tag gilt Artikel 14 CRA. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — und zwar auch für Produkte, die längst am Markt sind. Es gibt hier keinen Bestandsschutz für Altgeräte.

11. Dezember 2027 — die Vollanwendung. Ab dann greifen die grundlegenden Cybersicherheitsanforderungen aus Anhang I, die Pflicht zur Konformitätsbewertung, die technische Dokumentation, die EU-Konformitätserklärung, die CE-Kennzeichnung sowie die eigenständigen Pflichten von Einführern und Händlern.

⚠️ Häufiger Irrtum: Viele Händler haben sich das Jahr 2027 notiert und den September 2026 übersehen. Wenn Sie unter eigener Marke verkaufen, sind Sie Hersteller im Sinne des CRA — und die Meldepflicht trifft Sie in wenigen Wochen.

Warum viele Marktplatz-Händler Hersteller sind, ohne es zu wissen

Der CRA folgt der Systematik des europäischen Produktrechts, die Sie von der Produktsicherheit her kennen. Hersteller ist, wer ein Produkt entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke vermarktet.

Genau das machen sehr viele Marktplatz-Händler. Private-Label-Geschäft heißt: Sie lassen in Asien produzieren, setzen Ihre Marke darauf und verkaufen es auf Amazon, Otto, Kaufland, eBay oder Temu. Damit sind Sie im Rechtssinne Hersteller — nicht die Fabrik.

Dieselbe Zuordnung greift, wenn Sie ein Produkt wesentlich verändern, etwa durch eigene Firmware, ein eigenes Bundle mit veränderter Funktionalität oder eine eigene App-Anbindung.

Kaufen Sie dagegen Markenware ein und verkaufen sie unverändert weiter, sind Sie Händler — oder Einführer, wenn Sie die Ware selbst aus einem Nicht-EU-Land in die Union einführen. Diese Rollen haben eigene, weniger weitreichende Pflichten, die ab Dezember 2027 greifen: Sie dürfen nur konforme Produkte auf dem Markt bereitstellen, müssen CE-Kennzeichnung und Unterlagen prüfen und bei Kenntnis von Schwachstellen den Hersteller sowie gegebenenfalls die Behörden informieren.

💡 Merksatz: Die Marke auf dem Produkt entscheidet über Ihre Rolle — nicht der Ort, an dem produziert wurde.

Wie sich diese Rollenlogik im Produktsicherheitsrecht auswirkt, haben wir im Beitrag Warenrückruf und Produktsicherheit auf Marktplätzen beschrieben. Die Zuordnung ist dort dieselbe.

Die Meldepflicht ab 11. September 2026 im Detail

Artikel 14 CRA verlangt ein mehrstufiges Verfahren, sobald eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegender Sicherheitsvorfall bekannt wird. Übermittelt wird über die zentrale Meldeplattform der EU-Agentur für Cybersicherheit ENISA.

Die Fristen sind eng:

• 24 Stunden: Frühwarnung nach Kenntniserlangung.
• 72 Stunden: formelle Meldung mit näheren Angaben zum Vorfall beziehungsweise zur Schwachstelle und zu ergriffenen Maßnahmen.
• Abschlussbericht: bei Schwachstellen innerhalb von 14 Tagen nach Bereitstellung einer Korrekturmaßnahme, bei Sicherheitsvorfällen spätestens einen Monat nach der 72-Stunden-Meldung.

Diese Fristen laufen ab Kenntnis — nicht ab dem Zeitpunkt, an dem Sie die Ursache verstanden haben. Wer erst intern ausdiskutiert, ob eine Meldung wirklich nötig ist, hat die 24 Stunden meist schon verbraucht.

Die praktische Konsequenz für Händler mit eigener Marke: Sie brauchen eine Meldekette, bevor der erste Vorfall passiert. Wer meldet? Wer entscheidet? Welche Kontaktdaten liegen bei ENISA hinterlegt? Und vor allem: Über welchen Kanal erfahren Sie überhaupt von einer Schwachstelle in Ihrem Produkt?

Die meisten Marktplatz-Händler haben genau hier eine Lücke. Sicherheitsforscher, Kunden oder Behörden finden keine Kontaktstelle, weil im Listing nur der Kundenservice steht. Eine erreichbare Meldeadresse ist deshalb der erste, günstigste und wirksamste Schritt.

Bei Verstößen gegen die grundlegenden Anforderungen aus Anhang I sowie gegen die Hersteller- und Meldepflichten aus Artikel 13 und 14 sieht Artikel 64 CRA Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor — je nachdem, welcher Betrag höher ist. Für die übrigen Pflichten, etwa die von Einführern und Händlern, liegt der Rahmen bei bis zu 10 Millionen Euro oder 2 Prozent.

👉 Unsicher, in welche Rolle Ihr Sortiment fällt? Kostenloses Erstgespräch buchen — wir sortieren Ihr Sortiment gemeinsam nach CRA-Relevanz.

In 6 Schritten CRA-fähig werden

Der folgende Ablauf funktioniert für Händler mit gemischtem Sortiment aus Handelsware und Eigenmarke.

1. Sortiment nach digitalen Elementen filtern. Ziehen Sie eine Liste aller Artikel, die Software enthalten, funken, sich koppeln lassen oder eine App mitbringen. Bluetooth, WLAN, USB-Datenverbindung und QR-Code-Kopplung sind die typischen Erkennungsmerkmale.
2. Rolle je Artikel festlegen. Markieren Sie für jeden Treffer, ob Sie Hersteller (Eigenmarke, wesentliche Veränderung), Einführer (Direktimport aus Nicht-EU) oder Händler (EU-Vorlieferant, unveränderte Markenware) sind.
3. Meldekette einrichten. Benennen Sie eine verantwortliche Person, hinterlegen Sie eine erreichbare Sicherheitskontaktstelle und legen Sie fest, wer innerhalb von 24 Stunden entscheidungsbefugt ist — auch am Wochenende.
4. Lieferanten vertraglich einbinden. Verlangen Sie von Ihren Produzenten eine Zusage zu Sicherheitsupdates, einen definierten Supportzeitraum und eine unverzügliche Informationspflicht bei bekannt gewordenen Schwachstellen.
5. Dokumentation für 2027 aufbauen. Beginnen Sie jetzt mit technischer Dokumentation, Risikobewertung und Software-Stückliste. Diese Unterlagen entstehen nicht in vier Wochen, und Prüfstellen werden 2027 knapp sein.
6. Sortimentsentscheidung treffen. Prüfen Sie ehrlich, welche vernetzten Eigenmarken-Artikel den Aufwand tragen. Bei Artikeln mit geringem Deckungsbeitrag ist die Auslistung oft die wirtschaftlich sauberere Antwort.

Schritt 6 ist der unbequemste — und der wichtigste. AMZ+ Consulting begleitet Händler genau bei dieser Abwägung, weil sie Compliance-Aufwand und Sortimentsstrategie zusammenbringt.

Praxis-Szenario: Ein Private-Label-Händler rechnet nach

Das folgende Szenario ist hypothetisch konstruiert und beschreibt keinen realen Kunden.

Angenommen, ein Händler verkauft über Amazon, Otto und Kaufland 45 Artikel, davon 12 unter eigener Marke. Vier dieser Eigenmarken-Artikel sind vernetzt: ein Bluetooth-Kopfhörer, eine WLAN-Steckdose, eine App-gesteuerte Personenwaage und ein smarter Luftreiniger.

Für alle vier ist er Hersteller im Sinne des CRA. Ab 11. September 2026 muss er für diese Artikel meldebereit sein, ab Dezember 2027 zusätzlich die volle Konformität nachweisen.

Angenommen weiter, die vier Artikel erwirtschaften zusammen 90.000 Euro Jahresumsatz. Die Personenwaage steuert davon 6.000 Euro bei — bei einem Rohertrag im niedrigen vierstelligen Bereich.

Die nüchterne Rechnung: Der laufende Aufwand für Schwachstellenmanagement, Updatebereitstellung und Dokumentation verteilt sich nicht gleichmäßig nach Umsatz, sondern fällt je Produkt ähnlich hoch an. Für die Waage steht der Aufwand damit in keinem sinnvollen Verhältnis zum Ertrag.

Die vernünftige Konsequenz wäre, drei Artikel sauber aufzustellen und einen auslaufen zu lassen. Nicht, weil das Produkt schlecht wäre — sondern weil Compliance-Kosten Fixkosten je Produkt sind und deshalb Mindestvolumen brauchen.

💰 Genau diese Rechnung sollten Sie für jeden vernetzten Eigenmarken-Artikel einmal aufmachen, bevor der September ins Land geht.

Wo Multichannel-Steuerung und Compliance zusammenlaufen

Um die Rechnung aus dem Szenario überhaupt aufstellen zu können, brauchen Sie eine verlässliche Sicht auf Deckungsbeitrag je Artikel über alle Kanäle hinweg — nicht nur den Umsatz in einem Backend.

Unsere eigene KI-Plattform MarketplAIce steuert Repricing, Bestand und Werbegebote kanalübergreifend über Amazon, Otto, Kaufland, eBay und Temu und zeigt vorausschauend, welche Artikel tatsächlich Ertrag bringen. Diese Datenbasis ist der Ausgangspunkt jeder ehrlichen Sortimentsentscheidung.

Der Zusammenhang ist einfach: Regulierung erhöht die Fixkosten je Artikel. Wer sein Sortiment nicht steuert, zahlt diese Fixkosten auch für Artikel, die sie nie verdient haben.

Ergänzend passt dazu unser Beitrag zum digitalen Produktpass, der eine sehr ähnliche Dokumentationslogik mit sich bringt.

Was Sie jetzt tun können

• Bis Ende August: Liste aller vernetzbaren Artikel erstellen und Rolle je Artikel festlegen.
• Vor dem 11. September: Sicherheitskontaktstelle einrichten und intern kommunizieren, wer die 24-Stunden-Frühwarnung auslöst.
• Lieferantengespräche führen: Supportzeitraum, Updatepflicht und Informationspflicht schriftlich fixieren — idealerweise vor der nächsten Bestellung.
• Sortiment bewerten: Deckungsbeitrag je vernetztem Eigenmarken-Artikel ermitteln und Auslistungskandidaten markieren.
• 2027 vorbereiten: Technische Dokumentation und Risikobewertung starten, statt auf die Prüfstellen-Warteschlange im Herbst 2027 zu warten.
• Rechtsrat einholen: Bei Grenzfällen der Rollenzuordnung eine spezialisierte Kanzlei einbinden — die Einordnung entscheidet über den gesamten Pflichtenumfang.

AMZ+ Consulting unterstützt Marktplatz-Händler dabei, Compliance-Anforderungen und Sortimentsstrategie zusammenzudenken — damit Sie nicht in jedem Kanal dieselbe Baustelle neu aufmachen.

👉 Jetzt kostenloses Erstgespräch buchen

FAQ: Häufige Fragen zum Cyber Resilience Act

Ab wann gilt der Cyber Resilience Act genau?

Der CRA ist am 10. Dezember 2024 in Kraft getreten. Die Vorschriften zu Konformitätsbewertungsstellen gelten seit 11. Juni 2026, die Meldepflichten nach Artikel 14 ab 11. September 2026 und die Verordnung insgesamt ab 11. Dezember 2027.

Bin ich als Marktplatz-Händler vom CRA betroffen?

Wenn Sie Produkte mit digitalen Elementen verkaufen, ja — die Frage ist nur, in welcher Rolle. Verkaufen Sie unter eigener Marke oder verändern Sie ein Produkt wesentlich, gelten für Sie die Herstellerpflichten. Verkaufen Sie unveränderte Markenware weiter, sind Sie Händler oder Einführer mit geringerem Pflichtenumfang.

Gilt die Meldepflicht auch für Produkte, die schon verkauft sind?

Ja. Die Meldepflicht ab 11. September 2026 erfasst auch Produkte, die bereits am Markt sind. Einen Bestandsschutz für Altgeräte gibt es an dieser Stelle nicht — anders als bei den erst 2027 greifenden Anforderungen an neu in Verkehr gebrachte Produkte.

Welche Fristen gelten bei einem Sicherheitsvorfall?

Eine Frühwarnung ist innerhalb von 24 Stunden nach Kenntnis fällig, die formelle Meldung innerhalb von 72 Stunden. Der Abschlussbericht folgt bei Schwachstellen innerhalb von 14 Tagen nach Bereitstellung einer Korrekturmaßnahme, bei Sicherheitsvorfällen spätestens einen Monat nach der 72-Stunden-Meldung. Gemeldet wird über die zentrale Plattform der ENISA.

Welche Bußgelder drohen bei Verstößen?

Artikel 64 CRA sieht bei Verstößen gegen die grundlegenden Anforderungen aus Anhang I sowie gegen die Pflichten aus Artikel 13 und 14 Geldbußen bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes vor. Für die übrigen Pflichten liegt der Rahmen bei bis zu 10 Millionen Euro oder 2 Prozent. Maßgeblich ist jeweils der höhere Betrag.

Fällt ein einfacher Bluetooth-Kopfhörer unter den CRA?

In aller Regel ja, denn er tauscht Daten mit einem anderen Gerät aus und enthält Firmware. Er fällt dabei üblicherweise in die Standardkategorie, für die eine interne Konformitätsbewertung genügt — eine notifizierte Stelle ist dort nicht zwingend erforderlich.

Was ist der Unterschied zwischen CRA und NIS-2?

Der CRA regelt die Sicherheit von Produkten mit digitalen Elementen und richtet sich an Hersteller, Einführer und Händler entlang der Produktlieferkette. NIS-2 regelt dagegen die Cybersicherheit von Organisationen in bestimmten kritischen Sektoren. Ein Händler kann von beidem, von einem oder von keinem der beiden Regelwerke betroffen sein.

Über den Autor

Jorginho Engelmeyer ist Geschäftsführer der AMZ+ Consulting GmbH und seit über 8 Jahren für Händler auf Amazon, Otto, Kaufland, eBay und Temu aktiv. Er verantwortet mit seinem Team Marktplatz-Strategie, PPC-Management, Listing-Optimierung, Repricing und Controlling — sowie die Entwicklung der eigenen KI-Plattform MarketplAIce.

Dieser Beitrag gibt den Stand vom 17. August 2026 wieder und ersetzt keine Rechtsberatung. Für eine verbindliche Bewertung Ihrer Rolle und Pflichten nach dem CRA wenden Sie sich bitte an eine auf Produkt- und IT-Recht spezialisierte Kanzlei.

→ Kostenloses Erstgespräch buchen