Cyber Resilience Act 2026: Meldepflicht für Händler
Seit 11. September 2026 gilt die CRA-Meldepflicht für vernetzte Produkte. Was Marktplatz-Händler mit Smart-Home- und IoT-Sortiment jetzt prüfen müssen.
Die Kurzfassung: Seit dem 11. September 2026 gilt nach dem EU Cyber Resilience Act eine Meldepflicht für Hersteller und Importeure vernetzter Produkte mit digitalen Elementen – bekannt gewordene aktiv ausgenutzte Schwachstellen müssen binnen 24 Stunden als Frühwarnung und innerhalb von 72 Stunden mit einer vollständigeren Meldung an die zuständige nationale Behörde gemeldet werden. Für Händler, die über mehrere Marktplätze Smart-Home-Geräte, WLAN-Kameras, vernetzte Spielzeuge oder andere Produkte mit Software-Komponente verkaufen, ist das relevant, weil die Pflicht nicht nur Hersteller im engen Sinne trifft, sondern unter bestimmten Voraussetzungen auch Importeure und sogenannte wirtschaftliche Akteure in der Lieferkette erfassen kann. Dieser Artikel ordnet ein, wer konkret meldepflichtig ist, welche Produktkategorien betroffen sind, und wie Sie als Multichannel-Händler eine Meldekette aufbauen, die im Ernstfall tatsächlich funktioniert.
Welche Produkte unter den Cyber Resilience Act fallen
Der Cyber Resilience Act erfasst Produkte mit digitalen Elementen, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden werden können – von vernetzten Haushaltsgeräten über Smart-Home-Steuerungen bis zu Spielzeug mit App-Anbindung oder Firmware-Updates. Ausgenommen sind unter anderem bereits durch andere spezifische EU-Regelwerke abgedeckte Produktkategorien wie reine Medizinprodukte oder Fahrzeuge, die eigene Cybersicherheitsregeln haben. Für das klassische Multichannel-Sortiment aus Elektronik, Haushaltstechnik und Spielwaren ist die Wahrscheinlichkeit hoch, dass zumindest ein Teil des Sortiments unter die Verordnung fällt.
Besonders betroffen sind Produkte, die über eine App gesteuert werden, Firmware-Updates erhalten oder mit dem Internet kommunizieren, selbst wenn das für den Käufer nicht offensichtlich im Vordergrund steht – etwa ein smarter Steckdosenschalter oder eine vernetzte Türklingel. Wer als Händler solche Produkte importiert oder unter eigener Marke vertreibt, sollte die eigene Rolle in der Lieferkette genau einordnen, da sich die Meldepflichten zwischen Hersteller, Importeur und reinem Vertreiber unterscheiden können.
Wer in der Lieferkette tatsächlich meldepflichtig ist
Die primäre Meldepflicht liegt beim Hersteller des Produkts. Wenn der eigentliche Hersteller außerhalb der EU sitzt, kann die Verantwortung auf den Importeur übergehen, der das Produkt erstmals auf den EU-Markt bringt. Ein reiner Marktplatz-Verkäufer, der ein Produkt eines in der EU ansässigen Herstellers unverändert weiterverkauft, trägt in der Regel nicht die primäre Meldepflicht, muss aber bei einer bekannt gewordenen Schwachstelle trotzdem wissen, an wen er sich wenden kann, um die Information weiterzugeben.
Für Eigenmarken-Händler, die Produkte unter eigenem Namen vertreiben lassen, verschiebt sich die Rolle häufig näher an die des Herstellers, auch wenn die technische Entwicklung bei einem externen Partner liegt. Diese Rolle sollte vertraglich eindeutig geklärt sein, bevor im Schadensfall unklar ist, wer die Meldung innerhalb der engen 24-Stunden-Frist tatsächlich abgeben muss.
Warum eine funktionierende Meldekette über mehrere Marktplätze zählt
Die kurze Meldefrist von 24 Stunden für die Frühwarnung lässt wenig Zeit für interne Abstimmung, wenn eine Schwachstelle über einen Kanal bekannt wird, das betroffene Produkt aber über mehrere Marktplätze gleichzeitig verkauft wird. Wer erst klären muss, wer im Unternehmen für die Meldung zuständig ist, verliert wertvolle Zeit innerhalb der ohnehin engen Frist.
MarketplAIce bündelt Produktdaten und Sortimentsinformationen über alle angeschlossenen Marktplätze in einer zentralen Übersicht, sodass im Ernstfall schnell nachvollziehbar ist, über welche Kanäle und in welchem Umfang ein betroffenes Produkt tatsächlich verkauft wird – eine Grundlage, die für eine schnelle, vollständige Meldung notwendig ist.
In 5 Schritten zur CRA-Meldebereitschaft
- Betroffene Produktkategorien identifizieren: Prüfen Sie, welche Ihrer Produkte digitale Elemente enthalten und damit potenziell unter den Cyber Resilience Act fallen.
- Eigene Rolle in der Lieferkette klären: Stellen Sie fest, ob Sie als Hersteller, Importeur oder reiner Vertreiber einzuordnen sind, und was das für Ihre Meldepflicht bedeutet.
- Ansprechpartner beim Hersteller festlegen: Klären Sie vorab, über welchen Kontaktweg Sie eine bekannt gewordene Schwachstelle an den verantwortlichen Hersteller melden.
- Meldewege intern dokumentieren: Legen Sie fest, wer im eigenen Unternehmen innerhalb der 24-Stunden-Frist eine Meldung koordiniert, bevor ein Ernstfall eintritt.
- Sortimentsüberblick über alle Kanäle sicherstellen: Stellen Sie sicher, dass Sie im Ernstfall schnell wissen, über welche Marktplätze ein betroffenes Produkt verkauft wird.
FAQ
Seit wann gilt die Meldepflicht nach dem Cyber Resilience Act?
Die Meldepflicht für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gilt seit dem 11. September 2026.
Welche Produkte sind vom Cyber Resilience Act betroffen?
Produkte mit digitalen Elementen, die mit einem Gerät oder Netzwerk verbunden werden können, etwa Smart-Home-Geräte, vernetztes Spielzeug oder Haushaltstechnik mit App-Steuerung.
Muss ich als reiner Marktplatz-Verkäufer selbst Schwachstellen melden?
Die primäre Pflicht liegt beim Hersteller oder, wenn dieser außerhalb der EU sitzt, beim Importeur. Als reiner Vertreiber sollten Sie trotzdem wissen, an wen Sie eine bekannt gewordene Schwachstelle weitergeben.
Wie viel Zeit habe ich für eine Meldung?
Eine Frühwarnung muss binnen 24 Stunden erfolgen, eine vollständigere Meldung innerhalb von 72 Stunden nach Kenntnisnahme einer aktiv ausgenutzten Schwachstelle.
Was passiert, wenn ich meine Rolle in der Lieferkette falsch einschätze?
Im Ernstfall kann das zu verspäteten oder fehlenden Meldungen führen, was eigenständige Konsequenzen nach dem Cyber Resilience Act nach sich ziehen kann. Eine vorherige Klärung ist deshalb sinnvoll.
Gilt die Meldepflicht auch für Eigenmarken-Händler?
Ja, insbesondere wenn die Rolle näher an der eines Herstellers liegt, auch wenn die technische Entwicklung bei einem externen Partner liegt. Die genaue Einordnung sollte vertraglich geklärt sein.
Wie unterstützt MarketplAIce bei der CRA-Meldebereitschaft?
MarketplAIce bündelt Sortimentsdaten über alle angeschlossenen Marktplätze, sodass im Ernstfall schnell nachvollziehbar ist, über welche Kanäle ein betroffenes Produkt verkauft wird.
Über den Autor
Jorginho Engelmeyer ist Gründer von MarketplAIce und beschäftigt sich seit über acht Jahren mit Amazon-Advertising und Marktplatz-Ökonomie. Mehr über seinen Hintergrund und MarketplAIce lesen Sie unter /expertise.
Wenn Sie Ihr Sortiment über mehrere Marktplätze hinweg zentral im Blick behalten wollen, registrieren Sie sich kostenlos bei MarketplAIce.
Mehr zu den Tarifen finden Sie auf der Preise-Seite.
Verwandte Artikel: Multichannel KI-Verordnung (AI Act) im Handel 2026 und Multichannel Produkthaftung & Versicherung 2026.