Sind Software-as-a-Service-Anwendungen vom Cyber Resilience Act (CRA) erfasst?

Mit dem Cyber Resilience Act (CRA) schafft die Europäische Union erstmals ein umfassendes Cybersicherheitsregime für Produkte mit digitalen Elementen. Für viele Softwareunternehmen stellt sich daher eine zentrale Frage: Gilt der CRA auch für reine Software-as-a-Service-Anwendungen (SaaS)?

Die kurze Antwort lautet: Nach dem derzeitigen Stand sprechen gute Argumente dafür, dass „bloße“ SaaS-Anwendungen nicht unmittelbar vom CRA erfasst sind. Wirklich geklärt ist diese Frage allerdings noch nicht.

Die Rechtslage ist derzeit mit erheblicher Unsicherheit behaftet. Zwar liegt der Verordnungstext vor und mittlerweile existieren erste Leitlinien der Europäischen Kommission, eine gefestigte Rechtsprechung oder ein einheitliches Behördenverständnis fehlen jedoch noch weitgehend. Gerade deshalb lohnt sich ein genauer Blick auf die Systematik des Gesetzes.

1. Der CRA ist ein Produktsicherheitsgesetz und kein Cloud-Gesetz

Der CRA gilt für „Produkte mit digitalen Elementen“, die auf dem europäischen Markt bereitgestellt werden. Dabei definiert die Verordnung ein Produkt mit digitalen Elementen als Software- oder Hardwareprodukt einschließlich bestimmter Datenfernverarbeitungslösungen.

Auf den ersten Blick könnte man daher annehmen, dass auch jede Form von Cloud-Software automatisch erfasst wird. So einfach ist die Sache jedoch nicht.

Besonders bemerkenswert ist Erwägungsgrund 12 des CRA. Dort wird ausdrücklich darauf hingewiesen, dass Cloud-Computing-Dienste wie SaaS, PaaS und IaaS grundsätzlich Gegenstand der NIS-2-Richtlinie sind. Gleichzeitig stellt der Erwägungsgrund klar, dass Cloud-Dienste, die außerhalb der Verantwortung eines Herstellers eines Produkts mit digitalen Elementen entwickelt werden, nicht automatisch in den Anwendungsbereich des CRA fallen.

Die Systematik des Gesetzes spricht daher dafür, dass der europäische Gesetzgeber zwischen einem digitalen Produkt und einer bloßen digitalen Dienstleistung unterscheiden wollte.

2. Warum viele Juristen SaaS derzeit nicht unter den CRA einordnen

In der juristischen Literatur wird überwiegend vertreten, dass reine digitale Dienstleistungen grundsätzlich nicht als „Produkte mit digitalen Elementen“ anzusehen sind.

Die Argumentation lautet vereinfacht: Der CRA richtet sich in erster Linie an Hersteller von Produkten, die auf dem Markt bereitgestellt werden. Eine SaaS-Anwendung wird dem Kunden hingegen typischerweise nicht überlassen, sondern lediglich zur Nutzung über das Internet zugänglich gemacht. Der Nutzer erhält kein Softwareprodukt, sondern einen laufenden Dienst.

Diese Sichtweise wird durch aktuelle europäische Materialien zusätzlich gestützt. Besonders interessant ist eine spätere EU-Verordnung zum Europäischen Gesundheitsdatenraum. Dort findet sich die bemerkenswerte Aussage, dass der CRA „Software as a Service (SaaS) als solche nicht direkt abdeckt“. Auch wenn diese Formulierung nicht im eigentlichen CRA enthalten ist, zeigt sie doch deutlich, wie europäische Gesetzgeber die Verordnung derzeit verstehen.

Gleichzeitig existieren Stimmen in der Fachliteratur, die darauf hinweisen, dass die genaue Einordnung cloudbasierter Lösungen weiterhin Gegenstand einer offenen Diskussion ist. Eine endgültige Antwort gibt es bislang nicht.

3. Sonderfall: Progressive Web Apps und webbasierte Anwendungen

Besonders spannend wird die Frage bei modernen Webanwendungen und Progressive Web Apps (PWAs).

Die aktuelle Kommissions-Guidance zum CRA enthält hierzu eine wichtige Klarstellung: Software, die ausschließlich auf entfernten Systemen ausgeführt wird und vom Nutzer lediglich über einen Webbrowser aufgerufen wird, soll allein deshalb noch kein Produkt mit digitalen Elementen sein. Die Guidance nennt ausdrücklich Webanwendungen und Progressive Web Apps als Beispiel.

Die Europäische Kommission führt sogar ein konkretes Beispiel an: Eine Webanwendung, die ausschließlich über einen Browser genutzt wird, fällt nach dieser Auslegung nicht unter den Produktbegriff des CRA.

Das bedeutet jedoch nicht, dass jede cloudbasierte Architektur automatisch außerhalb des CRA liegt. Sobald eine Lösung untrennbar mit einem Produkt mit digitalen Elementen verbunden ist oder als sogenannte Datenfernverarbeitungslösung für dessen Funktion erforderlich wird, kann die Bewertung anders ausfallen. Die aktuelle Guidance zeigt gerade bei solchen Konstellationen einen deutlich differenzierteren Ansatz.

4. Handlungsempfehlung: Auf den CRA vorbereiten, auch wenn SaaS möglicherweise ausgenommen ist

Aus heutiger Sicht lässt sich gut vertreten, dass eine klassische SaaS-Anwendung nicht unmittelbar unter den CRA fällt. Vollständige Rechtssicherheit besteht jedoch nicht.

Unternehmer sollten daher vermeiden, ihre gesamte Compliance-Strategie auf die Annahme zu stützen, dass der CRA dauerhaft keine Rolle spielt. Ein Wechsel des Vertriebsmodells, eine On-Premises-Version für Großkunden oder die spätere Integration in ein CRA-pflichtiges Produkt können die rechtliche Bewertung rasch verändern.

Hinzu kommt ein praktischer Aspekt: Die zentralen Anforderungen des CRA, etwa Risikomanagement, sichere Entwicklung, Vulnerability Management, Dokumentation oder Security by Design, entsprechen ohnehin dem heutigen Stand professioneller Softwareentwicklung. Der Aufwand für eine frühzeitige Vorbereitung ist daher selten verloren. Im Gegenteil: Unternehmen sichern damit ihre Handlungsfähigkeit, erhöhen ihr Sicherheitsniveau und reduzieren potenzielle Haftungsrisiken.

Fazit

Derzeit sprechen gute Argumente dafür, dass reine Software-as-a-Service-Anwendungen nicht unmittelbar vom Cyber Resilience Act erfasst werden. Der Verordnungstext, die Erwägungsgründe und die aktuelle Kommissions-Guidance deuten in diese Richtung. Eine endgültige Klärung durch Gerichte oder Behörden steht jedoch noch aus.

Deshalb lautet die pragmatische Empfehlung: Bereiten Sie Ihre Softwareorganisation so auf den CRA vor, als wäre die Verordnung anwendbar. Dadurch bleiben Sie flexibel, erfüllen steigende Kundenerwartungen im Bereich Cybersicherheit und vermeiden unangenehme Überraschungen, falls sich die Rechtslage künftig anders entwickelt.

‍