Was ist ein maßgeschneidertes Produkt nach dem Cyber Resilience Act (CRA) und welche rechtlichen Konsequenzen ergeben sich daraus?

Mit dem Cyber Resilience Act (CRA) hat die Europäische Union erstmals ein umfassendes Regelwerk geschaffen, das die Cybersicherheit von Produkten mit digitalen Elementen verbindlich regelt. Für Unternehmen stellt sich dabei oft die Frage, ob eine individuell entwickelte Lösung als „maßgeschneidertes Produkt“ gilt und welche rechtlichen Auswirkungen sich daraus ergeben. Die Antwort kann erhebliche Konsequenzen für Hersteller, Integratoren und Auftraggeber haben.

1. Was versteht der CRA unter einem maßgeschneiderten Produkt?

Der Cyber Resilience Act unterscheidet grundsätzlich zwischen Produkten, die für den breiten Markt bestimmt sind, und solchen, die speziell für einen einzelnen Kunden entwickelt werden. Ein maßgeschneidertes Produkt liegt typischerweise dann vor, wenn Software oder Hardware individuell nach den Anforderungen eines bestimmten Auftraggebers erstellt und ausschließlich für diesen vorgesehen ist.

Entscheidend ist dabei nicht nur die individuelle Entwicklung, sondern auch die Frage, ob das Produkt später allgemein vermarktet oder mehrfach genutzt wird. Wird eine Lösung ausschließlich für einen konkreten Kunden entwickelt und nicht als Standardprodukt vertrieben, kann dies dazu führen, dass bestimmte Anforderungen des CRA nicht oder nur eingeschränkt greifen.

2. Wann gilt eine individuelle Entwicklung dennoch als CRA-pflichtiges Produkt?

Nicht jede kundenspezifische Anpassung führt automatisch zur Einstufung als maßgeschneidertes Produkt. Viele Unternehmen entwickeln auf Basis bestehender Standardsoftware individuelle Erweiterungen oder Konfigurationen. In solchen Fällen bleibt das zugrunde liegende Produkt häufig weiterhin ein reguläres CRA-Produkt.

Besonders relevant ist die Frage, ob die entwickelte Lösung auf einem bereits bestehenden Produkt basiert und anschließend erneut vermarktet oder für weitere Kunden verwendet werden kann. Sobald eine Lösung über den reinen Einzelfall hinaus genutzt wird oder Teil eines kommerziellen Produktportfolios ist, sprechen die Behörden regelmäßig von einem Produkt mit digitalen Elementen im Sinne des CRA. Dann gelten die vollständigen Cybersicherheitsanforderungen, Dokumentationspflichten und Konformitätsbewertungsverfahren.

3. Welche rechtlichen Konsequenzen ergeben sich für Hersteller?

Fällt ein Produkt unter den CRA, entstehen für Hersteller umfangreiche Pflichten. Dazu gehören insbesondere:

• Umsetzung von Security-by-Design- und Security-by-Default-Prinzipien
• Durchführung von Risikoanalysen
• Erstellung technischer Dokumentationen
• Bereitstellung von Sicherheitsupdates während des vorgesehenen Produktlebenszyklus
• Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle an die zuständigen Stellen

Unternehmen müssen zudem nachweisen können, dass die gesetzlichen Anforderungen eingehalten werden. Verstöße können zu behördlichen Maßnahmen, Vertriebsverboten und erheblichen Bußgeldern führen.

Bei tatsächlich maßgeschneiderten Einzellösungen kann die regulatorische Belastung geringer ausfallen. Dennoch bleiben andere rechtliche Verpflichtungen bestehen, beispielsweise aus dem Vertragsrecht, Produkthaftungsrecht oder aus branchenspezifischen Sicherheitsanforderungen.

4. Wie sollten Unternehmen in der Praxis vorgehen?

Unternehmen sollten bereits zu Beginn eines Entwicklungsprojekts prüfen, ob es sich um eine echte Individualentwicklung oder faktisch um ein vermarktbares Produkt handelt. Eine klare Dokumentation der Projektziele, des vorgesehenen Nutzerkreises und der Vertriebsstrategie kann später entscheidend sein.

Empfehlenswert ist außerdem die frühzeitige Einbindung von Rechts- und Compliance-Experten. Gerade bei hybriden Modellen, bei denen Standardsoftware individuell erweitert wird, ist die rechtliche Einordnung oft komplex. Eine sorgfältige Bewertung hilft dabei, regulatorische Risiken zu minimieren und spätere Haftungsfragen zu vermeiden.

Fazit

Die Einstufung eines Produkts als maßgeschneiderte Einzellösung oder als reguläres Produkt mit digitalen Elementen hat unter dem Cyber Resilience Act erhebliche rechtliche Bedeutung. Während echte Individualentwicklungen unter bestimmten Voraussetzungen von einzelnen CRA-Anforderungen ausgenommen sein können, gelten für marktfähige Produkte umfassende Sicherheits-, Dokumentations- und Meldepflichten. Unternehmen sollten daher frühzeitig prüfen, wie ihre Entwicklung rechtlich einzuordnen ist, um Compliance-Risiken und mögliche Sanktionen zu vermeiden.

‍