Welche EU-Regeln gelten für Ihr Produkt — und was stimmt wirklich?

Seit 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — und zwar auch für Produkte, die schon vor Dezember 2027 in Verkehr gebracht wurden.

Importeure haben eigene Pflichten: Sie dürfen nur konforme Produkte in Verkehr bringen, müssen Unterlagen und CE-Kennzeichnung prüfen, die EU-Konformitätserklärung mindestens 10 Jahre aufbewahren und bei bekannten Schwachstellen handeln. Wer unter eigenem Namen oder eigener Marke verkauft, gilt als Hersteller.

Nicht-kommerzielle Open-Source-Software selbst ist weitgehend ausgenommen. Ein Hersteller, der Open-Source-Komponenten in ein kommerzielles Produkt einbaut, ist aber dafür verantwortlich und muss die gebotene Sorgfalt walten lassen.

Für die meisten Produkte genügt die Selbstbewertung. Nur „wichtige“ Produkte (Klasse I und II, z. B. Router, Mikrocontroller mit Sicherheitsfunktionen, Firewalls) können eine Bewertung durch Dritte erfordern; „kritische“ Produkte können eine europäische Cybersicherheitszertifizierung erfordern, sobald ein delegierter Rechtsakt dies vorschreibt — bis dahin gelten die Verfahren der Klasse II. Die Kategorien sind in den Anhängen III und IV des CRA aufgeführt; ihre technische Beschreibung regelt die Durchführungsverordnung (EU) 2025/2392.

Sie gelten für jedes Produkt, das vor dem 11. Dezember 2027 in Verkehr gebracht wird, und die Marktüberwachung kann auch danach noch gegen diese Produkte vorgehen.

Kann das Gerät über ein anderes Gerät — etwa App oder Gateway — mit dem Internet kommunizieren, kann es erfasst sein.

Ein konformes Modul hilft, bewertet wird aber das in Verkehr gebrachte Produkt als Ganzes — einschließlich Software, Schnittstellen und Standardeinstellungen.

Rein professionelle Produkte sind ausgenommen. Produkte, die voraussichtlich auch Verbraucher nutzen — etwa intelligente Zähler (Smart Meter), Sensoren, Werkzeuge oder Ladegeräte im offenen Onlinehandel — sind erfasst.

Marktplätze haben eigene Pflichten, ersetzen aber nicht Hersteller, Importeur oder EU-Verantwortlichen. Wer als in der EU niedergelassenes Unternehmen Waren aus einem Drittland in der EU in Verkehr bringt, ist Importeur.

Er erfasst ausdrücklich auch nicht personenbezogene Maschinen- und Sensordaten. Die DSGVO gilt parallel weiter, soweit personenbezogene Daten betroffen sind.

Industriemaschinen, Zähler, Landmaschinen und Fahrzeuge sind typische vernetzte Produkte im Sinne des Data Act.

Stand der letzten Prüfung sind die Data-Act-Änderungen noch ein Vorschlag in Verhandlung. Die Pflicht zur Zugänglichkeit der Daten durch Konzeption gilt unverändert für nach dem 12. September 2026 in Verkehr gebrachte Produkte.

Sie sind vielleicht nicht direkt reguliert, aber Ihre NIS2-Kunden müssen ihre Lieferkette absichern — und geben Anforderungen vertraglich an Sie weiter.

Die Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen, Maschinen und Fahrzeugen ist ein gelisteter Sektor (wichtige Einrichtungen).

Nach der neuen Richtlinie ist Software — einschließlich KI-Systemen und Firmware — ausdrücklich ein Produkt.

Die Haftung gegenüber dem Geschädigten kann vertraglich weder beschränkt noch ausgeschlossen werden.

Industrieverbände haben eine Verschiebung gefordert, beschlossen wurde sie nicht (Stand letzte Prüfung). Verschoben auf 2028 wurden die KI-spezifischen Anforderungen (über VO (EU) 2026/1744). Planen Sie mit 20. Jänner 2027.

Vor dem 20. Jänner 2027 in Verkehr gebrachte Maschinen bleiben rechtmäßig. Jede ab diesem Datum in Verkehr gebrachte Einheit muss der Verordnung entsprechen.

Verschoben wurden vor allem die Hochrisiko-Pflichten (sowie für vor dem 2. August 2026 in Verkehr gebrachte Systeme die Kennzeichnung generierter Inhalte bis 2. Dezember 2026). Verbote, Maßnahmen zur KI-Kompetenz, Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die übrigen Transparenzpflichten gelten bereits.

Wer die Batterie erstmals in einem Mitgliedstaat bereitstellt — auch eingebaut in ein Gerät — ist Erzeuger im Sinne der Herstellerverantwortung. Bei Importen ist das meist der Importeur.

Die Registrierung gilt je Land und Rolle. Es zählt nur eine Registrierung (oder ein Bevollmächtigter), die Ihre Verkäufe in Österreich abdeckt — prüfen Sie das EDM-Register.

Die PPWR erfasst alle Verpackungen, auch Transport-, Verkaufs- und Industrieverpackungen (B2B).

Die Kontrollliste richtet sich nach technischen Parametern, nicht nach dem Verwendungszweck; Auffangklauseln (Catch-all) können wegen der Endverwendung auch nicht gelistete Güter erfassen. Die Aktualisierung 2026 ergänzt etwa Drehgeber auf Basis induktiver Sensorik und integrierte Schaltungen für Hochleistungsrechnen.

Der Import selbst ist nach der Verordnung nicht genehmigungspflichtig; Wiederausfuhr, Ersatzteillieferungen oder Fernwartung für Standorte außerhalb der EU können es aber sein — und eine Sanktionsprüfung ist in jedem Fall nötig.