Praxisbeispiel: Import einer WLAN-Steckdose aus China
Schritt für Schritt: welche EU- und österreichischen Regeln gelten, wenn Sie eine WLAN-Steckdose mit Energiemessung aus Shenzhen importieren und in der EU verkaufen — Unterlagen, Termine, Stolpersteine.
Beispielszenario — kein Kundenfall. Es zeigt, wie die Regeln im Radar bei einem typischen Produkt zusammenwirken. Allgemeine Information, keine Rechtsberatung.
Inhaltlich geprüft von DI(FH) Herbert Schrank · Stand
Das Szenario
Ein österreichisches Unternehmen möchte eine WLAN-Steckdose mit Energiemessung bei einem Hersteller in Shenzhen kaufen. Die Steckdose wird mit der App des Herstellers über dessen Cloud gesteuert. Das Unternehmen verkauft sie unter der Marke des Herstellers an Unternehmen und Verbraucher in der EU, auch über den eigenen Webshop. Erste Lieferung: Anfang 2027.
Wer ist wer
Das österreichische Unternehmen bringt die Steckdose als erster Wirtschaftsakteur in der EU in Verkehr und ist damit Importeur — mit eigenen gesetzlichen Pflichten. Würde es die Steckdose unter eigener Marke verkaufen oder so verändern, dass die Konformität beeinträchtigt sein kann, gälte es als Hersteller, mit allen Herstellerpflichten.
Welche Regeln gelten — und was sie hier bedeuten
RegelWarum sie giltWas das hier bedeutet
RED Funkanlagenrichtlinie — CybersicherheitDie Steckdose ist eine Funkanlage (WLAN). Sie ist mit dem Internet verbunden und verarbeitet personenbezogene Daten (App-Konto, Nutzungsdaten).Die EU-Konformitätserklärung muss elektrische Sicherheit, EMV, Funknutzung und die Cybersicherheitsanforderungen nach Artikel 3 Absatz 3 Buchstaben d und e abdecken. Verlangen Sie Prüfnachweise, z. B. nach EN 18031-1 und EN 18031-2. Greift eine mit diesen Normen veröffentlichte Einschränkung (z. B. kann der Nutzer das Festlegen eines Passworts überspringen), ist eine notifizierte Stelle erforderlich. Die Cybersicherheitsanforderungen gelten für Einheiten, die vor dem 11. Dezember 2027 in Verkehr gebracht werden (die Delegierte Verordnung (EU) 2026/339 hebt die Verordnung (EU) 2022/30 mit Wirkung von diesem Tag auf); danach übernimmt die Cyberresilienz-Verordnung. Die Anforderungen an Sicherheit, EMV und Funk nach der Funkanlagenrichtlinie gelten weiter.
CRA Cyberresilienz-Verordnung (CRA)Die Steckdose ist ein Produkt mit digitalen Elementen (Firmware, App, Cloud-Anbindung).Seit 11. September 2026 muss der Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden — auch für bereits in Verkehr gebrachte Einheiten; vereinbaren Sie, wie Sie informiert werden. Ab 11. Dezember 2027 in Verkehr gebrachte Einheiten müssen alle Anforderungen der Cyberresilienz-Verordnung erfüllen: Planen Sie Unterstützungszeitraum, Sicherheitsupdates und SBOM jetzt. Smarte Steckdosen sind in Anhang III der Cyberresilienz-Verordnung nicht genannt: Dessen Smart-Home-Kategorien sind Sprachassistenten für allgemeine Zwecke und Produkte mit Sicherheitsfunktionen (einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen). Eine Steckdose, deren Kernfunktion das Schalten ist, ist daher in der Regel kein „wichtiges“ Produkt — prüfen Sie dies anhand der Durchführungsverordnung (EU) 2025/2392 und lassen Sie es vom Hersteller bestätigen.
GPSR Allgemeine Produktsicherheitsverordnung (GPSR)Verbraucher können die Steckdose kaufen, und sie wird online verkauft.Ein in der EU niedergelassener Wirtschaftsakteur muss angegeben sein — hier der Importeur. Angaben zur Produktidentifizierung (Typ-, Chargen- oder Seriennummer), Kontaktdaten von Hersteller und Importeur sowie Betriebsanleitung und Sicherheitsinformationen in einer Sprache, die Verbraucher im Verkaufsland leicht verstehen (in Österreich: Deutsch). Der Webshop muss Name, Post- und elektronische Adresse von Hersteller und EU-Wirtschaftsakteur, Angaben zur Produktidentifizierung mit Bild sowie Warnhinweise und Sicherheitsinformationen zeigen.
Data Act Data Act (Datenverordnung)Die Steckdose erzeugt Nutzungs- und Energiedaten, auf die Nutzer zugreifen können.Für nach dem 12. September 2026 in Verkehr gebrachte Einheiten muss der Hersteller das Produkt so konzipieren, dass Nutzer auf diese Daten zugreifen können. Als Verkäufer müssen Sie den Nutzer vor Vertragsabschluss über Art, Format und geschätzten Umfang der Daten informieren, darüber, ob sie kontinuierlich und in Echtzeit erzeugt werden, wo und wie lange sie gespeichert werden und wie er auf sie zugreifen, sie abrufen oder löschen kann. App und Cloud sind ein „verbundener Dienst“: Dafür muss der Hersteller eigene vorvertragliche Informationen bereitstellen.
WEEE / RoHS Elektroaltgeräte & RoHS (EAG-VO)Die Steckdose ist ein Elektro- und Elektronikgerät, das in Österreich verkauft wird.Vor dem Inverkehrbringen in Österreich als Hersteller im EDM registrieren und, da es sich um ein Haushaltsgerät handelt (in privaten Haushalten nutzbar), an einem Sammel- und Verwertungssystem teilnehmen. Das Produkt mit dem Symbol der durchgestrichenen Abfalltonne auf Rädern kennzeichnen. Die RoHS-Konformität muss in der EU-Konformitätserklärung erklärt sein.
PPWR Verordnung über Verpackungen und Verpackungsabfälle (PPWR)Die Steckdose wird verpackt geliefert und verkauft.Als Importeur sind Sie in Österreich Erzeuger dieser Verpackungen im Sinne der erweiterten Herstellerverantwortung — einschließlich der Versandverpackungen Ihres Webshops: Nehmen Sie an einem Sammel- und Verwertungssystem für Verpackungen teil. Verlangen Sie vom Hersteller die EU-Konformitätserklärung für die Verpackung.
PLD Neue ProdukthaftungsrichtlinieDer Hersteller sitzt außerhalb der EU, und die ersten Einheiten werden nach dem 9. Dezember 2026 in Verkehr gebracht.Als Importeur haften Sie in der EU (neben einem allfälligen Bevollmächtigten). Software gilt als Produkt, und fehlende Sicherheitsupdates, die in der Kontrolle des Herstellers liegen, können die Steckdose fehlerhaft machen. Prüfen Sie Ihre Produkthaftpflichtversicherung und lassen Sie sich Update-Zusagen schriftlich geben. Schäden an ausschließlich beruflich genutzten Sachen sind von diesen Regeln nicht erfasst.
NIS2 / NISG 2026 NIS2 — NISG 2026 (Österreich)Geschäftskunden wie Energieversorger können NIS2-Einrichtungen sein.Rechnen Sie in deren Verträgen mit Sicherheitsfragebögen und Nachweisanforderungen (Unterstützungszeitraum, Update-Politik, SBOM).
In diesem Beispiel nicht relevant
- Batterieverordnung — die Steckdose hat keine Batterie (mit Batterie wäre sie relevant).
- Maschinenverordnung und KI-Verordnung (AI Act) — keine Maschine, keine KI-Funktion.
- Dual-Use-Exportkontrolle — nur relevant, wenn die Steckdose oder ihre Technologie aus der EU ausgeführt oder wiederausgeführt wird.
Schritt für Schritt
- 1
Vor der Bestellung
- EU-Konformitätserklärung, die RED Artikel 3 Absatz 1, Absatz 2 und Absatz 3 Buchstaben d und e sowie RoHS abdeckt.
- Prüfnachweise zu Sicherheit, EMV, Funk und Cybersicherheit (z. B. EN 18031-1/-2) für die Firmware-Version, die Sie erhalten.
- Unterstützungszeitraum, Update-Weg, SBOM und Kontaktstelle für Schwachstellenmeldungen (CRA).
- Wo Cloud und Nutzerdaten gehostet werden, und die Data-Act-Informationen für Nutzer.
- 2
Vor der ersten Lieferung
- Herstellerregistrierung im EDM und Teilnahme an Sammel- und Verwertungssystemen (Geräte und Verpackung).
- Name und Postanschrift des Importeurs auf dem Produkt — oder, wo das nicht möglich ist, auf der Verpackung oder in einem Begleitdokument.
- Betriebsanleitung und Sicherheitsinformationen auf Deutsch für Österreich (und in einer in jedem weiteren Verkaufsland leicht verständlichen Sprache).
- Webshop-Angebot mit den GPSR-Pflichtangaben; vorvertragliche Data-Act-Informationen.
- Produkthaftpflichtversicherung für importierte Produkte mit Software geprüft.
- CE-Kennzeichnung sowie Typen-, Chargen- oder Seriennummer auf dem Produkt; jeder Einheit liegt die EU-Konformitätserklärung oder die vereinfachte Konformitätserklärung bei; die Betriebsanleitung nennt Frequenzbänder und maximale Sendeleistung.
- Bei Direktverkauf an Endnutzer in anderen EU-Ländern: Registrierung für Elektroaltgeräte und Verpackungen in jedem dieser Länder (wo vorgeschrieben über einen Bevollmächtigten).
- 3
Nach dem Inverkehrbringen
- Eine Kopie der EU-Konformitätserklärung 10 Jahre aufbewahren (für ab 11. Dezember 2027 in Verkehr gebrachte Einheiten: 10 Jahre oder den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist) und sicherstellen, dass die technische Dokumentation den Behörden auf Verlangen vorgelegt werden kann.
- Schwachstellen- und Sicherheitsmeldungen an den Hersteller weitergeben und, wo vorgeschrieben, die Behörden informieren.
- Prüfen, ob später gelieferte Einheiten noch der geprüften Firmware entsprechen; CRA-Konformität für ab 11. Dezember 2027 in Verkehr gebrachte Einheiten einplanen.
Typische Stolpersteine
- Der Prüfbericht bezieht sich auf eine ältere Firmware als die tatsächlich ausgelieferte.
- Einrichtung, bei der der Nutzer das Festlegen eines Passworts überspringen kann (das löst die Einschränkung der EN 18031 aus; eine notifizierte Stelle ist erforderlich), oder ein gemeinsames Standardpasswort (das erfüllt die Norm überhaupt nicht).
- Name und Anschrift des Importeurs fehlen auf Produkt, Verpackung und Unterlagen.
- Keine EDM-Registrierung vor dem Inverkehrbringen.
- Niemand hat vereinbart, wie lange Sicherheitsupdates bereitgestellt werden.
Wie ITDA-S das übernimmt
Für die gelieferten Teile sammelt und prüft ITDA-S diese Unterlagen vor dem Versand in einer EU-Ready-Akte, übernimmt die Rolle des Importeurs in Österreich, nennt eine Risikostufe und ein Alternativprodukt, und QmiSoft integriert das Produkt vor Ort.
Unterlagen zu Ihrem Produkt prüfen lassen →Allgemeine Information, keine Rechtsberatung. Verbindlich sind nur die im Amtsblatt der EU und im österreichischen Bundesgesetzblatt veröffentlichten Texte.
Unsicher, wo Ihr Produkt steht?
Senden Sie uns das Produkt und seine Unterlagen. Wir prüfen die technische Dokumentation anhand der Regeln in diesem Radar, sagen Ihnen, was fehlt — und beschaffen bei Bedarf eine EU-taugliche Alternative.