Wie bereits in unserem vorangegangenen Newsletter berichtet, ergibt sich durch den Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) für Hersteller:innen eine Pflicht, über den gesamten Produktlebenszyklus hinweg für Cybersicherheit zu sorgen.
Der CRA stellt für Unternehmen insbesondere aufgrund seiner Anforderungen an die Koordinierung verschiedener Stellen eine Herausforderung dar, welche der Zeitdruck nur verschärft.
Die Klassifizierung von Produkten als Standard-, „wichtiges" oder „kritisches" Produkt entscheidet über das anzuwendende Konformitätsbewertungsverfahren und muss bei jeder Produktänderung neu beurteilt werden. Hinzu kommen kurze, gestaffelte Meldefristen bei Sicherheitsvorfällen. Ab dem 11. September 2026 gelten die Meldepflichten nach Art 14 CRA: Eine Frühwarnung binnen 24 Stunden, eine detaillierte Meldung binnen 72 Stunden und ein Abschlussbericht binnen 14 Tagen. Diese kurzen Fristen erfordern eine funktionierende Eskalationskette zwischen Security-Operations, Produktverantwortlichen und Rechts- beziehungsweise Compliance-Abteilung.
Auch die Lieferkette ist betroffen: Technische Dokumentation und Software-Stücklisten (SBOM) müssen Drittkomponenten und Open-Source-Bausteine erfassen, was in der Regel eine Nachverhandlung bestehender Lieferverträge notwendig macht. Nicht zuletzt rückt der CRA mit Bußgeldern von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes sowie der Möglichkeit von Vertriebsverboten die Verantwortung der Geschäftsleitung in den Vordergrund.
Der CRA als Maßstab für die Produkthaftung
Parallel zum CRA ist am 8. Dezember 2024 die Produkthaftungsrichtlinie ((EU) 2024/2853, ProdHaftRL) in Kraft getreten, welche erstmals Software ausdrücklich als Produkt erfasst. Nach Art. 7 Abs. 2 der ProdHaftRL sind zudem einschlägige Cybersicherheitsanforderungen bei der Beurteilung der Fehlerhaftigkeit eines Produkts zu berücksichtigen.
Damit wird der CRA faktisch zum Referenzmaßstab für die zivilrechtliche Haftung: Verstöße gegen CRA-Pflichten, z.B. unterlassene Sicherheitsupdates, mangelhaftes Schwachstellenmanagement oder eine verspätete Vorfallsmeldung, werden zum Indiz für die Fehlerhaftigkeit eines Produkts, während eine dokumentierte CRA-Konformität umgekehrt als Entlastungsnachweis dienen kann.
Die Produkthaftungsrichtlinie sieht zudem Beweiserleichterungen und Offenlegungspflichten zugunsten Geschädigter vor, wodurch der Zugang zu unternehmensinterner Dokumentation im Streitfall erleichtert wird. CRA-Compliance-Dokumentation ist damit nicht mehr nur ein Nachweis gegenüber Marktüberwachungsbehörden, sondern potenziell auch Beweismittel in einem Zivilprozess. Wer Sicherheitsüberprüfungen, Risikobewertungen und Freigabeprozesse nicht sorgfältig und konsistent dokumentiert, läuft Gefahr, dass genau diese Unterlagen im Ergebnis gegen das eigene Unternehmen verwendet werden.
Konsequenzen für Governance und Dokumentation
Aus dieser Verzahnung folgt, dass Unternehmen ihre CRA-Umsetzung nicht isoliert als regulatorisches Projekt betreiben dürfen, sondern von Beginn an mitdenken müssen, dass jede Klassifizierungsentscheidung, jede Meldung und jede Sicherheitsbewertung später zivilrechtlich relevant werden kann. Dokumentations- und Nachweispflichten, die der CRA ohnehin verlangt, sollten deshalb so gestaltet sein, dass sie im Streitfall beweistauglich sind und nicht in Widerspruch zur eigenen Risikoeinschätzung stehen.
Cybersicherheit ist durch den CRA nicht nur zu einem Compliance-Thema auf Managementebene geworden, sondern über die neue Produkthaftungsrichtlinie zugleich zu einem zivilrechtlichen Haftungsrisiko. Expert:innen der HSP Rechtsanwält:innen unterstützen Unternehmen frühzeitig belastbare Governance-Strukturen, klare Verantwortlichkeiten und beweistaugliche Dokumentation zu etablieren. Damit reduzieren sie nicht nur aufsichtsrechtliche Sanktionsrisiken, sondern schützen sich zugleich vor Schadensersatzansprüchen geschädigter Nutzer:innen – und stärken damit langfristig auch das Vertrauen von Kund:innen und Geschäftspartner:innen.