Ein Lieferant meldet eine Schwachstelle in einer vernetzten Steuerung. Einige Geräte liegen im Lager, weitere stehen in offenen Kundenaufträgen und eine Serie wurde unter eigener Marke verkauft. Jetzt muss der Fachgroßhandel schnell klären, welche Rolle er je Produkt hat, welche Ware gesperrt werden muss und wer Hersteller, Kunden und gegebenenfalls Behörden informiert. Ohne vorbereiteten Ablauf werden aus einer Produktmeldung mehrere Suchaufträge in Einkauf, Logistik, Vertrieb und IT.
Kurzantwort
Der Cyber Resilience Act verpflichtet Fachgroßhändler in ihrer Händlerrolle, vor der Bereitstellung betroffener Produkte unter anderem die CE-Kennzeichnung sowie vorgeschriebene Angaben und Unterlagen von Hersteller und Einführer zu prüfen. Bei begründetem Verdacht auf Nichtkonformität darf das Produkt bis zur Klärung nicht bereitgestellt werden. Von einer Schwachstelle ist der Hersteller unverzüglich zu unterrichten. Bei erheblichem Cybersicherheitsrisiko kommen Informationspflichten gegenüber der Marktüberwachung hinzu. Wer ein Produkt unter eigener Marke in Verkehr bringt oder wesentlich verändert, kann rechtlich selbst zum Hersteller werden. Die Hauptpflichten gelten ab dem 11. Dezember 2027.
Dieser Beitrag ordnet die Cyberresilienz-Verordnung als Geschäfts- und Systemprozess im Fachgroßhandel ein. Er ersetzt keine rechtliche Prüfung des konkreten Produkts, der Wirtschaftsakteursrolle oder des Einzelfalls.
Welche Frist gilt für die Cyber Resilience Act Händlerpflichten?
Die Verordnung (EU) 2024/2847, meist Cyber Resilience Act oder CRA genannt, ist seit dem 10. Dezember 2024 in Kraft. Die Europäische Kommission nennt drei zentrale Anwendungstermine:
| Termin | Was gilt? | Bedeutung für den Fachgroßhandel | |---|---|---| | 11. Juni 2026 | Vorschriften zur Notifizierung von Konformitätsbewertungsstellen gelten | Für die eigene Händlerprüfung noch keine allgemeine Vollanwendung | | 11. September 2026 | Meldepflichten nach Artikel 14 gelten | Hersteller melden aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die zentrale Plattform | | 11. Dezember 2027 | Der CRA gilt vollständig | Die Händlerpflichten aus Artikel 20 müssen im Tagesgeschäft umgesetzt sein |
Die Frist im September 2026 wird leicht missverstanden. Die verpflichtende Meldung über die Single Reporting Platform richtet sich nach den aktuellen Hinweisen der EU-Agentur ENISA an Hersteller und, in den geregelten Fällen, an Verwalter quelloffener Software. Ein gewöhnlicher Händler wird dadurch nicht pauschal zum Meldepflichtigen nach Artikel 14. Er muss aber einen belastbaren Eingang für Lieferantenmeldungen und Schwachstellen schaffen. Wird der Großhändler wegen Eigenmarke oder wesentlicher Änderung selbst zum Hersteller, ändert sich diese Einordnung.
Die Kommission hat am 27. Juli 2026 eine aktuelle CRA-Leitlinie mit Praxisbeispielen veröffentlicht. Für die Geschäftsführung ist das ein sinnvoller Anlass, Rollen und Sortimente jetzt zu inventarisieren. Wer erst Ende 2027 beginnt, muss Produktdaten, Lieferantennachweise, Sperrregeln und Zuständigkeiten gleichzeitig nachziehen.
Welche Produkte und Rollen muss der Fachgroßhandel prüfen?
Der CRA erfasst grundsätzlich Hard- und Softwareprodukte mit digitalen Elementen, wenn ihre vorgesehene oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung zu einem Gerät oder Netzwerk einschließt. Die deutsche Zusammenfassung der Europäischen Kommission erläutert diesen Anwendungsbereich und weist zugleich auf Ausnahmen für bestimmte anderweitig regulierte Produkte hin.
Im technischen Fachgroßhandel können je nach Ausführung etwa Smart-Building-Steuerungen, vernetzte Pumpenregler, Lade- und Netzwerktechnik, industrielle Sensoren, Messgeräte oder digital angebundene Werkzeuge in Betracht kommen. Diese Beispiele ersetzen keine Produktprüfung. Entscheidend sind Funktion, Verbindung, Vermarktung und anwendbare Sonderregeln, nicht allein die Warengruppe.
Noch wichtiger ist die Rolle des eigenen Unternehmens. Dieselbe Firma kann bei verschiedenen Artikeln unterschiedliche Rollen haben:
| Rolle | Typischer Fall | Praktische Folge | |---|---|---| | Händler | Das Unternehmen bezieht ein Produkt innerhalb der EU und stellt es ohne Änderung seiner Eigenschaften bereit | Prüf-, Sperr-, Informations- und Kooperationspflichten nach Artikel 20 | | Einführer | Das Unternehmen bringt ein Produkt eines außerhalb der EU ansässigen Herstellers erstmals auf den EU-Markt | Weitergehende Prüfung von Konformität, Dokumentation und Herstellerprozessen | | Hersteller | Das Unternehmen bringt das Produkt unter eigenem Namen oder eigener Marke in Verkehr oder nimmt eine wesentliche Änderung vor | Herstellerpflichten einschließlich der geregelten Schwachstellen- und Vorfallmeldungen |
Artikel 21 der Cyberresilienz-Verordnung macht die Eigenmarke und die wesentliche Änderung ausdrücklich zur Rollengrenze. Eine einzige globale Kennzeichnung des Lieferanten als Hersteller reicht deshalb nicht. Die Rolle muss je Produkt, Vermarktungsweg und gegebenenfalls Änderung nachvollziehbar sein.
Für die Geschäftsführung im Fachgroßhandel liegt die erste Entscheidung daher nicht in der Auswahl eines neuen IT-Systems. Zuerst müssen Sortiment, Rollen, Verantwortliche und rechtlicher Prüfbedarf abgegrenzt werden. Danach lässt sich bestimmen, welche Daten und Kontrollen im ERP, PIM, Shop oder Dokumentenmanagement fehlen.
Was muss der Händler vor der Freigabe kontrollieren?
Artikel 20 des CRA verlangt vom Händler gebührende Sorgfalt. Vor der Bereitstellung muss er prüfen, ob das Produkt die CE-Kennzeichnung trägt und ob Hersteller und Einführer bestimmte Pflichten erfüllt und die erforderlichen Dokumente bereitgestellt haben.
Für einen betrieblichen Freigabeprozess gehören dazu insbesondere:
- eindeutige Produktidentifikation über Typ, Charge, Seriennummer oder ein anderes Kennzeichen;
- Name und erreichbare Kontaktdaten des Herstellers sowie, soweit einschlägig, des Einführers;
- CE-Kennzeichnung und erforderliche EU-Konformitätserklärung;
- verständliche Informationen und Anleitungen für die sichere Installation, den Betrieb und die Nutzung;
- klar angegebener Endtermin des Unterstützungszeitraums zum Zeitpunkt des Kaufs;
- dokumentierter Prüfstatus mit Datum, Quelle und verantwortlicher Stelle.
Das bedeutet nicht, dass ein Mitarbeiter jedes einzelne Gerät manuell neu bewerten muss. Der Betrieb braucht eine dokumentierte Regel, auf welcher Ebene geprüft wird, etwa Artikel, Produktversion oder Charge, welche Nachweise als gültig gelten und was eine erneute Prüfung auslöst. Ein neues Modell, eine geänderte Firmware, ein anderer Einführer oder eine aktualisierte Konformitätserklärung können den Status verändern.
Fehlt ein Nachweis oder besteht begründeter Verdacht, dass Produkt oder Herstellerverfahren die Anforderungen nicht erfüllen, darf die Ware nicht unverändert im verfügbaren Bestand bleiben. Sie benötigt einen Sperrstatus, einen Verantwortlichen und einen geklärten nächsten Schritt. Bei erheblichem Cybersicherheitsrisiko sind nach Artikel 20 zusätzlich Hersteller und Marktüberwachungsbehörden unverzüglich zu unterrichten.
Wie läuft ein Schwachstellen- oder Nichtkonformitätsfall ab?
Ein belastbarer Ablauf verbindet die technische Meldung mit Ware, Aufträgen und Geschäftspartnern:
- Meldung annehmen: Lieferantenportal, E-Mail oder interner Hinweis landet in einem gemeinsamen Vorgang. Produkt, Version, Schwachstelle, Quelle und Zeitpunkt werden erfasst.
- Rolle und Umfang bestimmen: Die verantwortliche Stelle klärt, ob das Unternehmen Händler, Einführer oder Hersteller ist und welche Artikel, Chargen oder Versionen betroffen sein können.
- Ware und Vorgänge finden: Lagerbestand, Reservierungen, offene Aufträge, laufende Lieferungen und bereits abgegebene Produkte werden über eindeutige Referenzen zugeordnet.
- Bereitstellung kontrollieren: Betroffene Ware erhält bis zur fachlichen Entscheidung einen Sperrstatus. Ein Hinweis in einer Nebenliste reicht nicht, wenn Shop, Innendienst oder Niederlassung weiterhin liefern können.
- Adressaten informieren: Von einer bekannt gewordenen Schwachstelle ist der Hersteller unverzüglich zu unterrichten. Bei erheblichem Cybersicherheitsrisiko werden die zuständigen Marktüberwachungsbehörden nach den gesetzlichen Vorgaben einbezogen. Inhalt und Freigabe gehören in fachliche oder rechtliche Verantwortung.
- Maßnahme umsetzen: Korrektur, aktualisierte Anleitung, Rücknahme vom Markt, Rückruf oder Kundeninformation werden dem Vorgang zugeordnet und in allen betroffenen Kanälen umgesetzt.
- Fall abschließen: Entscheidung, Kommunikation, Bestandsbewegung, Nachweise und offene Ausnahmen bleiben nachvollziehbar protokolliert.
Die menschliche Freigabe bleibt besonders bei Rollenwechsel, erheblichem Risiko, Rückruf und Behördenkommunikation unverzichtbar. Automatisierung kann Meldungen strukturieren, Referenzen suchen und Aufgaben verteilen. Sie sollte die rechtliche oder technische Bewertung nicht verdeckt ersetzen.
Artikel 20 regelt außerdem die Zusammenarbeit mit der Marktüberwachung. Auf begründetes Verlangen müssen Händler die erforderlichen Informationen und Unterlagen in verständlicher Form vorlegen und bei Maßnahmen zur Beseitigung von Cybersicherheitsrisiken kooperieren. Erfahren sie, dass ein Hersteller seine Tätigkeit beendet hat und seine Pflichten nicht mehr erfüllen kann, müssen sie die zuständigen Marktüberwachungsbehörden und, soweit möglich, die Nutzer der betroffenen Produkte informieren. Auch dafür braucht der Betrieb erreichbare Kontakte, eine belastbare Belegkette und eine freigegebene Kommunikation.
Welche Daten gehören in ERP, PIM und Dokumentenablage?
Das ERP oder Branchensystem bleibt führend für Artikel, Bestand, Auftrag und Belege. Ein PIM kann Produktversionen und Anleitungen führen, während ein Dokumentenmanagement Nachweise versioniert. Beim Andocken an die bestehende Systemlandschaft muss für jedes Feld feststehen, welches System führt und wie ein Sperrstatus alle Verkaufskanäle erreicht.
| Datenbereich | Benötigte Angaben | Typischer Klärfall | |---|---|---| | Geltungsbereich | Produkt mit digitalen Elementen, geprüfte Ausnahme, Prüfdatum | Die Warengruppe allein erlaubt keine eindeutige Einordnung | | Wirtschaftsakteursrolle | Händler, Einführer oder Hersteller je Produkt und Vermarktungsweg | Eigenmarke oder Änderung wurde nicht berücksichtigt | | Produktidentität | Artikel, Modell, Version, Charge, Seriennummer | Lieferantenmeldung nennt eine andere Referenz als das ERP | | Beteiligte Unternehmen | Hersteller, Einführer, Lieferant und erreichbare Kontaktstelle | Der formale Einführer ist im Artikelstamm nicht hinterlegt | | Nachweise | CE-Status, Konformitätserklärung, Anleitung, Dokumentversion | Dokument ist vorhanden, aber nicht der aktuellen Produktversion zugeordnet | | Unterstützungszeitraum | Endtermin und Quelle | Webshop und Lieferantendokument nennen unterschiedliche Angaben | | Freigabe | frei, in Prüfung, gesperrt, zurückgenommen oder zurückgerufen | Ein Kanal verkauft trotz zentraler Sperre weiter | | Schwachstellenfall | Meldung, Bewertung, Maßnahmen, Kommunikation und Abschluss | Einkauf, IT und Vertrieb führen getrennte Vorgänge |
Zusätzlich verlangt Artikel 23 des CRA, dass Wirtschaftsakteure auf Anfrage angeben können, von welchem Wirtschaftsakteur sie ein Produkt bezogen und an welchen Wirtschaftsakteur sie es abgegeben haben. Diese Informationen müssen zehn Jahre nach Bezug beziehungsweise Abgabe vorgelegt werden können. Für den Fachgroßhandel wird Rückverfolgbarkeit damit nicht nur zur Lagerfrage. Artikelreferenz, Geschäftspartner und Belegkette müssen über Systemwechsel und Archivgrenzen hinweg auffindbar bleiben.
Wie wird der CRA-Aufwand wirtschaftlich steuerbar?
Der Business Case entsteht nicht durch eine pauschale Automatisierungsquote. Er entsteht aus den eigenen Such-, Sperr- und Klärfällen. Eine Geschäftsführung sollte vor einem Pilot erfassen, wie viele Produkte noch keine belastbare Rollenzuordnung haben, welche Nachweise fehlen und wie lange der Betrieb heute braucht, um betroffene Ware und Vorgänge zu finden.
Sinnvolle Messgrößen sind:
- Anteil der geprüften Produkte mit klarer CRA-Rolle;
- Anteil vollständig und versioniert hinterlegter Nachweise;
- Zeit von einer Lieferantenmeldung bis zur Bestands- und Vorgangsübersicht;
- Zahl ungeklärter Eigenmarken- oder Einführerfälle;
- Zahl gesperrter Fälle ohne Verantwortlichen oder Frist;
- Zeit von der Meldung bis zur freigegebenen Maßnahme;
- Zahl widersprüchlicher Freigabestatus zwischen ERP, Shop und Niederlassungen.
Diese Werte machen sichtbar, ob der Engpass in der rechtlichen Einordnung, in Lieferantendaten, in Systemübergaben oder in fehlenden Zuständigkeiten liegt. Erst dann lässt sich entscheiden, ob Prozessregeln, Datenpflege, Schnittstellen oder ein ergänzender Workflow den größten Nutzen bringen.
Wie starten Sie einen belastbaren CRA-Pilot?
Wählen Sie eine Produktfamilie mit digitaler Verbindung, mehreren beteiligten Systemen und einem erreichbaren Lieferantenkontakt. Ordnen Sie gemeinsam mit fachlicher und rechtlicher Verantwortung Geltungsbereich, Wirtschaftsakteursrolle, benötigte Nachweise und Sperrgründe zu. Danach verfolgen Sie einen Musterfall von der Lieferantenmeldung über Bestands- und Auftragssuche bis zur freigegebenen Maßnahme.
Der Pilot sollte auch eine Ausnahme enthalten, etwa eine Eigenmarke, eine unklare Version oder einen fehlenden Nachweis. So zeigt sich, ob Zuständigkeit und Rückfallweg tragen. Ein neuer Produktkatalog oder ein isoliertes Compliance-Portal ist kein Selbstzweck. Entscheidend ist, dass der freigegebene Status in Beschaffung, Lager, Shop und Innendienst gleich verstanden wird.
Die branchenübergreifende Seite zum technischen Fachgroßhandel ordnet diese Vorbereitung in weitere Kernprozesse und gewachsene ERP-Landschaften ein. Wenn Sie Rollen, Datenfelder und Systemübergaben für einen abgegrenzten CRA-Pilot aufnehmen möchten, kann Conveso den operativen Prozess mit Ihnen sachlich prüfen. Die rechtliche Bewertung bleibt bei Ihrer dafür qualifizierten Stelle.
Geschäftsführer und Berater für den technischen Fachgroßhandel