Bestandsprodukte (Übergangsbestimmung)
Was heute schon verkauft wird, muss nicht nachträglich konform gemacht werden. Für die Meldepflicht gilt diese Schonung nicht: Sie trifft seit dem 11. September 2026 jedes Produkt im Markt, auch solche, deren Support längst abgelaufen ist.
Bestandsprodukte sind Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Nach der Übergangsbestimmung des Artikel 69 fallen sie nur bei einer wesentlichen Änderung unter die Anforderungen der Verordnung; die Meldepflicht nach Artikel 14 gilt für sie trotzdem.
Definition in der Verordnung
Der Begriff wird in der Verordnung nicht eigens definiert; er beschreibt die Übergangsregel in Artikel 69 der Verordnung (EU) 2024/2847. Danach gelten die Anforderungen für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, nur, wenn diese Produkte danach wesentlich geändert werden. Davon ausgenommen ist die Meldepflicht: Nach Artikel 69 Absatz 3 und Artikel 71 Absatz 2 gilt Artikel 14 seit dem 11. September 2026 für alle Hersteller. Die Kommissionsleitlinie C(2026) 5252 bestätigt in Randnummer 210, dass die Meldepflicht auch Produkte erfasst, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, und auch nach dem Ende des Unterstützungszeitraums weiterläuft. Nach Randnummer 217 gibt es keine Rückwirkung: Ausnutzungen, die der Hersteller schon vor dem 11. September 2026 kannte, sind nicht nachzumelden.
Was das für Hersteller bedeutet
Für das Bestandsportfolio heißt das zweierlei. Erstens: Wird eine Schwachstelle in einem älteren Produkt aktiv ausgenutzt, läuft die 24-Stunden-Frist, auch wenn das Produkt nie eine CE-Kennzeichnung nach dem CRA brauchte. Wer melden will, muss wissen, welche Versionen in welchen Mitgliedstaaten im Einsatz sind. Zweitens: Ein Update, das Konformität, Risiko oder Zweckbestimmung berührt, etwa eine neue Fernverbindung, kann eine wesentliche Änderung sein und das Produkt vollständig in die Verordnung holen; reine Sicherheitskorrekturen sind das nicht. Der Bußgeldrahmen nach Artikel 64 gilt nach Artikel 71 Absatz 2 erst ab dem 11. Dezember 2027, die Pflicht selbst aber jetzt.
Verwandte Begriffe
- Wesentliche Änderung
- Inverkehrbringen
- Unterstützungszeitraum
- Kenntnis (Fristbeginn)
- Cyber Resilience Act (CRA)