Kurz gesagtDer Cyber Resilience Act gilt ab dem 11. Dezember 2027 für Produkte mit digitalen Elementen. Wer eigene, längst gekaufte Notebooks, Smartphones oder Server abgibt, bringt sie nicht erstmals in Verkehr und wird nicht zum Hersteller. Geräte, die vor dem Stichtag in Verkehr kamen, bleiben nach Art. 69 Abs. 2 außen vor, solange sie niemand wesentlich ändert.
Die Verordnung (EU) 2024/2847, bekannt als Cyber Resilience Act (CRA), gilt ab dem 11. Dezember 2027 für Produkte mit digitalen Elementen. Seit der Veröffentlichung taucht in IT-Abteilungen eine Sorge auf: Werden wir zum Hersteller, wenn wir ausgemusterte Notebooks, Smartphones oder Server verkaufen statt sie zu verschrotten? Die Antwort steht in der Verordnung selbst, und sie ist für den Verkauf eigener Altgeräte beruhigend.
Worauf der CRA zielt
Nach Art. 2 Abs. 1 gilt die Verordnung für Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden und deren Zweck eine direkte oder indirekte Datenverbindung einschließt. Notebooks, Smartphones, Server und Switches gehören dazu.
Die Pflichten hängen an Rollen. Hersteller ist nach Art. 3 Nr. 13, wer ein Produkt entwickelt oder herstellt, oder es entwickeln oder herstellen lässt, und es unter eigenem Namen oder eigener Marke vermarktet. Händler ist nach Art. 3 Nr. 17, wer ein Produkt in der Lieferkette ohne Änderung seiner Eigenschaften bereitstellt.
Zwei Begriffe entscheiden den Rest. Inverkehrbringen heißt nach Art. 3 Nr. 21 die erstmalige Bereitstellung eines Produkts auf dem Unionsmarkt. Bereitstellung auf dem Markt heißt nach Art. 3 Nr. 22 jede entgeltliche oder unentgeltliche Abgabe zum Vertrieb oder zur Verwendung im Rahmen einer Geschäftstätigkeit.
Warum der Verkauf eigener Altgeräte keine Herstellerpflichten auslöst
Ein Notebook, das Ihr Lieferant 2023 geliefert hat, wurde damals in Verkehr gebracht, und zwar vom Hersteller. Geben Sie es nach dem Hardware-Wechsel an einen Ankäufer ab, bringen Sie es nicht erneut erstmals in Verkehr. Sie entwickeln es nicht, stellen es nicht her und vermarkten es nicht unter eigener Marke. Hersteller im Sinne von Art. 3 Nr. 13 sind Sie damit nicht.
Dazu kommt eine zeitliche Grenze. Nach Art. 69 Abs. 2 unterliegen Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, den Anforderungen der Verordnung nur dann, wenn sie nach diesem Zeitpunkt wesentlich geändert werden. Für den heutigen Bestand an Firmen-IT bedeutet das Bestandsschutz, solange niemand die Geräte wesentlich ändert.
Was eine wesentliche Änderung ist
Art. 3 Nr. 30 definiert die wesentliche Änderung als Änderung nach dem Inverkehrbringen, die sich auf die Konformität mit den grundlegenden Cybersicherheitsanforderungen auswirkt oder den bestimmungsgemäßen Zweck ändert, für den das Produkt geprüft wurde.
Was bei der Ausmusterung üblich ist, berührt beides nicht: Daten löschen, Betriebssystem neu aufsetzen, Gerät reinigen und prüfen. Für den Teiletausch hilft Art. 2 Abs. 6: Ersatzteile, die identische Komponenten ersetzen und nach denselben Spezifikationen gefertigt sind, nimmt die Verordnung ausdrücklich aus.
Anders liegt der Fall, wenn ein Anbieter Geräte funktional umbaut, ihnen eine neue vernetzte Funktion gibt oder sie unter eigener Marke neu vermarktet. Dann greift die Herstellerdefinition. Das betrifft nicht Sie als abgebendes Unternehmen, sondern den Ankäufer. Fragen dürfen Sie trotzdem.
Die Fristen
| Datum | Was gilt | Rechtsgrundlage |
|---|---|---|
| 11. Juni 2026 | Kapitel IV zu den Konformitätsbewertungsstellen (Art. 35 bis 51) | Art. 71 Abs. 2 |
| 11. September 2026 | Meldepflichten der Hersteller für aktiv ausgenutzte Schwachstellen (Art. 14) | Art. 71 Abs. 2 |
| 11. Dezember 2027 | Verordnung insgesamt | Art. 71 Abs. 2 |
Die Meldepflichten nach Art. 14 verlangen von Herstellern eine Frühwarnung innerhalb von 24 Stunden und eine Schwachstellenmeldung innerhalb von 72 Stunden, nachdem sie Kenntnis erlangt haben. Nach Art. 69 Abs. 3 gilt Art. 14 auch für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden. Auch das ist eine Herstellerpflicht. Für ein Unternehmen, das nur eigene Altgeräte abgibt, ist keines der drei Daten ein Stichtag.
Ein Punkt lohnt den Blick nach vorn. Nach Art. 13 Abs. 8 legen Hersteller für jedes Produkt einen Unterstützungszeitraum fest, in dem sie Schwachstellen behandeln müssen. Er beträgt mindestens fünf Jahre, außer das Produkt ist erwartbar kürzer in Betrieb. Für Geräte, die Sie nach dem Geltungsbeginn neu kaufen, wird dieser Zeitraum zur Kennzahl im Inventar. Läuft er ab, sinkt der Wert, auch beim Verkauf.
Was den Verkauf alter IT tatsächlich regelt
Die Pflichten bei der Ausmusterung kommen aus anderen Regelwerken. Die DSGVO verlangt, dass personenbezogene Daten auf den Geräten sicher gelöscht werden, mit Nachweis. Das ElektroG regelt, was gilt, wenn ein Gerät zu Abfall wird. Finanzunternehmen haben zusätzlich DORA, wichtige Einrichtungen NIS2. Was NIS2 für die Entsorgung alter IT bedeutet, steht im Beitrag NIS2 und alte IT.
Der CRA reguliert das Produkt und seinen Hersteller, nicht Ihre Entscheidung, ein Gerät zu verkaufen. Der teuerste Fehler bleibt deshalb derselbe wie vor der Verordnung: aus Unsicherheit Geräte zu schreddern, die noch Wert haben. Der CRA liefert dafür kein Argument. Die Abfallhierarchie stellt die Wiederverwendung ohnehin vor das Recycling.
Vier Fragen an Ihren Ankäufer
Die Verordnung richtet ihre Pflichten an Hersteller, Einführer und Händler von Produkten. Ein Zertifikat für Ankäufer gebrauchter Geräte kennt sie nicht. Wer Ihnen eine „CRA-Zertifizierung“ anbietet, hat die Verordnung vermutlich nicht gelesen. Belastbar sind Antworten auf konkrete Fragen:
- Vermarkten Sie die Geräte unter eigener Marke?
- Welche Eingriffe nehmen Sie vor: Instandsetzung mit passenden Ersatzteilen oder Umbauten mit neuen Funktionen?
- Bekomme ich ein Löschprotokoll je Gerät mit Seriennummer?
- Wohin gehen die Geräte, und wie wird das dokumentiert?
Was Sie jetzt tun sollten
- Verkaufen Sie ausgemusterte Geräte wie bisher. Der CRA begründet für den Verkauf eigener Altgeräte keine neue Pflicht.
- Halten Sie die Unterlagen zusammen, die Sie ohnehin brauchen: Inventarliste, Übergabeschein, Löschprotokoll je Gerät. Zusammen bilden sie die Nachweiskette.
- Klären Sie mit Ihrem Ankäufer die vier Fragen oben und halten Sie die Antworten schriftlich fest.
- Notieren Sie bei Neukäufen ab 2027 den Unterstützungszeitraum des Herstellers im Inventar.
- Schicken Sie uns Ihre Liste über das Anfrageformular. Sie bekommen noch am selben Werktag eine Antwort, mit Rückfragen oder direkt mit einem Angebot und einem Preis je Gerät. Wie die Ausmusterung bei uns abläuft, steht unter IT ausmustern.
Dieser Beitrag ersetzt keine Rechtsberatung.
Quellen
Begriffe aus diesem Beitrag
Keine Rechtsberatung. Stand der Angaben: 6. November 2026.
