Player unter eigenem Namen: Wer so zum Hersteller wird

In der Digital-Signage-Branche ist es üblich, Player nicht selbst zu bauen. Ein Systemhaus bestellt Geräte bei einem Auftragsfertiger in Asien, lässt das eigene Logo aufdrucken, spielt eine eigene Software auf und verkauft das Ganze als eigenes Produkt. Für die Verordnung (EU) 2024/2847, den Cyber Resilience Act, ist das kein Detail. Sie verteilt die Pflichten nach Rollen, und wer das eigene Etikett aufklebt, wechselt die Rolle.

Drei Rollen in der Lieferkette

Die Verordnung unterscheidet in Artikel 3 drei Wirtschaftsakteure.

Hersteller ist, wer Produkte mit digitalen Elementen entwickelt oder herstellt, oder wer sie entwickeln oder herstellen lässt und unter seinem Namen oder seiner Marke vermarktet.

Einführer ist, wer in der Union ansässig ist und ein Produkt unter dem Namen oder der Marke eines Unternehmens aus einem Drittstaat in der Union in den Verkehr bringt.

Händler ist, wer ein Produkt in der Lieferkette bereitstellt, ohne dessen Eigenschaften zu ändern, und weder Hersteller noch Einführer ist.

Was Einführer prüfen müssen

Wer Player mit dem Markennamen des ausländischen Herstellers einführt, muss nach Artikel 19 vor dem Verkauf sicherstellen, dass der Hersteller das Konformitätsbewertungsverfahren durchgeführt und die technische Dokumentation erstellt hat, dass das Produkt die CE-Kennzeichnung trägt und dass Konformitätserklärung und Anleitung in verständlicher Sprache beiliegen. Der Einführer muss seinen eigenen Namen, seine Postanschrift und eine digitale Kontaktmöglichkeit auf dem Produkt, der Verpackung oder in den Unterlagen angeben. Die Konformitätserklärung hält er mindestens zehn Jahre für die Marktüberwachung bereit, oder für den Unterstützungszeitraum, falls dieser länger ist.

Erfährt der Einführer von einer Schwachstelle, informiert er unverzüglich den Hersteller. Stellt der Hersteller den Betrieb ein, muss der Einführer die Marktüberwachung und, soweit möglich, die Nutzer unterrichten.

Was Händler prüfen müssen

Für Händler ist die Liste kürzer. Artikel 20 verlangt gebührende Sorgfalt. Vor dem Verkauf prüft der Händler, ob die CE-Kennzeichnung vorhanden ist und ob Hersteller und Einführer ihre Angaben gemacht und die nötigen Dokumente geliefert haben. Hat er Grund zur Annahme, dass das Produkt den Anforderungen nicht genügt, darf er es nicht bereitstellen, bis das behoben ist.

Der Rollenwechsel

Artikel 21 ist für die Branche der entscheidende Satz. Ein Einführer oder Händler gilt als Hersteller und unterliegt dessen Pflichten, wenn er ein Produkt unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung an einem bereits verkauften Produkt vornimmt.

Das eigene Logo auf dem Gehäuse genügt also. Wer so verkauft, schuldet die Pflichten der Artikel 13 und 14: Sicherheitsanforderungen über die Lebensdauer, Umgang mit Schwachstellen, Meldungen, Dokumentation. Auf den Auftragsfertiger zu verweisen, hilft dann nicht mehr.

Als wesentliche Änderung definiert die Verordnung eine Änderung nach dem Inverkehrbringen, die sich auf die Konformität mit den Sicherheitsanforderungen auswirkt oder den bestimmungsgemäßen Zweck ändert. Artikel 22 erstreckt das auf jeden, der eine solche Änderung vornimmt und das Produkt bereitstellt, auch wenn er weder Einführer noch Händler ist.

Der Zeitplan

Die Verordnung gilt nach Artikel 71 ab dem 11. Dezember 2027. Die Meldepflichten des Artikels 14 gelten bereits seit dem 11. September 2026.

Was jetzt zu klären ist

1. Unter wessen Namen steht das Gerät im Angebot und auf dem Typenschild?
2. Welche Unterlagen liefert der Fertiger, und reichen sie für eine Konformitätserklärung?
3. Wer liefert Sicherheitsupdates für die Firmware des Geräts, und wie lange ist das vertraglich zugesagt?
4. Wer nimmt Meldungen über Schwachstellen entgegen?

Wer diese Fragen mit dem Lieferanten erst Ende 2027 stellt, verhandelt unter Zeitdruck.

Dieser Beitrag gibt den Verordnungstext wieder und ersetzt keine Rechtsberatung.