CRA für französische Hersteller: ANSSI, ANFR, CE-Kennzeichnung

Französische Hersteller unterliegen denselben Pflichten der Cyberresilienz-Verordnung wie alle anderen EU-Hersteller. Dieser Länder-Brief beschreibt, wie Schwachstellen- und Vorfallmeldungen über CERT-FR (das operative CSIRT der ANSSI) laufen, wie die Konformitätsbewertungsstellen unter dem französischen Institutionengefüge voraussichtlich benannt werden (ANSSI notifiziert, COFRAC akkreditiert), warum ANFR bis zur formalen Veröffentlichung im Journal Officiel die führende Kandidatin für die CRA-Marktüberwachung ist (eine Rolle, die oft fälschlich DGCCRF zugeschrieben wird), was die französische Sprachpflicht konkret verlangt, und welche Bpifrance- und France-2030-Linien für Compliance-Investitionen offen sind. Das vollständige Pflichtenset finden Sie im Cluster-Leitfaden für Hersteller.

Für wen dieser Leitfaden gilt

Sie sind die Zielgruppe, wenn Ihre Hersteller-Hauptniederlassung in der Union in Frankreich liegt. Das ist der Ort, an dem die Entscheidungen zur Cybersicherheit Ihrer Produkte mit digitalen Elementen überwiegend getroffen werden. Eine in Frankreich eingetragene Vertriebsgesellschaft mit Engineering im Ausland ist nicht die Hauptniederlassung. Wenn Ihr Engineering-Team, Ihre SDLC-Governance und die für Sicherheits-Update-Freigaben zuständigen Personen in Frankreich sitzen, gilt dieser Leitfaden für Sie.

Liegt Ihre Hauptniederlassung in einem anderen EU-Mitgliedstaat und Sie liefern nur nach Frankreich, laufen Ihre CRA-Meldungen über das CSIRT Ihres Hauptniederlassungs-Mitgliedstaats, nicht über CERT-FR. Die französische Sprachpflicht für nutzerseitige Informationen gilt dennoch für jedes Produkt, das auf dem französischen Markt bereitgestellt wird.

ANSSI und CERT-FR: der französische CSIRT-Weg

CRA-Meldungen laufen über das CSIRT, das als Koordinator des Mitgliedstaats benannt ist, in dem der Hersteller seine Hauptniederlassung in der Union hat. Für einen Hersteller mit Hauptniederlassung in Frankreich ist dieses CSIRT CERT-FR, der operative Arm der ANSSI (Agence nationale de la sécurité des systèmes d'information).

ANSSI ist dem SGDSN angegliedert und betreibt die französischen nationalen Zertifizierungsschemata (CSPN, Visa de Sécurité) sowie die akkreditierten Bewertungszentren (CESTI). CERT-FR veröffentlicht französischsprachige Schwachstellenhinweise und betreibt den nationalen Strang der Schwachstellenkoordination.

CERT-FR Kontakt: Website https://www.cert.ssi.gouv.fr, E-Mail cert-fr@ssi.gouv.fr. ANSSI: https://www.ssi.gouv.fr.

Der technische Kanal für die 24-Stunden/72-Stunden/14-Tage-Meldekadenz ist die ENISA Single Reporting Platform, die ab dem 11. September 2026 in Betrieb geht. Ein französischer Hersteller reicht über diese Plattform ein, mit CERT-FR als empfangendem Koordinator. Die CSIRT-Benennung gibt das Routing vor. Die Plattform ist der Transport.

Notifizierte Stellen: ANSSI notifiziert, COFRAC akkreditiert

Produkte der Wichtigen Klasse I benötigen eine notifizierte Stelle (Modul B+C oder Modul H) nur dann, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema sie nicht vollständig abdecken. Produkte der Wichtigen Klasse II nutzen eine notifizierte Stelle (Modul B+C oder Modul H) oder ein verfügbares und anwendbares Zertifizierungsschema. Kritische Produkte (Anhang IV) folgen Artikel 32(4): dem Zertifizierungsweg nach Artikel 8(1), wo die Kommission ihn ausgelöst hat, andernfalls denselben Wegen nach Artikel 32(3).

Das französische Institutionengefüge sieht folgendermaßen aus:

• ANSSI ist die notifizierende Behörde, die französische notifizierte Stellen formal bei der Europäischen Kommission unter der Cyberresilienz-Verordnung benennt. ANSSI bewertet, kontrolliert und notifiziert die Konformitätsbewertungsstellen.
• COFRAC (Comité français d'accréditation) ist die französische nationale Akkreditierungsstelle und bewertet die technische Kompetenz eines Kandidaten, bevor ANSSI ihn notifiziert.

Der CRA-Rahmen für notifizierte Stellen gilt ab dem 11. Juni 2026, mit der Akkreditierungs- und Notifizierungsphase von ANSSI zwischen Juni und Dezember 2026. Stand 11. Juni 2026 zeigt NANDO weiterhin keine EU-weit unter der Cyberresilienz-Verordnung benannten notifizierten Stellen. Prüfen Sie das endgültige französische Journal-Officiel-Instrument, bevor Sie sich auf nationale Benennungen stützen.

Ein französischer Hersteller kann jede EU-notifizierte Stelle nutzen, nicht nur die in Frankreich benannten. Die Wahl einer französisch benannten Stelle (LNE, LCIE Bureau Veritas, SGS France und weitere historisch akkreditierte Stellen) ist eine Beschaffungspräferenz, keine CRA-Anforderung. Die endgültigen CRA-Benennungen werden in der NANDO-Datenbank der Europäischen Kommission veröffentlicht.

ANFR: die CRA-Marktüberwachungsbehörde

Die CRA-Marktüberwachung für Produkte mit digitalen Elementen auf dem französischen Markt soll voraussichtlich bei ANFR (Agence nationale des fréquences) liegen, nicht bei DGCCRF. ANSSI bestätigt diese institutionelle Richtung auf ihrer offiziellen CRA-Seite unter cyber.gouv.fr. ANSSI selbst leistet technische Unterstützung für ANFR im Marktüberwachungsrahmen. Prüfen Sie die endgültige Benennung im Journal Officiel, bevor Sie formale Einreichungen vornehmen.

Der französische Umsetzungspfad würde ANFR Sanktionsbefugnisse bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes für die schwerwiegendsten CRA-Verstöße geben, innerhalb der EU-weiten Obergrenzen der Verordnung.

DGCCRF behält ihre allgemeine Funktion als Marktüberwachungsbehörde für Verbraucherprodukte und wird weiterhin nicht-konforme Waren an der Grenze oder im Handel aufdecken. Die erwartete CRA-Marktüberwachungsrolle für digitale Produkte liegt jedoch bei ANFR. Planen Sie in Richtung ANFR, prüfen Sie aber vor formalen Einreichungen den endgültigen JO-Text.

Französische Sprachpflicht in der Praxis

Die Cyberresilienz-Verordnung verlangt, dass nutzerseitige Produktinformationen in einer Sprache vorliegen, die von Nutzern und der lokalen Marktüberwachungsbehörde leicht verstanden wird. Für Produkte auf dem französischen Markt ist das Französisch. Die Loi Toubon (Loi n° 94-665, Französisches Sprachgesetz) schreibt Französisch in allen Verbraucherinformationen unabhängig davon vor, sodass die CRA-Pflicht mit einer seit Langem bestehenden nationalen Regelung übereinstimmt.

Muss auf Französisch vorliegen:

• Die Benutzeranleitung und Produktinformationen, die mit dem Produkt ausgeliefert werden.
• Die Herstellerkontaktdaten (Name, Adresse, E-Mail oder anderer digitaler Kontakt), wo immer sie erscheinen, einschließlich auf dem Produkt selbst, der Verpackung oder einem Begleitdokument.
• Die Angabe des Support-Enddatums am Point of Purchase.

Kann mehrsprachig sein:

• Das Produktetikett und die CE-Kennzeichnung.
• Verpackungstext.
• Online-Dokumentation, sofern eine französische Version erreichbar ist.

Englisch wird in der Regel akzeptiert für:

• Interne technische Dokumentation. ANFR oder die Marktüberwachungsbehörde eines anderen Mitgliedstaats kann bei einem begründeten Antrag eine französische Übersetzung anfordern. Planen Sie daher diese Möglichkeit ein, auch wenn Sie nicht proaktiv übersetzen.

Die EU-Konformitätserklärung muss in den Sprachen verfügbar gemacht werden, die der Mitgliedstaat verlangt, in dem das Produkt in Verkehr gebracht oder auf dem Markt bereitgestellt wird. Für Frankreich sollten Sie eine französische Fassung einplanen und die Übersetzung nicht nur als Inspektionsrisiko behandeln.

Grenzüberschreitender Vertrieb aus Frankreich

Französische Hersteller, die nach Belgien, Spanien, Deutschland, Italien oder andere EU-Mitgliedstaaten liefern, unterliegen derselben einheitlichen Routing-Regel: Ihre Meldungen laufen weiterhin über CERT-FR, da das Routing der Hauptniederlassung folgt, nicht dem Lieferziel pro Sendung. Sie reichen nicht beim belgischen, spanischen, deutschen oder italienischen CSIRT ein.

Die Sprachpflicht fächert sich je nach Markt auf. Ein Produkt, das auf dem spanischen Markt bereitgestellt wird, benötigt spanische nutzerseitige Inhalte. Ein Produkt für den deutschen Markt benötigt deutsche Inhalte. Das einsprachige französische Paket deckt diese Märkte nicht ab.

Die Marktüberwachungsbehörde des jeweiligen Mitgliedstaats kann auch Ihre technische Dokumentation in einer für sie leicht verständlichen Sprache anfordern. Wenn Ihr Vertrieb sich breit über die EU erstreckt, rechnen Sie mit Anfragen in mindestens einer weit verbreiteten Arbeitssprache. Eine frühzeitige Übersetzung der am häufigsten nachgefragten Abschnitte der technischen Dokumentation ist eine praktische Absicherung.

Nationale Förderprogramme

Anders als beim spanischen Plan de Recuperación, der sein NextGenEU-Fenster 2026 schließt, bleiben die französischen nationalen Programme für Cybersicherheitsinvestitionen 2026 und darüber hinaus offen und aktiv.

• Bpifrance betreibt das Diagnostic Cybersécurité (gefördertes Cybersicherheits-Audit für KMU) und das Cyber-PME-Programm. Cyber PME Phase B nahm bis zum 26. November 2025 Anträge für Unternehmen an, deren Sicherheitsplan-Einreichungsdatum nach dem 1. Januar 2024 liegt. Phase A und Folgezuteilungen laufen weiterhin.
• France 2030 ist der nationale Investitionsplan mit cybersicherheitsspezifischen Ausschreibungen, die gemeinsam vom Generalsekretariat für Investitionen (SGPI), Bpifrance und ANSSI betrieben werden. Ausschreibungen zur Cybersicherheitsproduktentwicklung werden mit dem EU Digital Europe Programme kofinanziert, wobei jüngste Ausschreibungen bis zu 2 Millionen Euro kombinierte Förderung bieten. CRA-getriebene Sicherheits-F&E passt, wenn der Ansatz echte Produktentwicklungsinnovation ist.
• France Num bietet regionale Diagnose-Voucher über die Industrie- und Handelskammern. Nützlich für einen ersten Plan de Cybersécurité, aber nicht für vollständige CRA-Tooling-Investitionen.
• Prêt Innovation und die Aide pour le développement de l'innovation sind Bpifrance-Kredit- und Förderlinien, die SBOM-Tooling, den Aufbau von Schwachstellenbehandlungskapazitäten und Konformitätsbewertungsgebühren finanzieren können, wenn die Cybersicherheitsarbeit eine echte Innovationskomponente hat.

Förderfenster und Budgetobergrenzen ändern sich jährlich. Prüfen Sie die aktuelle Ausschreibung, bevor Sie eine Linie in Ihre Planung aufnehmen.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische CRA-Compliance-Beratung wenden Sie sich an qualifizierte Rechtsberater.