CRA für französische Hersteller: ANSSI, ANFR, CE-Kennzeichnung

Französische Hersteller unterliegen denselben Pflichten der Cyberresilienz-Verordnung wie alle anderen EU-Hersteller. Dieser Länder-Brief beschreibt, wie Schwachstellen- und Vorfallmeldungen über CERT-FR (das operative CSIRT der ANSSI) laufen, wie Frankreich die Zuständigkeiten für die Konformitätsbewertung zwischen der Notifizierungsrolle der ANSSI und der Akkreditierungsrolle des COFRAC aufteilt, warum ANFR nach Angaben von ANSSI und der Direction générale des entreprises die CRA-Marktüberwachungsbehörde ist, ohne dass wir bisher ein Instrument im Journal Officiel gefunden haben (eine Rolle, die oft fälschlich DGCCRF zugeschrieben wird), was die französische Sprachpflicht konkret verlangt, und welche Bpifrance- und France-2030-Linien für Compliance-Investitionen offen sind. Das vollständige Pflichtenset finden Sie im Cluster-Leitfaden für Hersteller.

Für wen dieser Leitfaden gilt

Sie sind die Zielgruppe, wenn Ihre Hersteller-Hauptniederlassung in der Union in Frankreich liegt. Das ist der Ort, an dem die Entscheidungen zur Cybersicherheit Ihrer Produkte mit digitalen Elementen überwiegend getroffen werden. Eine in Frankreich eingetragene Vertriebsgesellschaft mit Engineering im Ausland ist nicht die Hauptniederlassung. Wenn Ihr Engineering-Team, Ihre SDLC-Governance und die für Sicherheits-Update-Freigaben zuständigen Personen in Frankreich sitzen, gilt dieser Leitfaden für Sie.

Liegt Ihre Hauptniederlassung in einem anderen EU-Mitgliedstaat und Sie liefern nur nach Frankreich, laufen Ihre CRA-Meldungen über das CSIRT Ihres Hauptniederlassungs-Mitgliedstaats, nicht über CERT-FR. Die französische Sprachpflicht für nutzerseitige Informationen gilt dennoch für jedes Produkt, das auf dem französischen Markt bereitgestellt wird.

ANSSI und CERT-FR: der französische CSIRT-Weg

CRA-Meldungen laufen über das CSIRT, das als Koordinator des Mitgliedstaats benannt ist, in dem der Hersteller seine Hauptniederlassung in der Union hat. Für einen Hersteller mit Hauptniederlassung in Frankreich ist dieses CSIRT CERT-FR, der operative Arm der ANSSI (Agence nationale de la sécurité des systèmes d'information).

ANSSI ist dem SGDSN angegliedert und betreibt die französischen nationalen Zertifizierungsschemata (CSPN, Visa de Sécurité) sowie die akkreditierten Bewertungszentren (CESTI). CERT-FR veröffentlicht französischsprachige Schwachstellenhinweise und betreibt den nationalen Strang der Schwachstellenkoordination.

CERT-FR Kontakt: Website https://cert.cyber.gouv.fr/, E-Mail cert-fr@ssi.gouv.fr. ANSSI: https://cyber.gouv.fr/.

Der technische Kanal für die 24-Stunden/72-Stunden/14-Tage-Meldekadenz ist die ENISA Single Reporting Platform, die seit dem 11. September 2026 in Betrieb ist. Ein französischer Hersteller reicht über diese Plattform ein, mit CERT-FR als empfangendem Koordinator. Die CSIRT-Benennung gibt das Routing vor. Die Plattform ist der Transport.

Notifizierte Stellen: ANSSI notifiziert, COFRAC akkreditiert

Produkte der Wichtigen Klasse I benötigen eine notifizierte Stelle (Modul B+C oder Modul H) nur dann, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein Zertifizierungsschema sie nicht vollständig abdecken. Produkte der Wichtigen Klasse II nutzen eine notifizierte Stelle (Modul B+C oder Modul H) oder ein verfügbares und anwendbares Zertifizierungsschema. Kritische Produkte (Anhang IV) folgen Artikel 32(4): dem Zertifizierungsweg nach Artikel 8(1), wo die Kommission ihn ausgelöst hat, andernfalls denselben Wegen nach Artikel 32(3).

Das französische Institutionengefüge sieht folgendermaßen aus:

• ANSSI ist die notifizierende Behörde, die französische notifizierte Stellen formal bei der Europäischen Kommission unter der Cyberresilienz-Verordnung benennt. ANSSI bewertet, kontrolliert und notifiziert die Konformitätsbewertungsstellen.
• COFRAC (Comité français d'accréditation) ist die französische nationale Akkreditierungsstelle und bewertet die technische Kompetenz eines Kandidaten. Die Notifizierung durch ANSSI stützt sich in der Regel auf diese Akkreditierung.

Der CRA-Rahmen für notifizierte Stellen gilt seit dem 11. Juni 2026. ANSSI wird als notifizierende Behörde die Stellen auf der Grundlage der COFRAC-Akkreditierung bewerten, überprüfen und notifizieren (ANSSI, September 2026). Stand 17. Oktober 2026 führt NANDO ANSSI als französische CRA-Notifizierungsbehörde, listet aber weiterhin keine notifizierte Stelle nach der Cyberresilienz-Verordnung. Artikel 1 des Décret n° 2026-944 vom 9. Oktober 2026, in Kraft seit dem 12. Oktober 2026, bestimmt ANSSI als CRA-notifizierende Behörde, und der Erlass regelt die Notifizierung von Konformitätsbewertungsstellen nach der Cyberresilienz-Verordnung. Die Notifizierung stützt sich in der Regel auf eine Akkreditierungsurkunde von COFRAC. Die Verordnung erlaubt auch eine Notifizierung ohne Urkunde auf der Grundlage von Nachweisunterlagen, dann beträgt die Frist für Einwände zwei Monate statt zwei Wochen. Die Benennung der ANFR als Marktüberwachungsbehörde und die nationalen Durchsetzungsregeln sind gesondert anhand der einschlägigen französischen Rechtsinstrumente zu prüfen.

Ein französischer Hersteller kann jede EU-notifizierte Stelle nutzen, nicht nur die in Frankreich benannten. Die Wahl einer französisch benannten Stelle (LNE, LCIE Bureau Veritas, SGS France und weitere historisch akkreditierte Stellen) ist eine Beschaffungspräferenz, keine CRA-Anforderung. Die endgültigen CRA-Benennungen werden in der NANDO-Datenbank der Europäischen Kommission veröffentlicht.

ANFR: die CRA-Marktüberwachungsbehörde

Die CRA-Marktüberwachung für Produkte mit digitalen Elementen auf dem französischen Markt liegt bei ANFR (Agence nationale des fréquences), nicht bei DGCCRF. ANSSI bestätigt dies auf ihrer offiziellen CRA-Seite unter cyber.gouv.fr (September 2026). ANSSI selbst leistet technische Unterstützung für ANFR im Marktüberwachungsrahmen. Prüfen Sie die endgültige Benennung im Journal Officiel, bevor Sie formale Einreichungen vornehmen.

Der französische Umsetzungspfad würde ANFR Sanktionsbefugnisse bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes für die schwerwiegendsten CRA-Verstöße geben, innerhalb der EU-weiten Obergrenzen der Verordnung.

DGCCRF behält ihre allgemeine Funktion als Marktüberwachungsbehörde für Verbraucherprodukte und wird weiterhin nicht-konforme Waren an der Grenze oder im Handel aufdecken. Die CRA-Marktüberwachungsrolle für digitale Produkte liegt jedoch bei ANFR. Planen Sie in Richtung ANFR, prüfen Sie aber vor formalen Einreichungen den endgültigen JO-Text.

Französische Sprachpflicht in der Praxis

Die Cyberresilienz-Verordnung verlangt, dass nutzerseitige Produktinformationen in einer Sprache vorliegen, die von Nutzern und der lokalen Marktüberwachungsbehörde leicht verstanden wird. Für Produkte auf dem französischen Markt ist das Französisch. Die Loi Toubon (Loi n° 94-665, Französisches Sprachgesetz) schreibt Französisch in allen Verbraucherinformationen unabhängig davon vor, sodass die CRA-Pflicht mit einer seit Langem bestehenden nationalen Regelung übereinstimmt.

Muss auf Französisch vorliegen:

• Die Benutzeranleitung und Produktinformationen, die mit dem Produkt ausgeliefert werden.
• Die Herstellerkontaktdaten (Name, Adresse, E-Mail oder anderer digitaler Kontakt), wo immer sie erscheinen, einschließlich auf dem Produkt selbst, der Verpackung oder einem Begleitdokument.
• Die Angabe des Support-Enddatums am Point of Purchase.

Kann mehrsprachig sein:

• Das Produktetikett und die CE-Kennzeichnung.
• Verpackungstext.
• Online-Dokumentation, sofern eine französische Version erreichbar ist.

Englisch wird in der Regel akzeptiert für:

• Interne technische Dokumentation. ANFR oder die Marktüberwachungsbehörde eines anderen Mitgliedstaats kann bei einem begründeten Antrag eine französische Übersetzung anfordern. Planen Sie daher diese Möglichkeit ein, auch wenn Sie nicht proaktiv übersetzen.

Die EU-Konformitätserklärung muss in den Sprachen verfügbar gemacht werden, die der Mitgliedstaat verlangt, in dem das Produkt in Verkehr gebracht oder auf dem Markt bereitgestellt wird. Für Frankreich sollten Sie eine französische Fassung einplanen und die Übersetzung nicht nur als Inspektionsrisiko behandeln.

Grenzüberschreitender Vertrieb aus Frankreich

Französische Hersteller, die nach Belgien, Spanien, Deutschland, Italien oder andere EU-Mitgliedstaaten liefern, unterliegen derselben einheitlichen Routing-Regel: Ihre Meldungen laufen weiterhin über CERT-FR, da das Routing der Hauptniederlassung folgt, nicht dem Lieferziel pro Sendung. Sie reichen nicht beim belgischen, spanischen, deutschen oder italienischen CSIRT ein.

Die Sprachpflicht fächert sich je nach Markt auf. Ein Produkt, das auf dem spanischen Markt bereitgestellt wird, benötigt spanische nutzerseitige Inhalte. Ein Produkt für den deutschen Markt benötigt deutsche Inhalte. Das einsprachige französische Paket deckt diese Märkte nicht ab.

Die Marktüberwachungsbehörde des jeweiligen Mitgliedstaats kann auch Ihre technische Dokumentation in einer für sie leicht verständlichen Sprache anfordern. Wenn Ihr Vertrieb sich breit über die EU erstreckt, rechnen Sie mit Anfragen in mindestens einer weit verbreiteten Arbeitssprache. Eine frühzeitige Übersetzung der am häufigsten nachgefragten Abschnitte der technischen Dokumentation ist eine praktische Absicherung.

Nationale Förderprogramme

Anders als beim spanischen Plan de Recuperación, der sein NextGenEU-Fenster 2026 schließt, bleiben die französischen nationalen Programme für Cybersicherheitsinvestitionen 2026 und darüber hinaus offen und aktiv.

• Bpifrance betreibt das Diagnostic Cybersécurité (gefördertes Cybersicherheits-Audit für KMU) und das Cyber-PME-Programm. Cyber PME Phase B nahm bis zum 26. November 2025 Anträge für Unternehmen an, deren Sicherheitsplan-Einreichungsdatum nach dem 1. Januar 2024 liegt. Phase A und Folgezuteilungen laufen weiterhin.
• France 2030 ist der nationale Investitionsplan mit cybersicherheitsspezifischen Ausschreibungen, die gemeinsam vom Generalsekretariat für Investitionen (SGPI), Bpifrance und ANSSI betrieben werden. Ausschreibungen zur Cybersicherheitsproduktentwicklung werden mit dem EU Digital Europe Programme kofinanziert, wobei jüngste Ausschreibungen bis zu 2 Millionen Euro kombinierte Förderung bieten. CRA-getriebene Sicherheits-F&E passt, wenn der Ansatz echte Produktentwicklungsinnovation ist.
• France Num bietet regionale Diagnose-Voucher über die Industrie- und Handelskammern. Nützlich für einen ersten Plan de Cybersécurité, aber nicht für vollständige CRA-Tooling-Investitionen.
• Prêt Innovation und die Aide pour le développement de l'innovation sind Bpifrance-Kredit- und Förderlinien, die SBOM-Tooling, den Aufbau von Schwachstellenbehandlungskapazitäten und Konformitätsbewertungsgebühren finanzieren können, wenn die Cybersicherheitsarbeit eine echte Innovationskomponente hat.

Förderfenster und Budgetobergrenzen ändern sich jährlich. Prüfen Sie die aktuelle Ausschreibung, bevor Sie eine Linie in Ihre Planung aufnehmen.

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische CRA-Compliance-Beratung wenden Sie sich an qualifizierte Rechtsberater.