Komponenten Dritter im CRA: integrieren oder importieren?

Sie kaufen ein Bluetooth-Modul. Oder ein Firmware-SDK. Oder einen fertigen vernetzten Thermostat mit dem Logo eines Lieferanten auf der Verpackung.

Das sind nicht dieselben CRA-Fragen. Wenn Sie das Teil in Ihr eigenes Produkt integrieren, gehört Ihnen die Dokumentation des Endprodukts. Wenn Sie ein fertiges Produkt mit fremder Marke importieren, prüfen Sie die Unterlagen des Herstellers. Diese Unterscheidung treffen Sie vor der Bestellung, nicht nach Eintreffen der Lieferung.

Die Frage, die europäische Einkäufer wirklich stellen

Die Frage ist selten als juristische Rollenfrage formuliert. Sie klingt nach Beschaffung:

• „Wir kaufen das Funkmodul bei einem Lieferanten."
• „Das Cloud-SDK kommt von einem Anbieter."
• „Der ODM schickt uns die Platine, wir flashen unsere Firmware."
• „Das fertige Gerät kommt von einem Hersteller außerhalb der EU."

Jeder Satz weist auf ein anderes Dokumentationsmuster hin. Der Fehler besteht darin, alle als „Lieferanten-Due-Diligence" zu behandeln.

Unsere Sicht: Die Rollenentscheidung gehört in die Beschaffung. Wartet der Einkauf, bis das Produkt im Lager steht, erbt das Compliance-Team einen Sachverhalt, den es kaum noch ändern kann. In der Bestellung sollte schon stehen, ob Ihr Unternehmen die Dokumentation des Endprodukts erstellt oder die Endprodukt-Dokumentation des Lieferanten prüft.

Die vollständige Rollenübersicht liefert der CRA-Entscheidungsbaum zur Rolle. Für die Kaufweiche bleibt der Fokus auf den Nachweisen, die aus dem Beschaffungsvorgang folgen.

Die Weiche: Teile integrieren oder fertige Produkte importieren

Die erste Weiche ist praktisch:

Beschaffungsvorgang	Einfacher Praxistest	Ergebnis für die Dokumentation
Ein Modul, einen Chip, ein SDK, eine Bibliothek oder eine Platine in Ihr eigenes Produkt integrieren	Das Endprodukt erreicht den EU-Markt unter Ihrer Produktidentität	Sie erstellen die Dokumentation des Endprodukts
Ein fertiges Produkt mit Nicht-EU-Marke importieren	Das Produkt des Lieferanten ist bereits vollständig und behält dessen Identität	Sie prüfen die Dokumentation des Herstellers
Ihren Namen oder Ihre Marke auf das Produkt setzen	Der Markt sieht Ihr Unternehmen als Quelle	Sie rücken auf die Herstellerebene
Unverändert weiterverkaufen, nachdem ein anderer Akteur es in den Verkehr gebracht hat	Sie verändern die Eigenschaften des Produkts nicht	Sie führen die Sorgfaltsprüfungen des Händlers durch

Kernaussage: Fragen Sie nicht abstrakt, ob der Lieferant „CRA-konform" ist. Fragen Sie, was Sie mit dem Teil oder dem Produkt tun.

Wenn Sie ein Modul, einen Chip, ein SDK oder eine Bibliothek integrieren

Wenn Sie eine Komponente eines Dritten in Ihr eigenes Produkt integrieren, kaufen Sie keine fertige Konformitätsposition. Sie kaufen eine Zulieferung.

Artikel 3 definiert ein Produkt mit digitalen Elementen so, dass es auch Software- oder Hardwarekomponenten umfasst, die getrennt in den Verkehr gebracht werden. Derselbe Artikel definiert eine Komponente als Software oder Hardware, die für die Integration in ein elektronisches Informationssystem bestimmt ist. Deshalb kann ein separat verkauftes Funkmodul, ein Firmware-SDK oder eine eingebettete Bibliothek eine eigene Dokumentationsspur haben.

Diese Spur wird trotzdem nicht zu Ihrer Endprodukt-Datei.

Wenn Sie das Endprodukt auf dem EU-Markt in Verkehr bringen, liegt die Herstellerarbeit bei dem Akteur, der dieses Produkt unter seinem Namen oder seiner Marke in Verkehr bringt. Für einen EU-Thermostat-Hersteller liefert der Funkmodul-Lieferant vielleicht die Modulerklärung, ein Komponentenverzeichnis, Hinweise zur Firmware-Version und einen Schwachstellen-Kontakt. Der Thermostat-Hersteller schreibt dennoch die Cybersicherheits-Risikobewertung des Thermostats, die technische Dokumentation, die EU-Konformitätserklärung und die Grundlage für die CE-Kennzeichnung.

Beide Pflichten stehen in Artikel 13: die gebotene Sorgfalt bei den Komponenten, die Sie integrieren, sowie die technische Dokumentation, die Konformitätsbewertung, die EU-Konformitätserklärung und die CE-Kennzeichnung des Endprodukts.

Die praktische Regel ist einfach: Lieferantennachweise fließen in Ihre Datei ein. Sie ersetzen sie nicht.

Nützliche Zulieferungen des Lieferanten sind:

• Komponentenidentität: genaues Modell, Version, Firmware-Zweig, Charge oder Hardware-Revision.
• Weg für Sicherheitsupdates: wer Komponenten-Korrekturen liefert, wie Sie sie erhalten und wie sie Ihr Produkt erreichen.
• SBOM oder Komponentenverzeichnis: genug Detail, um Komponenten-Schwachstellen während des Supportzeitraums zu überwachen.
• Schwachstellen-Kontakt: ein echter Kanal für Komponenten-Schwachstellen, nicht nur eine Vertriebsadresse.
• Lebenszyklus-Daten: Verkaufsende und Supportende für das Modul, das SDK oder die Platine.

Für die tiefere Lieferantenprüfung nutzen Sie den CRA-Fragebogen zur Lieferanten-Due-Diligence. Diese Seite wiederholt diesen Fragebogen nicht. Sie erklärt nur, wo die Lieferantennachweise in der Endprodukt-Datei sitzen.

Open Source zählt als Komponente Dritter

Die meisten Firmware-Stände enthalten mehr Open-Source-Code als gekauften Code. Der CRA behandelt Open Source wie jede andere Komponente: Die Due-Diligence-Pflicht erfasst die freie und quelloffene Software, die Sie integrieren, selbst wenn niemand sie Ihnen verkauft hat und kein Vertrag besteht.

Der Nachweis ändert seine Form, nicht die Pflicht:

• Die Identität zählt weiterhin: Erfassen Sie das Projekt, die genaue Version und die Quelle, aus der Sie sie beziehen, genauso wie Sie ein bezahltes Modul erfassen.
• Die Überwachung zählt weiterhin: Die Bibliothek gehört in Ihr Komponentenverzeichnis, damit Sie Schwachstellen während des Supportzeitraums beobachten können.
• Korrekturen laufen in beide Richtungen: Finden Sie eine Schwachstelle in einer integrierten Komponente, melden Sie sie dem Projekt, das die Komponente pflegt, und beheben Sie trotzdem Ihr eigenes Produkt. Beheben Sie die Komponente selbst, geben Sie die Korrektur an den Betreuer weiter.

Es gibt keinen Lieferanten zu befragen. Die Prüfung richtet sich deshalb auf das Projekt selbst: wie aktiv es ist, wie es Sicherheitskorrekturen veröffentlicht und ob die von Ihnen festgelegte Version noch Korrekturen erhält.

Wenn Sie ein fertiges Produkt mit Nicht-EU-Marke importieren

Der Import eines fertigen Produkts ist etwas anderes. Das Produkt existiert bereits als Produkt mit digitalen Elementen. Der Nicht-EU-Hersteller behält seinen Namen oder seine Marke darauf. Ihr EU-Unternehmen ist der erste EU-Akteur, der es auf dem Unionsmarkt in Verkehr bringt.

Das ist ein Einführer-Muster.

Die Aufgabe des Einführers ist nicht, die technische Dokumentation des Herstellers neu zu erstellen. Der Einführer prüft, ob der Hersteller die Konformitätsbewertung durchgeführt und die technische Dokumentation erstellt hat. Er prüft außerdem, ob CE-Kennzeichnung und EU-Konformitätserklärung vorliegen, ob die erforderlichen Nutzerinformationen das Produkt begleiten und ob die Produktkennzeichnung, die Kontaktdaten des Herstellers und das Enddatum des Supportzeitraums vorhanden sind.

Artikel 19 legt dieses Prüfmuster fest. Er verpflichtet den Einführer außerdem, eine Kopie der EU-Konformitätserklärung mindestens 10 Jahre nach dem Inverkehrbringen oder für die Dauer des Supportzeitraums aufzubewahren, je nachdem, welcher Zeitraum länger ist. Der Einführer muss zudem sicherstellen, dass die technische Dokumentation den Marktüberwachungsbehörden auf Anfrage bereitgestellt werden kann.

Ein Hinweis kommt von Ihnen selbst hinzu: Der Einführer bringt seinen eigenen Namen, seine Postanschrift und eine digitale Kontaktangabe auf dem Produkt, der Verpackung oder einem Begleitdokument an.

Das ist eine Prüfdatei, keine Herstellerdatei.

Nutzen Sie den CRA-Leitfaden für Einführer für die vollständige Wareneingangsprüfung. Die nützliche Unterscheidung hier ist enger: Bleibt das Produkt das fertige Produkt des Nicht-EU-Herstellers, prüfen Sie. Machen Sie es zu Ihrem Produkt, erstellen Sie.

Die Dokumentationskette: erstellen, prüfen oder Kopie aufbewahren

Diese Tabelle ist der Arbeitsnachweis. Nutzen Sie sie je Produktlinie, nicht je Lieferant. Ein Lieferant kann in beiden Spalten auftauchen, wenn Sie ein Modul für ein Produkt kaufen und ein fertiges Produkt desselben Unternehmens importieren.

Kernaussage: Dasselbe Lieferantendokument kann 2 Rollen spielen. Für einen Integrator wird es zum Eingangsnachweis für eine Endprodukt-Datei. Für einen Einführer stützt es einen Prüfnachweis vor dem Inverkehrbringen.

Praxisbeispiel: dasselbe Bluetooth-/Wi-Fi-Modul in zwei CRA-Wegen

Nehmen Sie ein Funkmodul. Gleiches Modell. Gleiche Firmware. Gleicher Lieferant.

Die CRA-Arbeit ändert sich, sobald sich das Kaufmuster ändert.

Szenario A: Ein EU-Thermostat-Hersteller integriert das Modul.
Sie bauen einen vernetzten Thermostat unter Ihrer Marke. Sie kaufen das Bluetooth-/Wi-Fi-Modul und binden es auf Ihrer Platine ein. Der Modul-Lieferant gibt Ihnen das Datenblatt, die Firmware-Version, den Sicherheitskontakt und die Angabe zum Lebenszyklus.

Sie erstellen dennoch die Thermostat-Datei. Ihre Datei erklärt, wie das Modul das Pairing, die lokale Netzexposition, die Update-Zustellung, die Schwachstellenbeobachtung und die Planung des Supportzeitraums beeinflusst. Die Nachweise des Modul-Lieferanten sitzen als Zulieferungen in Ihrer Nachweissammlung.

Szenario B: Ein EU-Einführer kauft den fertigen Thermostat.
Sie kaufen einen fertigen Thermostat mit Nicht-EU-Marke. Das Funkmodul ist bereits im Gerät. Der Nicht-EU-Hersteller behält seine Marke auf Verpackung, Firmware, App und Konformitätserklärung.

Sie prüfen die Dokumentation des Herstellers. Sie schreiben keine neue technische Datei für den Thermostat. Sie bewahren den Prüfnachweis des Imports, die Kopie der Konformitätserklärung und die Zusagen des Lieferanten auf, die Sie für die Antwort auf eine Anfrage der Marktüberwachung brauchen.

Dasselbe Modul erzeugt unterschiedliche Arbeit, weil das in Verkehr gebrachte Produkt ein anderes ist.

Lieferantenunterlagen lesen, ohne ihnen zu viel zu vertrauen

Lieferantenunterlagen sind nützlich, wenn sie eine Produktfrage beantworten. Sie sind schwach, wenn sie nur „konform" sagen, ohne Produkt-, Versions- oder Support-Spur.

Beginnen Sie mit 5 Prüfungen:

Lieferantendokument	Was es belegen sollte	Wie Sie es nutzen
Modulerklärung oder Zertifikat	Genaues Produkt, Modell und Firmware-Umfang	Mit der Komponentenversion in Ihrem Produktdatensatz verknüpfen
SBOM oder Komponentenliste	Software- und Firmware-Elemente, die Sie überwachen können	In Ihr Produktverzeichnis und Ihre Schwachstellenbeobachtung einspeisen
Schwachstellen-Kontakt	Ein Weg für Komponenten-Schwachstellen	Im Schwachstellen-Prozess des Produkts hinterlegen
Angabe zu Support oder Lebenszyklus	Wie lange die Komponente Korrekturen erhält	Mit dem Supportzeitraum Ihres Produkts abgleichen
Prozess für Änderungsmitteilungen	Wie Sie von neuen Firmware-, Chip- oder SDK-Versionen erfahren	Vor Freigabe oder Import eine Prüfung der Produktdatei auslösen

Kernaussage: Das Dokument ist nur nützlich, wenn es sich an ein benanntes Produkt, eine Version und eine Entscheidung heftet. Ein allgemeines Lieferanten-PDF ohne SKU, Datum oder Kontaktweg sollte keine Freigabeentscheidung tragen.

Für einen Integrator sollte das Lieferantenpaket eine Frage beantworten: Kann dieses Teil im Produkt sitzen, ohne die Cybersicherheit des Produkts während des Supportzeitraums zu schwächen?

Für einen Einführer sollte das Lieferantenpaket eine andere Frage beantworten: Hat der Nicht-EU-Hersteller die Endprodukt-Arbeit geleistet, und können Sie belegen, dass Sie das vor dem Inverkehrbringen in der EU geprüft haben?

Die Meinung lautet nicht „mehr Dateien sammeln". Die Meinung lautet „entscheiden, was jede Datei belegt, bevor Sie kaufen".

Die Rollenentscheidung gehört in die Bestellung

Verankern Sie die Rollenentscheidung im Kaufprozess. Die zentralen CRA-Pflichten gelten ab dem 11. Dezember 2027, und alles, was Sie ab diesem Datum in Verkehr bringen, braucht diese Nachweise bereits vorher. Eine Compliance-Prüfung nach Wareneingang ist spät, teuer und oft politisch.

Bevor die Bestellung unterschrieben wird, stellen Sie diese Fragen:

1. Was kaufen wir? Eine Komponente, eine Platine, ein SDK, eine Cloud-Abhängigkeit oder ein fertiges Produkt.
2. Wessen Name erreicht den Markt? Ihre Marke, die Marke des Lieferanten oder beide.
3. Ändern wir Firmware, Cloud-Routing, Update-Wege oder Sicherheitsvorgaben? Jedes Ja braucht eine Rollenprüfung.
4. Welche Nachweise kommen mit dem Teil? Konformitätserklärung, Index der technischen Dokumentation, SBOM, Support-Datum, Schwachstellen-Kontakt und Nutzerinformationen.
5. Welche Nachweise erstellen wir? Markieren Sie Endprodukt-Dokumentation, Konformitätserklärung und Nachweise zum Supportzeitraum nur dann als Ihre, wenn Ihre Produktidentität den Markt erreicht.
6. Welche Nachweise prüfen wir? Markieren Sie Lieferanten- oder Herstellernachweise nur dann als Prüfnachweis, wenn das fertige Produkt unter der Identität des Lieferanten bleibt.
7. Welches Ereignis öffnet die Entscheidung neu? Firmware-Änderung, Support-Ende beim Lieferanten, Umbenennung, neue Modul-Revision, Wechsel des Cloud-Endpunkts oder eine Schwachstellenmeldung.

Der Einkauf sollte diese Fragen auf einer Seite beantworten können. Braucht es dafür eine Sitzungsreihe, ist der Kauf noch nicht reif für die Freigabeplanung.

Häufige Fehler in der Beschaffung

Diese Fehler treten auf, bevor das Engineering eine Schwachstelle sieht. Sie beginnen im Einkauf, bei der Eigenmarke und im Wareneingang.

• „Das Modul ist CE-gekennzeichnet, also ist unsere Produktdatei fertig": Die Modulkennzeichnung deckt weder die Architektur des Endprodukts noch dessen Update-Weg, Supportzeitraum oder Risikobewertung ab. Behandeln Sie sie als Eingangsdokument.
• „Der Lieferant sagt CRA-konform, also können wir importieren": Eine Vertriebsaussage ist kein Prüfnachweis. Fordern Sie die Konformitätserklärung, den Index der technischen Dokumentation, die Angabe zum Supportzeitraum, den Schwachstellen-Kontakt und die Nutzerinformationen an.
• „Wir setzen unsere Marke darauf, nennen uns aber weiter Einführer": Die Eigenmarke weist auf Herstellerarbeit hin. Nutzen Sie den White-Label- und OEM-Leitfaden, bevor das Angebot online geht.
• „Wir haben die Firmware geändert, aber die Erklärung des Lieferanten behalten": Die Änderung von Firmware, Cloud-Endpunkt oder Update-Weg kann das bewertete Produkt verändern. Führen Sie die Rollenprüfung durch, bevor Sie ausliefern.
• „Wir vertreiben nur, also muss niemand etwas prüfen": Händler führen dennoch Sorgfaltsprüfungen durch, bevor sie Produkte bereitstellen. Nutzen Sie die Händler-Checkliste für den Wareneingang.

Die kürzeste sichere Regel: Wenn sich das Produkt ändert oder Ihr Name zur Quelle wird, halten Sie an und führen die Rollenanalyse erneut durch.

Randfälle, die andere Seiten abdecken

Nutzen Sie diese Seiten, wenn der Sachverhalt die Komponenten-Weiche verlässt:

Randfall	Wohin	Warum
Sie verkaufen ein OEM-Produkt unter Ihrem eigenen Namen	White-Label- und OEM-Leitfaden	Die Eigenmarke verschiebt die Arbeit in den Herstellerbereich
Sie brauchen einen Lieferantenfragebogen	Fragebogen zur Lieferanten-Due-Diligence	Diese Seite deckt Warnsignale, Playbooks und Klauseln ab
Sie verkaufen nur unveränderte Produkte weiter	Händler-Checkliste	Die Wareneingangsprüfung richtet sich auf sichtbare Kennzeichen und Unterlagen
Sie brauchen den vollständigen Rollenbaum	Wer muss den CRA erfüllen	Diese Seite ersetzt die Rollenzuordnung nicht
Eine juristische Person hat mehrere Rollen	Multi-Rollen-CRA-Leitfaden	Rollenstapelung ist ein Portfolio-Problem des Unternehmens

Kernaussage: Verlinken Sie nach außen, wenn sich die Frage ändert. Machen Sie aus einer Seite zur Komponentenbeschaffung keinen allgemeinen CRA-Rollenleitfaden.

Welche Nachweise Sie vor dem Inverkehrbringen aufbewahren

Beginnen Sie mit einer Produktlinie. Heften Sie dann Nachweise an diese Produktlinie, nicht an einen allgemeinen Lieferantenordner.

Nutzen Sie diese Reihenfolge:

1. Ordnen Sie den Beschaffungsvorgang ein. Schreiben Sie integrierte Komponente, Import eines fertigen Produkts, Eigenmarkenprodukt oder unveränderter Weiterverkauf neben die SKU.
2. Benennen Sie den Dokumenteneigentümer. Markieren Sie die technische Dokumentation als unsere, des Herstellers oder nicht vorhanden.
3. Heften Sie die Lieferanten-Zulieferungen an. Speichern Sie Datenblätter, SBOMs, Support-Daten, Firmware-Versionen, Schwachstellen-Kontakte und Konformitätserklärungen am Produktdatensatz.
4. Halten Sie die Entscheidung fest. Bewahren Sie Datum, Prüfer und Grund dafür auf, den Nachweis als Erstellungs-, Prüf- oder Sorgfaltsbeleg zu behandeln.
5. Setzen Sie den Prüfauslöser. Öffnen Sie den Nachweis bei Firmware-Änderung des Lieferanten, Modul-Lebensende, Schwachstellenmeldung, Umbenennung, Wechsel des Cloud-Endpunkts oder Änderung des Supportzeitraums erneut.