Trifft dich der Cyber Resilience Act?

Mein Plugin ist gratis. Bin ich raus?

Nur wenn wirklich kein Geld im Spiel ist. Die Open-Source-Ausnahme gilt für Software, die außerhalb einer Geschäftstätigkeit kostenfrei bereitgestellt wird. Ein kostenloses Basis-Plugin, das auf eine Pro-Version hinführt, ist Teil einer Geschäftstätigkeit – damit fällt das gesamte Produkt unter den CRA. Auch bezahlter Support kann die Ausnahme kippen.

Ich baue Shops mit einem KI-Builder. Betrifft mich das?

Als Agentur, die für einen Kunden einen Shop baut, bringst du kein Produkt in Verkehr – du erbringst eine Dienstleistung. Sobald du aber ein eigenes Theme, ein Plugin oder ein Template unter eigenem Namen mehrfach verkaufst, wirst du Hersteller. Die Grenze verläuft zwischen Auftragsarbeit und Produkt.

Reicht bei SaaS nicht die DSGVO?

Reines SaaS ohne Produktkomponente beim Kunden fällt in der Regel nicht unter den CRA, sondern eher in den Bereich von NIS2 und DSGVO. Sobald aber ein Client, eine App, ein Plugin oder ein Gerät dazugehört, ist dein Backend eine Fernverarbeitungslösung – und die zählt ausdrücklich zum Produkt.

Wie lange muss ich Sicherheitsupdates liefern?

Der Support-Zeitraum muss der erwarteten Lebensdauer des Produkts entsprechen und beträgt in der Regel mindestens fünf Jahre. Maßgeblich ist das letzte Inverkehrbringen, nicht das erste. Wer eine Version 2028 noch verkauft, supportet sie also bis mindestens 2033. Der Zeitraum muss vor dem Kauf klar kommuniziert sein.

Was ist eine SBOM und brauche ich die wirklich?

Eine Software Bill of Materials ist die Stückliste deiner Abhängigkeiten: welche Bibliothek in welcher Version mit welcher Lizenz in deinem Produkt steckt. Sie ist Teil der technischen Dokumentation nach Anhang VII. Praktisch erzeugst du sie mit Werkzeugen wie CycloneDX oder Syft in wenigen Minuten – das ist die niedrigschwelligste der acht Kernpflichten.

Verkauft ihr CRA-Zertifizierungen?

Nein. Wir sind eine E-Commerce-Agentur, keine notifizierte Stelle und keine Kanzlei. Dieser Check verlinkt bewusst auf BSI, ENISA und die Verordnung selbst. Wir verdienen an keinem dieser Links – wir wollen nur, dass Entwickler wissen, woran sie sind.