Importeurpflichten unter dem CRA (Art. 19): der Torwächter zum EU-Markt

Wer Produkte mit digitalen Elementen von einem Hersteller außerhalb der EU auf den Unionsmarkt bringt, ist unter dem Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) Importeur (im Verordnungstext „Einführer“, Art. 3 Nr. 16) - und damit ein Torwächter. Seine Rolle nach Art. 19 ist, sicherzustellen, dass nur konforme Produkte den EU-Markt erreichen. Diese Seite ordnet die Importeurpflichten technisch-organisatorisch ein. Sie liefert Orientierung, keine verbindliche Einzelfallberatung; eine rechtliche Bewertung im Einzelfall bleibt der Rechtsberatung vorbehalten.

Warum es die Importeurrolle gibt

Der CRA adressiert primär den Hersteller (Art. 13). Sitzt dieser jedoch außerhalb der EU, fehlt den europäischen Marktüberwachungsbehörden ein direkter Ansprechpartner und ein Verantwortlicher innerhalb der Union. Genau diese Lücke schließt der Importeur: Er ist der in der EU ansässige Wirtschaftsakteur, der ein Produkt unter dem Namen oder der Marke eines außerhalb der Union ansässigen Herstellers in der Union in Verkehr bringt. Damit trägt er eine eigenständige Verantwortung für die Torwächterfunktion beim Markteintritt; für das Produktdesign bleibt der Hersteller verantwortlich. Die Abgrenzung zu den anderen Rollen zeigt unser Rollen-Überblick (Hersteller, Importeur, Händler).

Die Prüfpflicht: nur konforme Produkte in Verkehr bringen

Kern der Importeurpflicht nach Art. 19 ist, dass nur konforme Produkte in Verkehr gebracht werden (Abs. 1). Bevor der Importeur ein Produkt auf den Markt bringt, stellt er sicher, dass der Hersteller die zentralen Schritte tatsächlich vollzogen hat (Abs. 2):

• die Konformitätsbewertung nach dem einschlägigen Verfahren (Art. 32) wurde durchgeführt,
• der Hersteller hat die technische Dokumentation (Anhang VII) erstellt,
• das Produkt ist mit der CE-Kennzeichnung versehen, und EU-Konformitätserklärung sowie Informationen und Anleitungen für den Nutzer nach Anhang II liegen in einer leicht verständlichen Sprache bei,
• der Hersteller hat Produktkennzeichen, Name und Kontaktangaben sowie das Enddatum des Unterstützungszeitraums angegeben (Art. 13 Abs. 15, 16 und 19).

Die Unterlagen, die das belegen, muss der Importeur vorlegen können. Diese Prüfung ist eine Verifikation, keine Nachbewertung: Der Importeur bewertet nicht neu, ob das Produkt die grundlegenden Anforderungen aus Anhang I erfüllt - er überzeugt sich davon, dass die dafür vorgesehenen Nachweise und Schritte des Herstellers vorliegen. Die substanzielle Sicherheitsverantwortung bleibt beim Hersteller.

Kein Inverkehrbringen bei Nichtkonformität

Ist der Importeur der Auffassung oder hat er Grund zu der Annahme, dass ein Produkt oder die Verfahren des Herstellers nicht konform sind, darf er es nicht in Verkehr bringen, bis die Konformität hergestellt ist (Art. 19 Abs. 3). Das ist keine Ermessensfrage: Fehlt die CE-Kennzeichnung, ist die Konformitätsbewertung nicht erfolgt oder liegt die technische Dokumentation nicht vor, muss der Markteintritt unterbleiben, bis das Produkt in Übereinstimmung gebracht wurde. Birgt das Produkt ein erhebliches Cybersicherheitsrisiko, unterrichtet er zudem den Hersteller und die Marktüberwachungsbehörden. Der Importeur muss den Markteintritt also aktiv verhindern.

Korrekturmaßnahmen und Eskalation

Zeigt sich - auch nachträglich -, dass ein bereits in Verkehr gebrachtes Produkt nicht konform ist, ergreift der Importeur unverzüglich die erforderlichen Korrekturmaßnahmen (Art. 19 Abs. 5). Je nach Schwere reicht das von der Herstellung der Konformität über die Rücknahme vom Markt bis zum Rückruf. Parallel gelten Informationspflichten:

• Wird dem Importeur eine Schwachstelle des Produkts bekannt, informiert er den Hersteller unverzüglich.
• Geht von einem Produkt ein erhebliches Cybersicherheitsrisiko aus, unterrichtet der Importeur zusätzlich unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen er es bereitgestellt hat, mit Angaben insbesondere zur Nichtkonformität und zu ergriffenen Korrekturmaßnahmen.
• Erfährt der Importeur, dass der Hersteller seine Betriebstätigkeit eingestellt hat und seine Pflichten nicht mehr erfüllen kann, unterrichtet er die Marktüberwachungsbehörden und, soweit möglich, die Nutzer (Art. 19 Abs. 8).

Wichtig zur Einordnung: Die Meldefristen aus Art. 14 (Frühwarnung, Meldung, Abschlussbericht über die einheitliche Meldeplattform) richten sich an den Hersteller. Der Importeur ist nicht nach Art. 14 meldepflichtig; freiwillig melden kann er nach Art. 15. Er gibt seine Erkenntnisse an Hersteller und Behörden weiter.

Dokumentation und Kennzeichnung durch den Importeur

Auch wenn der Importeur die technische Dokumentation nicht erstellt, hält er eine Kopie der EU-Konformitätserklärung mindestens zehn Jahre ab dem Inverkehrbringen oder für den Unterstützungszeitraum, je nachdem, was länger ist, für die Marktüberwachungsbehörden bereit und sorgt dafür, dass er ihnen die technische Dokumentation auf Verlangen vorlegen kann (Art. 19 Abs. 6). Zusätzlich gibt er seinen Namen, Handelsnamen oder seine Marke, Postanschrift und E-Mail-Adresse oder eine andere digitale Kontaktmöglichkeit auf dem Produkt, der Verpackung oder in den Begleitunterlagen an (Art. 19 Abs. 4). So bleibt der Importeur für Behörden und Nutzer als verantwortlicher Akteur innerhalb der EU auffindbar. Auf Anfrage der Behörden muss er zudem zehn Jahre lang benennen können, von wem er ein Produkt bezogen und, soweit verfügbar, an wen er es abgegeben hat (Art. 23).

Pflichten-Checkliste Importeur (Art. 19)

Die folgende Checkliste fasst die operativen Pflichten zusammen. Sie ersetzt keine Einzelfallprüfung, taugt aber als Ausgangspunkt für ein internes Prüf- und Freigabeverfahren vor dem Inverkehrbringen.

Bußgeldrahmen und Abgrenzung zum Händler

Für Verstöße gegen die Importeurpflichten sieht Art. 64 Abs. 3 Geldbußen bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Für Verstöße gegen Anhang I sowie Art. 13 und 14 liegt der Rahmen nach Art. 64 Abs. 2 bei 15 Mio. Euro oder 2,5 %. Die Mitgliedstaaten regeln die Sanktionen im Einzelnen.

Vom Importeur abzugrenzen ist der Händler (Art. 20), der ein Produkt in der Lieferkette lediglich bereitstellt, ohne es aus einem Drittland erstmals in Verkehr zu bringen. Seine Prüftiefe ist geringer - er befolgt die Vorschriften mit der gebührenden Sorgfalt (u. a. Vorhandensein der CE-Kennzeichnung), schuldet aber keine Verifikation der Konformitätsbewertung. Die Details dazu in unserem Beitrag zu den Händlerpflichten. Eine erste Orientierung, ob Ihr Produkt betroffen ist, gibt die Betroffenheitsprüfung.