Ein Produkt, ein CE-Zeichen

Von Redaktion codAIx | 19. Juni 2026

Als wir zu Beginn unserer CRA Recherchen alle zusammen im Büro sassen, lag ein kleines POS aus einem anderen Projekt auf dem Schreibtisch. Hinten drauf ein CE Zeichen eingeprägt... Wir stellten uns die Frage: Kommt da jetzt noch ein zweites CE Zeichen für die CRA drauf? Wer ein physisches Produkt mit eingebetteter Software baut — eine Maschine, ein Funkgerät, ein vernetztes Haushaltsgerät —, stellt zu Recht die Frage: Was bedeutet das CRA- CE Zeichen jetzt für mich? Brauche ich jetzt zusätzlich zum bestehenden CE-Zeichen ein eigenes „CRA-CE"? Die Antwort ist ein klares Nein. Der Cyber Resilience Act führt keine separate Kennzeichnung ein. Es bleibt bei einem einzigen CE-Zeichen, das die Konformität mit allen einschlägigen Rechtsakten zugleich ausdrückt — gebündelt über eine technische Dokumentation und eine Konformitätserklärung.

Kein zweites Siegel: Die CE-Kennzeichnung bleibt singulär

Der CRA schafft keine neue, eigene Kennzeichnung neben dem bekannten CE-Zeichen. Erwägungsgrund 89 CRA hält fest: „Die CE-Kennzeichnung sollte die einzige Kennzeichnung sein, die die Übereinstimmung der Produkte mit digitalen Elementen mit den in dieser Verordnung festgelegten Anforderungen garantiert"[1]. Schon die Legaldefinition macht deutlich, dass dieses eine Zeichen mehrere Rechtsakte trägt: Nach Art. 3 Nr. 31 CRA erklärt der Hersteller mit der CE-Kennzeichnung, dass das Produkt den grundlegenden Cybersicherheitsanforderungen in Anhang I „und anderen geltenden Harmonisierungsrechtsvorschriften der Union" genügt[1].

Die tragende Norm ist Art. 30 Abs. 5 CRA: „Falls das Produkt mit digitalen Elementen auch unter andere Harmonisierungsrechtsvorschriften der Union als diese Verordnung fällt, in denen die CE-Kennzeichnung ebenfalls vorgesehen ist, bedeutet die CE-Kennzeichnung, dass das Produkt auch die Anforderungen dieser anderen Harmonisierungsrechtsvorschriften der Union erfüllt"[1]. Der Kommentar zur CRA bestätigt diesen „Grundsatz der singulären CE-Kennzeichnung … nur eine einzige CE-Kennzeichnung … auch wenn das Produkt in den Anwendungsbereich mehrerer CE-Rechtsakte fällt"[2].

Gebündelt statt dupliziert: eine Dokumentation, eine Erklärung

Auch die Nachweise werden nicht verdoppelt, sondern zusammengeführt. Unterliegt ein Produkt mehreren Unionsrechtsakten, „so wird eine einzige EU-Konformitätserklärung für sämtliche Unionsrechtsvorschriften ausgestellt" (Art. 28 Abs. 3 CRA)[1]. Art. 31 Abs. 3 CRA ordnet eine einzige technische Dokumentation ausdrücklich für Produkte an, die zugleich Hochrisiko-KI-Systeme nach Art. 12 CRA sind; im Übrigen folgt die Bündelung der Dokumentation der Praxis des New Legislative Framework und der einzigen EU-Konformitätserklärung nach Art. 28 Abs. 3 CRA[1]. Der Kommentar bestätigt das Prinzip der einzigen Konformitätserklärung[2].

Für den Hersteller eines Geräts mit eingebetteter Software heisst das praktisch: Die CRA-Cybersicherheitsanforderungen werden in das ohnehin durchlaufene Konformitätsbewertungsverfahren des Produkts integriert — eine technische Dokumentation, eine EU-Konformitätserklärung, ein CE-Zeichen. Nicht zwei Verfahren nebeneinander. Welches Konformitätsbewertungsmodul dabei zum Einsatz kommt, richtet sich nach der Einstufung des Produkts; die Modulwahl haben wir in der CRA-Konformitätsbewertung dargestellt.

Verhältnis zur Maschinenverordnung: Synergie, kein Ersatz

Fällt ein Produkt zugleich unter die Maschinenverordnung (EU) 2023/1230, besteht kein Verdrängungs-, sondern ein Synergieverhältnis. Erwägungsgrund 53 CRA verlangt, dass die Hersteller solcher Maschinen „sowohl die grundlegenden Cybersicherheitsanforderungen der vorliegenden Verordnung als auch die grundlegenden Sicherheits- und Gesundheitsschutzanforderungen gemäss der Verordnung (EU) 2023/1230 erfüllen"[1]. Die Einhaltung der CRA-Anforderungen kann dabei die Erfüllung der maschinenrechtlichen Cybersicherheitsaspekte — etwa Schutz gegen Korrumpierung und Sicherheit der Steuerungen — erleichtern, doch diese Deckungsgleichheit ist aktiv nachzuweisen. Eine automatische „gilt als erfüllt"-Vermutung ordnet der CRA hier nicht an.

Verhältnis zur Funkanlagenrichtlinie: hier wird es unscharf

Bei Funkanlagen ist die Lage erklärungsbedürftig, weil die Funkanlagenrichtlinie 2014/53/EU über die Delegierte Verordnung (EU) 2022/30 bereits eigene Cybersicherheitsanforderungen kennt (Netzschutz, Schutz personenbezogener Daten und Privatsphäre, Betrugsschutz). Erwägungsgrund 30 CRA nimmt darauf ausdrücklich Bezug[1]. Der unionsrechtliche Plan ist, diese Anforderungen in den CRA überführen zu lassen, sobald die Delegierte Verordnung für die betreffenden Produkte aufgehoben oder angepasst ist.

Der Übergang ist jedoch noch nicht abgeschlossen — und genau hier liegt ein echter Graubereich. Der CRA-Kommentar von Wiebe stellt klar: „Im CRA ist das Verhältnis zur Funkanlagenrichtlinie nicht ausdrücklich geregelt … der CRA [ist] in diesem Punkt weniger klar und lässt sogar erkennen, dass es zu einem (wohl längeren) Übergangszeitraum kommen könne"[2]. Solange die Delegierte Verordnung (EU) 2022/30 nicht förmlich aufgehoben ist, kann zeitweise ein materieller Doppelnachweis beider Regime erforderlich sein — auch wenn die Bündelung auf ein CE-Zeichen, eine Erklärung und eine Dokumentation davon unberührt bleibt. Massgebliche Geltungsdaten: Die funkanlagenrechtlichen Cybersicherheitsanforderungen der Delegierten Verordnung (EU) 2022/30 gelten seit dem 1. August 2025[3], die CRA-Hauptpflichten ab dem 11. Dezember 2027[1].

Das Ergebnis für die Praxis

Für ein physisches Produkt mit eingebetteter Software ändert sich an der Zahl der CE-Zeichen nichts: Es bleibt bei einem. Was sich ändert, ist der Inhalt, den dieses eine Zeichen abdeckt — die Cybersicherheitsanforderungen des CRA kommen zu den bisherigen Anforderungen hinzu und werden im selben Verfahren nachgewiesen. Die Arbeit liegt also nicht in einem zweiten Siegel, sondern in der Erweiterung der technischen Dokumentation und der Risikobewertung um die CRA-Dimension.

Praxisfall: Software auf zugekaufter, bereits CE-gekennzeichneter Hardware

Ein besonders häufiger Fall in der Softwarebranche: Ein Hersteller kauft Hardware ein, die bereits CE-gekennzeichnet ist — etwa nach Funkanlagen-, EMV- oder Niederspannungsrecht —, und bringt darauf seine CRA-relevante Software auf. Wer trägt dann welche Pflicht? Die Antwort hängt an einer einzigen Weiche: Was wird in den Verkehr gebracht?

Variante A — nur die Software. Verkaufen Sie allein die Software (der Kunde besitzt oder beschafft die Hardware selbst), ist Ihre Software für sich genommen ein Produkt mit digitalen Elementen: Art. 3 Nr. 1 CRA erfasst ausdrücklich auch „Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden"[1]. Sie sind Hersteller dieser Software (Art. 3 Nr. 13) und tragen dafür die vollen CRA-Pflichten — Risikobewertung, SBOM, Schwachstellenbehandlung, Unterstützungszeitraum, Konformitätsbewertung, EU-Konformitätserklärung und CE für das Softwareprodukt (bei Software wird die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung nach Art. 28 oder auf der das Softwareprodukt begleitenden Website angebracht — Art. 30 Abs. 1 S. 3 CRA; der Website-Bereich muss für Verbraucher leicht und direkt zugänglich sein). Die CE der Hardware und die Pflichten ihres Herstellers bleiben unberührt bei diesem.

Variante B — das fertige Gerät mit Ihrer Software, unter Ihrem Namen. Bringen Sie das kombinierte Produkt in Verkehr, sind Sie Hersteller des Gesamtprodukts (Art. 3 Nr. 13), und die Pflichten zum Umgang mit Schwachstellen gelten „für Produkte mit digitalen Elementen in ihrer Gesamtheit, einschliesslich aller integrierten Komponenten" (Erwägungsgrund 34)[1]. Die zugekaufte Hardware ist dann eine integrierte Komponente (Art. 3 Nr. 6), und es greift die Sorgfaltspflicht aus Art. 13 Abs. 5 CRA: Sie müssen sich vergewissern, dass die Hardware samt ihrer Firmware die Cybersicherheit des Gesamtprodukts nicht beeinträchtigt[1]. Dass die Hardware bereits CE trägt, erleichtert Ihren Sorgfaltsnachweis — Erwägungsgrund 34 nennt ausdrücklich die Kontrolle, „ob die Komponente bereits mit der CE-Kennzeichnung versehen ist"[1] —, entbindet Sie aber nicht von der Gesamtverantwortung.

Für das CE bedeutet das: Das vorhandene CE der Hardware deckt deren eigene Rechtsakte ab (z. B. RED, EMV, Niederspannung); diese Konformität wiederholen Sie nicht. Hinzu kommt die Cybersicherheits-Konformität nach dem CRA für das Gesamtprodukt. Nach dem Single-CE-Grundsatz (Art. 30 Abs. 5) trägt das Endprodukt weiterhin nur ein CE, das alle einschlägigen Anforderungen ausdrückt — für die von der Hardware abgedeckten Aspekte dürfen Sie auf deren Konformität aufbauen, soweit Ihre Software sie nicht berührt.

Zwei Punkte sind dabei praxisentscheidend. Erstens hat die zugekaufte Hardware fast immer selbst Firmware und damit digitale Elemente — ab dem 11. Dezember 2027 ist sie für sich genommen ein CRA-Produkt mit eigenen Pflichten ihres Herstellers. Ihre Sorgfaltspflicht hängt davon ab, ob der Hardwarehersteller CRA-konforme Firmware und Sicherheitsupdates liefert; das gehört vertraglich abgesichert (CRA-Konformität, Update-Zusagen, SBOM, Gleichlauf der Unterstützungszeiträume — dieselbe Logik wie im Beitrag zu Bundles und Komponenten). Zweitens: Laden Sie die Software nicht auf neue Ware, sondern auf ein bereits in Verkehr gebrachtes Gerät und verändern dessen Zweck oder Cybersicherheit, kann das eine wesentliche Änderung nach Art. 22 CRA sein — dann rücken Sie selbst in die Herstellerrolle des geänderten Produkts (dazu der Beitrag zur wesentlichen Änderung).

Die genaue CE-Mechanik beim Aufsetzen auf vorzertifizierte Hardware — Endprodukt-Hersteller-Verantwortung nach dem New Legislative Framework gegenüber der fortbestehenden Komponenten-CE — ist im CRA-Text nicht im Detail ausbuchstabiert und bleibt bis zur finalen Kommissions-Leitlinie ein Graubereich.

Echte Graubereiche

Zwei Punkte bleiben offen. Erstens die materielle Abgrenzung zur Funkanlagenrichtlinie: Welche Anforderung im konkreten Produkt durch welchen Rechtsakt „abgedeckt" gilt, hängt von noch zu erlassenden delegierten Rechtsakten und Leitlinien der Kommission ab; bis dahin besteht Auslegungsspielraum und gegebenenfalls Doppelnachweis. Zweitens die Maschinen-Synergie: Da der CRA keine automatische Erfüllungsvermutung anordnet, muss der Hersteller die behauptete Deckungsgleichheit zwischen CRA- und maschinenrechtlichen Anforderungen aktiv belegen — ein praktischer Nachweis-Graubereich.

crAIready bündelt Ihre CE-Nachweise

crAIready ist die AI-gestützte SaaS-Plattform, die die CRA-Dimension sauber in Ihr bestehendes CE-Verfahren einfügt:

• Dokumentation & Konformität (Modul 4): Konformitätsbewertung nach Anhang VIII mit Lückenmatrix, technische Dokumentation nach Anhang VII und EU-Konformitätserklärung als Entwurf (Anhang V) — als CRA-Beitrag zu Ihrem bestehenden CE-Verfahren.
• CRA-Navigator (Modul 1): Produktklassifizierung nach Anhang III/IV und Empfehlung des Konformitätsverfahrens (A / B+C / H) — die verbindliche Einordnung bleibt beim Hersteller.
• Behörden-Dossier (Modul 4): ein kombiniertes PDF für Marktüberwachungsbehörden und notifizierte Stellen.

Der Einstieg ist unser kostenloser CRA Quick-Check: eine erste, belastbare Orientierung, wie sich der CRA in Ihr bestehendes CE-Verfahren einfügt — ohne Beratungsabhängigkeit. Die verbindliche Beurteilung Ihres Einzelfalls bleibt Ihnen vorbehalten.

Methodik dieser Recherche

Alle rechtlichen Aussagen sind direkt gegen die Verordnung (EU) 2024/2847 (Cyber Resilience Act) geprüft und mit Artikel- und Erwägungsgrundnummern belegt. Ergänzend herangezogen wurde der Kommentar von Wiebe (Hrsg.), Das neue Recht der Cyberresilienz (Nomos 2025), mit Seiten- und Randnummernangabe. An einer Stelle referenziert der Kommentar die Single-CE-Regel als „Art. 29 Abs. 5"; massgeblich ist der Verordnungstext, der die Regel in Art. 30 Abs. 5 verortet.

Quellen

[1] Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 (Cyber Resilience Act) – EUR-Lex — insbesondere Art. 3 Nr. 1, Nr. 6, Nr. 13 und Nr. 31, Art. 13 Abs. 5, Art. 22, Art. 28 Abs. 3, Art. 30 Abs. 1 und 5, Art. 31 Abs. 3 (einzige technische Dokumentation für Produkte mit digitalen Elementen gemäss Artikel 12, d. h. zugleich Hochrisiko-KI-Systeme), Erwägungsgründe 30, 34, 53, 89.

[2] Wiebe, G. (Hrsg.) — Das neue Recht der Cyberresilienz: Kommentar zur CRA, Verlag Nomos, Stand Juni 2025 — insbesondere S. 22 Rn. 26 (Verhältnis zur Funkanlagenrichtlinie), S. 88 Rn. 91 (einzige EU-Konformitätserklärung), S. 90 Rn. 93 (singuläre CE-Kennzeichnung).

[3] Verordnung (EU) 2023/1230 des Europäischen Parlaments und des Rates vom 14. Juni 2023 über Maschinen – EUR-Lex sowie Richtlinie 2014/53/EU über die Bereitstellung von Funkanlagen auf dem Markt (RED) – EUR-Lex und die Delegierte Verordnung (EU) 2022/30 – EUR-Lex (cybersicherheitsbezogene Anforderungen der RED, anwendbar seit 1. August 2025).

Haftungsausschluss: Dieser Beitrag ist eine allgemeine Information zum Cyber Resilience Act und ersetzt keine individuelle Rechtsberatung. Eine verbindliche Beurteilung Ihres konkreten Produkts und Ihrer konkreten Pflichten setzt eine Einzelfallprüfung voraus. Das Verhältnis des CRA zur Funkanlagenrichtlinie ist Gegenstand noch ausstehender delegierter Rechtsakte und Leitlinien. Stand: 19. Juni 2026. Herausgeberin: codAIx GmbH, Thayngen (Schweiz).

Im nächsten Artikel dieser Serie: Von der Theorie zur Prüfung — wie harmonisierte Normen und die technische Richtlinie BSI TR-03183 die abstrakten CRA-Anforderungen in konkrete, auditierbare Nachweise übersetzen.

Veröffentlicht am: 19.06.2026 | Zuletzt geprüft am: 03.07.2026