Jetzt werden Rollen, Cyberrisikobewertung, Schwachstellenprozess, Supportzeitraum, sichere Updates und eine Meldeübung vorbereitet. Die Meldepflichten gelten ab 11. September 2026; die wesentlichen CRA-Regeln ab 11. Dezember 2027.
Vernetzte Futterautomaten, Trinkbrunnen, Katzentoiletten und Apps können unter den Cyber Resilience Act fallen, wenn ihre vorgesehene oder vorhersehbare Nutzung eine Datenverbindung umfasst. Ein pauschales Zertifikat ersetzt keine produktspezifische Bewertung.
Für Händler im DACH-Raum reicht die Aussage eines Lieferanten, Cyber Resilience Act smarte Tierprodukte liefern zu können, nicht aus. Entscheidend ist, ob daraus eine prüfbare Spezifikation mit Verantwortlichen und klarer Abnahme entsteht. Vor dem Angebotsvergleich sollten Zielmarkt, Vertriebskanal, Nutzerprofil, Servicekonzept und Einführungstermin feststehen. Erst dieser Rahmen zeigt, welche Nachweise wirklich relevant sind und wo ein überzeugendes Muster spätere Kosten verschleiern kann.
Kurzantwort für Einkäufer
Jetzt werden Rollen, Cyberrisikobewertung, Schwachstellenprozess, Supportzeitraum, sichere Updates und eine Meldeübung vorbereitet. Die Meldepflichten gelten ab 11. September 2026; die wesentlichen CRA-Regeln ab 11. Dezember 2027.
Eine belastbare Entscheidung trennt Produktfunktion und Marktreife. Die Funktion beschreibt, was Hardware und Software unter festgelegten Bedingungen leisten. Zur Marktreife gehören zusätzlich Dokumentation, Verpackung, deutschsprachige Nutzerinformationen, Ersatzteile, Eskalationswege und Änderungssteuerung. Beide Ebenen gehören ins Lastenheft. Was sich weder testen noch einer Version und einem Verantwortlichen zuordnen lässt, ist für die Bestellung noch nicht freigegeben.
Entscheidungsmatrix für den Einkauf
| Entscheidungspunkt | Was geprüft wird | Akzeptabler Nachweis |
|---|---|---|
| Wirtschaftsakteur | Wer das Produkt unter Name oder Marke bereitstellt | Unterzeichnete Rollen- und Pflichtenmatrix |
| Risikobewertung | Assets, Bedrohungen, Schnittstellen und Fehlgebrauch | Versionierte produktspezifische Bewertung |
| Supportzeitraum | Dauer, Enddatum und Updatefähigkeit | Freigegebene Richtlinie und Nutzerinformation |
| Schwachstellen | Eingang, Einstufung, Behebung und Aufzeichnung | Verantwortlicher und getesteter Ablauf |
| Meldung | Kenntnisauslöser, 24-Stunden-Frühwarnung, 72-Stunden-Meldung | Zeitlich gemessene Übung und Kontaktliste |
Praxistauglicher Beschaffungsrahmen
Anwendungsbereich und Rollen klären
Gerät, eingebettete Software, App, Cloud und Drittkomponenten werden als Produktsystem betrachtet. Eine Präsentation oder ein Muster ohne eindeutige Kennzeichnung genügt nicht als Nachweis. Modell, Hardwarestand, Firmware- oder Artwork-Version, Zielmarkt und Prüfbedingungen müssen protokolliert werden. Recht und Produktteam dokumentieren Hersteller-, Importeur- und Händlerrolle je Marke und SKU. Der Einkauf archiviert die Unterlagen mit der Freigabe und benennt, wer eine Abweichung genehmigen darf. So bleibt die Prüfstufe 1 auch bei Personal-, Komponenten- oder Werkswechsel nachvollziehbar.
Aus dem Ergebnis wird eine eindeutige Freigaberegel mit Korrekturweg. Dazu gehören Grenzwert, Wiederholungsprüfung und Termin zur Schließung offener Punkte. Der Fahrplan ersetzt keine rechtliche Einzelfallprüfung. Der Lieferant kann den tatsächlichen Umfang kalkulieren; der Käufer vergleicht Angebote auf derselben Grundlage statt auf unverbindlichen Annahmen.
Cyberrisikobewertung aufbauen
Schnittstellen, Zugangsdaten, Updatewege, gespeicherte Daten, Abhängigkeiten und vorhersehbarer Fehlgebrauch werden erfasst. Eine Präsentation oder ein Muster ohne eindeutige Kennzeichnung genügt nicht als Nachweis. Modell, Hardwarestand, Firmware- oder Artwork-Version, Zielmarkt und Prüfbedingungen müssen protokolliert werden. Jedes Risiko wird mit Anforderung, Designkontrolle, Prüfergebnis und Restrisikoentscheidung verknüpft. Der Einkauf archiviert die Unterlagen mit der Freigabe und benennt, wer eine Abweichung genehmigen darf. So bleibt die Prüfstufe 2 auch bei Personal-, Komponenten- oder Werkswechsel nachvollziehbar.
Aus dem Ergebnis wird eine eindeutige Freigaberegel mit Korrekturweg. Dazu gehören Grenzwert, Wiederholungsprüfung und Termin zur Schließung offener Punkte. Ein Plattform-Penetrationstest ersetzt nicht die konkrete Produktakte. Der Lieferant kann den tatsächlichen Umfang kalkulieren; der Käufer vergleicht Angebote auf derselben Grundlage statt auf unverbindlichen Annahmen.
Supportzeitraum und Updateversprechen festlegen
Die Dauer basiert auf Nutzung, Komponentenverfügbarkeit, Infrastruktur und Kanalversprechen. Eine Präsentation oder ein Muster ohne eindeutige Kennzeichnung genügt nicht als Nachweis. Modell, Hardwarestand, Firmware- oder Artwork-Version, Zielmarkt und Prüfbedingungen müssen protokolliert werden. Enddatum, Updatemethode und Verantwortung stimmen in Akte, Produktseite, Anleitung und Support überein. Der Einkauf archiviert die Unterlagen mit der Freigabe und benennt, wer eine Abweichung genehmigen darf. So bleibt die Prüfstufe 3 auch bei Personal-, Komponenten- oder Werkswechsel nachvollziehbar.
Aus dem Ergebnis wird eine eindeutige Freigaberegel mit Korrekturweg. Dazu gehören Grenzwert, Wiederholungsprüfung und Termin zur Schließung offener Punkte. Unbefristeter Support ohne Finanzierung ist kein belastbares Versprechen. Der Lieferant kann den tatsächlichen Umfang kalkulieren; der Käufer vergleicht Angebote auf derselben Grundlage statt auf unverbindlichen Annahmen.
Schwachstellen und Meldungen betreiben
Eingangskanal, Schweregrad, Eigentümer, Behebung, Offenlegung und Nachweislog werden festgelegt. Eine Präsentation oder ein Muster ohne eindeutige Kennzeichnung genügt nicht als Nachweis. Modell, Hardwarestand, Firmware- oder Artwork-Version, Zielmarkt und Prüfbedingungen müssen protokolliert werden. Eine Zeitübung führt von der Kenntnis zur Entscheidung über Frühwarnung und Hauptmeldung. Der Einkauf archiviert die Unterlagen mit der Freigabe und benennt, wer eine Abweichung genehmigen darf. So bleibt die Prüfstufe 4 auch bei Personal-, Komponenten- oder Werkswechsel nachvollziehbar.
Aus dem Ergebnis wird eine eindeutige Freigaberegel mit Korrekturweg. Dazu gehören Grenzwert, Wiederholungsprüfung und Termin zur Schließung offener Punkte. Ein Lieferantenticket ohne Markenverantwortung reicht nicht. Der Lieferant kann den tatsächlichen Umfang kalkulieren; der Käufer vergleicht Angebote auf derselben Grundlage statt auf unverbindlichen Annahmen.
Konformitäts- und Übergabepaket erstellen
Architektur, Softwarekomponenten, Risikoakte, Tests, Updatekontrollen, Anleitung und Erklärungen werden versionsbezogen gesammelt. Eine Präsentation oder ein Muster ohne eindeutige Kennzeichnung genügt nicht als Nachweis. Modell, Hardwarestand, Firmware- oder Artwork-Version, Zielmarkt und Prüfbedingungen müssen protokolliert werden. Marke oder Importeur können das Paket ohne einzelne Schlüsselperson abrufen. Der Einkauf archiviert die Unterlagen mit der Freigabe und benennt, wer eine Abweichung genehmigen darf. So bleibt die Prüfstufe 5 auch bei Personal-, Komponenten- oder Werkswechsel nachvollziehbar.
Aus dem Ergebnis wird eine eindeutige Freigaberegel mit Korrekturweg. Dazu gehören Grenzwert, Wiederholungsprüfung und Termin zur Schließung offener Punkte. Wesentliche Änderungen können eine Neubewertung auslösen. Der Lieferant kann den tatsächlichen Umfang kalkulieren; der Käufer vergleicht Angebote auf derselben Grundlage statt auf unverbindlichen Annahmen.
B2B-Beispiel aus der Praxis
Bei einer EU-Handelsmarke gingen Gerätewerk, App-Anbieter und Cloud-Dienst jeweils davon aus, dass eine andere Partei Schwachstellen überwacht. Der Rollenworkshop ordnete Eingang der Marke, technische Einstufung dem Plattformbetreiber und Gerätebehebung dem Werk zu. Eine Zeitübung deckte veraltete Kontakte und eine fehlende Firmwareübersicht auf.
Die Auswertung ist zugleich kaufmännisch. Gegenübergestellt werden Präventionskosten und mögliche Aufwände für Umetikettierung, Support, Retouren, gesperrten Marktplatzbestand oder kurzfristige Produktionsänderungen. Ein Pilot hilft nur, wenn er dieselbe Konfiguration wie die Verkaufsware nutzt. Weichen Firmware, Verpackung oder Zubehör ab, wird die Differenz dokumentiert und die betroffene Freigabestufe vor Serienstart wiederholt.
Beschaffungsgrenzen vor der Anfrage
In der Anfrage müssen Grenzen sichtbar sein: Mindestmengen, Werkzeug- oder Softwarekosten, Bauteilvorläufe, länderspezifische Druckdaten, verfügbare Prüfmuster, Plattformzugänge und Supportdauer. Offene Punkte dürfen nicht hinter Begriffen wie „Standard“ oder „inklusive“ verschwinden. Einmalige Kosten, laufende Stückkosten, Wahlleistungen und vom Käufer bereitzustellende Inhalte werden getrennt ausgewiesen. Das Angebot wird dadurch länger, aber deutlich entscheidungsfester.
- Einstufung und Konformitätsweg hängen vom konkreten Produkt und der Rolle ab.
- Plattformnachweise können nur einen Teil des Markensystems abdecken.
- Langer Support braucht Komponenten-, Cloud- und Personalzusagen.
- Meldungen erfordern Recht, Sicherheit und Kommunikation.
- Offizielle Leitlinien und harmonisierte Normen können sich weiterentwickeln.
Checkliste für Lastenheft und Freigabe
- Exakte SKU sowie Hardware- und Softwarestand
- Zielländer und Vertriebskanäle
- Freigabemuster und zuständige Person
- Prüfmethode, Grenzwert und Wiederholungsregel
- Verpackung, Kennzeichnung und Sprachmaterial
- Daten-, App- und Kontoeigentum, falls relevant
- Ersatzteile, Gewährleistungsweg und Reaktionszeiten
- Vorankündigungsfrist für Änderungen und Ersatzteile
- Ablageort der Nachweise und Fristenverantwortung
- Haltepunkte und finale Serienfreigabe
Offizielle Quellen
Aus dem Konzept ein belastbares Lieferantenbriefing machen
Mit diesem Rahmen wird Cyber Resilience Act smarte Tierprodukte zu einer steuerbaren Einkaufsentscheidung. Prüfen Sie den technischen Ansatz für smarte Heimtierprodukte, vergleichen Sie Konfigurationen automatischer Futterautomaten und stimmen Sie Varianten über das OEM/ODM-Programm ab. Sobald Markt, Spezifikation und Zielmenge stehen, übermitteln Sie die Eckdaten über den B2B-Kontakt. So kann das Angebot Nachweise, Termine und After-Sales-Leistung statt nur den Stückpreis abbilden.