Provetry
ENFRFrühen Zugang anfragen
Kostenloser Check
Frühen Zugang anfragen

Provetry startet im November 2026. Der kostenlose CRA-Check, die Werkzeuge und die Leitfäden sind schon jetzt verfügbar.

CRA und SaaS: wann Cloud-Software erfasst ist

6 Min. Lesezeit

Auf dieser Seite
  1. Die Regel: reines SaaS ist nicht erfasst
  2. Die Ausnahme: Datenfernverarbeitung
  3. Beispiele
  4. Was das praktisch bedeutet
  5. Ein schneller Test
  6. Wie Provetry hilft
  7. Quellen

„Wir sind ein SaaS-Unternehmen, also gilt der Cyber Resilience Act nicht für uns.“ Oft stimmt das, manchmal nicht. Der CRA betrifft Produkte, die in Verkehr gebracht werden; Software, die nur als Dienst angeboten wird, fällt in der Regel nicht darunter. Aber der Cloud-Teil eines Produkts wird als Teil dieses Produkts behandelt, und viele Unternehmen, die sich als SaaS verstehen, liefern auch etwas aus: eine App, einen Agenten, ein Gerät.

Die Regel: reines SaaS ist nicht erfasst

Der CRA erfasst Produkte mit digitalen Elementen, die auf dem Markt bereitgestellt werden. Software, auf die nur als Dienst über das Netz zugegriffen wird, wird in diesem Sinne nicht „auf dem Markt bereitgestellt“, und die Erwägungsgründe bestätigen, dass die Verordnung SaaS als solches nicht erfasst. Die Sicherheit dieser Dienste ist Gegenstand der NIS-2-Richtlinie, die Anbieter von Cloud-Computing-Diensten und viele digitale Dienste als Einrichtungen erfasst.

Die Ausnahme: Datenfernverarbeitung

Der CRA definiert die Datenfernverarbeitung als eine Datenverarbeitung aus der Ferne, deren Software vom Hersteller oder unter seiner Verantwortung konzipiert und entwickelt wird und deren Fehlen das Produkt daran hindern würde, eine seiner Funktionen zu erfüllen.

Eine Datenfernverarbeitung, die diese Definition erfüllt, ist Teil des Produkts. Sie muss die grundlegenden Anforderungen aus Anhang I erfüllen, in der Risikobewertung und der technischen Dokumentation erscheinen, und ihre Schwachstellen und Sicherheitsvorfälle zählen für die Meldepflichten.

Zwei Bedingungen, beide nötig:

  1. Sie konzipieren sie oder sind dafür verantwortlich. Ein Drittdienst, den der Nutzer unabhängig wählt, ist nicht Ihre Datenfernverarbeitung.
  2. Das Produkt kann ohne sie eine Funktion nicht erfüllen. Wenn eine Funktion des Geräts oder der App ausfällt, sobald Ihr Backend nicht erreichbar ist, gehört das Backend dazu.

Beispiele

Situation Vom CRA erfasst?
Eine Webanwendung, die nur im Browser genutzt und im Abonnement verkauft wird Nein: SaaS. Für das Unternehmen kann NIS-2 gelten
Eine smarte Kamera, deren Fernansicht über die Cloud des Herstellers läuft Ja: Der Cloud-Dienst ist Datenfernverarbeitung der Kamera
Eine in der EU verkaufte oder verteilte Mobil-App mit eigenem API-Backend Die App ist ein Produkt; ihre API ist Datenfernverarbeitung, wenn die Funktionen der App davon abhängen
Eine Desktop-Anwendung, die Lizenzen prüft und Einstellungen über die Server des Herstellers synchronisiert Die Anwendung ist ein Produkt; der Synchronisierungsdienst ist Datenfernverarbeitung; ein Lizenzserver kann es auch sein, wenn die Anwendung ohne ihn nicht funktioniert
Eine SaaS-Plattform, die auch einen On-Premises-Agenten oder eine CLI verteilt Der Agent oder die CLI ist ein Produkt; die Plattform dahinter ist erfasst, soweit die Funktionen des Agenten davon abhängen
Eine Website mit der Dokumentation eines Produkts Nein: Das Produkt braucht sie nicht, um seine Funktionen zu erfüllen
Ein Gerät, das Daten an eine Cloud sendet, die der Kunde wählt und betreibt Das Gerät ist erfasst; die Cloud des Kunden ist keine Datenfernverarbeitung des Herstellers

Was das praktisch bedeutet

Wenn Sie eine Datenfernverarbeitung haben:

  • nehmen Sie das Backend in die Risikobewertung des Produkts und in die Sicherheitseigenschaften aus Anhang I auf (Zugriffskontrolle, Verschlüsselung, Verfügbarkeit, Protokollierung);
  • beziehen Sie seine Komponenten in Ihren SBOM-Ansatz ein, oder zumindest in Ihren Umgang mit Schwachstellen;
  • behandeln Sie schwerwiegende Sicherheitsvorfälle am Backend, die die Sicherheit des Produkts beeinträchtigen, als meldepflichtig nach Artikel 14;
  • halten Sie das Backend für den Unterstützungszeitraum des Produkts aufrecht: Es vorzeitig abzuschalten kann die Funktionen des Produkts und seine Sicherheitsupdates lahmlegen.

Wenn Sie reines SaaS sind, prüfen Sie stattdessen NIS-2: Je nach Sektor und Größe können Sie eine wesentliche oder wichtige Einrichtung sein, mit eigenen Pflichten zum Risikomanagement und zur Meldung von Sicherheitsvorfällen. Siehe CRA und NIS-2.

Ein schneller Test

Stellen Sie drei Fragen:

  1. Geben wir Kunden etwas, das bei ihnen läuft: eine App, einen Agenten, Firmware, eine Bibliothek, eine CLI? Wenn ja, ist das ein Produkt.
  2. Braucht es unsere Server, um eine seiner Funktionen zu erfüllen? Wenn ja, sind diese Server Datenfernverarbeitung dieses Produkts.
  3. Wenn wir nur einen Dienst im Browser anbieten: Sind wir eine Einrichtung nach NIS-2?

Unser kostenloser Check stellt diese Fragen für jedes Produkt und sagt Ihnen, welche Pflichten gelten.

Wie Provetry hilft

Wenn Sie ein Produkt beschreiben, geben Sie an, was es ist (Software, Mobil-App, Firmware, vernetztes Gerät, Komponente); die Konformitätsakte (Tarife Pro und Consultant) geht dann die Fragen aus Anhang I durch, wo Sie das Backend beschreiben können, auf das Ihr Produkt angewiesen ist.

Dieser Leitfaden ist eine allgemeine Information, keine Rechtsberatung.

Quellen