Auf welche drei Begriffe kommt es an?
Art. 2 Abs. 1 erfasst auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck eine direkte oder indirekte Datenverbindung einschließt. Art. 3 Nr. 1 definiert das Produkt als Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen. Art. 3 Nr. 2 definiert die Datenfernverarbeitung als entfernt stattfindende Verarbeitung, die der Hersteller verantwortet und ohne die das Produkt eine seiner Funktionen nicht erfüllen könnte.
Der Angelpunkt liegt in der Verschachtelung: Die Datenfernverarbeitung ist kein eigenes Produkt, sondern Bestandteil des Produkts, zu dem sie gehört. Erwägungsgrund 12 zieht die Grenze: Websites, die die Funktionalität eines Produkts nicht unterstützen, und Cloud-Dienste außerhalb der Verantwortung eines Herstellers fallen nicht in den Anwendungsbereich; für SaaS, PaaS und IaaS gilt die NIS-2-Richtlinie.
Wie funktioniert der dreistufige Test der Kommission?
Die Leitlinien der Kommission vom 27. Juli 2026 (C(2026) 5252, rechtlich unverbindlich, bisher nur auf Englisch) entwickeln daraus einen Test mit drei Stufen: entfernte Ausführung, funktionale Notwendigkeit, Herstellerverantwortung. Der Abgrenzungssatz lautet: „software that executes remotely and is merely accessed by the user is not, on that basis alone, a product with digital elements“.
| Lösung | Einordnung | Begründung |
|---|---|---|
| Native App (iOS/Android) aus dem Store | Erfasst | Software, die auf dem Endgerät ausgeführt und über den Store auf dem Unionsmarkt bereitgestellt wird. Zusätzlich erfasst: der Server-Bestand, soweit die App ohne ihn eine Funktion nicht erfüllen könnte und er unter Verantwortung des Herstellers entwickelt wurde. |
| Browser-Erweiterung, lokal installierter Client | Erfasst | Ausführung auf dem Endgerät. |
| Reines Online-Banking-Portal im Browser | Als Produkt nicht erfasst – mit Einschränkung | Als eigenständiges Browser-Portal kein Produkt mit digitalen Elementen. Dieselbe serverseitige Plattform kann aber Datenfernverarbeitungslösung der App sein; insoweit gilt Anhang I für sie doch. |
| Eigenständiger Cloud-Dienst (SaaS) | Nicht erfasst | Fällt unter die NIS-2-Richtlinie; Cloud-Bestandteile werden nur über die Datenfernverarbeitungs-Konstruktion erfasst. |
| Anwendungscode einer Single-Page-App im Browser | Offen | Dazu treffen die Leitlinien keine erkennbare Aussage. Der Fall liegt zwischen „lokal ausgeführt“ und „entfernt ausgeführt und lediglich abgerufen“; beide Zuordnungen sind vertretbar. Als Streitfrage dokumentieren. |
Dass dieselbe Funktion als App erfasst ist und im Browser nicht, ist Nebenfolge einer Begriffsbildung, die für vernetzte Hardware entworfen wurde. Die Leitlinien übernehmen die Unterscheidung nach dem Ausführungsort, beantworten die Frage nach der Doppelregulierung aber nicht. Wer den Anwendungsbereich in einer deutschsprachigen Prüfakte belegt, belegt ihn derzeit mit einem englischen Text und trägt das Übersetzungsrisiko selbst.
Wer ist Hersteller: entscheidet die Marke oder der Vertrag?
Die Marke. Art. 3 Nr. 13 CRA: Hersteller ist eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet – gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Bereitstellung ist jede Abgabe im Rahmen einer Geschäftstätigkeit (Art. 3 Nr. 22). Die Bank, die ihre App von einem Software-Haus bauen lässt und unter ihrem Logo im Store veröffentlicht, ist Hersteller; das Software-Haus ist ihr Lieferant.
| Norm | Rolle | Inhalt |
|---|---|---|
| Art. 3 Nr. 13, Art. 13 | Hersteller | Entwickelt, stellt her oder lässt entwickeln und vermarktet unter eigenem Namen oder eigener Marke. Trägt die Pflichten der Art. 13 und 14. |
| Art. 18 | Bevollmächtigter | Der Hersteller kann schriftlich einen Bevollmächtigten benennen. Die Vorschrift ist nicht auf Hersteller außerhalb der Union beschränkt. |
| Art. 19, 20 | Einführer, Händler | Pflichten vor dem Inverkehrbringen bzw. bei der Bereitstellung, u. a. Prüfung der CE-Kennzeichnung und Weitergabe von Schwachstelleninformationen. |
| Art. 21 | Einführer oder Händler als Hersteller | Wer ein Produkt unter eigenem Namen oder eigener Marke vermarktet oder es wesentlich ändert, unterliegt den Herstellerpflichten. |
| Art. 22 | Dritter als Hersteller | Wer eine wesentliche Änderung vornimmt und das Produkt bereitstellt, gilt als dessen Hersteller. |
| Art. 24, 25 | Verwalter quelloffener Software | Abgeschwächtes Regime; die Trennlinie verläuft zwischen Geschäftstätigkeit und ihrer Abwesenheit, nicht zwischen quelloffen und proprietär. |
In vielen Häusern steht der Hersteller im Vertrag mit dem Dienstleister: Er entwickelt, er haftet, er patcht. Für die Rollenzuordnung nach dem CRA ist das unerheblich. Die Pflicht, binnen 24 Stunden eine Frühwarnung abzusetzen, liegt bei der Bank – auch wenn das Wissen über die Schwachstelle beim Entwickler liegt. In den Vertrag gehört deshalb nicht „der Auftragnehmer ist CRA-konform“, sondern: Wer erkennt die aktive Ausnutzung, wer informiert wen bis wann, wer schreibt die Frühwarnung, wer liefert den Abschlussbericht.
Welche Ausnahmen kennt Art. 2, und was steht nicht darin?
Art. 2 Abs. 2 bis 4 sowie 6 und 7 nehmen abschließend aus: Medizinprodukte und In-vitro-Diagnostika, Kraftfahrzeuge, zertifizierte Luftfahrtprodukte, Schiffsausrüstung, Ersatzteile, die ein identisches Bauteil ersetzen, sowie Produkte, die ausschließlich für nationale Sicherheit oder Verteidigung entwickelt wurden oder zur Verarbeitung von Verschlusssachen bestimmt sind. Für Ersatzteile verlangen die Leitlinien eine ausdrückliche Reparaturabsicht.
Der CRA enthält keine Bereichsausnahme für den Finanzsektor, keine für Betreiber wesentlicher oder wichtiger Einrichtungen nach NIS-2 und keine für Anbieter unter sektoraler Aufsicht. Das ist keine Auslassung, sondern die Konsequenz der Bauform: Der Rechtsakt ist Produktrecht. Art. 2 Abs. 5 erlaubt der Kommission, den Anwendungsbereich durch delegierten Rechtsakt einzuschränken – ausgeübt wurde das bisher einmal, für zwei- und dreirädrige Fahrzeuge (Delegierte Verordnung (EU) 2025/1535). DORA kommt als Vergleichsrahmen nicht in Betracht, weil DORA keine Produktanforderungen aufstellt.
Wann sind Bank oder Versicherung Hersteller einer App?
Eine Bank mit Entwicklungspartner ist Herstellerin ihrer App; ein Versicherer wird es durch eine White-Label-App unter eigener Marke.
Die App läuft unter der Marke der Bank, ein Dienstleister entwickelt den Client, Kernfunktionen liegen im Backend des Sektor-Rechenzentrums. Ergebnis: Die Bank ist Hersteller der App; das Backend ist insoweit erfasst, als die App ohne es eine Funktion nicht erfüllen könnte. Das Online-Portal auf derselben Plattform ist als Portal kein Produkt – die gemeinsame Plattform aber Datenfernverarbeitung der App.
Ein Versicherer übernimmt die App-Basis eines Anbieters, lässt sie anpassen und veröffentlicht sie unter eigenem Namen. Ergebnis: Die Vermarktung unter eigener Marke begründet die Herstellerrolle (Art. 3 Nr. 13, Art. 21). Der Anbieter der Basis ist Lieferant; seine Zusagen zu Komponenten, Schwachstellen und Support gehören in den Vertrag, ersetzen die eigene Rolle aber nicht.
Wie prüft man Produkt und Rolle?
In fünf Schritten: Produktgrenze, Bereitstellung, Verantwortung, Rolle je Gesellschaft und Dokumentation offener Punkte.
- Produkt abgrenzen: Was wird auf dem Endgerät ausgeführt, was läuft serverseitig, welche Server-Module braucht die App für eine ihrer Funktionen?
- Bereitstellung belegen: an wen, durch welche Gesellschaft, über welchen Kanal, seit wann (Bestandsprodukt?).
- Verantwortung belegen: Wer beauftragt, entwickelt, veröffentlicht, ändert, betreut? Widersprüche zwischen Vertrag und tatsächlichem Ablauf markieren.
- Rolle je Gesellschaft festhalten – im Konzern kann eine Gesellschaft Hersteller und eine andere Händler sein.
- Offene Flanken (Single-Page-App, Datenfernverarbeitung der Plattform) als Streitfragen mit Begründung dokumentieren.
Häufige Fragen
Reicht die Bezeichnung „SaaS“ oder „Web-App“, um aus dem CRA zu fallen?
Nein. Maßgeblich ist, ob Software auf dem Endgerät ausgeführt wird und ob serverseitige Bestandteile für eine Funktion eines erfassten Produkts notwendig sind. Ein reines Browser-Portal ist als Produkt nicht erfasst, kann aber Datenfernverarbeitung der App sein.
Ist die Bank Hersteller, wenn ein Dienstleister die App entwickelt hat?
Ja, wenn die Bank die App unter eigenem Namen oder eigener Marke vermarktet. Art. 3 Nr. 13 CRA erfasst ausdrücklich, wer entwickeln lässt. Der Dienstleister ist Lieferant.
Gibt es eine Ausnahme für beaufsichtigte Finanzunternehmen?
Nein. Art. 2 CRA nennt die Ausnahmen abschließend; der Finanzsektor steht nicht darin. DORA ist Organisationsrecht und kann den Produkt-Rechtsakt nicht verdrängen.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).