NIS2 und Cyber Resilience Act: Was Onlinehändler beachten müssen

Zwei Regelwerke, zwei Adressaten

Die Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie) verpflichtet betroffene Einrichtungen, die Sicherheit ihrer eigenen Netz- und Informationssysteme zu organisieren; sie war bis zum 17. Oktober 2024 umzusetzen und ab dem 18. Oktober 2024 anzuwenden (Artikel 41 Absatz 1). Die Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, Cyber Resilience Act) regelt dagegen Produkte mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden, und gilt unmittelbar. Für einen Shop sind das zwei getrennte Prüfungen: NIS2 fragt nach Branche und Größe, der Cyber Resilience Act nach dem Produkt und Ihrer Rolle in der Lieferkette. Rechtsstand: 15. Oktober 2026.

Wer unter NIS2 fällt

Artikel 2 Absatz 1 der NIS-2-Richtlinie verknüpft zwei Merkmale: die Art der Tätigkeit und die Größe. Erfasst sind Einrichtungen der in Anhang I oder II genannten Art, die ein mittleres Unternehmen sind oder die Schwellenwerte für mittlere Unternehmen überschreiten und ihre Dienste in der Union erbringen. Nach Artikel 2 des Anhangs der Empfehlung 2003/361/EG ist ein kleines Unternehmen eines mit weniger als 50 Beschäftigten und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme. Kleinst- und Kleinunternehmen fallen damit grundsätzlich nicht unter die Richtlinie; unabhängig von der Größe gilt sie in den Fällen des Artikels 2 Absatz 2 bis 4, etwa für Vertrauensdiensteanbieter und DNS-Diensteanbieter.

In Deutschland gilt seit 6. Dezember 2025 das BSI-Gesetz (BSIG), Artikel 1 des Gesetzes zur Umsetzung der NIS-2-Richtlinie vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301). § 28 BSIG unterscheidet zwei Klassen. Die folgende Tabelle gibt die allgemeine Größenregel für Tätigkeiten der Anlagen 1 und 2 wieder; für die unabhängig von der Größe erfassten Einrichtungsarten gilt sie nicht:

Größe des Unternehmens	Anlage 1 BSIG	Anlage 2 BSIG
unter 50 Beschäftigten und höchstens 10 Millionen Euro Umsatz oder Bilanzsumme	keine Einstufung über die allgemeine Größenregel	keine Einstufung über die allgemeine Größenregel
mindestens 50 Beschäftigte oder über 10 Millionen Euro Umsatz und Bilanzsumme	wichtige Einrichtung, § 28 Abs. 2 Nr. 3, ausgenommen besonders wichtige Einrichtungen	wichtige Einrichtung, § 28 Abs. 2 Nr. 3, ausgenommen besonders wichtige Einrichtungen
mindestens 250 Beschäftigte oder über 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme	besonders wichtige Einrichtung, § 28 Abs. 1 Nr. 4	wichtige Einrichtung, § 28 Abs. 2 Nr. 3, ausgenommen besonders wichtige Einrichtungen

Die Einstufung als wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG setzt voraus, dass das Unternehmen nicht besonders wichtige Einrichtung ist; Satz 2 der Nummer nimmt besonders wichtige Einrichtungen und Einrichtungen der Bundesverwaltung aus. Ein Unternehmen der Anlage 1 mit mindestens 250 Beschäftigten ist danach besonders wichtige Einrichtung nach § 28 Abs. 1 Nr. 4 BSIG; als wichtige Einrichtung nach § 28 Abs. 2 Nr. 3 BSIG wird es nicht eingestuft.

Unabhängig von dieser Größenregel gelten als besonders wichtige Einrichtungen Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Register der Domäne oberster Stufe und DNS-Diensteanbieter (§ 28 Abs. 1 Nr. 1 und 2 BSIG) sowie Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze ab 50 Beschäftigten oder über 10 Millionen Euro Umsatz und Bilanzsumme (§ 28 Abs. 1 Nr. 3 BSIG); unabhängig von der Größe sind Vertrauensdiensteanbieter und Anbieter öffentlich zugänglicher Telekommunikationsdienste oder Betreiber öffentlicher Telekommunikationsnetze mit weniger als 50 Beschäftigten und höchstens 10 Millionen Euro Umsatz oder Bilanzsumme wichtige Einrichtungen (§ 28 Abs. 2 Nr. 1 und 2 BSIG). Für die Größe gilt die Empfehlung 2003/361/EG ohne ihren Artikel 3 Absatz 4; Partner- und verbundene Unternehmen werden nicht hinzugerechnet, wenn Ihr Unternehmen bei den informationstechnischen Systemen unabhängig ist (§ 28 Abs. 4 BSIG).

Der Shop-Fall: Händler oder Online-Marktplatz?

Entscheidend ist die Einrichtungsart, nicht der Onlineverkauf. Die Anlagen 1 und 2 BSIG führen für den Einzelhandel mit eigenen Waren keine Einrichtungsart. Die Einrichtungsart, die einen Shop treffen kann, ist der Online-Marktplatz in Anlage 2 Nr. 6.1.1 BSIG. § 2 Nr. 28 BSIG verweist für den Begriff auf § 312l Abs. 3 des Bürgerlichen Gesetzbuchs (BGB). Danach ist Online-Marktplatz ein Dienst, der es Verbrauchern ermöglicht, über Software Fernabsatzverträge mit anderen Unternehmern oder Verbrauchern abzuschließen (§ 312l Abs. 2 BGB); Betreiber ist der Unternehmer, der den Marktplatz für Verbraucher zur Verfügung stellt (§ 312l Abs. 3 BGB). Wer nur eigene Ware verkauft, erfüllt das Merkmal nicht; Vertragspartner ist der Betreiber selbst. Wer den Abschluss mit Dritten vermittelt, ist wichtige Einrichtung, sobald die Größe nach § 28 Abs. 2 Nr. 3 BSIG erreicht ist; besonders wichtige Einrichtungen sind nach Satz 2 der Nummer von dieser Einstufung ausgenommen.

Andere Tätigkeiten desselben Unternehmens können eine Einrichtungsart auslösen: Cloud-Computing, Rechenzentrumsdienste und Managed Services (Anlage 1 Nr. 6.1.4, 6.1.5, 6.1.10 und 6.1.11 BSIG), Großhandel und industrielle Produktion von Lebensmitteln (Anlage 2 Nr. 4.1.1) oder Hersteller der NACE-Abteilungen 26 bis 30 (Anlage 2 Nr. 5.2.1 bis 5.6.1).

Was NIS2 verlangt

§ 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen und deren Dokumentation; § 30 Abs. 2 nennt zehn Mindestbereiche, darunter Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Backup und Wiederherstellung, Sicherheit der Lieferkette, Schwachstellenmanagement, Schulungen und Zugriffskontrolle.

§ 32 Abs. 1 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen in Deutschland die Meldung erheblicher Sicherheitsvorfälle nach Kenntniserlangung: eine frühe Erstmeldung binnen 24 Stunden, eine Meldung binnen 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach Übermittlung der 72-Stunden-Meldung, vorbehaltlich des Absatzes 2; das Bundesamt kann außerdem eine Zwischenmeldung über relevante Statusaktualisierungen verlangen (§ 32 Abs. 1 Satz 1 Nr. 1 bis 3 BSIG). Dauert der Sicherheitsvorfall zum Zeitpunkt der Fälligkeit der Abschlussmeldung noch an, legen Sie statt der Abschlussmeldung eine Fortschrittsmeldung vor; die Abschlussmeldung folgt nach abschließender Bearbeitung des Vorfalls (§ 32 Abs. 1 Satz 1 Nr. 4 und Abs. 2 BSIG). Die Pflicht gilt frühestens ab Einrichtung des Meldewegs (§ 32 Abs. 1 Satz 2 BSIG). Sind Sie als wichtige oder besonders wichtige Einrichtung eingestuft, müssen Sie sich binnen drei Monaten nach der erstmaligen oder erneuten Einstufung beim Bundesamt für Sicherheit in der Informationstechnik registrieren (§ 33 Abs. 1 BSIG). Die Geschäftsleitung muss die Maßnahmen umsetzen, überwachen und an Schulungen teilnehmen (§ 38 Abs. 1 und 3 BSIG).

Österreich hat die Richtlinie mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025) umgesetzt; das Gesetz wurde am 23. Dezember 2025 kundgemacht und ist seit dem 1. Oktober 2026 in Kraft (§ 51 Abs. 1 und 2 NISG 2026). § 24 NISG 2026 unterscheidet wesentliche und wichtige Einrichtungen; die engere Definition der wesentlichen Einrichtungen geht der der wichtigen Einrichtungen vor (Erläuterungen zu § 24 NISG 2026). Einrichtungen der Anlage 1, die ein großes Unternehmen betreiben, sind wesentliche Einrichtungen (§ 24 Abs. 1 Nr. 3 NISG 2026); Einrichtungen der Anlagen 1 und 2, die ein mittleres oder großes Unternehmen betreiben und nicht bereits wesentliche Einrichtungen sind, sind wichtige Einrichtungen (§ 24 Abs. 2 Nr. 1 NISG 2026). Unabhängig von der Größe sind qualifizierte Vertrauensdiensteanbieter, Namenregister der Domäne oberster Stufe und DNS-Diensteanbieter wesentliche Einrichtungen (§ 24 Abs. 1 Nr. 1 NISG 2026). Ein mittleres Unternehmen beschäftigt mindestens 50 Mitarbeiter oder erzielt über 10 Millionen Euro Jahresumsatz und über 10 Millionen Euro Jahresbilanzsumme, sofern es nicht bereits als großes Unternehmen gilt; ein großes Unternehmen beschäftigt mindestens 250 Mitarbeiter oder erzielt über 50 Millionen Euro Jahresumsatz und über 43 Millionen Euro Jahresbilanzsumme (§ 25 Abs. 2 und 3 NISG 2026). Die Registrierung nach § 29 Abs. 2 NISG 2026 hat innerhalb von drei Monaten ab Inkrafttreten des Bundesgesetzes zu erfolgen; Einrichtungen, die erst danach als wesentliche oder wichtige Einrichtungen gelten oder erst danach Domänennamen-Registrierungsdienste erbringen, haben sich ehestmöglich, in jedem Fall aber innerhalb von drei Monaten ab Erfüllung der jeweiligen Voraussetzungen zu registrieren (§ 29 Abs. 3 NISG 2026). Erhebliche Cybersicherheitsvorfälle sind dem zuständigen CSIRT unverzüglich zu melden: eine Frühwarnung unverzüglich, in jedem Fall aber binnen 24 Stunden nach Kenntnisnahme, und eine Meldung über den Vorfall unverzüglich, in jedem Fall aber binnen 72 Stunden nach Kenntnisnahme. Für Vertrauensdiensteanbieter gilt abweichend von Z 2 bei erheblichen Cybersicherheitsvorfällen, die sich auf die Erbringung ihrer Vertrauensdienste auswirken, eine Frist von unverzüglich, in jedem Fall aber binnen 24 Stunden nach Kenntnisnahme; spätestens einen Monat nach Übermittlung der Meldung nach Z 2 ist ein Abschlussbericht vorzulegen. Dauert der Vorfall zum Zeitpunkt der Fälligkeit des Abschlussberichts noch an, ist zu diesem Zeitpunkt ein Fortschrittsbericht zu übermitteln, und der Abschlussbericht folgt spätestens einen Monat nach Beendigung der Vorfallsbehandlung (§ 34 Abs. 1 und 2 Z 1, 2, 4 und 5 NISG 2026).

Der Cyber Resilience Act

Die Verordnung (EU) 2024/2847 gilt für Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Artikel 2 Absatz 1). Ein Produkt mit digitalen Elementen ist ein Software- oder Hardwareprodukt samt Datenfernverarbeitungslösungen und getrennt in Verkehr gebrachten Komponenten (Artikel 3 Nummer 1). Ausgenommen sind nach Artikel 2 Absatz 2 Produkte mit digitalen Elementen, für die die Verordnungen (EU) 2017/745 (Medizinprodukte), (EU) 2017/746 (In-vitro-Diagnostika) oder (EU) 2019/2144 (Kraftfahrzeuge) gelten, nach Artikel 2 Absatz 3 Produkte mit digitalen Elementen, die nach der Verordnung (EU) 2018/1139 zertifiziert worden sind, nach Artikel 2 Absatz 4 Geräte im Anwendungsbereich der Richtlinie 2014/90/EU (Schiffsausrüstung) und nach Artikel 2 Absatz 6 Ersatzteile, die auf dem Markt bereitgestellt werden, um identische Komponenten zu ersetzen, und nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen. Luftfahrtprodukte fallen damit nur aus der Verordnung, soweit sie nach der Verordnung (EU) 2018/1139 zertifiziert worden sind.

Die Pflichten verteilen sich auf Hersteller, Einführer und Händler. Hersteller ist nach Artikel 3 Nummer 13, wer ein Produkt mit digitalen Elementen selbst entwickelt oder herstellt oder es konzipieren, entwickeln oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet; der Eigenmarkenvertrieb allein genügt nicht. Händler ist, wer ein solches Produkt in der Lieferkette ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereitstellt, ausgenommen Hersteller und Einführer (Artikel 3 Nummer 17). Einführer ist, wer als in der Union ansässige Person ein Produkt unter dem Namen oder der Marke eines außerhalb der Union ansässigen Herstellers in der Union in Verkehr bringt (Artikel 3 Nummer 16). Für einen Webshop, der solche Produkte bereitstellt, ist die Rolle daher im Einzelfall zu bestimmen: Wer ohne Änderung weiterverkauft, ist Händler; wer ein Produkt eines außerhalb der Union ansässigen Herstellers als Erster auf dem Unionsmarkt bereitstellt, ist Einführer.

Welche Pflichten Sie als Händler treffen

Diese Pflichten gelten ab 11. Dezember 2027 (Artikel 71 Absatz 2); für Produkte, die vor diesem Tag in Verkehr gebracht wurden, greifen sie nur, wenn das Produkt danach eine wesentliche Änderung erfährt (Artikel 69 Absatz 2). Im Oktober 2026 gilt aus der Verordnung nur Artikel 14 und Kapitel IV. Vor der Bereitstellung prüfen Sie nach Artikel 20 Absatz 2, ob das Produkt die CE-Kennzeichnung trägt und ob Hersteller und Einführer ihre Pflichten aus Artikel 13 Absätze 15, 16, 18, 19 und 20 sowie Artikel 19 Absatz 4 erfüllt haben und Ihnen die Unterlagen vorliegen: Kennzeichnung zur Identifikation, Kontaktangaben, Nutzerinformationen, Angabe des Endes des Unterstützungszeitraums, EU-Konformitätserklärung.

Haben Sie Grund zur Annahme, dass ein Produkt oder die vom Hersteller festgelegten Verfahren die grundlegenden Cybersicherheitsanforderungen des Anhangs I nicht erfüllen, dürfen Sie das Produkt erst bereitstellen, wenn die Konformität des Produkts und der vom Hersteller festgelegten Verfahren mit der Verordnung hergestellt ist; birgt das Produkt ein erhebliches Cybersicherheitsrisiko, unterrichten Sie unverzüglich den Hersteller und die Marktüberwachungsbehörden (Artikel 20 Absatz 3). Erfahren Sie von einer Schwachstelle, informieren Sie den Hersteller und bei erheblichem Risiko zusätzlich die Marktüberwachungsbehörden (Artikel 20 Absatz 4). Stellt der Hersteller seine Betriebstätigkeit ein und kann er seine Pflichten deshalb nicht erfüllen, unterrichten Sie die Marktüberwachungsbehörden und, soweit möglich, die Nutzer der bereits in Verkehr gebrachten Produkte (Artikel 20 Absatz 6). Auf Verlangen der Marktüberwachungsbehörde nennen Sie Name und Anschrift aller Wirtschaftsakteure, von denen Sie das Produkt bezogen haben, und, sofern verfügbar, derer, an die Sie es abgegeben haben; vorlegen können müssen Sie diese Angaben zehn Jahre nach Bezug und zehn Jahre nach Abgabe (Artikel 23 Absatz 1 und 2, geltend ab 11. Dezember 2027 nach Artikel 71 Absatz 2; vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte unterliegen dieser Pflicht nur bei einer späteren wesentlichen Änderung, Artikel 69 Absatz 2).

Hersteller nach der Begriffsbestimmung des Artikels 3 Nummer 13 ist, wer ein Produkt mit digitalen Elementen selbst entwickelt oder herstellt oder es konzipieren, entwickeln oder herstellen lässt und es unter eigenem Namen oder eigener Marke vermarktet; wer fremde Ware nur unter eigener Marke weiterverkauft, ohne sie herzustellen oder herstellen zu lassen, erfüllt diese Begriffsbestimmung nicht. Die Meldepflichten des Artikels 14 gelten für Hersteller ab 11. September 2026 (Artikel 71 Absatz 2). Artikel 21 dehnt die Herstellerpflichten der Artikel 13 und 14 auf Einführer und Händler aus, die ein Produkt unter eigenem Namen oder eigener Marke in den Verkehr bringen oder eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vornehmen; diese Herstellerfiktion gilt erst mit der Verordnung ab 11. Dezember 2027, die Pflichten des Artikels 13 ebenfalls (Artikel 21, Artikel 71 Absatz 2). Eine aktiv ausgenutzte Schwachstelle, von der ein Hersteller Kenntnis erlangt, meldet er nach Artikel 14 Absatz 1 und 2 unverzüglich, in jedem Fall aber innerhalb von 24 Stunden als Frühwarnung und innerhalb von 72 Stunden als Meldung, jeweils gerechnet ab der Kenntniserlangung. Wer als Anbieter eines Online-Marktplatzes im Sinne von Artikel 3 Nummer 14 der Verordnung (EU) 2023/988 nur vermittelt, ist kein Wirtschaftsakteur; verkauft er daneben selbst, gilt er für diese Verkäufe als Händler (Erwägungsgrund 78).

Ab wann die Pflichten gelten

Die Verordnung (EU) 2024/2847 ist am 10. Dezember 2024 in Kraft getreten und gilt ab dem 11. Dezember 2027 (Artikel 71 Absatz 1 und 2); früher gelten nur Artikel 14 seit dem 11. September 2026 und Kapitel IV seit dem 11. Juni 2026. Die Pflichten der Händler nach Artikel 20 greifen daher erst ab dem 11. Dezember 2027. Für Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten die Anforderungen nur bei einer späteren wesentlichen Änderung; die Meldepflichten der Hersteller nach Artikel 14 gelten auch für sie (Artikel 69 Absatz 2 und 3).

Was bei einem Verstoß droht

§ 65 BSIG trennt Tatbestände und Höchstbeträge. Die Geldbuße bis zu 10 Millionen Euro bei besonders wichtigen und bis zu 7 Millionen Euro bei wichtigen Einrichtungen gilt nach § 65 Abs. 5 Satz 1 Nummer 1 nur für die dort genannten Fälle, insbesondere Verstöße gegen die Risikomanagement- und Meldepflichten (§ 30 Abs. 1, § 32 Abs. 1 und 2 BSIG); die Erhöhung auf 2 beziehungsweise 1,4 Prozent des Gesamtumsatzes nach § 65 Abs. 6 und 7 setzt einen Gesamtumsatz von mehr als 500 Millionen Euro voraus und gilt ebenfalls nur für diese Fälle; Gesamtumsatz ist nach § 65 Abs. 8 die Summe aller Umsatzerlöse, die das Unternehmen, dem die Einrichtung angehört, im der Behördenentscheidung vorausgegangenen Geschäftsjahr weltweit erzielt hat, und kann geschätzt werden. Verstöße gegen die Registrierungspflicht nach § 33 Abs. 1 oder 2 Satz 1 BSIG fallen unter § 65 Abs. 5 Satz 1 Nummer 5 und sind mit einer Geldbuße bis zu 500.000 Euro bedroht. In Österreich liegt die Höchststrafe nach § 45 Abs. 2 und 3 NISG 2026 bei 10 Millionen Euro für wesentliche und 7 Millionen Euro für wichtige Einrichtungen oder bei 2 beziehungsweise 1,4 Prozent des gesamten weltweiten Umsatzes, den das Unternehmen, dem die Einrichtung angehört, im vorangegangenen Geschäftsjahr getätigt hat, je nachdem, welcher Betrag höher ist; eine Umsatzschwelle wie in § 65 Abs. 6 und 7 BSIG nennt die Bestimmung nicht, und Verstöße gegen die Registrierungspflicht reichen nach § 45 Abs. 4 NISG 2026 bis 50.000 Euro, im Wiederholungsfall bis 100.000 Euro.

Der Cyber Resilience Act überlässt die Sanktionen den Mitgliedstaaten und nennt Höchstbeträge (Artikel 64 Absatz 1 bis 3 und Absatz 10): bis zu 15 Millionen Euro oder, im Fall von Unternehmen, bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist, bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen des Anhangs I und gegen die Pflichten der Artikel 13 und 14, also gegen die Herstellerpflichten; bis zu 10 Millionen Euro oder, im Fall von Unternehmen, bis zu 2 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist, bei Verstößen gegen die Pflichten der Artikel 18 bis 23, darunter die Einführerpflichten des Artikels 19 und die Händlerpflichten des Artikels 20, sowie des Artikels 28. Nach Artikel 64 Absatz 10 gelten diese Geldbußen abweichend von den Absätzen 2 bis 9 nicht für Hersteller, die als Kleinst- oder Kleinunternehmen gelten, und zwar in Bezug auf die Nichteinhaltung der Frist des Artikels 14 Absatz 2 Buchstabe a oder des Artikels 14 Absatz 4 Buchstabe a, sowie nicht für Verwalter quelloffener Software.

Checkliste für Ihren Shop

1. Ordnen Sie Ihre Tätigkeiten den Einrichtungsarten der Anlagen 1 und 2 BSIG zu, etwa Online-Marktplatz, Cloud-Computing oder Managed Services.
2. Bestimmen und dokumentieren Sie Beschäftigtenzahl, Jahresumsatz und Bilanzsumme nach § 28 BSIG und prüfen Sie den Vorrang der besonders wichtigen Einrichtung (§ 28 Abs. 2 Nr. 3 Satz 2 BSIG).
3. Registrieren Sie sich, wenn Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung eingestuft ist, innerhalb von drei Monaten nach der erstmaligen oder erneuten Einstufung beim Bundesamt für Sicherheit in der Informationstechnik (§ 33 Abs. 1 BSIG).
4. Richten Sie als besonders wichtige oder wichtige Einrichtung den Meldeweg für erhebliche Sicherheitsvorfälle ein: frühe Erstmeldung nach Kenntniserlangung in 24 Stunden (Nr. 1), Meldung in 72 Stunden (Nr. 2) und Abschlussmeldung spätestens einen Monat nach Übermittlung der Meldung nach Nr. 2 (Nr. 4); dauert der Vorfall zu diesem Zeitpunkt noch an, ist zunächst eine Fortschrittsmeldung vorzulegen und die Abschlussmeldung erst nach abschließender Bearbeitung (§ 32 Abs. 1 Satz 1 Nr. 1, 2 und 4 und Abs. 2 BSIG).
5. Prüfen Sie ab 11. Dezember 2027 vor jeder Bereitstellung eines Produkts mit digitalen Elementen im Anwendungsbereich (Artikel 2 Absatz 1), das ab diesem Tag in Verkehr gebracht wird oder nach diesem Tag eine wesentliche Änderung erfährt, die CE-Kennzeichnung, die Herstellerangaben und die EU-Konformitätserklärung (Artikel 20 Absatz 2, Artikel 69 Absatz 2, Artikel 71 Absatz 2 der Verordnung (EU) 2024/2847).
6. Halten Sie ab 11. Dezember 2027 für Produkte mit digitalen Elementen, die ab diesem Tag in Verkehr gebracht werden oder danach eine wesentliche Änderung erfahren, Name und Anschrift der Wirtschaftsakteure fest, von denen Sie sie bezogen haben, und, sofern verfügbar, derer, an die Sie sie abgegeben haben; vorlegen können müssen Sie diese Angaben zehn Jahre nach Bezug und zehn Jahre nach Abgabe (Artikel 23 Absatz 1 und 2, Artikel 69 Absatz 2, Artikel 71 Absatz 2 der Verordnung (EU) 2024/2847).
7. Klären Sie Ihre Rolle: Hersteller nach Artikel 3 Nummer 13 ist, wer ein Produkt mit digitalen Elementen selbst entwickelt oder herstellt oder es konzipieren, entwickeln oder herstellen lässt und unter eigenem Namen oder eigener Marke vermarktet; für ihn gelten die Meldepflichten des Artikels 14 ab 11. September 2026. Bringen Einführer oder Händler ein Produkt unter eigenem Namen oder eigener Marke in den Verkehr oder ändern sie es wesentlich, behandelt Artikel 21 sie erst ab 11. Dezember 2027 als Hersteller (Artikel 71 Absatz 2).