NexTech.Law · EU Tech Law
NexTech.Law ist eine spezialisierte EU-Rechtsberatung für Hersteller vernetzter Produkte. Wir übersetzen die EU Cyber Resilience Act (Verordnung 2024/2847), die NIS2-Richtlinie, DORA, DSGVO und den AI Act in einen belastbaren Umsetzungsplan — von der Klassifizierung Ihres Produkts über die Konformitätsbewertung bis zur 24-Stunden-Meldepflicht ab dem 11. September 2026. Unser Fokus: pragmatische Produkt-Cybersecurity-Compliance, die Hersteller innerhalb ihrer Entwicklungszyklen tatsächlich umsetzen können.
Der Cyber Resilience Act (CRA) verpflichtet ab dem 11. Dezember 2027 alle Hersteller, Importeure und Händler von Produkten mit digitalen Elementen zur Einhaltung von Cybersecurity-Grundanforderungen nach Anhang I der Verordnung. Ab dem 11. September 2026 gilt bereits die Meldepflicht nach Artikel 14 CRA für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle — mit einer 24-Stunden-Frühwarnung, einer 72-Stunden-Detailmeldung und einem Abschlussbericht innerhalb von 14 Tagen. Hersteller, die diese Fristen verpassen, riskieren Bußgelder von bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes.
Der CRA gilt für nahezu jedes Produkt mit digitalen Elementen, das auf den EU-Markt gebracht wird: von IoT-Sensoren und Smart-Home-Geräten über Industrial-Control-Systems, medizintechnische Geräte und Fahrzeugkomponenten bis hin zu B2B-Software und mobilen Apps. Auch Drohnen (UAVs), Connected Toys, Smart Cameras, Baby-Monitore und intelligente Türschlösser fallen ausdrücklich unter die Verordnung — teils in verschärften Klassifizierungen mit Notified-Body-Pflicht.
Anders als die NIS2-Richtlinie kennt der Cyber Resilience Act keine Größenschwellen. Auch ein Ein-Personen-Startup, das ein IoT-Produkt in der EU verkauft, fällt in den Anwendungsbereich. Wer außerhalb der EU produziert, benötigt einen EU-Bevollmächtigten. Diese Nicht-EU-Unternehmen bedienen sich häufig deutscher, österreichischer oder niederländischer Vertreter.
Mag. Michael Jesse, LL.M. (CEMS MIM) verbindet über 20 Jahre unternehmerische Erfahrung in 35+ Ländern mit tiefer juristischer Spezialisierung auf EU-Digitalregulierung. Unser Ansatz: keine akademische Rechtstheorie, sondern operativ umsetzbare Compliance-Roadmaps. Wir sprechen sowohl mit CTOs und Head-of-Products über technische Details (SBOM-Formate, Vulnerability-Handling, Update-Signatur-Infrastruktur) als auch mit Rechtsabteilungen und Vorstand über Governance, Sanktionsrisiken und Marktüberwachungspraxis in den einzelnen Mitgliedstaaten.
Ergänzend zur CRA-Beratung decken wir NIS2-Compliance für wesentliche und wichtige Einrichtungen ab, DORA-Umsetzung im Finanzsektor, DSGVO-Governance und die Auswirkungen des EU AI Act auf ML-basierte Produkte. Unsere Country-Guides für Deutschland, Österreich, Frankreich, Niederlande und Spanien geben konkrete Meldebehörden-Kontakte, Notified-Body-Landschaften und Sprachanforderungen an die Hand.
Wann gilt der CRA? Die Meldepflichten nach Artikel 14 CRA gelten ab dem 11. September 2026. Die vollständigen Kernpflichten inklusive Konformitätsbewertung, CE-Kennzeichnung und technischer Dokumentation gelten ab dem 11. Dezember 2027 für alle Produkte, die neu auf den EU-Markt gebracht werden.
Welche Produktklassen kennt der CRA? Vier: Default (Standard-Produkte, Selbstbewertung), Important Klasse I (18 Kategorien, Anhang III), Important Klasse II (4 Kategorien, Notified-Body-Pflicht) und Critical (3 Kategorien, EUCC-Zertifizierung nach Anhang IV verpflichtend).
Wie hoch sind die Bußgelder? Bis zu 15 Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres — je nach Schwere des Verstoßes und Art der verletzten Pflicht. Für Verletzungen anderer CRA-Pflichten gelten Grenzen von bis zu 10 Millionen Euro oder 2 % Umsatz.
Muss ich als Nicht-EU-Hersteller einen Bevollmächtigten benennen? Ja. Ohne einen EU-Bevollmächtigten ist der Marktzugang nicht möglich. Der Bevollmächtigte übernimmt die Meldepflichten und die Kommunikation mit den nationalen Marktüberwachungsbehörden.
Mag. Michael Jesse, LL.M., CEMS MIM · michael.jesse@nextech.law · +43 664 1315687 · EU · Remote-first · Direkt Termin buchen (15-Min-Call, Google Meet)