CRA für Agenturen: Wer ist Hersteller bei Kundensoftware?

Wenn eine Agentur Software im Auftrag entwickelt, ist nach dem Cyber Resilience Act in der Regel der Kunde Hersteller – denn Hersteller ist, wer ein Produkt entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet. Die Agentur wird selbst zum Hersteller, wenn sie das Produkt unter eigenem Namen vertreibt.

In der Praxis verschiebt sich trotzdem viel Arbeit zu Ihnen: Ihr Kunde braucht SBOMs, Schwachstellenbehebung über Jahre und schnelle Unterstützung im Meldefall. Wer das vertraglich sauber regelt, macht aus einer Pflicht ein Geschäftsmodell. Den regulatorischen Rahmen erklärt unser CRA-Überblick.

Der Herstellerbegriff

Nach Art. 3 Nr. 13 CRA ist Hersteller eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet – entgeltlich oder unentgeltlich. Entscheidend ist also nicht, wer den Code schreibt, sondern wer das Produkt auf den Markt bringt.

Typische Szenarien

White-Label-App

Sie entwickeln eine App, die Ihr Kunde unter seiner Marke in den App Stores anbietet. Hersteller ist der Kunde. Sie liefern zu, was er für Konformität und Meldungen braucht.

Eigenes Produkt der Agentur

Sie vertreiben ein Plugin, ein Theme oder eine SaaS-nahe Software mit lokalem Client unter Ihrem Namen an mehrere Kunden. Dann sind Sie Hersteller – mit allen Pflichten aus Art. 13 und 14.

Wartungsvertrag

Sie betreuen ein bestehendes Produkt des Kunden. Hersteller bleibt der Kunde. Aber: Wer die Abhängigkeiten aktualisiert und Sicherheitsupdates baut, ist faktisch Teil seines Schwachstellenmanagements – und damit Teil seiner 24-h-Meldekette.

Was auf dem Spiel steht

Die Bußgelder treffen den Hersteller. Rechnen Sie aber damit, dass Kunden Haftung vertraglich weiterreichen wollen – umso wichtiger ist eine klare Abgrenzung.

Vertragsklauseln, die Sie jetzt brauchen

• Rollenklausel: Wer ist Hersteller im Sinne des CRA? Schriftlich festhalten.
• Supportzeitraum: Der Hersteller muss in der Regel mindestens fünf Jahre Sicherheitsupdates liefern. Wer baut sie, zu welchen Konditionen?
• Reaktionszeiten: Verbindliche Zeiten für Analyse und Patch bei aktiv ausgenutzten Schwachstellen – abgestimmt auf 24 h und 72 h.
• SBOM-Lieferung: Format (CycloneDX/SPDX), Tiefe, Zeitpunkt – pro Release.
• Dokumentation: Welche Nachweise zu sicherer Entwicklung, Tests und Konfiguration liefern Sie?
• Open Source: Wer prüft Abhängigkeiten und Lizenzen?

CRA-Betrieb als Service

Viele Mittelständler haben weder Security-Team noch Prozesse für fünf Jahre Produktpflege. Agenturen, die SBOM, Schwachstellenmonitoring und Patch-Bereitschaft als laufenden Service anbieten, lösen ein echtes Problem – und schaffen planbare wiederkehrende Umsätze.

Checkliste für Agenturen

1. Alle Kundenprojekte nach Rolle einordnen: Kunde Hersteller, Agentur Hersteller, nicht im Anwendungsbereich.
2. Eigene Produkte identifizieren, für die Sie selbst Hersteller sind.
3. Bestehende Wartungsverträge um CRA-Klauseln ergänzen.
4. SBOM-Erzeugung in alle Pipelines einbauen.
5. Eine Bereitschaft für Sicherheitsvorfälle ab September 2026 organisieren.

Beispiel: Wartungsvertrag im Meldefall

Ein Mittelständler lässt seine Kunden-App seit Jahren von einer Agentur pflegen. Im Oktober 2026 wird eine Schwachstelle in einer verwendeten Authentifizierungsbibliothek aktiv ausgenutzt. Der Mittelständler als Hersteller muss innerhalb von 24 Stunden eine Frühwarnung abgeben – kann aber ohne die Agentur nicht beurteilen, ob seine App betroffen ist. Enthält der Vertrag keine Reaktionszeit, beginnt die Klärung erst am nächsten Werktag. Mit einer vereinbarten Rufbereitschaft und einer aktuellen SBOM liegt die Antwort in wenigen Stunden vor.

So bauen Sie ein CRA-Serviceangebot auf

1. Portfolio sichten: Welche Kunden bringen Produkte in Verkehr, die Sie entwickelt haben oder pflegen?
2. Standardpaket definieren: SBOM je Release, Schwachstellenmonitoring, Patch-Bereitschaft mit festen Reaktionszeiten, Unterstützung bei Meldungen.
3. Preismodell festlegen: Monatliche Pauschale je Produkt statt Stundenabrechnung schafft Planbarkeit für beide Seiten.
4. Werkzeuge vereinheitlichen: Eine Pipeline-Vorlage und ein Ablageort für Nachweise für alle Projekte.
5. Grenzen dokumentieren: Was leistet die Agentur, was bleibt beim Hersteller – etwa die Konformitätserklärung.

Achten Sie darauf, keine Zusagen zu machen, die nur der Hersteller erfüllen kann. Die Agentur kann Nachweise liefern und Prozesse betreiben; die rechtliche Verantwortung für die Konformität trägt der Hersteller.

Typische Fragen im Kundengespräch

• „Sind wir als Kunde überhaupt betroffen?“ Nur wenn das Produkt auf dem Markt bereitgestellt wird – klären Sie das gemeinsam je Projekt.
• „Können Sie die Meldung für uns übernehmen?“ Vorbereiten ja, einreichen und verantworten muss der Hersteller.
• „Wie lange müssen Sie die App pflegen?“ So lange wie der vom Hersteller festgelegte Supportzeitraum – das sollte der Vertrag widerspiegeln.

Wer diese Fragen mit einer kurzen, schriftlichen Antwort parat hat, wirkt kompetent und vermeidet Missverständnisse, die später teuer werden.

Nuowei für Agenturen

Nuowei (Beta, Launch November 2026) bietet einen Multi-Client-Workspace: SBOMs, Schwachstellen und Nachweise je Kundenprojekt getrennt, mit Übergabe an den Hersteller. Details unter Lösungen für Agenturen.