Seit dem Cyber Resilience Act (CRA) durch die europäischen Gesetzblätter gegangen ist, taucht in IT- und Einkaufsabteilungen regelmäßig dieselbe Sorge auf: Wenn wir ausgemusterte Notebooks, Smartphones oder Server weiterverkaufen, statt sie zu verschrotten — handeln wir uns damit neue Cybersicherheitspflichten ein. Werden wir womöglich selbst zum Hersteller im Sinne der Verordnung.
Die kurze Antwort: In aller Regel nicht. Der CRA zielt auf das erstmalige Inverkehrbringen von Produkten mit digitalen Elementen — nicht darauf, dass ein Unternehmen sein eigenes, längst gekauftes Equipment nach vier Jahren abgibt. Es gibt allerdings eine Konstellation, in der die Sache kippt, und die betrifft weniger Sie als Ihren Verwertungspartner. Dieser Beitrag ordnet ein, was tatsächlich gilt, wo die Grenzen verlaufen und welche Fragen Sie einem ITAD-Anbieter jetzt stellen sollten.
Hinweis: Dieser Beitrag gibt den Stand der öffentlich verfügbaren Informationen wieder und dient der Orientierung. Er ist keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls ziehen Sie bitte fachkundigen Rat hinzu.
Gilt der Cyber Resilience Act für gebrauchte IT-Hardware
Für den reinen Weiterverkauf gebrauchter Geräte gilt der CRA grundsätzlich nicht — entscheidend ist nicht das Alter des Geräts, sondern der Zeitpunkt des erstmaligen Inverkehrbringens.
Die Verordnung (EU) 2024/2847 knüpft ihre Pflichten an Produkte mit digitalen Elementen, die auf dem Unionsmarkt in Verkehr gebracht werden. „Inverkehrbringen“ meint dabei die erstmalige Bereitstellung eines konkreten Produkts auf dem EU-Markt. Der Begriff bezieht sich auf das einzelne Gerät, nicht auf eine Produktlinie oder Serie. Ein Notebook, das ein Hersteller 2023 an Ihr Unternehmen verkauft hat, ist damit einmal in Verkehr gebracht worden — durch den Hersteller, nicht durch Sie.
Wenn Sie dieses Notebook nach dem Refresh-Zyklus an einen Verwerter abgeben, wird es weitergereicht, aber nicht erneut erstmalig in Verkehr gebracht. Nach derzeitigem Verständnis entstehen daraus keine Herstellerpflichten. Hinzu kommt eine zeitliche Komponente: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen im Grundsatz nicht in den Anwendungsbereich der Verordnung — es sei denn, sie werden danach wesentlich verändert. Für den allergrößten Teil des heutigen Gebrauchtmarkts an Business-IT bedeutet das: Bestandsschutz.
Wann wird aus einem Händler ein Hersteller im Sinne des CRA
Zum Hersteller wird, wer ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt — oder wer es wesentlich verändert.
Das ist der eine Punkt, an dem der CRA für die Refurbishing-Branche scharf wird. Wer eine dieser beiden Schwellen überschreitet, übernimmt das volle Pflichtenpaket: Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, Schwachstellenmanagement, Meldepflichten und Sicherheitsupdates über den Supportzeitraum.
Der Begriff der wesentlichen Veränderung ist in Artikel 3 Nr. 30 CRA definiert. Gemeint ist eine Änderung nach dem Inverkehrbringen, die entweder die Konformität mit den grundlegenden Cybersicherheitsanforderungen berührt oder die Zweckbestimmung des Produkts verändert. Die Abgrenzung ist in der Praxis weniger exotisch, als sie klingt:
- Keine wesentliche Veränderung: Reparatur und Instandhaltung, solange die Funktion erhalten bleibt. Der Austausch defekter Bauteile gegen gleichwertige oder bessere Komponenten gilt in der Regel nicht als wesentliche Veränderung, solange Funktion und Risikoprofil unverändert bleiben. Auch ein Software-Update, das Fehler behebt, fällt nach gängiger Lesart nicht darunter.
- Wesentliche Veränderung: Eingriffe, die die Zweckbestimmung verschieben oder das Sicherheitsprofil verändern — etwa wenn einem Gerät nachträglich eine neue vernetzte Funktion hinzugefügt wird, die es vorher nicht hatte.
- Eigene Marke: Wer geprüfte Geräte unter eigenem Label vermarktet, wird unabhängig von jedem technischen Eingriff zum Hersteller — allein durch das Auftreten unter eigenem Namen.
Für professionelles Refurbishing, wie es in der Verwertung von Unternehmens-IT üblich ist, heißt das: Reinigen, Prüfen, zertifiziertes Löschen, Austausch von Akku oder Display gegen gleichwertige Teile — all das bewegt sich nach heutigem Stand im unkritischen Bereich. Kritisch wird es dort, wo ein Anbieter die Geräte funktional umbaut oder unter eigener Marke neu positioniert. Das ist eine Frage, die Sie einem Partner stellen dürfen — und deren Antwort er kennen sollte.
Welche Fristen gelten und was passiert im September 2026
Die Meldepflichten für aktiv ausgenutzte Schwachstellen greifen ab dem 11. September 2026, die vollständige Anwendung des CRA folgt zum 11. Dezember 2027.
Der CRA ist gestaffelt in Kraft. Die erste Stufe betrifft Artikel 14 und damit die Meldepflichten — sie gelten ab dem 11. September 2026 für sämtliche Produkte im Anwendungsbereich der Verordnung. Wer als Hersteller in der Pflicht steht, muss eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden als Frühwarnung an das zuständige CSIRT und die ENISA melden, innerhalb von 72 Stunden folgt die vollständige Meldung, innerhalb von 14 Tagen der Abschlussbericht.
Ab dem 11. Dezember 2027 gilt die Verordnung dann vollumfänglich: Produkte mit digitalen Elementen dürfen nur noch CRA-konform und mit entsprechender CE-Kennzeichnung auf dem EU-Markt bereitgestellt werden. Ausnahmen für kleine und mittlere Unternehmen sieht die Verordnung nicht vor. Weiterführende Hinweise der zuständigen deutschen Behörde finden Sie beim BSI.
Für Sie als abgebendes Unternehmen ist der September 2026 kein Stichtag, an dem Sie etwas umstellen müssten. Für Ihre Lieferanten von Neugeräten ist er einer — und für jeden Refurbisher, der die Herstellerschwelle überschreitet, ebenfalls.
Was bedeutet der CRA konkret für Unternehmen, die IT ausmustern
Praktisch ändert der CRA an Ihrem Ausmusterungsprozess wenig — er erhöht aber den Wert eines Partners, der seine regulatorische Rolle sauber einordnen kann.
Die Pflichten, die Ihre Ausmusterung wirklich bestimmen, kommen weiterhin aus anderen Richtungen: aus der DSGVO, wenn personenbezogene Daten auf den Geräten waren, aus dem ElektroG, wenn Geräte tatsächlich zu Abfall werden, und zunehmend aus der Nachhaltigkeitsberichterstattung. Der CRA legt sich als vierte Ebene darüber — er reguliert das Produkt, nicht Ihre Entsorgungsentscheidung.
Was sich verschiebt, ist die Beweislage. Ein Markt, der gleichzeitig unter CRA, CSRD und den Ökodesign-Anforderungen inklusive digitalem Produktpass steht, verlangt zunehmend Nachweise darüber, was mit einem Gerät passiert ist. Refurbished IT ist damit vom reinen Kostenthema zu einem regulierten Feld geworden. Wer heute Hardware abgibt, sollte dokumentieren können, an wen, in welchem Zustand und mit welchem Nachweis über die Datenlöschung — nicht weil der CRA es fordert, sondern weil die Summe der Regelwerke in diese Richtung zeigt.
Der teuerste Fehler bleibt derselbe wie vor dem CRA: aus regulatorischer Unsicherheit heraus zu schreddern, was noch Wert hat. Die Verordnung liefert dafür ausdrücklich kein Argument. Wer funktionsfähige Geräte vernichtet, weil eine Cybersicherheitsverordnung im Raum steht, die auf den Weiterverkauf gebrauchter Hardware im Grundsatz gar nicht anwendbar ist, vernichtet Restwert ohne Gegenleistung. Warum die Wahl zwischen den Verfahren keine Glaubensfrage ist, haben wir im Beitrag zu zertifizierter Datenlöschung versus Schreddern ausführlich behandelt.
Woran erkennen Sie einen Verwertungspartner, der CRA-fest arbeitet
An der Fähigkeit, die eigene Rolle in der Lieferkette präzise zu benennen — und an der Bereitschaft, das schriftlich zu tun.
Die Branche neigt dazu, neue Regulierung als Marketinginstrument zu verwenden. Ein Anbieter, der Ihnen erklärt, er sei „CRA-zertifiziert“, sagt damit vor allem, dass er die Verordnung nicht gelesen hat: Eine CRA-Zertifizierung für Refurbisher gibt es in dieser Form nicht. Belastbar sind konkrete Antworten auf konkrete Fragen. Diese fünf lohnen sich:
- Bringen Sie die Geräte unter eigener Marke in Verkehr — und wenn ja, wie gehen Sie mit den daraus folgenden Herstellerpflichten um.
- Welche Eingriffe nehmen Sie technisch vor — beschränken sie sich auf Instandhaltung und den Austausch gleichwertiger Komponenten, oder verändern sie Funktionen.
- Wie dokumentieren Sie die Datenlöschung — welches Verfahren, welcher Standard, welches Protokoll pro Seriennummer.
- Wohin gehen die Geräte — Weiterverkauf innerhalb der EU, Export, Ersatzteilgewinnung oder stoffliche Verwertung, und wie wird das nachgewiesen.
- Was passiert mit Geräten, die nicht mehr vermarktbar sind — und wer trägt dafür die abfallrechtliche Verantwortung.
Ein Partner, der diese fünf Fragen ohne Rückfrage beantwortet, hat seine Prozesse im Griff. Einer, der ausweicht oder mit Zertifikatslogos antwortet, hat sie vermutlich nicht. Das ist der Kern unserer Haltung: Vertrauen schlägt Marketing. Eine ausführlichere Systematik dazu finden Sie in unserem Leitfaden zur Auswahl eines vertrauenswürdigen ITAD-Anbieters.
Wie geht es weiter bis 2027
Bis zur Vollanwendung im Dezember 2027 bleibt der Gebrauchtmarkt für Business-IT im Wesentlichen so nutzbar wie heute — mit steigenden Anforderungen an die Dokumentation.
Absehbar ist, dass die Auslegungsfragen rund um wesentliche Veränderung und Herstellerstatus in den kommenden Monaten präziser werden, unter anderem durch Leitfäden der Kommission und der nationalen Behörden. Für Unternehmen, die regelmäßig Hardware ausmustern, ergibt sich daraus keine Handlungspflicht, aber eine Beobachtungsaufgabe — und ein Argument dafür, Verwertung nicht als jährliche Ad-hoc-Aktion zu betreiben, sondern als Prozess mit einem Partner, der die Regulierung verfolgt.
Werterhalt vor Wertvernichtung bleibt dabei die wirtschaftlich wie ökologisch richtige Reihenfolge. Der CRA ändert daran nichts — er erhöht nur die Anforderungen an die, die den Werterhalt organisieren.
Häufige Fragen zum Cyber Resilience Act und gebrauchter IT
Werden wir zum Hersteller, wenn wir unsere alten Notebooks verkaufen
Nach derzeitigem Verständnis nicht. Herstellerpflichten entstehen, wenn ein Produkt unter eigenem Namen oder eigener Marke in Verkehr gebracht oder wesentlich verändert wird. Der Verkauf eigener, gebrauchter Geräte an einen Verwerter erfüllt keines dieser beiden Kriterien. Verbindlich klären lässt sich das nur im Einzelfall mit fachkundigem Rat.
Gilt der CRA für Geräte, die wir vor 2027 gekauft haben
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, fallen im Grundsatz nicht unter die Anforderungen der Verordnung. Eine Ausnahme greift, wenn sie nach diesem Zeitpunkt wesentlich verändert werden. Für den heutigen Bestand an Business-Hardware bedeutet das faktisch Bestandsschutz.
Ist der Austausch eines Akkus schon eine wesentliche Veränderung
In der Regel nicht. Der Austausch defekter Teile gegen gleichwertige oder bessere Komponenten gilt als Instandhaltung, solange Funktion und Risikoprofil unverändert bleiben. Eine wesentliche Veränderung liegt erst vor, wenn die Konformität mit den Cybersicherheitsanforderungen berührt oder die Zweckbestimmung geändert wird.
Was passiert am 11. September 2026
Ab diesem Datum gelten die Meldepflichten nach Artikel 14 CRA. Hersteller müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden als Frühwarnung an CSIRT und ENISA melden, innerhalb von 72 Stunden vollständig und innerhalb von 14 Tagen abschließend berichten. Für Unternehmen, die lediglich eigene Altgeräte abgeben, ändert sich zu diesem Datum nichts.
Sollten wir wegen des CRA lieber schreddern statt verkaufen
Dafür liefert der CRA kein Argument. Die Verordnung ist auf den Weiterverkauf gebrauchter Hardware im Grundsatz nicht anwendbar. Wer aus regulatorischer Unsicherheit funktionsfähige Geräte vernichtet, verliert den Restwert, ohne ein Risiko zu reduzieren. Die relevanten Pflichten beim Ausmustern kommen aus DSGVO und ElektroG — und die lassen sich mit zertifizierter Löschung und einem dokumentierten Prozess erfüllen.
Ihre IT-Ausmusterung regulatorisch sauber aufsetzen
Ob Notebook-Flotte, Firmen-iPhones oder komplette Serverschränke: Wir ordnen mit Ihnen ein, welche Regelwerke Ihren Fall tatsächlich betreffen, dokumentieren die Datenlöschung nachvollziehbar und holen den Restwert heraus, statt ihn zu vernichten. Ohne Zertifikatslogos, dafür mit Antworten auf die fünf Fragen oben.