Muss ich die Software-Stückliste nach dem CRA veröffentlichen?
Stand · belegt mit Primärquellen · keine Rechtsberatung · So arbeiten wir
Kurz gesagt
Nein. Der Cyber Resilience Act verlangt ab 11.12.2027, dass du eine Stückliste erstellst, mindestens für die obersten Abhängigkeiten (Anhang I Teil II Nummer 1 VO (EU) 2024/2847). Sie gehört in die technische Dokumentation. Behörden bekommen sie auf begründetes Verlangen (Anhang VII Nummer 8). Ob Nutzer sie sehen, entscheidest du (Anhang II Nummer 9).
Anhang I Teil II Nummer 1, Anhang II Nummer 9, Anhang VII Nummer 8 VO (EU) 2024/2847
Das Format muss gängig und maschinenlesbar sein. Die Kommission kann Format und Elemente per Durchführungsrechtsakt festlegen (Art. 13 Abs. 24).
Manche Quellen nennen den 11.09.2026 auch für die Stückliste. Das stimmt nicht: Art. 71 Abs. 2 zieht nur Art. 14 und Kapitel IV vor.
Stellst du Nutzern die Stückliste bereit, nennst du in den Nutzerinformationen, wo sie abrufbar ist.
Quellen
Stand 02.11.2026. Maßgeblich ist der jeweils geltende Verordnungstext. Dieser Beitrag ersetzt keine Rechtsberatung.