Diesmal gilt der Bestandsschutz

Am 10. September haben wir über die Meldepflichten des Cyber Resilience Act geschrieben, und die Pointe war Artikel 69 Absatz 3: kein Bestandsschutz. Die Pflicht trifft auch das Produkt, das 2019 ausgeliefert wurde.

Zwei Tage später, am 12. September, beginnt die nächste Pflicht, und sie ist das genaue Gegenteil.

Was ab dem 12. September gilt

Artikel 3 Absatz 1 der Datenverordnung, der Data Act, verlangt, dass vernetzte Produkte und die damit verbundenen Dienste so gestaltet sind, dass Produktdaten und Dienstdaten für den Nutzer zugänglich sind: einfach, sicher, unentgeltlich, in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format und, soweit relevant und technisch machbar, direkt.

Das ist Zugang durch Gestaltung. Nicht ein Recht, das man geltend machen muss, sondern eine Eigenschaft, die das Produkt mitbringen muss.

Für wen es gilt, und das ist die Stelle

Artikel 50 regelt die Geltung, und er unterscheidet: Die Verordnung gilt seit dem 12. September 2025. Die Pflicht aus Artikel 3 Absatz 1 gilt für vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden.

Nach, nicht ab. Der erste Tag, an dem ein neu in Verkehr gebrachtes Produkt die Pflicht erfüllen muss, ist damit der 13. September. Und für alles, was vorher in Verkehr gebracht wurde, gilt sie nicht. Nicht bei wesentlicher Änderung, nicht bei Update, gar nicht.

Cyber Resilience Act: Der Altbestand ist drin. Datenverordnung: Der Altbestand ist draußen. Wer beide Verordnungen nach ihrem Schlagzeilendatum liest, kommt in beiden Fällen zum falschen Ergebnis. Die Antwort steht jedes Mal in der Übergangsvorschrift, und die steht jedes Mal am Ende.

Was schon länger gilt

Ein Teil des Artikels 3 ist nicht neu. Absatz 2 verpflichtet Verkäufer, Vermieter und Leasinggeber seit dem 12. September 2025, vor Vertragsschluss zu informieren: über Art, Format und Umfang der Daten, die das Produkt erzeugt, ob fortlaufend und in Echtzeit, wo und wie lange sie gespeichert werden, und wie der Nutzer sie abrufen und löschen kann. Das gilt seit einem Jahr für jeden Kauf.

Sie sind meistens der Nutzer

Die Pflicht aus Absatz 1 trifft Hersteller. Die meisten Häuser, die diese Seite lesen, sind keine, sondern betreiben vernetzte Produkte: Zähler, Gebäudetechnik, Fahrzeuge, Maschinen, Sensorik. Für sie ist die Verordnung eine Eigenschaft, die künftige Anschaffungen haben müssen. Und weil der Bestandsschutz vollständig ist, hängt alles am Kaufzeitpunkt: Was heute im Betrieb steht, bekommt den Datenzugang nicht nachgereicht. Was ab jetzt beschafft wird, muss ihn mitbringen.

Ein Satz für die nächste Ausschreibung

Daraus folgt eine sehr praktische Konsequenz für den Einkauf. Wer ab jetzt vernetzte Produkte beschafft, kann und sollte die Eigenschaft aus Artikel 3 Absatz 1 zur Anforderung machen: Zugang zu den erzeugten Daten, strukturiert, maschinenlesbar, ohne Entgelt. Nicht als Wunsch, sondern als Verweis auf die Pflicht, die der Hersteller ohnehin hat.

Zwei Prüffragen

Nehmen Sie die letzten drei vernetzten Produkte, die Ihr Haus seit September 2025 beschafft hat. Liegen zu ihnen die Angaben nach Absatz 2 vor? Wenn nicht, fehlt seit einem Jahr eine Information, auf die man Anspruch hatte.

Und öffnen Sie die nächste Leistungsbeschreibung für ein vernetztes Produkt. Steht darin, dass die Daten nach Absatz 1 zugänglich sein müssen? Für alles, was ab jetzt in Verkehr kommt, ist das kein Zusatz mehr, sondern die Beschreibung dessen, was der Hersteller schuldet.

Die Fristen mit Fundstelle stehen im Compliance-Kalender. Welche vernetzten Produkte im eigenen Bestand stehen und seit wann, beantwortet das Assetmanagement.

Quellen

Verordnung (EU) 2023/2854 (Datenverordnung), Artikel 3 Absätze 1 und 2 sowie Artikel 50, im Amtsblatt: EUR-Lex. Der Artikel zum Cyber Resilience Act vom 10. September: Bestandsschutz endet beim Melden.