Cyber Resilience Act und Tutador
Diese Seite erklärt, wie sich Tutador zur EU-Verordnung 2024/2847 stellt, dem Cyber Resilience Act. Sie ist unsere eigene Einschätzung mit Quellenangaben und keine Rechtsberatung.
Das Ergebnis vorweg
Tutador fällt unter den Cyber Resilience Act, aber nicht als Ganzes. Die Trennlinie läuft mitten durch unser Angebot.
Die Web-Anwendung unter tutador.de ist nicht erfasst. Sie läuft auf unseren Servern in Deutschland, wird im Browser genutzt, und beim Kunden wird nichts installiert.
Unsere Konnektoren sind erfasst. Das WordPress-Plugin und die TYPO3-Extension laden Kunden herunter und installieren sie auf ihrem eigenen Server. Das ist Software, die beim Kunden ankommt und dort läuft, also ein Produkt mit digitalen Elementen im Sinne der Verordnung.
Wir sagen das ausdrücklich, weil die bequemere Antwort naheliegt. Ein Prüfdienst, der ausschließlich im Browser läuft, wäre draußen. Wir liefern aber Software aus, und damit gilt für uns, was wir bei anderen prüfen.
Die Begründung
Der CRA gilt nach Art. 2 für „Produkte mit digitalen Elementen“, die auf dem Markt bereitgestellt werden. Erwägungsgrund 12 nimmt reine Web- und Cloud-Dienste ausdrücklich aus:
„Dagegen fallen Websites, die die Funktionalität eines Produkts mit digitalen Elementen nicht unterstützen, oder Cloud-Dienste, die außerhalb der Verantwortung eines Herstellers […] entworfen und entwickelt wurden, nicht in den Anwendungsbereich dieser Verordnung. Die Richtlinie (EU) 2022/2555 gilt für Cloud-Computing-Dienste und Cloud-Dienstmodelle wie SaaS […].“
Für die Web-Anwendung greift diese Ausnahme. Für die Konnektoren greift sie nicht, denn ein Konnektor ist keine Website und kein Cloud-Dienst, sondern eine Datei, die der Kunde herunterlädt und installiert.
Dazu kommt die Fernverarbeitung von Daten nach Art. 3 Nr. 2. Sie zieht die Serverseite in den Anwendungsbereich, wenn ein ausgeliefertes Produkt ohne sie eine seiner Funktionen nicht erfüllen könnte. Genau so arbeitet unser Konnektor: Er meldet den Innenstand des Redaktionssystems an unseren Server, und ohne diesen Server tut er nichts. Die Serverseite des Konnektors gehört damit zum Produkt, auch wenn die Web-Anwendung für sich genommen ausgenommen wäre.
Die beiden Fristen, die uns treffen
11. September 2026, Meldepflichten. Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden: eine Frühwarnung binnen 24 Stunden an das nationale CSIRT und die ENISA-Meldeplattform, eine ausführlichere Meldung binnen 72 Stunden, einen Abschlussbericht später.
11. Dezember 2027, volle Produktpflichten. Dann gelten die inhaltlichen Anforderungen an das Produkt selbst: keine bekannten ausnutzbaren Schwachstellen bei Auslieferung, ein geregelter Umgang mit Schwachstellen über den Unterstützungszeitraum, eine Stückliste der eingesetzten Komponenten, Sicherheitsaktualisierungen und technische Dokumentation.
Was wir deshalb heute schon tun
Jedem Konnektor-Paket liegt eine Software-Stückliste im
Format CycloneDX bei (sbom.cyclonedx.json). Sie wandert mit
dem Download zum Kunden, und ein Test hält sie fest: Ohne gültige
Stückliste geht kein Paket hinaus.
Der Meldeweg für
Schwachstellen ist öffentlich dokumentiert, maschinenlesbar unter
/.well-known/security.txt
nach RFC 9116, und er enthält die Zusage, redlichen Meldenden keine
rechtlichen Schritte anzudrohen.
Der interne Ablauf für die 24-Stunden-Frühwarnung steht schriftlich fest, mit Zuständigkeit, Empfängern, der vollständigen Fristenkette und dem Meldeweg über die ENISA-Plattform. Wer erst am Tag des Vorfalls klärt, wer meldet und wohin, verliert die 24 Stunden bereits mit dieser Klärung.
Keine dieser drei Maßnahmen ist vor September 2026 vorgeschrieben. Wir haben sie vorgezogen, weil ein Anbieter von Sicherheitsnachweisen die eigenen Pflichten erfüllen sollte, bevor er über die seiner Kunden spricht.
Und die NIS2-Richtlinie?
Für Cloud- und SaaS-Dienste ist statt des CRA die NIS2-Richtlinie (EU) 2022/2555 gedacht, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 gilt. Ihre Pflichten beginnen erst ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz. Größenunabhängig erfasst sie nur Sonderfälle wie Kommunikationsnetze, Vertrauensdienste oder DNS-Betreiber. Tutador liegt deutlich unter diesen Schwellen und gehört zu keinem der Sonderfälle.
Wann wir diese Einschätzung neu prüfen
- Sobald wir einen weiteren Konnektor ausliefern, etwa für ein anderes Redaktionssystem, gilt für ihn dasselbe wie für die beiden bestehenden.
- Sobald die Kommission oder die Marktüberwachung die Einordnung von Erweiterungen für fremde Systeme genauer fasst, prüfen wir, ob unser Konnektor in eine höhere Produktklasse rutscht. Heute ordnen wir ihn als gewöhnliches Produkt ohne besondere Klassifizierung ein.
- Bei Wachstum über die NIS2-Größenschwelle kämen deren Pflichten zusätzlich dazu.
Quellen
- Verordnung (EU) 2024/2847 im EU-Amtsblatt, insbesondere Erwägungsgrund 12 sowie Art. 2, 3 und 14
- Richtlinie (EU) 2022/2555 (NIS2) und das deutsche NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, im Bundesgesetzblatt veröffentlicht am 5. Dezember 2025
Wenn Sie das Gesetz aus Sicht Ihrer eigenen Website lesen wollen, steht das auf unserer Seite Cyber Resilience Act: Fristen, Pflichten, erster Schritt. Fragen zu dieser Einschätzung beantworten wir unter info@nolte.pro.
Stand dieser Einschätzung: 30.08.2026.