Kurz gesagt: reines SaaS nein, SaaS mit ausgelieferter Komponente ja.
Der CRA regelt „“. Ein Cloud-Dienst, der nicht an ein solches Produkt gebunden ist, liegt außerhalb des Anwendungsbereichs und wird von einem anderen Gesetz erfasst, der NIS2-Richtlinie. Die Grenze zieht die Definition der „“.
Artikel 3 definiert ein Produkt mit digitalen Elementen als Software- oder Hardwareprodukt einschließlich seiner Lösungen für die Datenfernverarbeitung. Entscheidend ist die enge Definition dieses Begriffs: Art. 3 Nr. 2 beschränkt ihn auf eine Datenverarbeitung, für die die Software vom Hersteller oder unter seiner Verantwortung entwickelt wurde und ohne die das Produkt eine seiner Funktionen nicht ausführen könnte.
Der Cloud-Teil ist also nur dann erfasst, wenn er Teil eines Produkts ist, das Sie ausliefern. Erwägungsgrund 12 sagt den Rest deutlich: Cloud-Lösungen, die außerhalb der Verantwortung eines Herstellers eines Produkts mit digitalen Elementen entwickelt werden, fallen nicht in den Anwendungsbereich. Eigenständige Cloud-Dienste, also SaaS, werden stattdessen auf die NIS2-Richtlinie verwiesen.
Die Unterscheidung ist nicht akademisch. Sobald Sie erfasst sind, schulden Sie eine SBOM, eine technische Dokumentation, einen Prozess zur Schwachstellenbehandlung, einen Supportzeitraum von mindestens fünf Jahren (Art. 13 Abs. 8) und seit dem 11. September 2026 die 24-Stunden-Meldepflicht für aktiv ausgenutzte Schwachstellen (Art. 14). Viele SaaS-Unternehmen liefern einen „“ Agenten aus und merken nie, dass dieser Agent das ganze Unternehmen in ein Produktsicherheitsregime gezogen hat.
Die Grenze ist an den Rändern umstritten. Branchenverbände haben die Kommission um klarere Leitlinien für hybride Fälle gebeten, und die harmonisierten Normen werden noch erarbeitet. Wer nahe an der Grenze liegt, sollte seine Einordnung dokumentieren: welche Funktionen von der Cloud abhängen und welche nicht.
Nichts davon hängt vom Sitz Ihres Unternehmens ab. Der CRA gilt für Produkte, die auf dem EU-Markt bereitgestellt werden. Ein amerikanisches oder israelisches Unternehmen, das einen Client an EU-Kunden ausliefert, ist genauso erfasst wie ein deutsches.
Zwei kostenlose Werkzeuge, die das auf Ihren Fall anwenden: die Anwendbarkeitsprüfung in zwei Minuten (gilt der CRA für Sie, mit den Fundstellen) und der SBOM-Generator (CycloneDX + SPDX aus Ihrer Manifestdatei, signiert; englischsprachig). Für keines brauchen Sie ein Konto.
Quellen, ausschließlich Primärquellen: Verordnung (EU) 2024/2847 (EUR-Lex) · Europäische Kommission, CRA-Überblick · Europäische Kommission, CRA-Meldepflichten · ENISA, Single Reporting Platform. Keine Rechtsberatung; maßgeblich ist der Verordnungstext.