Der CRA-Befund ist grundsätzlich in den Deal integrierbar.
Dokumentieren Sie Produktrollen, Zuständigkeiten und Nachweise. Der SPA sollte die Befunde in Garantien und Informationspflichten übernehmen.
Due Diligence
Cyber Resilience Act beim Unternehmenskauf: Produktpflichten vor Closing prüfen
Cyber Resilience Act im Unternehmenskauf: Produktrollen, Schwachstellenmanagement, Konformitätsunterlagen und SPA-Schutz prüfen.
Ihre Kanzlei
BRANDAUER Rechtsanwälte
Salzburger Kanzlei für Unternehmens-, Gesellschafts- und Transaktionsrecht
Hinter jeder Transaktion steht ein eingespieltes Team aus Rechtsanwälten, Juristen und Spezialisten. Fragen rund um den Unternehmenskauf prüfen wir mit Blick auf Struktur, Vertrag, Steuern und Haftung.
14. August 2026 · Mag. Bernhard Brandauer, Rechtsanwalt
Der Cyber Resilience Act ist beim Unternehmenskauf kein allgemeines IT-Sicherheitskapitel. Er kann unmittelbar produktbezogene Pflichten des Zielunternehmens betreffen, wenn Software, Hardware oder vernetzte Produkte hergestellt, importiert oder vertrieben werden.
Käufer sollten vor Closing verstehen, welche Rolle das Zielunternehmen in der Lieferkette einnimmt, ob Schwachstellenprozesse funktionieren und ob Konformitätsunterlagen belastbar vorliegen. Sonst wird ein Produktpflichtenproblem nach dem Closing zum Haftungs- und Kostenrisiko.
CRA-Prüfung starten
Sind Produktpflichten vor Closing beherrscht?
Die Fragen trennen allgemeine Cybersecurity von konkreten CRA-Produktpflichten.
Sie wissen schon, dass Sie eine Anfrage stellen wollen? Direkt zum Anfrageformular.
Stellt, importiert oder vertreibt das Zielunternehmen digitale Produkte oder Komponenten?
Dann ist nicht nur IT-Betrieb, sondern auch Produkt-Compliance zu prüfen.
Alle Pfade im Überblick
Übersicht aller Antworten.
Der CRA-Befund braucht vor Closing eine konkrete Lösung.
Wenn Rollen, Lieferketten oder Schwachstellenprozesse offen sind, sollte der Käufer einen Maßnahmenplan, Rückbehalt, Freistellung oder eine Condition prüfen.
Produktrolle statt allgemeiner IT-Check
Produktrolle statt allgemeiner IT-Check
Der CRA ergänzt die Cybersecurity Due Diligence zu NIS2, ersetzt sie aber nicht. NIS2 fragt stärker nach Organisations- und Betreiberpflichten. Der CRA blickt auf Produkte mit digitalen Elementen.
Im Datenraum sollte daher sichtbar sein, ob das Ziel Hersteller, Importeur, Händler oder bloßer Dienstleister ist. Diese Rolle bestimmt, welche Nachweise, Prozesse und Risiken der Käufer übernimmt.
Lieferkette, Open Source und Schwachstellenprozesse prüfen
Lieferkette, Open Source und Schwachstellenprozesse prüfen
Bei einem Software- oder SaaS-Unternehmen sind Quellcode, Open-Source-Anteile, Drittkomponenten, Updateprozesse und Sicherheitsmeldungen eng mit CRA-Risiken verbunden.
Die Prüfung sollte zeigen, ob Sicherheitslücken dokumentiert, bewertet und behoben werden. Unklare Zuständigkeiten zwischen Hersteller, Integrator und Vertriebspartner gehören in die Risikoliste.
SPA-Schutz für Produktpflichten formulieren
SPA-Schutz für Produktpflichten formulieren
CRA-Themen können sich mit Produkthaftung und Rückrufrisiken überschneiden. Deshalb sollten Garantien nicht nur abstrakt auf Compliance verweisen, sondern Produktportfolio, Dokumentation, bekannte Schwachstellen und Lieferketten konkret erfassen.
Wenn Nachweise fehlen, kommen Kaufpreisrückbehalt, Freistellung, Closing Condition oder ein verbindlicher Remediation-Plan in Betracht.
Deal-Raster
CRA-Prüfpunkte im Unternehmenskauf
Die Übersicht zeigt, welcher Befund welche Vertragsfolge auslösen kann.
| Punkt | Prüfung | Folge |
|---|---|---|
| Produktrolle Hersteller, Importeur, Händler oder Dienstleister? | Rollenbasierte Garantie | |
| Dokumentation Konformitäts- und Sicherheitsunterlagen vorhanden? | Disclosure und Nachlieferpflicht | |
| Schwachstellen Vulnerability Handling belastbar? | Covenant und Freistellung | |
| Lieferkette Drittkomponenten und Open Source geprüft? | IT- und IP-Garantien |
Die konkrete Gestaltung hängt von Zielunternehmen, Datenraum und Verhandlungsposition ab.
Praxispunkt: Ein allgemeiner Satz zur IT-Sicherheit genügt nicht. Wenn das Ziel Produkte mit digitalen Elementen anbietet, sollte der Deal die konkrete Produktrolle und die vorhandenen Nachweise erfassen.
FAQ
Häufige Fragen zum Cyber Resilience Act im Deal.
Ist CRA dasselbe wie NIS2? +
Nein. NIS2 betrifft vor allem organisatorische Cybersicherheit bestimmter Einrichtungen, der CRA richtet sich produktbezogen auf digitale Produkte.
Warum ist die Lieferkette wichtig? +
Weil Komponenten, Open Source und Zulieferer bestimmen können, welche Schwachstellen und Nachweise der Käufer übernimmt.
Kann CRA eine Closing Condition rechtfertigen? +
Ja, wenn wesentliche Produktpflichten, Unterlagen oder bekannte Sicherheitslücken vor Closing ungeklärt sind.
Vertiefung
Passende Beiträge zur Produkt- und IT-Prüfung
Cybersecurity Due Diligence
Direkter Anschluss für die vertiefte Prüfung.
Software und SaaS
Direkter Anschluss für die vertiefte Prüfung.
Produkthaftung
Direkter Anschluss für die vertiefte Prüfung.
IP und IT-Verträge
Direkter Anschluss für die vertiefte Prüfung.
Closing Conditions
Direkter Anschluss für die vertiefte Prüfung.
Themen
Cyber Resilience ActProduktpflichtenDue DiligenceSoftwareUnternehmenskauf
Transaktion strukturieren, Vertrag prüfen, Risiken absichern?
Beim Unternehmenskauf entscheiden Struktur, Prüfung und Vertrag. Rufen Sie direkt an oder schreiben Sie uns, Rückruf innerhalb eines Werktags.
Kontakt
Direkter Draht in die Kanzlei.
Anschrift
BRANDAUER Rechtsanwälte GmbH Giselakai 51 5020 Salzburg
Telefon
+43 662 6280000