Cyber Resilience Act und Monaco

Eine Frist, von der die wenigsten Unternehmen in Monaco gehört haben

Am 11. September 2026 treten die ersten verbindlichen Pflichten des EU Cyber Resilience Act (Verordnung (EU) 2024/2847) in Kraft. Ab diesem Datum müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an europäische Behörden melden — in Fristen, die in Stunden gemessen werden, nicht in Wochen.

Der monegassische Reflex ist, das Thema zu überblättern. Monaco ist kein Mitgliedstaat der Europäischen Union, EU-Verordnungen gelten für monegassische Unternehmen also nicht automatisch. Dieser Reflex ist meistens richtig. Hier trägt er nur bedingt, denn der Cyber Resilience Act knüpft daran an, wo ein Produkt in Verkehr gebracht wird, nicht daran, wo das Unternehmen eingetragen ist.

Bringt Ihr monegassisches Unternehmen Software, eine App oder ein vernetztes Gerät auf den EU-Markt, kommen Sie potenziell in den Anwendungsbereich. Betreiben Sie ein Restaurant mit einer Reservierungsseite, tun Sie es nicht. Zwischen diesen beiden Fällen liegt die eigentliche Arbeit.

Warum ein Sitz außerhalb der EU nicht befreit

Der Cyber Resilience Act folgt der Logik des Inverkehrbringens, derselben Rechtsfamilie wie die CE-Kennzeichnung. Erfasst sind Produkte mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden, unabhängig davon, wo der Hersteller niedergelassen ist. Ein Unternehmen außerhalb der Union, das in die Union verkauft, fällt darunter.

Für einen Hersteller aus einem Drittland ist die praktische Folge struktureller Natur: Jemand innerhalb der EU muss die Compliance-Pflichten tragen. Das bedeutet, einen in der EU niedergelassenen Bevollmächtigten zu benennen oder sich auf einen Einführer zu stützen, der die entsprechenden Pflichten übernimmt. Für ein monegassisches Softwarehaus, das an Kunden in Frankreich, Italien oder Deutschland verkauft, ist das keine Formalie für den Moment der Auslieferung — es entscheidet darüber, wer was unterschreibt.

Die Position Monacos ist hier tatsächlich eine besondere. Monaco liegt im französischen Mehrwertsteuergebiet, was regelmäßig mit einer EU-Mitgliedschaft verwechselt wird. Beides ist nicht dasselbe, und keiner der beiden Punkte entscheidet die Frage. Entscheidend ist allein, ob Sie ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellen.

Was ein „Produkt mit digitalen Elementen" ist

Hier werden die meisten Unternehmen in Monaco Entwarnung finden — und einige wenige echte Arbeit.

Die Verordnung erfasst vernetzbare Hardware und Software; die Beispiele der Kommission reichen von Babyfonen und Smartwatches bis zu Apps und Computerprogrammen. Neben dem Produkt selbst gelten Fernverarbeitungslösungen, die für seine Funktion erforderlich sind, als Bestandteil dieses Produkts und sind ebenfalls erfasst. Produkte werden anschließend in Stufen eingeteilt, die über das Konformitätsverfahren entscheiden: Die Mehrheit fällt in eine Standardkategorie und kann selbst bewertet werden, strengere Stufen betreffen Passwortmanager, VPNs, Betriebssysteme und Firewalls, und eine kleine kritische Gruppe — intelligente Zähler, Sicherheitselemente — unterliegt einer verpflichtenden Zertifizierung.

Für ein typisches monegassisches Unternehmen heißt das:

• Eine Imageseite, eine Buchungsseite oder ein Unternehmensauftritt sind nicht das Ziel dieser Verordnung. Ihre Webentwicklung wird nicht plötzlich zu einem CE-gekennzeichneten Produkt.
• Eine native mobile App, die Sie veröffentlichen und vertreiben, ist ein deutlich engerer Fall und verdient eine saubere Prüfung.
• Vernetzte Hardware — ein Gerät, das mit begleitender Software verkauft wird — ist genau das, wofür die Verordnung geschrieben wurde. Davon gibt es in Monaco mehr als vermutet, besonders rund um Yachting, Sicherheitstechnik und Gebäudetechnologie.
• Reines SaaS steht differenzierter da: Der Anwendungsbereich ist um Produkte herum gebaut, nicht um Dienstleistungen, doch Cloud-Komponenten, die an die Funktion eines Produkts gebunden sind, werden einbezogen. Hängt Ihr Umsatz an der Antwort, holen Sie sie bei einer qualifizierten Beratung.

Die 24- und 72-Stunden-Uhr

Die Septemberpflicht ist enger gefasst als die vollständige Compliance, operativ aber anspruchsvoll. Für eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Vorfall, der die Sicherheit Ihres Produkts betrifft:

1. Frühwarnung binnen 24 Stunden nach Kenntniserlangung.
2. Vollständige Meldung binnen 72 Stunden.
3. Abschlussbericht binnen 14 Tagen, nachdem eine Abhilfemaßnahme für eine Schwachstelle verfügbar ist, oder binnen eines Monats bei einem schwerwiegenden Vorfall.

Die Meldung läuft über die zentrale Meldeplattform des CRA an das zuständige CSIRT; der Zweck ist, einmal zu melden statt in jedem Mitgliedstaat einzeln.

Die 24 Stunden sind die Zahl, die Aufmerksamkeit verdient. Diese Frist reicht nicht, um zu klären, wer entscheidet, wer schreibt und wer die Zugangsdaten zur Meldeplattform hat. Diese Fragen müssen vor dem Vorfall beantwortet sein — dieselbe Lehre, die Unternehmen in Monaco aus der 72-Stunden-Meldepflicht nach dem Gesetz Nr. 1.565 gezogen haben, und ein guter Grund, beides in einem Arbeitspaket zu behandeln. Wenn Sie bereits einen internen Ablauf für Meldungen im Rahmen des APDP-Datenschutzes haben, erweitern Sie ihn, statt neu anzufangen.

Was vor dem 11. September zu tun ist

• Klären Sie überhaupt erst die Betroffenheit. Halten Sie schriftlich fest, was Sie verkaufen, in welcher Form, an wen und in welchen Ländern. Die meisten monegassischen Unternehmen erledigen das an einem Nachmittag mit einem klaren Nein — und diese schriftliche Antwort ist für sich wertvoll.
• Bestimmen Sie Ihren Wirtschaftsakteur in der EU. Produkte in die Union zu verkaufen, ohne Bevollmächtigten oder Einführerregelung, ist die Lücke, die zuerst geschlossen gehört.
• Benennen Sie eine verantwortliche Person und einen Weg. Eine Person, die für die Frühwarnung binnen 24 Stunden einsteht, mit dokumentiertem Plattformzugang und einer Vertretung für Urlaubszeiten.
• Wissen Sie, woher Ihre Software stammt. Über ausgenutzte Schwachstellen zu melden setzt voraus, dass Sie Ihre Komponenten kennen. Für die meisten Teams heißt das ein Inventar der Abhängigkeiten und eine feste Beobachtungsroutine — etwas für eine laufende Website-Wartung und -Betreuung, nicht für einen einmaligen Audit.

Das größere Datum ist der 11. Dezember 2027

September 2026 löst die Meldepflichten aus. Die materiellen Anforderungen — Sicherheit durch Gestaltung, Schwachstellenbehandlung über den gesamten Supportzeitraum, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung — gelten ab dem 11. Dezember 2027. Bemerkenswert: Die Meldepflichten erfassen auch Produkte, die bereits auf dem EU-Markt sind. Eine Anwendung, die Sie vor Jahren ausgeliefert haben, fällt also nicht automatisch heraus.

Fünfzehn Monate klingen bequem und sind es nicht, wenn Ihr Produkt ein Konformitätsbewertungsverfahren, eine Security-by-Design-Prüfung oder eine Umstellung Ihrer Update-Auslieferung braucht. Unternehmen, die den September als Anlass nehmen, ihre Exponierung zu kartieren, werden 2027 umsetzen. Wer wartet, wird improvisieren.

Ein ehrlicher Vorbehalt: Der Text ist neu, Leitlinien werden weiterhin veröffentlicht, und die Randfragen zum Anwendungsbereich — besonders zu SaaS — verdienen eine belastbare juristische Prüfung. Wo die Antwort Ihre Produkt-Roadmap oder Ihre Fähigkeit betrifft, in die EU zu verkaufen, lassen Sie sie von einer qualifizierten Fachperson bestätigen. Nichts hiervon ist Rechtsberatung.

Für die meisten Unternehmen in Monaco ist das richtige Ergebnis dieser Lektüre ein kurzes, dokumentiertes „nicht betroffen". Für die Minderheit, die Software und vernetzte Produkte für europäische Kunden baut, ist es der Anfang eines echten Projekts — das sich natürlich mit Ihren Digitalstrategie-Entscheidungen verbindet, welche Märkte Sie bedienen wollen.

Um herauszufinden, auf welcher Seite dieser Linie Ihr Unternehmen steht, nehmen Sie Kontakt auf — ein kurzes Gespräch genügt in der Regel.