EU-Compliance-Kalender 2026 für Hardware: die wichtigsten Fristen zu CRA, Batterieverordnung, CBAM, DPP, PFAS und RoHS/REACH auf einer Seite

Stand: 17. Oktober 2026. Compliance-Termine verschieben sich: Mehrere der unten genannten wurden 2025/26 geändert oder verschoben, zwei der hier behandelten Regelungen haben überhaupt kein festes Datum, und zu weiteren liegen Änderungsvorschläge vor. Prüfen Sie den aktuellen Stand für Ihr Produkt, bevor Sie sich auf eines der hier genannten Daten verlassen.

Das Wichtigste in Kürze

Wer Hardware in die EU verkauft, sieht sich einer Fülle von Regelungen mit jeweils eigenen gestaffelten Terminen gegenüber. Für die Planung ist vor allem eine Unterscheidung wichtig: Für einige Pflichten legt geltendes Recht bereits ein Datum fest. Bei anderen Punkten ist der Schritt, der ihnen ein Datum gäbe (ein delegierter Rechtsakt oder eine erlassene Beschränkung), noch nicht getan. Zur ersten Gruppe gehören der Cyber Resilience Act (CRA), die Batterieverordnung und das CO₂-Grenzausgleichssystem (Carbon Border Adjustment Mechanism, CBAM). Zur zweiten gehören der Digitale Produktpass (DPP) für Elektronik und die EU-weite Beschränkung von per- und polyfluorierten Alkylsubstanzen (PFAS). Eine dritte Gruppe bilden dauerhafte Anforderungen, die in einem wiederkehrenden Zyklus zu prüfen sind. Sie ergeben sich aus der RoHS-Richtlinie (Restriction of Hazardous Substances) und aus der Verordnung zur Registrierung, Bewertung, Zulassung und Beschränkung chemischer Stoffe (REACH). Für die ersten drei Regelungen gelten seit 2026 zwei zentrale Pflichten für Hersteller und Einführer: die endgültige Regelung des CBAM seit dem 1. Januar und die CRA-Meldepflicht seit dem 11. September. Für ein Produkt mit Batterie ist der nächste feste Termin der 18. Februar 2027. Ab dann müssen eingebaute Gerätebatterien vom Endnutzer entfernt und ausgetauscht werden können, vorbehaltlich der Ausnahmen. Für Batterien für leichte Verkehrsmittel (LV-Batterien), Elektrofahrzeugbatterien und große Industriebatterien gilt zudem der Batteriepass.

Die Übersichtstabelle

Stand: 17. Oktober 2026.

Die festen Termine: Diese gehören in Ihre Planung

Die Regelungen in diesem Kalender lassen sich grob in drei Arten einteilen. Manche erlegen eine Pflicht auf, zu der in geltendem Recht bereits ein Datum feststeht. Manche haben noch keines, weil der rechtliche Schritt, der es festlegen würde, noch nicht getan ist. Und manche sind dauerhafte Anforderungen mit einem wiederkehrenden Prüfzyklus. Die drei folgenden Regelungen gehören zur ersten Art. Nach ihren Terminen sollten Sie planen.

Cyber Resilience Act: Seit dem 11. September 2026 müssen Hersteller jede aktiv ausgenutzte Schwachstelle in ihrem Produkt melden, sobald sie davon Kenntnis erlangen. Dasselbe gilt für jeden schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts. Die Meldung geht gleichzeitig an das als Koordinator benannte nationale Computer Security Incident Response Team (CSIRT) und an die EU-Agentur für Cybersicherheit (ENISA), und zwar über die einheitliche Meldeplattform der ENISA. Der erste Schritt ist eine Frühwarnung innerhalb von 24 Stunden, nachdem der Hersteller Kenntnis erlangt hat (Verordnung (EU) 2024/2847, Artikel 14 und 71). Die Pflicht gilt auch für erfasste Produkte, die vor Dezember 2027 in Verkehr gebracht wurden (Artikel 69 Absatz 3). Die vollständigen Pflichten (die grundlegenden Cybersicherheitsanforderungen, die Konformitätsbewertung und die CE-Kennzeichnung) gelten ab dem 11. Dezember 2027. Der Anwendungsbereich richtet sich nach der Datenverbindung. Die Verordnung gilt für Hardware- und Softwareprodukte, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung „eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz“ einschließt (Artikel 2 Absatz 1). Eine kabelgebundene Datenverbindung wie USB kann ein Produkt also ebenso in den Anwendungsbereich bringen wie eine Funkschnittstelle. Ausgenommen sind Medizinprodukte, Kraftfahrzeuge und einige weitere Bereiche mit eigenem Fachrecht. Die Einzelheiten finden Sie im Beitrag zum CRA.

EU-Batterieverordnung: Enthält Ihr Produkt eine Batterie, kommen am 18. Februar 2027 drei Pflichten hinzu. Der Batteriepass gilt für LV-Batterien, Elektrofahrzeugbatterien und Industriebatterien über 2 kWh. Am selben Tag muss jeder, der ein Produkt mit eingebauten Gerätebatterien in Verkehr bringt, dafür sorgen, dass der Endnutzer diese Batterien leicht entfernen und austauschen kann. Ausnahmen regelt Artikel 11. Zudem müssen ab diesem Tag alle Batterien mit einem QR-Code gekennzeichnet sein (Verordnung (EU) 2023/1542, Artikel 11, 13, 77 und 96). Die Pflicht zur Entfernbarkeit trifft denjenigen, der das Gerät in Verkehr bringt, und ist damit eine Anforderung an die Konstruktion des Geräts selbst. Die Sorgfaltspflichten in der Lieferkette folgen am 18. August 2027, nachdem die Verordnung (EU) 2025/1561 sie vom 18. August 2025 auf diesen Termin verschoben hat. Ausgenommen sind derzeit Wirtschaftsakteure mit weniger als 40 Mio. EUR Nettoumsatz, die keiner Gruppe mit einem konsolidierten Umsatz oberhalb dieser Grenze angehören. Ein anhängiger Vorschlag zur Vereinfachung würde diese Schwelle anheben. Die Einzelheiten finden Sie im Beitrag zur Batterieverordnung.

CBAM: Die endgültige Regelung gilt seit dem 1. Januar 2026. Waren aus Anhang I (Eisen und Stahl, Aluminium, Zement, Düngemittel, Strom und Wasserstoff, darunter auch einige einfache Waren wie Schrauben und Bolzen aus Stahl) dürfen seitdem nur von einem zugelassenen CBAM-Anmelder eingeführt werden. Ausgenommen sind Einführer, deren erfasste Einfuhren im Kalenderjahr höchstens 50 Tonnen Eigenmasse betragen. Für Strom und Wasserstoff gilt diese Ausnahme nicht (Verordnung (EU) 2023/956 in der Fassung der Verordnung (EU) 2025/2083, Artikel 2a und 4). Die nächsten Termine sind der Verkauf von CBAM-Zertifikaten ab dem 1. Februar 2027 und die erste CBAM-Erklärung für die Einfuhren des Jahres 2026 bis zum 30. September 2027. Fertige Elektronik steht heute nicht in Anhang I. Das kann sich ändern: Der Vorschlag COM(2025) 989 der Kommission würde das CBAM ab dem 1. Januar 2028 auf rund 180 stahl- und aluminiumintensive nachgelagerte Produkte ausweiten, darunter Elektromotoren, Transformatoren und einige Haushaltsgeräte. Das Parlament hat am 15. September 2026 Änderungen beschlossen und das Dossier für die Verhandlungen mit dem Rat an den Ausschuss zurücküberwiesen. Die Einzelheiten finden Sie im Beitrag zum CBAM.

Was noch in Bewegung ist: Punkte für die Beobachtungsliste

Zwei Regelungen in diesem Kalender haben überhaupt kein Datum, und der Grund ist in beiden Fällen derselbe: Der rechtliche Schritt, der aus ihnen jeweils eine datierte Pflicht machen würde, ist noch nicht getan. Beim Digitalen Produktpass ist dieser Schritt ein delegierter Rechtsakt für die jeweilige Produktgruppe, und für Elektronik ist noch keiner erlassen. Bei PFAS ist es die Beschränkung selbst, die sich noch als Vorschlag in der wissenschaftlichen Prüfung befindet. Beide gehören auf eine Beobachtungsliste, bis dieser Schritt getan ist. In diesem Sinn sind sie noch in Bewegung.

Der Digitale Produktpass für Elektronik: Der DPP fällt unter die ESPR. Sie ist am 18. Juli 2024 in Kraft getreten, und ihr am 16. April 2025 angenommener Arbeitsplan 2025–2030 gibt die Richtung vor. Nach der ESPR werden die DPP-Anforderungen für eine bestimmte Produktgruppe jedoch erst durch spätere delegierte Rechtsakte festgelegt, und mit Stand Oktober 2026 ist für keine Elektronikproduktgruppe einer erlassen. Die Jahre, die der Arbeitsplan für Maßnahmen mit Elektronikbezug nennt, etwa für horizontale Anforderungen an die Reparierbarkeit und für Displays (jeweils 2027), sind Richtwerte für die Annahme dieser Rechtsakte. Sie begründen keine Pflicht. Nach der ESPR hat deshalb noch keine Elektronikproduktgruppe einen datierten Produktpass. Der Batteriepass (18. Februar 2027) gilt für LV-, Elektrofahrzeug- und Industriebatterien über 2 kWh. Sektorale Rechtsakte fügen weitere Produktpässe hinzu, etwa für Spielzeug einschließlich elektronischen Spielzeugs ab dem 1. August 2030 nach der neuen EU-Spielzeugverordnung (EU) 2025/2509. Jahreszahlen, die Sie womöglich für einen Pass für Telefone, Displays oder Ladegeräte gelesen haben, bleiben eine Erwartung, bis ein delegierter Rechtsakt sie festlegt. Verfolgen Sie die delegierten Rechtsakte, und richten Sie Ihre Entwicklung nicht nach einem Datum aus, das noch kein Rechtsakt festgelegt hat.

PFAS: Die vorgeschlagene EU-weite Beschränkung von PFAS („Ewigkeitschemikalien“) würde die Stoffgruppe breit erfassen, und sie ist weiterhin ein Vorschlag. Fünf nationale Behörden haben sie im Januar 2023 bei der ECHA eingereicht (ECHA), und 2025 wurde eine aktualisierte Fassung veröffentlicht. Die Kommission erwartet die abschließende wissenschaftliche Bewertung der ECHA bis Ende 2026 und will danach ihren eigenen Beschränkungsvorschlag vorlegen (Europäische Kommission, 15. Juni 2026). Für die universelle Beschränkung gibt es kein Datum des Inkrafttretens. Nach unserer Einschätzung der noch ausstehenden Schritte wird aus ihr 2026/27 keine Pflicht fällig. Zu diesen Schritten gehören ein Vorschlag der Kommission und eine Entscheidung nach REACH. Hinzu kommen die Übergangsfristen und verwendungsspezifischen Ausnahmen, die eine so breite Beschränkung voraussichtlich enthalten wird. Die Beschränkung sollte auf Ihrem Risikoradar stehen und in Ihre Überlegungen zur Substitution in der Konstruktion einfließen, denn wird sie erlassen, braucht die Substitution Zeit. Davon getrennt sind engere Beschränkungen für einzelne PFAS bereits erlassen, etwa für PFOS, PFOA und PFHxS sowie seit dem 10. Oktober 2026 für PFHxA in bestimmten Verbraucheranwendungen (PFAS-Seite der Kommission; Verordnung (EU) 2024/2462 der Kommission). Gleichen Sie Ihre Materialien auch mit diesen ab.

Die dauerhaft geltenden Regelungen

Die dritte Art besteht aus dauerhaften Anforderungen, die in einem wiederkehrenden Zyklus zu prüfen sind. Ihr Kalendereintrag ist deshalb eine wiederkehrende Prüfung.

Die RoHS-Richtlinie beschränkt zehn gefährliche Stoffe in Elektro- und Elektronikgeräten. Als dauerhafte Anforderung wird sie über den Zyklus zur Erneuerung von Ausnahmen verfolgt, sofern Sie sich auf eine Ausnahme stützen. Ein Antrag auf Erneuerung ist spätestens 18 Monate vor Ablauf der Ausnahme zu stellen (Richtlinie 2011/65/EU, Artikel 5 Absatz 5), und maßgeblich sind die Ausnahmen in den Anhängen III und IV der Richtlinie in ihrer jeweils geltenden Fassung. Prüfen Sie diese Anhänge selbst, denn eine Zusammenfassung kann veraltet sein.

REACH gilt fortlaufend im Hintergrund. Die ECHA aktualisiert ihre SVHC-Kandidatenliste regelmäßig, jedoch nicht in festen Abständen. Jede Aktualisierung kann einen neuen Stoff in den Anwendungsbereich bringen. Enthalten Ihre Erzeugnisse einen Stoff der Kandidatenliste oberhalb von 0,1 Massenprozent, besteht seit dem 5. Januar 2021 nach Artikel 9 Absatz 1 Buchstabe i der Abfallrahmenrichtlinie (2008/98/EG) eine Pflicht zur Meldung an SCIP, die Datenbank der ECHA zu besorgniserregenden Stoffen in Erzeugnissen (ECHA zu SCIP). Die Kommission hat im Dezember 2025 im Rahmen ihres Vereinfachungspakets für das Umweltrecht vorgeschlagen, diese SCIP-Pflicht abzuschaffen (COM(2025) 986). Mit Stand Oktober 2026 ist der Vorschlag noch nicht beschlossen, sodass die Pflicht weiterhin gilt. Der Vorschlag ändert diese Richtlinie und lässt REACH unverändert. Die Pflicht nach Artikel 33, die Abnehmer solcher Erzeugnisse zu informieren, bleibt deshalb unberührt. Der passende Kalendereintrag für diese Regelungen ist eine wiederkehrende Prüfung: Gleichen Sie die Kandidatenliste bei jeder Aktualisierung mit Ihrer Stückliste (BOM) ab.

Weitere datierte EU-Regelungen

Dieser Kalender deckt die oben genannten Regelungen ab. Auch andere EU-Vorschriften mit Terminen zwischen 2024 und 2028 betreffen Hardware. Dazu gehört unter anderem die Anforderung der Datenverordnung (Data Act), vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden, so zu konzipieren, dass ihre Daten für den Nutzer zugänglich sind (Verordnung (EU) 2023/2854, Artikel 3 Absatz 1 und Artikel 50). Hinzu kommen die Maschinenverordnung (EU) 2023/1230 (gilt ab dem 20. Januar 2027), die Cybersicherheitsanforderungen an Funkanlagen nach der Delegierten Verordnung (EU) 2022/30 in der Fassung der Delegierten Verordnung (EU) 2023/2444 (seit 1. August 2025) und das USB-C-Laden für Laptops nach der Ladegeräte-Richtlinie (EU) 2022/2380 (seit 28. April 2026). Ebenso zählen dazu die Verordnung über die allgemeine Produktsicherheit (seit 13. Dezember 2024), die Verpackungsverordnung (EU) 2025/40 (seit 12. August 2026) und die Ökodesign- und Energiekennzeichnungsvorschriften für Smartphones und Tablets (seit 20. Juni 2025). Schließlich hat die Verordnung (EU) 2026/1744 die Hochrisiko-Anforderungen der KI-Verordnung an KI in regulierten Produkten auf den 2. August 2028 verschoben. Die Liste wächst mit jedem neuen Rechtsakt. Prüfen Sie deshalb die Vorschriften für Ihre eigene Produktkategorie anhand von EUR-Lex, dem amtlichen Rechtsportal der EU.

Häufige Fragen

Was ist die nächste harte EU-Frist für ein vernetztes Produkt?

Unter den Regelungen dieses Kalenders gilt die CRA-Meldepflicht bereits: Seit dem 11. September 2026 müssen Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die einheitliche Meldeplattform der ENISA melden, auch für Produkte, die bereits auf dem Markt sind. Der nächste CRA-Termin ist der 11. Dezember 2027, ab dem die vollständigen Pflichten und die CE-Kennzeichnung gelten. Enthält das Produkt außerdem eine Batterie, kommt der 18. Februar 2027 zuerst. Je nach Produkt gelten weitere Regelungen. Die Gestaltungsanforderung der Datenverordnung gilt schon jetzt für vernetzte Produkte, die nach dem 12. September 2026 in Verkehr gebracht werden. Maschinen fallen ab dem 20. Januar 2027 unter die Maschinenverordnung.

Ist der Digitale Produktpass eine Frist für 2026 oder 2027?

Für Batterien ist er eine Frist für 2027: Der Batteriepass gilt ab dem 18. Februar 2027 für LV-, Elektrofahrzeug- und Industriebatterien über 2 kWh. Für Elektronik allgemein ist er noch gar keine Frist. Die DPP-Anforderungen kommen über delegierte Rechtsakte zur ESPR, und mit Stand Oktober 2026 ist für keine Elektronikproduktgruppe einer erlassen. Eine feste Pflicht besteht deshalb erst, wenn ein delegierter Rechtsakt sie festlegt. Verfolgen Sie die delegierten Rechtsakte zur ESPR.

Muss ich bei PFAS jetzt handeln?

Keine Frist aus der vorgeschlagenen universellen Beschränkung verlangt das, denn diese ist noch ein Vorschlag ohne Datum des Inkrafttretens. Davon getrennt sind engere PFAS-Beschränkungen bereits erlassen, etwa für PFOS, PFOA und PFHxS sowie seit dem 10. Oktober 2026 für PFHxA in bestimmten Verbraucheranwendungen. Gleichen Sie Ihre Materialien damit ab. Es lohnt sich aber, die vorgeschlagene universelle Beschränkung schon jetzt bei Konstruktion und Materialwahl zu berücksichtigen. Denn wird eine Beschränkung erlassen, braucht die Substitution Zeit. Verfolgen Sie die Stellungnahmen der ECHA und den anschließenden Vorschlag der Kommission, und richten Sie Ihre Terminplanung nicht nach dem Vorschlag selbst.

Betrifft das CBAM mich, wenn ich Elektronik einführe?

Das ist heute in der Regel nicht der Fall. Das CBAM gilt für die in seinem Anhang I aufgeführten Waren. Dazu gehören Eisen, Stahl und Aluminium sowie einige einfache Waren daraus, etwa Verbindungselemente. Fertige Elektronik gehört nicht dazu. Selbst bei erfassten Waren ist ein Einführer ausgenommen, dessen erfasste Einfuhren höchstens 50 Tonnen pro Jahr betragen; für Strom und Wasserstoff gilt diese Ausnahme nicht. Der anhängige Vorschlag, das CBAM ab 2028 auszuweiten, umfasst auch einige Elektrowaren wie Motoren und Transformatoren. Wer solche Waren einführt, sollte das Verfahren verfolgen. (Siehe den Beitrag zum CBAM.)

Welche dieser Pflichten sollte ein kleines Hardwareunternehmen zuerst angehen?

Beginnen Sie mit den festen Regelungen, die Ihr Produkt betreffen. Hat es eine Datenverbindung, auch per USB, ist der CRA-Meldeprozess schon jetzt erforderlich, und die vollständigen CRA-Pflichten folgen im Dezember 2027. Enthält es eine Batterie, bereiten Sie bis Februar 2027 die Entfernbarkeit und den QR-Code vor, gegebenenfalls auch den Batteriepass. Führen Sie Stahl, Aluminium oder andere Waren aus Anhang I als solche ein, prüfen Sie Ihre jährliche Einfuhrmenge anhand der CBAM-Schwelle. Gleichen Sie anschließend bei jeder Aktualisierung die SVHC-Kandidatenliste der REACH-Verordnung mit Ihrer Stückliste ab, denn diese Liste nimmt ohne festen Turnus neue Stoffe auf. Der DPP für Elektronik und PFAS gehören auf Ihre Beobachtungsliste, bis die delegierten Rechtsakte zur ESPR und die universelle PFAS-Beschränkung erlassen sind.

Wie oft ändert sich dieser Kalender?

Er ändert sich häufig. Allein 2025/26 wurde der Termin für die Sorgfaltspflichten bei Batterien durch die Verordnung (EU) 2025/1561 verschoben und das CBAM durch die Verordnung (EU) 2025/2083 geändert. Die Richtlinie (EU) 2026/470 hat die Nachhaltigkeitsberichterstattung und die Sorgfaltspflichten für Unternehmen enger gefasst, und die Verordnung (EU) 2026/1744 hat die Hochrisiko-Termine der KI-Verordnung verschoben. Behandeln Sie diese Seite als datierte Momentaufnahme und prüfen Sie die festen Termine, und besonders die noch beweglichen, mindestens zweimal im Jahr erneut. Prüfen Sie jeden Termin anhand von EUR-Lex oder bei der zuständigen EU-Behörde nach, bevor Sie Entwicklungskapazität oder Budget dafür einplanen.

Fazit

Ein Compliance-Kalender ist nützlich, wenn er die verbindlichen Termine von den Punkten trennt, die noch ausstehen. Nützlich ist er auch, wenn er zeigt, wo ein verbindlicher Termin auf ein Teil in Ihrer Stückliste trifft. Drei Beispiele: Die Gerätebatterie muss der Endnutzer selbst austauschen können. Das Verbindungselement aus Stahl, das Sie als solches einführen, zählt zur CBAM-Schwelle. Und das Modul, dessen Datenschnittstelle das Produkt bestimmungsgemäß nutzt, bringt es in den Anwendungsbereich des CRA. Wir helfen zu klären, wo diese Regelungen die Architektur und die Lieferantenbasis Ihres Produkts berühren, besonders bei Teilen aus China, und betrachten dabei Hardware, Firmware und Sourcing zusammen. Melden Sie sich, wenn diese Frage in Ihrem Unternehmen offen ist.

Meritong ist eine Beratung für China-Sourcing und Lieferkettenstrategie. Wir sind weder zugelassener Zollvertreter noch eine Anwaltskanzlei. Dieser Beitrag dient der allgemeinen Information und stellt keine Rechts-, Zoll- oder Compliance-Beratung dar. EU-Compliance-Termine und -Anwendungsbereiche ändern sich häufig, und mehrere der oben genannten Punkte sind Vorschläge oder hängen von delegierten Rechtsakten ab. Prüfen Sie den aktuellen Stand für Ihre konkreten Produkte anhand von EUR-Lex oder bei der zuständigen EU-Behörde, und lassen Sie ihn durch qualifizierte Rechtsberatung bestätigen, bevor Sie handeln.