Cyber Resilience Act
Bevollmächtigter
Legaldefinition Art. 3 Nr. 15 CRA
„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die von einem Hersteller schriftlich beauftragt wurde, in seinem Namen bestimmte Aufgaben wahrzunehmen“
Der Bevollmächtigte ist die verlängerte Hand des Herstellers innerhalb der Union. Zwei Merkmale machen ihn aus: Er ist in der Union ansässig oder niedergelassen, und er handelt aufgrund eines schriftlichen Auftrags.
Die Schriftform ist kein Formalismus. Der Auftrag ist das Dokument, das den Umfang der Vertretung bestimmt. Marktüberwachungsbehörden können auf Verlangen eine Kopie davon sehen.
Was das Mandat mindestens umfassen muss
Der Hersteller bestimmt den Umfang, aber nicht beliebig. Artikel 18 Absatz 3 legt fest, dass der Auftrag mindestens drei Aufgaben ermöglichen muss. Zwei davon betreffen die Unterlagen:
- Bereithalten der Unterlagen: EU-Konformitätserklärung und technische Dokumentation für die Marktüberwachungsbehörden, mindestens zehn Jahre ab dem Inverkehrbringen oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist.
- Auskunft an Behörden: Auf begründetes Verlangen sind alle Informationen und Unterlagen zu übermitteln, die für den Nachweis der Konformität erforderlich sind.
Die dritte Mindestaufgabe ist die Zusammenarbeit mit den Marktüberwachungsbehörden auf deren Verlangen bei allen Maßnahmen zur Abwendung der Risiken, die von einem Produkt aus dem Aufgabenbereich des Bevollmächtigten ausgehen. Alles darüber hinaus ist Verhandlungssache.
Was ausdrücklich beim Hersteller bleibt
Der Cyber Resilience Act (CRA) nennt die Grenze unmissverständlich: Die Pflichten aus Artikel 13 Absatz 1 bis Absatz 11, Artikel 13 Absatz 12 Unterabsatz 1 und Artikel 13 Absatz 14 sind nicht Teil des Auftrags. Der Hersteller kann also nicht delegieren, dass sein Produkt die grundlegenden Cybersicherheitsanforderungen erfüllt, dass eine Risikobewertung erstellt und fortgeschrieben wird und dass Schwachstellen über den gesamten Unterstützungszeitraum behandelt werden.
Das ist der entscheidende Punkt für die Erwartungshaltung: Ein Bevollmächtigter schafft Erreichbarkeit und Dokumentenverfügbarkeit in der Union. Er schafft keine Compliance.
Verhältnis zum Einführer
Beide Rollen sitzen in der Union, erfüllen aber unterschiedliche Zwecke. Der Einführer bringt das Produkt in Verkehr und trägt eigene Prüfpflichten. Der Bevollmächtigte bringt nichts in Verkehr, sondern vertritt den Hersteller gegenüber Behörden.
Ein Anbieter aus einem Drittstaat kann beides nebeneinander haben und wird es meist auch, weil die Rollen verschiedene Fragen beantworten: Wer bringt das Produkt auf den Markt, und wer ist für Behörden ansprechbar?
Praktische Auswahl
Weil das Mandat die Aufbewahrung über zehn Jahre und mehr umfasst, ist die Beständigkeit des Bevollmächtigten ein echtes Auswahlkriterium. Ein Mandat, das mit dem Wechsel eines Dienstleisters endet, hinterlässt eine Lücke genau dort, wo Behörden zuerst nachfragen.
Fragen aus der Praxis
-
Der CRA formuliert es als Möglichkeit: Ein Hersteller kann schriftlich einen Bevollmächtigten benennen. Praktisch ist es für Anbieter ohne Niederlassung in der Union dennoch der naheliegende Weg, weil Marktüberwachungsbehörden einen Ansprechpartner in der Union brauchen. Andernfalls übernimmt faktisch der Einführer diese Rolle.
-
Die Pflichten aus Artikel 13 Absatz 1 bis Absatz 11, Artikel 13 Absatz 12 Unterabsatz 1 und Artikel 13 Absatz 14 sind ausdrücklich nicht Teil des Mandats. Dazu zählen insbesondere die Entwicklung nach den grundlegenden Cybersicherheitsanforderungen, die Risikobewertung und der Umgang mit Schwachstellen. Ein Bevollmächtigter ist eine Vertretung nach außen, keine Auslagerung der Verantwortung.
-
Artikel 18 Absatz 3 nennt drei Aufgaben, die der Auftrag mindestens ermöglichen muss. Der Bevollmächtigte muss die EU-Konformitätserklärung und die technische Dokumentation für die Marktüberwachungsbehörden bereithalten können (mindestens zehn Jahre ab Inverkehrbringen oder für den Unterstützungszeitraum, je nachdem, welcher Zeitraum länger ist), er muss Behörden auf begründetes Verlangen alle Informationen und Unterlagen zum Konformitätsnachweis übermitteln können, und er muss mit den Marktüberwachungsbehörden auf deren Verlangen bei Maßnahmen zur Abwendung von Produktrisiken zusammenarbeiten können. Außerdem legt er den Behörden auf Verlangen eine Kopie des Auftrags vor.
Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.