Cyber Resilience Act
CE-Kennzeichnung
Legaldefinition Art. 3 Nr. 31 CRA
„eine Kennzeichnung, durch die ein Hersteller erklärt, dass ein Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I und anderen geltenden Harmonisierungsrechtsvorschriften der Union über ihre Anbringung genügen“
Die CE-Kennzeichnung ist kein Qualitätssiegel und kein Prüfzeichen. Sie ist eine Erklärung, die der Hersteller selbst abgibt. Mit ihr sagt er: Dieses Produkt und die von mir festgelegten Verfahren genügen den grundlegenden Cybersicherheitsanforderungen in Anhang I und allen anderen geltenden Harmonisierungsrechtsvorschriften der Union, die ihre Anbringung vorsehen.
Bemerkenswert ist der zweite Teil: Die Erklärung erstreckt sich ausdrücklich nicht nur auf das Produkt, sondern auch auf die Verfahren des Herstellers. Der Umgang mit Schwachstellen ist damit Gegenstand der Kennzeichnung, nicht nur der Zustand des ausgelieferten Codes.
Was ihr vorausgehen muss
Die Kennzeichnung steht am Ende einer Kette, nicht am Anfang:
- Die Konformitätsbewertung prüft, ob die Anforderungen aus Anhang I erfüllt sind.
- Die Technische Dokumentation hält nach, worauf sich diese Prüfung stützt.
- Die EU-Konformitätserklärung fasst das Ergebnis förmlich zusammen.
- Erst dann wird die CE-Kennzeichnung angebracht.
Wer die Reihenfolge umdreht und die Kennzeichnung als Formalie am Schluss betrachtet, hat im Zweifel nichts, womit er sie belegen kann.
Anbringung
Grundsätzlich wird die Kennzeichnung gut sichtbar, leserlich und dauerhaft am Produkt angebracht. Lässt die Art des Produkts das nicht zu oder rechtfertigt sie es nicht, wird die Kennzeichnung auf der Verpackung und auf der dem Produkt beigefügten EU-Konformitätserklärung angebracht.
Für Software gibt es die bereits erwähnte Sonderregel: Konformitätserklärung oder begleitende Website, im zweiten Fall leicht und direkt zugänglich. Der Cyber Resilience Act (CRA) erlaubt außerdem, das Zeichen niedriger als die sonst üblichen fünf Millimeter auszuführen, wenn die Art des Produkts das nahelegt und die Kennzeichnung sichtbar und lesbar bleibt.
Was daran hängt
Mit der Kennzeichnung übernimmt der Hersteller die Verantwortung für die Richtigkeit seiner Erklärung. Marktüberwachungsbehörden können die zugrunde liegende Dokumentation anfordern; erweist sich die Erklärung als unzutreffend, stehen Maßnahmen bis hin zu Rückruf und Rücknahme vom Markt im Raum.
Das ist der eigentliche Grund, warum die Kennzeichnung ohne belastbare Dokumentation ein Risiko ist: Sie ist eine Zusage, die jederzeit nachprüfbar sein muss. Diese Nachprüfbarkeit gilt mindestens zehn Jahre lang oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist.
Fragen aus der Praxis
-
Nein, und das ist das häufigste Missverständnis. Sie ist eine Eigenerklärung des Herstellers. Niemand vergibt sie, niemand genehmigt sie. Der Hersteller bringt sie an und trägt die Verantwortung dafür, dass die Erklärung zutrifft. Nur bei bestimmten Produktkategorien muss vorher eine notifizierte Stelle eingebunden werden. Auch dann bleibt die Kennzeichnung aber die Erklärung des Herstellers.
-
Der CRA sieht dafür ausdrücklich zwei Wege vor: Die CE-Kennzeichnung wird entweder auf der EU-Konformitätserklärung angebracht oder auf der Website, die das Softwareprodukt begleitet. Im zweiten Fall muss der betreffende Abschnitt für Verbraucher leicht und direkt zugänglich sein; ein Link im Impressum genügt dafür nicht.
-
Die Kennzeichnung ist dieselbe, ihre Aussage wird aber breiter. Sie erklärt künftig auch die Konformität mit den Cybersicherheitsanforderungen des CRA. Wer bereits nach anderen Harmonisierungsvorschriften kennzeichnet, muss also nicht ein zweites Zeichen anbringen, aber die zugrunde liegende Bewertung und die Dokumentation um den CRA-Teil erweitern.
Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.