EU-Konformitätserklärung

Die EU-Konformitätserklärung ist das Dokument, mit dem ein Hersteller verbindlich erklärt, dass sein Produkt die grundlegenden Cybersicherheitsanforderungen erfüllt. Der Cyber Resilience Act (CRA) regelt sie in Artikel 28, das Muster steht in Anhang V. Ohne sie darf ein Produkt mit digitalen Elementen nicht in den Verkehr gebracht werden.

Sie ist kein Begleitpapier, sondern eine Übernahme von Verantwortung: Mit ihrer Ausstellung übernimmt der Hersteller nach Artikel 28 Absatz 4 die Verantwortung für die Konformität des Produkts. Die Unterschrift bindet das Unternehmen. Wer im Haus die Prüfungen tatsächlich durchgeführt hat, spielt dafür keine Rolle.

Sie steht am Ende der Nachweiskette

Artikel 13 Absatz 12 gibt die Reihenfolge vor. Vor dem Inverkehrbringen erstellt der Hersteller die Technische Dokumentation und führt das gewählte Verfahren der Konformitätsbewertung nach Artikel 32 durch oder lässt es durchführen. Erst wenn dieses Verfahren nachgewiesen hat, dass das Produkt den Anforderungen aus Anhang I Teil I und die Verfahren des Herstellers denen aus Anhang I Teil II genügen, wird die Erklärung ausgestellt und die CE-Kennzeichnung angebracht.

Diese Reihenfolge ist keine Formalie. Eine Erklärung, die vor Abschluss der Bewertung unterschrieben wird, erklärt etwas, das noch niemand nachgewiesen hat.

Der Mindestinhalt aus Anhang V

Anhang V schreibt acht Angaben vor. Sieben davon gelten unabhängig vom gewählten Verfahren:

• Name und Typ sowie alle weiteren Angaben, die das Produkt eindeutig identifizieren
• Name und Anschrift des Herstellers oder seines Bevollmächtigten
• die Erklärung, dass die Ausstellung in alleiniger Verantwortung erfolgt
• der Gegenstand der Erklärung, bezeichnet so, dass er rückverfolgbar ist (gegebenenfalls mit Foto)
• die Aussage, dass dieser Gegenstand den einschlägigen Harmonisierungsrechtsvorschriften der Union entspricht
• Verweise auf die angewandten harmonisierten Normen, gemeinsamen Spezifikationen oder die Cybersicherheitszertifizierung
• weitere Angaben sowie Ort und Datum der Ausstellung, Name, Funktion und Unterschrift

Die verbleibende Angabe gilt nur, wenn eine Notifizierte Stelle mitgewirkt hat: ihr Name, ihre Kennnummer, die Beschreibung des durchgeführten Konformitätsbewertungsverfahrens und die Kennnummer der ausgestellten Bescheinigung. Anhang V ist dabei eine Untergrenze: Nach Artikel 28 Absatz 2 treten die Elemente hinzu, die das angewandte Verfahren aus Anhang VIII vorschreibt, und die Kommission kann die Liste durch delegierte Rechtsakte erweitern.

Eine Erklärung für alle Rechtsakte

Unterliegt ein Produkt neben dem CRA weiteren Unionsrechtsakten, die ebenfalls eine Konformitätserklärung verlangen, wird nach Artikel 28 Absatz 3 eine einzige Erklärung für alle ausgestellt. Sie muss die betroffenen Rechtsakte samt ihren Fundstellen im Amtsblatt benennen. Nach den Erwägungsgründen darf diese eine Erklärung auch eine Akte sein, die aus den einzelnen Konformitätserklärungen zusammengesetzt ist. Bestehende Dokumente bleiben also verwendbar.

Beilegen, veröffentlichen, aufbewahren

Nach Artikel 13 Absatz 20 muss dem Produkt entweder eine Kopie der vollständigen Erklärung oder eine vereinfachte Fassung beiliegen. Die vereinfachte Fassung folgt dem kurzen Wortlaut aus Anhang VI und muss die genaue Internetadresse nennen, unter der die vollständige Erklärung abrufbar ist. Wer diesen Weg wählt, verpflichtet sich damit faktisch, die Erklärung dauerhaft online zu halten.

Bei Produkten in Form von Software wird die CE-Kennzeichnung nach Artikel 30 Absatz 1 entweder auf der Erklärung selbst oder auf der das Softwareprodukt begleitenden Website angebracht; im zweiten Fall muss der betreffende Abschnitt der Website für Verbraucher leicht und direkt zugänglich sein. Die Erklärung wird damit zum möglichen Träger der Kennzeichnung.

Für die Marktüberwachungsbehörde bereitzuhalten ist sie nach Artikel 13 Absatz 13 mindestens zehn Jahre ab dem Inverkehrbringen oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist. Eine Kopie gehört zusätzlich nach Anhang VII Nummer 7 in die technische Dokumentation.

Wer sie sonst noch bereithalten muss

Einführer halten für denselben Zeitraum ein eigenes Exemplar bereit und müssen die technische Dokumentation auf Verlangen vorlegen können (Artikel 19 Absatz 6). Für einen Bevollmächtigten gehört das Bereithalten der Erklärung nach Artikel 18 Absatz 3 zu den Mindestaufgaben des Auftrags; Anhang VIII erlaubt darüber hinaus, dass er sie im Auftrag und unter der Verantwortung des Herstellers selbst ausstellt, sofern der Auftrag das vorsieht. Händler prüfen vor der Bereitstellung auf dem Markt, ob die Pflicht aus Artikel 13 Absatz 20 erfüllt ist.

Fehlt sie, ist das ein eigener Verstoß

Artikel 58 behandelt das als formale Nichtkonformität. Wurde die Erklärung nicht oder nicht ordnungsgemäß ausgestellt, fordert die Marktüberwachungsbehörde den Hersteller auf, den Mangel zu beheben. Besteht er fort, ergreift der Mitgliedstaat alle geeigneten Maßnahmen, um die Bereitstellung des Produkts auf dem Markt einzuschränken oder zu untersagen oder um dafür zu sorgen, dass es zurückgerufen oder vom Markt genommen wird.

Entscheidend ist, wovon das nicht abhängt: davon, ob das Produkt tatsächlich unsicher ist. Ein technisch einwandfreies Produkt kann allein wegen einer fehlerhaften Erklärung vom Markt müssen.