Europäische Norm

Eine europäische Norm ist eine Norm, die von einer europäischen Normungsorganisation angenommen wurde. Der Cyber Resilience Act (CRA) definiert den Begriff in Artikel 3 Nummer 35 nicht selbst, sondern verweist auf Artikel 2 Nummer 1 Buchstabe b der Verordnung (EU) Nr. 1025/2012, der europäischen Normungsverordnung.

Dieser Verweis trägt mehr, als er auf den ersten Blick verrät, denn er zieht auch den Obersatz mit. Eine Norm ist danach eine technische Spezifikation zur wiederholten oder ständigen Anwendung, die von einer anerkannten Normungsorganisation angenommen wurde und deren Einhaltung nicht zwingend ist. Freiwilligkeit ist damit kein Zugeständnis der Praxis, sondern Bestandteil der Begriffsbestimmung.

Wer europäische Normen annimmt

Europäische Normungsorganisationen sind nicht beliebige Gremien, die Spezifikationen veröffentlichen. Artikel 2 Nummer 8 der Verordnung (EU) Nr. 1025/2012 versteht darunter die in Anhang I aufgeführten Organisationen, und Anhang I zählt genau drei auf: CEN, Cenelec und ETSI. Nur was eine dieser drei als Norm annimmt, ist eine europäische Norm in dem Sinne, den der CRA verwendet.

Spezifikationen von Konsortien, Branchenverbänden und Herstellerbündnissen fallen also aus dem Begriff heraus, so verbreitet sie in der Praxis sein mögen. Fachlich können sie hervorragend sein und in den Unterlagen eine Rolle spielen, den Namen aber, auf den der CRA verweist, tragen sie nicht.

Drei Normbegriffe und wie sie zusammenhängen

Der CRA kennt drei Normbegriffe. Artikel 2 Nummer 1 der Verordnung (EU) Nr. 1025/2012 führt sie als Kategorien derselben Begriffsbestimmung auf; ineinander liegen nur die letzten beiden:

• Die internationale Norm nach Artikel 3 Nummer 34 wird von einer internationalen Normungsorganisation angenommen, also von ISO, IEC oder ITU.
• Die europäische Norm nach Artikel 3 Nummer 35 stammt von einer der drei europäischen Normungsorganisationen.
• Die harmonisierte Norm nach Artikel 3 Nummer 36 ist eine europäische Norm, die auf einen Auftrag der Kommission zur Durchführung von Harmonisierungsrechtsvorschriften der Union hin angenommen wurde.

Jede harmonisierte Norm ist demnach eine europäische Norm, umgekehrt gilt das nicht. Hinzukommen muss der Auftrag der Kommission zur Durchführung von Harmonisierungsrechtsvorschriften der Union; damit allein ist die Norm harmonisiert. Die Konformitätsvermutung hängt daran noch nicht. Sie setzt nach Artikel 27 Absatz 1 zusätzlich voraus, dass die Fundstelle im Amtsblatt der Europäischen Union veröffentlicht ist, was die Kommission nach Artikel 10 Absatz 6 der Verordnung (EU) Nr. 1025/2012 unverzüglich tut, sobald die Norm den abzudeckenden Anforderungen genügt.

Ohne Harmonisierung keine Konformitätsvermutung

An dieser Stelle wird die Unterscheidung praktisch. Artikel 27 knüpft die Konformitätsvermutung an drei Anknüpfungspunkte, und die europäische Norm als solche gehört zu keinem davon:

• harmonisierte Normen oder Teile davon, deren Fundstellen im Amtsblatt veröffentlicht sind (Absatz 1),
• gemeinsame Spezifikationen aus einem Durchführungsrechtsakt der Kommission (Absatz 5),
• eine EU-Konformitätserklärung oder ein Cybersicherheitszertifikat, die im Rahmen eines nach der Verordnung (EU) 2019/881 angenommenen europäischen Schemas für die Cybersicherheitszertifizierung ausgestellt wurden (Absatz 8).

Wer eine europäische Norm ohne Harmonisierungsstatus anwendet, bekommt also keine Beweiserleichterung. Jede einzelne Anforderung aus Anhang I bleibt eigenständig darzulegen.

Wo sie trotzdem zählt

Nutzlos ist die Anwendung deshalb nicht. Anhang VII Nummer 5 verlangt für den Fall, dass weder eine harmonisierte Norm noch eine gemeinsame Spezifikation noch ein Zertifizierungsschema angewandt wurde, eine Beschreibung der gewählten Lösungen samt einer Aufstellung sonstiger angewandter einschlägiger technischer Spezifikationen. Genau dort gehört eine nicht harmonisierte europäische Norm in die Technische Dokumentation.

In der EU-Konformitätserklärung findet sie dagegen keinen Platz. Anhang V Nummer 6 sieht nur Verweise auf harmonisierte Normen, gemeinsame Spezifikationen und die Cybersicherheitszertifizierung vor. Wer dort eine nicht harmonisierte Norm einträgt, erweckt den Eindruck einer Rechtswirkung, die daran nicht hängt.

Vom Normungsauftrag zur Rechtswirkung

Artikel 27 Absatz 1 beschreibt, wie aus europäischer Normungsarbeit eine für den CRA nutzbare Grundlage wird. Die Kommission beauftragt nach Artikel 10 Absatz 1 der Verordnung (EU) Nr. 1025/2012 eine oder mehrere europäische Normungsorganisationen damit, harmonisierte Normen für die Anforderungen aus Anhang I zu erarbeiten. Dabei bemüht sie sich, bestehende europäische und internationale Normen für Cybersicherheit zu berücksichtigen, die in Kraft sind oder gerade entwickelt werden.

Das Verfahren hat Fristen und einen Notausgang. Die beauftragte Organisation erklärt nach Artikel 10 Absatz 3 der Verordnung (EU) Nr. 1025/2012 innerhalb eines Monats nach Eingang des Auftrags, ob sie ihn annimmt. Wird er abgelehnt, die Norm nicht fristgerecht geliefert oder entspricht sie dem Auftrag nicht, und ist zugleich keine Fundstelle im Amtsblatt in angemessener Zeit zu erwarten, kann die Kommission nach Artikel 27 Absatz 2 gemeinsame Spezifikationen festlegen. Erwägungsgrund 85 legt aus, was dabei angemessen ist: Der Zeitraum sollte ein Jahr nach Ablauf der Frist für die Erstellung des Entwurfs einer europäischen Norm nicht überschreiten.

Erwägungsgrund 83 nennt den europäischen Normungsrahmen ausdrücklich den Standardrahmen für Normen, die eine Konformitätsvermutung tragen. Gemeinsame Spezifikationen sind die Ausweichlösung, nicht der gleichwertige zweite Weg.

Wenn sich die Norm als lückenhaft erweist

Auch eine harmonisierte Norm bleibt angreifbar. Wird eine nationale Maßnahme im Schutzklauselverfahren nach Artikel 55 als gerechtfertigt erachtet und die Nichtkonformität des Produkts auf Mängel in den harmonisierten Normen zurückgeführt, leitet die Kommission nach Artikel 55 Absatz 3 das Verfahren des förmlichen Einwands nach Artikel 11 der Verordnung (EU) Nr. 1025/2012 ein. Dort kann entschieden werden, die Fundstelle im Amtsblatt zu belassen, sie nur mit Einschränkung zu belassen oder sie zu streichen.

Die zugrunde liegende europäische Norm verschwindet dadurch nicht. Sie verliert allein die Rechtswirkung, die ihr die Harmonisierung verliehen hatte, und ist danach wieder das, was sie vorher war: eine freiwillig anwendbare technische Spezifikation.