Gemeinsame Spezifikationen

Gemeinsame Spezifikationen sind technische Vorgaben, die die Europäische Kommission selbst erlässt, damit Hersteller die grundlegenden Cybersicherheitsanforderungen des Cyber Resilience Acts (CRA) erfüllen können. Die Rechtsgrundlage steht in Artikel 27 Absatz 2: Die Kommission kann Durchführungsrechtsakte annehmen, durch die solche Spezifikationen festgelegt werden.

Von der harmonisierten Norm unterscheiden sie sich in Urheber und Rechtsform. Eine Norm arbeitet eine europäische Normungsorganisation aus, und im Amtsblatt erscheint nach Artikel 27 Absatz 1 nur ihre Fundstelle. Eine gemeinsame Spezifikation erlässt dagegen die Kommission selbst als Durchführungsrechtsakt, und zwar im Prüfverfahren nach Artikel 62 Absatz 2, an dem der Ausschuss nach Artikel 62 Absatz 1 mitwirkt.

Der Ausweichweg, nicht der Regelweg

Artikel 27 Absatz 1 verpflichtet die Kommission, eine oder mehrere europäische Normungsorganisationen mit harmonisierten Normen zu den Anforderungen des Anhangs I zu beauftragen. Das ist der vorgesehene Weg. Zur gemeinsamen Spezifikation darf die Kommission erst greifen, wenn zwei Bedingungen zusammen erfüllt sind:

• Der Normungsauftrag nach Artikel 10 Absatz 1 der Verordnung (EU) Nr. 1025/2012 ist gescheitert, weil er nicht angenommen wurde, weil die Normen nicht fristgerecht geliefert wurden oder weil sie dem Auftrag nicht entsprechen.
• Im Amtsblatt ist keine passende Fundstelle veröffentlicht, und es ist auch nicht zu erwarten, dass eine solche Veröffentlichung innerhalb eines angemessenen Zeitraums erfolgt.

Erwägungsgrund 83 unterstreicht den Ausnahmecharakter: Er spricht von einer Ausweichlösung für Ausnahmefälle und hält die Kommission dazu an, vor diesem Schritt zu berücksichtigen, ob eine Verzögerung schlicht auf der technischen Komplexität der betreffenden Norm beruht. Erwägungsgrund 85 beziffert den angemessenen Zeitraum aus der zweiten Bedingung: Er sollte ein Jahr nach Ablauf der Frist für die Erstellung des Normentwurfs nicht überschreiten. Vor der Ausarbeitung eines Entwurfs muss die Kommission zudem dem Ausschuss nach Artikel 22 der Verordnung (EU) Nr. 1025/2012 mitteilen, dass sie die Voraussetzungen für erfüllt hält (Artikel 27 Absatz 3).

Was die Vermutung leistet

Artikel 27 Absatz 5 knüpft an die Übereinstimmung mit einer gemeinsamen Spezifikation dieselbe Rechtsfolge wie an eine Norm: die Konformitätsvermutung. Sie reicht genau so weit, wie die Spezifikation oder der angewandte Teil davon die grundlegenden Cybersicherheitsanforderungen aus Anhang I abdeckt. Erfasst sind dabei nicht nur das Produkt, sondern auch die vom Hersteller festgelegten Verfahren.

Für alles Übrige bleibt der Nachweis beim Hersteller. Wer keine dieser Grundlagen anwendet, muss nach Anhang VII Nummer 5 in der technischen Dokumentation beschreiben, mit welchen Lösungen die Anforderungen des Anhangs I Teile I und II sonst erfüllt werden, und die dabei herangezogenen sonstigen technischen Spezifikationen auflisten.

Warum daran das Konformitätsbewertungsverfahren hängen kann

Bei einem wichtigen Produkt der Klasse I nach Anhang III hat die Frage unmittelbare Kostenfolgen. Nach Artikel 32 Absatz 2 muss der Hersteller ein Verfahren unter Beteiligung einer notifizierten Stelle wählen (Modul B und C oder Modul H), wenn er harmonisierte Normen, gemeinsame Spezifikationen oder europäische Schemata für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ nicht oder nur zum Teil angewandt hat oder wenn es solche Grundlagen nicht gibt. Wendet er sie vollständig an, bleibt es bei den Verfahren des Artikels 32 Absatz 1, zu denen nach Buchstabe a das interne Kontrollverfahren auf der Grundlage von Modul A gehört.

Auch die notifizierte Stelle prüft gegen dieselbe Grundlage. Stellt sie fest, dass die Anforderungen aus Anhang I oder aus den entsprechenden harmonisierten Normen oder gemeinsamen Spezifikationen nicht erfüllt sind, fordert sie Korrekturmaßnahmen und stellt keine Bescheinigung aus (Artikel 47 Absatz 4).

Von vornherein auf Zeit angelegt

Eine gemeinsame Spezifikation ist ein Platzhalter. Sobald eine harmonisierte Norm angenommen und ihre Fundstelle im Amtsblatt veröffentlicht ist, hebt die Kommission nach Artikel 27 Absatz 6 den Durchführungsrechtsakt auf, oder jedenfalls die Teile davon, die dieselben grundlegenden Cybersicherheitsanforderungen regeln wie die Norm.

Für die Produktunterlagen bedeutet das eine ungewohnte Lage: Die Grundlage, auf die Sie sich berufen, kann während der Marktphase wegfallen, ohne dass sich am Produkt selbst etwas geändert hat.

Wenn die Spezifikation selbst der Fehler ist

Der CRA rechnet damit, dass eine gemeinsame Spezifikation lückenhaft sein kann. Notifiziert eine Marktüberwachungsbehörde der Kommission und den übrigen Mitgliedstaaten eine vorläufige Maßnahme, so gibt sie nach Artikel 54 Absatz 6 an, ob die Nichtkonformität eine oder mehrere von zwei Ursachen hat: Produkt oder Herstellerverfahren genügen den Anforderungen des Anhangs I nicht (Buchstabe a), oder es liegen Mängel in den harmonisierten Normen, den europäischen Schemata für die Cybersicherheitszertifizierung oder den gemeinsamen Spezifikationen nach Artikel 27 vor (Buchstabe b). Erweist sich die nationale Maßnahme aus dem zweiten Grund als gerechtfertigt, prüft die Kommission nach Artikel 55 Absatz 5, ob sie den Durchführungsrechtsakt ändert oder aufhebt.

Für die eigene Planung bleibt der Bezugspunkt damit die harmonisierte Norm. Ob und für welche Anforderungen die Kommission von Artikel 27 Absatz 2 Gebrauch macht, entscheidet sich erst daran, ob die Normungsarbeit rechtzeitig liefert. Eine Konformitätsstrategie, die auf eine noch nicht erlassene gemeinsame Spezifikation wartet, verschiebt das Risiko nur.