Gruppe für administrative Zusammenarbeit (ADCO)

Die Gruppe für administrative Zusammenarbeit (ADCO) ist das ständige Koordinierungsgremium der nationalen Marktüberwachungsbehörden eines Sektors. Für den Cyber Resilience Act (CRA) wird nach Artikel 52 Absatz 15 eine eigene ADCO eingesetzt, gestützt auf Artikel 30 Absatz 2 der Marktüberwachungsverordnung (EU) 2019/1020. Der Zweck steht im selben Satz: die einheitliche Anwendung der Verordnung.

Für Hersteller ist die ADCO keine Behörde, mit der sie unmittelbar zu tun bekommen. Sie erlässt keine Anordnung, verhängt keine Geldbuße und richtet kein Auskunftsverlangen an ein Unternehmen. Sie prägt aber die Maßstäbe der Behörden, die genau das tun.

Wer darin sitzt

Die ADCO setzt sich aus Vertretern der benannten Marktüberwachungsbehörden und, sofern angezeigt, Vertretern der zentralen Verbindungsstellen zusammen. Die Kommission nimmt nach Artikel 30 Absatz 3 der Verordnung (EU) 2019/1020 an den Sitzungen teil und unterstützt die Gruppe nach Erwägungsgrund 108 des CRA durch ein Exekutivsekretariat, das technische und logistische Hilfe leistet.

Nach oben ist die ADCO an das Unionsnetzwerk für Produktkonformität angebunden, in dem nach Artikel 30 Absatz 1 der Verordnung (EU) 2019/1020 unter anderem die Vorsitzenden aller ADCO sitzen. Zur Seite hin darf sie sich nach Erwägungsgrund 108 mit anderen ADCO in Verbindung setzen, etwa mit derjenigen der Funkanlagenrichtlinie 2014/53/EU, und unabhängige Sachverständige einladen.

Unterstützungszeiträume: der sichtbarste Auftrag

Artikel 52 Absatz 16 gibt zunächst den Marktüberwachungsbehörden auf, zu überwachen, wie Hersteller die Kriterien des Artikels 13 Absatz 8 bei der Festlegung des Unterstützungszeitraums angewandt haben. Aus diesen Daten entsteht die Arbeit der ADCO in drei Schritten:

• Sie veröffentlicht Statistiken zu Kategorien von Produkten mit digitalen Elementen, einschließlich der durchschnittlichen Unterstützungszeiträume, in öffentlich zugänglicher und benutzerfreundlicher Form.
• Sie stellt Leitlinien bereit, die indikative Unterstützungszeiträume je Kategorie nennen.
• Deuten die Daten auf unzureichende Zeiträume hin, kann sie den Marktüberwachungsbehörden empfehlen, ihre Tätigkeiten zu konzentrieren, also gezielt in diesen Kategorien zu prüfen.

Der dritte Punkt wirkt in der Praxis am schnellsten, weil er steuert, wo überhaupt hingesehen wird. Der erste und der zweite wirken länger: Die Kommission kann nach Artikel 13 Absatz 8 unter Berücksichtigung der ADCO-Empfehlungen delegierte Rechtsakte erlassen, die für bestimmte Produktkategorien einen Mindestunterstützungszeitraum festlegen, sofern die Marktüberwachungsdaten auf unangemessene Unterstützungszeiträume hindeuten. Erwägungsgrund 62 nennt dafür zwei Auslöser: Hersteller weichen systematisch von den Kriterien ab, oder Hersteller aus verschiedenen Mitgliedstaaten legen ungerechtfertigt unterschiedliche Zeiträume fest. Aus einer Statistik kann so verbindliches Recht werden.

Unberührt bleibt die gesetzliche Untergrenze: Der Unterstützungszeitraum beträgt mindestens fünf Jahre, außer das Produkt ist voraussichtlich kürzer im Betrieb.

Abhängigkeitsbewertung und Software-Stücklisten

Artikel 13 Absatz 25 gibt der ADCO ein zweites, deutlich weniger bekanntes Instrument. Sie kann beschließen, für bestimmte Produktkategorien eine unionsweite Bewertung der Abhängigkeit von Softwarekomponenten durchzuführen, insbesondere von Komponenten, die als freie und quelloffene Software gelten. Die Marktüberwachungsbehörden können daraufhin die Hersteller dieser Kategorien auffordern, die Software-Stückliste (SBOM) nach Anhang I Teil II Nummer 1 vorzulegen.

Der Schutz der Vertraulichkeit steckt im Verfahren. Artikel 13 Absatz 25 sieht vor, dass die Marktüberwachungsbehörden der ADCO anonymisierte und aggregierte Informationen über Softwareabhängigkeiten zur Verfügung stellen können, nicht die Stücklisten selbst; Erwägungsgrund 22 nennt als Grund ausdrücklich den Schutz der Vertraulichkeit der Software-Stücklisten. Das Ergebnis legt die ADCO der Kooperationsgruppe nach Artikel 14 der NIS-2-Richtlinie vor. Für Hersteller folgt daraus eine praktische Konsequenz: Die Stückliste kann auch dann angefordert werden, wenn niemand ihr Produkt für nicht konform hält.

Quelloffene Software, Reallabore, Kennzeichnung

Drei weitere Zuständigkeiten sind über die Verordnung verteilt:

• Nach Artikel 52 Absatz 15 befasst sich die ADCO auch mit spezifischen Fragen der Marktüberwachungstätigkeiten im Zusammenhang mit den Verpflichtungen für Verwalter quelloffener Software; diese Verpflichtungen stehen in Artikel 24.
• Richtet ein Mitgliedstaat ein Reallabor für Cyberresilienz ein, unterrichtet er die Kommission und die übrigen Marktüberwachungsbehörden nach Artikel 33 Absatz 2 über die ADCO.
• Vor Durchführungsrechtsakten zu Etiketten, Piktogrammen oder anderen Kennzeichen konsultiert die Kommission nach Artikel 30 Absatz 6 die ADCO, sofern diese bereits eingerichtet ist.

Hinzu kommt der allgemeine Aufgabenkatalog aus Artikel 32 Absatz 2 der Verordnung (EU) 2019/1020: gemeinsame Projekte festlegen und koordinieren, etwa grenzübergreifende gemeinsame Marktüberwachungsmaßnahmen, gemeinsame Verfahren und Methoden entwickeln, bewährte Verfahren fördern, sektorspezifische Produktbewertungen erleichtern. Erwägungsgrund 109 rechnet ausdrücklich damit, dass die Marktüberwachungsbehörden über die ADCO Leitliniendokumente entwickeln, etwa bewährte Verfahren und Indikatoren zur Überprüfung der Konformität.

Drei Gremien, die oft verwechselt werden

• Das Unionsnetzwerk für Produktkonformität ist die bei der Kommission angesiedelte Dachstruktur über allen Sektoren. Die ADCO ist die sektorspezifische Ebene darunter.
• Die Kooperationsgruppe nach Artikel 14 der NIS-2-Richtlinie ist ein Gremium der Cybersicherheitsbehörden. Die ADCO tritt ihr gegenüber nur als Berichterstatterin der Abhängigkeitsbewertung auf.
• Die ENISA ist eine Agentur mit eigenen Aufgaben aus dem CRA und kein Mitglied der ADCO. Nach Artikel 59 Absatz 2 schlagen die Kommission oder die ENISA gemeinsame Tätigkeiten der Marktüberwachungsbehörden zur Überprüfung der Einhaltung der Verordnung vor, gestützt auf Hinweise oder Informationen über eine mögliche Nichtkonformität in mehreren Mitgliedstaaten; bestimmt sie Kategorien von Produkten, zu denen koordinierte Kontrollen organisiert werden können, so legt sie dem Koordinator nach Artikel 60 Absatz 3 einen Vorschlag vor.

Wann die Arbeit beginnt

Der CRA nennt für die Einsetzung der ADCO kein Datum, auch Artikel 71 enthält dazu nichts. Artikel 30 Absatz 6 macht die Konsultation der Gruppe sogar ausdrücklich davon abhängig, dass sie bereits nach Artikel 52 Absatz 15 eingerichtet wurde, rechnet also damit, dass die Kommission Durchführungsrechtsakte zu Kennzeichen vorbereiten kann, bevor es die ADCO gibt.

Der allgemeine Geltungsbeginn der Verordnung ist nach Artikel 71 Absatz 2 der 11. Dezember 2027. Statistiken über durchschnittliche Unterstützungszeiträume setzen voraus, dass die Marktüberwachungsbehörden zuvor Daten erhoben haben, und erhoben werden können sie erst an Produkten, die unter dem CRA in den Verkehr gebracht wurden. Belastbare Leitlinien je Produktkategorie sind deshalb frühestens einige Jahre nach dem Geltungsbeginn zu erwarten. Wer heute einen Unterstützungszeitraum festlegt, kann sich auf sie noch nicht stützen.