Was müssen wir als reiner Weiterverkäufer prüfen?

Zwei Dinge: ob das Produkt die CE-Kennzeichnung trägt und ob Hersteller und Einführer ihre Informationspflichten erfüllt und Ihnen die erforderlichen Unterlagen zur Verfügung gestellt haben. Darüber hinaus gilt die allgemeine Pflicht, mit gebührender Sorgfalt zu handeln. Eine eigene technische Bewertung schuldet der Händler nicht.

Wodurch werden wir vom Händler zum Hersteller?

Durch zwei Handlungen: das Inverkehrbringen unter eigenem Namen oder eigener Marke, und jede wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt. Schon die Definition zieht die Grenze, denn sie setzt voraus, dass die Eigenschaften des Produkts nicht verändert werden. Wer daran rührt, verlässt die Händlerrolle.

Cyber Resilience Act

Händler

Legaldefinition Art. 3 Nr. 17 CRA

„eine natürliche oder juristische Person in der Lieferkette, die ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereitstellt, mit Ausnahme des Herstellers oder des Einführers“

Verordnung (EU) 2024/2847, Art. 3 Nr. 17 CRA

Der Händler ist die Rolle mit den geringsten Pflichten. Die Definition sagt auch, warum: Er stellt das Produkt bereit, ohne dessen Eigenschaften zu verändern. Wer nichts verändert, verantwortet auch nichts an der Beschaffenheit.

Die Definition schließt Hersteller und Einführer ausdrücklich aus. Händler ist also, wer weder das Produkt geschaffen noch es erstmals auf den Unionsmarkt gebracht hat, sondern es in der Kette weiterreicht.

Die Prüfpflichten

Artikel 20 des Cyber Resilience Acts (CRA) verlangt zunächst allgemein, die Vorschriften mit gebührender Sorgfalt zu befolgen. Konkret ist vor der Bereitstellung zu überprüfen, ob

das Produkt die CE-Kennzeichnung trägt,
Hersteller und Einführer ihre Kennzeichnungs- und Informationspflichten erfüllt und dem Händler die erforderlichen Unterlagen zur Verfügung gestellt haben.

Das ist eine Sichtprüfung mit Dokumentenkontrolle, keine technische Bewertung. Der Händler muss nicht beurteilen, ob das Produkt sicher ist, sondern feststellen, ob die formalen Voraussetzungen vorliegen.

Die Pflicht zu handeln

Bei Zweifeln endet die Passivität. Hat ein Händler ausgehend von den ihm vorliegenden Informationen Grund zu der Annahme, dass ein Produkt oder die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I nicht genügen, stellt er es erst bereit, wenn die Konformität hergestellt ist. Birgt das Produkt ein erhebliches Cybersicherheitsrisiko, unterrichtet er zudem unverzüglich den Hersteller und die Marktüberwachungsbehörden. Entstehen die Zweifel erst nach der Bereitstellung, sorgt er nach Artikel 20 Absatz 4 dafür, dass die erforderlichen Korrekturmaßnahmen ergriffen werden, um die Konformität herzustellen oder das Produkt gegebenenfalls vom Markt zu nehmen oder zurückzurufen.

Praktisch heißt das: Ein Händler braucht einen Weg, wie Hinweise aus dem Markt intern die Stelle erreichen, die über die weitere Bereitstellung entscheidet.

Wo die Rolle endet

Zwei Handlungen führen aus der Händlerrolle in die Herstellerrolle:

Inverkehrbringen unter eigenem Namen oder eigener Marke, und zwar auch dann, wenn am Produkt selbst nichts geändert wird.
Wesentliche Änderung eines bereits in den Verkehr gebrachten Produkts.

Der zweite Fall ist im Softwarevertrieb besonders naheliegend. Wer Konfigurationen tiefgreifend anpasst, Module ergänzt oder Produkte für einzelne Kunden umbaut, sollte prüfen, ob das noch „ohne Änderung seiner Eigenschaften“ geschieht. Die Antwort entscheidet über den gesamten Pflichtenkatalog.

Fragen aus der Praxis

: Zwei Dinge: ob das Produkt die CE-Kennzeichnung trägt und ob Hersteller und Einführer ihre Informationspflichten erfüllt und Ihnen die erforderlichen Unterlagen zur Verfügung gestellt haben. Darüber hinaus gilt die allgemeine Pflicht, mit gebührender Sorgfalt zu handeln. Eine eigene technische Bewertung schuldet der Händler nicht.
: Durch zwei Handlungen: das Inverkehrbringen unter eigenem Namen oder eigener Marke, und jede wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt. Schon die Definition zieht die Grenze, denn sie setzt voraus, dass die Eigenschaften des Produkts nicht verändert werden. Wer daran rührt, verlässt die Händlerrolle.
: Das Produkt darf dann nicht bereitgestellt werden. Hat ein Händler ausgehend von den ihm vorliegenden Informationen Grund zu der Annahme, dass ein Produkt oder die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I nicht genügen, muss er die Bereitstellung unterlassen, bis die Konformität hergestellt ist. Birgt das Produkt zudem ein erhebliches Cybersicherheitsrisiko, unterrichtet er unverzüglich den Hersteller und die Marktüberwachungsbehörden.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.