Können wir für den CRA dieselbe notifizierte Stelle beauftragen wie für die Funkanlagenrichtlinie?

Nur wenn sie auch für den CRA notifiziert ist. Eine Benennung gilt immer für einen bestimmten Rechtsakt, weshalb Artikel 3 Nummer 29 von einer Stelle spricht, die nach Artikel 43 des CRA und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde. Viele etablierte Häuser werden beide Benennungen anstreben, zumal Artikel 39 Absatz 7 Buchstabe c von ihrem Personal ohnehin Kenntnis der einschlägigen Harmonisierungsrechtsvorschriften verlangt. Maßgeblich ist vor der Beauftragung der Umfang der Notifizierung, nicht der Name der Stelle.

Reicht eine einzige technische Dokumentation für alle Rechtsakte?

Erlaubt ist sie fast immer, vorgeschrieben nur in einem Fall. Artikel 31 Absatz 3 verlangt eine einzige technische Dokumentation ausdrücklich nur für Produkte nach Artikel 12, also für Hochrisiko-KI-Systeme, die zugleich anderen Rechtsakten der Union mit Dokumentationspflicht unterliegen. Für alle übrigen Produkte fehlt eine solche Anordnung, und die Zusammenführung ist eine Frage der Zweckmäßigkeit. Bei der Konformitätserklärung liegt es anders, dort schreibt Artikel 28 Absatz 3 die Zusammenfassung verbindlich vor.

Unser Produkt unterliegt bereits einer sektorspezifischen Vorschrift mit Cybersicherheitsanforderungen. Entfällt der CRA damit?

Nicht von selbst. Artikel 2 Absatz 5 erlaubt es, die Anwendung des CRA auf solche Produkte einzuschränken oder auszuschließen, knüpft das aber an zwei Bedingungen. Die Einschränkung muss mit dem allgemeinen Rechtsrahmen dieser Produkte vereinbar sein, und die sektorspezifischen Vorschriften müssen dasselbe oder ein höheres Schutzniveau erreichen. Wirksam wird das erst durch einen delegierten Rechtsakt der Kommission, der die betroffenen Produkte und Vorschriften benennt. Solange ein solcher Rechtsakt fehlt, gilt der CRA in vollem Umfang neben der sektorspezifischen Vorschrift.

Cyber Resilience Act

Harmonisierungsrechtsvorschriften der Union

Legaldefinition Art. 3 Nr. 32 CRA

„die in Anhang I der Verordnung (EU) 2019/1020 aufgeführten Rechtsvorschriften der Union sowie alle sonstigen Rechtsvorschriften der Union zur Harmonisierung der Bedingungen für die Vermarktung von Produkten, auf welche die genannte Verordnung Anwendung findet“

Verordnung (EU) 2024/2847, Art. 3 Nr. 32 CRA

Harmonisierungsrechtsvorschriften der Union ist der Sammelbegriff für diejenigen EU-Rechtsakte, die festlegen, unter welchen Bedingungen ein Produkt in der Union vermarktet werden darf. Der Cyber Resilience Act (CRA) erfindet ihn in Artikel 3 Nummer 32 nicht neu. Er übernimmt ihn aus dem Produktrecht, in das er sich einreiht.

Die Legaldefinition besteht aus zwei Hälften. Die erste verweist auf eine Liste, nämlich Anhang I der Verordnung (EU) 2019/1020, der die betreffenden Rechtsakte einzeln aufzählt. Die zweite ist eine Auffangklausel für alle sonstigen Rechtsvorschriften der Union, die die Bedingungen für die Vermarktung von Produkten harmonisieren, auf welche die Verordnung (EU) 2019/1020 Anwendung findet. Der Begriff ist damit nicht auf den Stand von 2019 festgeschrieben.

Was in der Liste steht

Anhang I der Verordnung (EU) 2019/1020 ist lang und alt. Er beginnt mit einer Richtlinie über Kristallglas aus dem Jahr 1969 und umfasst inzwischen über siebzig Rechtsakte. Für Produkte mit digitalen Elementen sind vor allem einschlägig:

Richtlinie 2014/53/EU über Funkanlagen
Richtlinie 2014/30/EU über die elektromagnetische Verträglichkeit
Richtlinie 2014/35/EU über elektrische Betriebsmittel innerhalb bestimmter Spannungsgrenzen
Richtlinie 2006/42/EG über Maschinen
Richtlinie 2009/48/EG über die Sicherheit von Spielzeug
Verordnung (EU) 2017/745 über Medizinprodukte

Diese Herkunft erklärt, warum der CRA seine Verfahren nicht neu erfindet. Konformitätsbewertung, Konformitätserklärung, CE-Kennzeichnung und Marktüberwachung sind in diesem Rechtsbestand seit Jahrzehnten eingeübt, und der CRA setzt darauf auf.

Der CRA steht selbst in dieser Liste

Artikel 66 fügt dem Anhang I der Verordnung (EU) 2019/1020 eine Nummer 72 an: die Verordnung (EU) 2024/2847, also den CRA selbst. Daraus folgt zweierlei. Die Verordnung (EU) 2019/1020 gilt für Produkte mit digitalen Elementen, die in den Anwendungsbereich des CRA fallen, was Artikel 52 Absatz 1 noch einmal ausdrücklich anordnet. Und der CRA ist künftig dort mitgemeint, wo ein anderer Rechtsakt den Begriff über Anhang I der Verordnung (EU) 2019/1020 bestimmt.

Wo der Begriff im CRA trägt

An mehreren Stellen entscheidet er darüber, wie weit eine Regel reicht:

CE-Kennzeichnung. Artikel 3 Nummer 31 definiert sie als Kennzeichnung, durch die der Hersteller erklärt, dass das Produkt und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I und anderen geltenden Harmonisierungsrechtsvorschriften der Union über ihre Anbringung genügen. Artikel 30 Absatz 5 zieht daraus die Folge. Fällt das Produkt auch unter andere solche Vorschriften, die ebenfalls eine CE-Kennzeichnung vorsehen, besagt das eine Zeichen, dass es auch deren Anforderungen erfüllt.
Notifizierte Stellen. Eine notifizierte Stelle ist nach Artikel 3 Nummer 29 eine Konformitätsbewertungsstelle, die nach Artikel 43 des CRA und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde. Artikel 39 Absatz 7 Buchstabe c verlangt von ihrem Personal Kenntnis dieser Vorschriften.
Marktüberwachung. Nach Artikel 52 Absatz 6 arbeitet die Marktüberwachungsbehörde gegebenenfalls mit anderen Marktüberwachungsbehörden zusammen, die auf der Grundlage anderer Harmonisierungsrechtsvorschriften der Union für andere Produkte benannt wurden, und tauscht regelmäßig Informationen mit ihnen aus.
Altbescheinigungen. Nach Artikel 69 Absatz 1 bleiben EU-Baumusterprüfbescheinigungen und Zulassungen, die zu Cybersicherheitsanforderungen für Produkte unter anderen Harmonisierungsrechtsvorschriften der Union erteilt wurden, bis zum 11. Juni 2028 gültig, sofern sie nicht vorher ablaufen oder die andere Vorschrift etwas anderes bestimmt.
Testsoftware. Artikel 4 Absatz 3 erlaubt es, unfertige Software befristet zu Testzwecken bereitzustellen. Absatz 4 nimmt davon Sicherheitsbauteile im Sinne anderer Harmonisierungsrechtsvorschriften der Union aus.
Leitlinien. Nach Artikel 26 Absatz 2 Buchstabe c muss die Kommission in ihren Leitlinien eigens auf Hersteller eingehen, die dem CRA und zugleich anderen Harmonisierungsrechtsvorschriften der Union oder anderen damit zusammenhängenden Rechtsakten der Union unterliegen.

Mittelbar wirkt der Begriff außerdem über die Normung. Eine harmonisierte Norm ist definitionsgemäß eine europäische Norm, die auf Verlangen der Kommission zur Anwendung von Harmonisierungsrechtsvorschriften der Union erarbeitet wird. Auf ihr beruht der Hauptweg zur Konformitätsvermutung nach Artikel 27 Absatz 1; daneben eröffnen Artikel 27 Absatz 5 und Absatz 8 denselben Weg über gemeinsame Spezifikationen und über europäische Schemata für die Cybersicherheitszertifizierung.

Eine Erklärung für alle Rechtsakte

Den größten praktischen Ertrag hat Artikel 28 Absatz 3. Unterliegt ein Produkt mehreren Rechtsvorschriften der Union, die jeweils eine EU-Konformitätserklärung verlangen, so wird eine einzige Erklärung für sämtliche dieser Rechtsvorschriften ausgestellt, und in ihr sind die betreffenden Rechtsakte samt ihren Fundstellen im Amtsblatt anzugeben. Erwägungsgrund 88 stellt klar, dass diese eine Erklärung aus einer Akte bestehen darf, die sich aus den einzelnen Konformitätserklärungen zusammensetzt.

Nicht jeder EU-Rechtsakt gehört dazu

Maßgeblich ist die Zielrichtung. Harmonisierungsrechtsvorschriften regeln die Bedingungen für die Vermarktung von Produkten. Rechtsakte, die Pflichten von Einrichtungen oder die Verarbeitung von Daten regeln, gehören nicht dazu, auch wenn sie Cybersicherheit betreffen. Die NIS-2-Richtlinie steht folgerichtig nicht in Anhang I der Verordnung (EU) 2019/1020.

Umgekehrt heißt Zugehörigkeit nicht, dass der CRA daneben gilt. Artikel 2 Absatz 2 Buchstaben a und b nimmt Produkte, auf die die Verordnungen (EU) 2017/745 über Medizinprodukte und (EU) 2017/746 über In-vitro-Diagnostika Anwendung finden, vollständig aus dem Anwendungsbereich heraus, Artikel 2 Absatz 4 ebenso Geräte im Anwendungsbereich der Richtlinie 2014/90/EU über Schiffsausrüstung. Alle drei stehen selbst in Anhang I der Verordnung (EU) 2019/1020.

Die Falle in Artikel 11

Artikel 11 verwendet dieselben Worte in einer anderen Bedeutung. Er setzt „Harmonisierungsrechtsvorschriften der Union“ in Anführungszeichen und verweist dafür auf Artikel 3 Nummer 27 der Verordnung (EU) 2023/988 über die allgemeine Produktsicherheit, nicht auf Artikel 3 Nummer 32 des CRA. Wer prüft, wieweit die Produktsicherheitsverordnung neben dem CRA anwendbar bleibt, muss die Definition also dort nachschlagen.

Fragen aus der Praxis

: Nur wenn sie auch für den CRA notifiziert ist. Eine Benennung gilt immer für einen bestimmten Rechtsakt, weshalb Artikel 3 Nummer 29 von einer Stelle spricht, die nach Artikel 43 des CRA und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde. Viele etablierte Häuser werden beide Benennungen anstreben, zumal Artikel 39 Absatz 7 Buchstabe c von ihrem Personal ohnehin Kenntnis der einschlägigen Harmonisierungsrechtsvorschriften verlangt. Maßgeblich ist vor der Beauftragung der Umfang der Notifizierung, nicht der Name der Stelle.
: Erlaubt ist sie fast immer, vorgeschrieben nur in einem Fall. Artikel 31 Absatz 3 verlangt eine einzige technische Dokumentation ausdrücklich nur für Produkte nach Artikel 12, also für Hochrisiko-KI-Systeme, die zugleich anderen Rechtsakten der Union mit Dokumentationspflicht unterliegen. Für alle übrigen Produkte fehlt eine solche Anordnung, und die Zusammenführung ist eine Frage der Zweckmäßigkeit. Bei der Konformitätserklärung liegt es anders, dort schreibt Artikel 28 Absatz 3 die Zusammenfassung verbindlich vor.
: Nicht von selbst. Artikel 2 Absatz 5 erlaubt es, die Anwendung des CRA auf solche Produkte einzuschränken oder auszuschließen, knüpft das aber an zwei Bedingungen. Die Einschränkung muss mit dem allgemeinen Rechtsrahmen dieser Produkte vereinbar sein, und die sektorspezifischen Vorschriften müssen dasselbe oder ein höheres Schutzniveau erreichen. Wirksam wird das erst durch einen delegierten Rechtsakt der Kommission, der die betroffenen Produkte und Vorschriften benennt. Solange ein solcher Rechtsakt fehlt, gilt der CRA in vollem Umfang neben der sektorspezifischen Vorschrift.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.