Konformitätsbewertungsstelle

Eine Konformitätsbewertungsstelle ist eine Organisation, die Konformitätsbewertungstätigkeiten durchführt, also prüft, kalibriert, zertifiziert oder inspiziert. Der Cyber Resilience Act (CRA) definiert den Begriff in Artikel 3 Nummer 28 nicht selbst, sondern verweist auf Artikel 2 Nummer 13 der Verordnung (EG) Nr. 765/2008. Dort steht die maßgebliche Umschreibung: „eine Stelle, die Konformitätsbewertungstätigkeiten einschließlich Kalibrierungen, Prüfungen, Zertifizierungen und Inspektionen durchführt“.

Der Verweis ist keine Formalie. Die Verordnung (EG) Nr. 765/2008 regelt Akkreditierung und Marktüberwachung horizontal für den gesamten Binnenmarkt. Der CRA baut deshalb keine eigene Prüflandschaft auf. Er knüpft an die vorhandene an, an Prüflaboratorien sowie Zertifizierungs- und Inspektionsstellen, die es längst gibt. Viele von ihnen haben mit Produkten mit digitalen Elementen nichts zu tun.

Der Unterschied zur notifizierten Stelle

Beide Begriffe stehen unmittelbar nebeneinander in Artikel 3, und sie werden regelmäßig verwechselt. Eine notifizierte Stelle ist nach Nummer 29 eine Konformitätsbewertungsstelle, die nach Artikel 43 und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde. Jede notifizierte Stelle ist damit eine Konformitätsbewertungsstelle. Umgekehrt gilt das nicht.

Für Hersteller ist genau darin die praktische Bedeutung des Begriffs zu suchen. Ein Labor kann seit Jahren akkreditiert arbeiten und trotzdem keine Bescheinigung ausstellen, die im Verfahren nach dem CRA zählt. Artikel 43 Absatz 5 formuliert das unmissverständlich: Die Stelle darf die Aufgaben einer notifizierten Stelle nur dann wahrnehmen, wenn weder die Kommission noch die anderen Mitgliedstaaten innerhalb der Frist nach der Notifizierung Einwände erhoben haben, und nur eine solche Stelle gilt für die Zwecke dieser Verordnung als notifizierte Stelle.

Was Artikel 39 verlangt

Die Überschrift des Artikels 39 spricht von notifizierten Stellen, der Text selbst richtet sich an die Konformitätsbewertungsstelle. Für die Zwecke der Notifizierung erfüllt sie die Anforderungen der Absätze 2 bis 12. Diese Anforderungen sind also vor der Notifizierung zu erfüllen, nicht danach. Im Kern geht es um sechs Punkte:

• Rechtsform: nach nationalem Recht gegründet und mit eigener Rechtspersönlichkeit ausgestattet
• Unabhängigkeit: ein unabhängiger Dritter, der weder Konstrukteur, Entwickler, Hersteller, Lieferant, Einführer, Händler, Installateur, Käufer, Eigentümer, Verwender noch Wartungsbetrieb der bewerteten Produkte ist und auch nicht Bevollmächtigter einer dieser Parteien
• Freiheit von Interessenkonflikten: keine Tätigkeiten, die Unabhängigkeit oder Integrität im Zusammenhang mit den Konformitätsbewertungstätigkeiten, für die die Stelle notifiziert ist, beeinträchtigen könnten, was Absatz 4 ausdrücklich auf Beratungsdienstleistungen bezieht
• Kompetenz: Personal, dokumentierte und wiederholbare Verfahren, Mittel und Zugang zu allen benötigten Ausrüstungen für sämtliche Aufgaben nach Anhang VIII, für die sie notifiziert ist; das bewertende Personal muss die grundlegenden Cybersicherheitsanforderungen aus Anhang I, die geltenden harmonisierten Normen und die gemeinsamen Spezifikationen kennen
• Unparteilichkeit: die Entlohnung der obersten Leitungsebene und des bewertenden Personals darf sich weder nach der Anzahl der durchgeführten Bewertungen noch nach deren Ergebnis richten
• Absicherung und Verschwiegenheit: eine Haftpflichtversicherung, sofern der Mitgliedstaat die Haftung nicht selbst übernimmt, und berufliche Schweigepflicht, ausgenommen gegenüber der Marktüberwachungsbehörde des Mitgliedstaats, in dem die Stelle tätig ist

Hinzu kommen zwei Pflichten, die über den einzelnen Auftrag hinausreichen. Die Stelle wirkt an den einschlägigen Normungstätigkeiten und an der Koordinierungsgruppe notifizierter Stellen nach Artikel 51 mit oder sorgt dafür, dass ihr bewertendes Personal darüber informiert ist. Und sie arbeitet zu kohärenten, gerechten, verhältnismäßigen und angemessenen Geschäftsbedingungen, vermeidet dabei unnötige Belastungen der Wirtschaftsakteure und berücksichtigt insbesondere bei den Gebühren die Interessen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen.

Der Weg zur Notifizierung

Den Antrag stellt die Stelle bei der notifizierenden Behörde des Mitgliedstaats, in dem sie niedergelassen ist (Artikel 42). Beizufügen sind eine Beschreibung der Konformitätsbewertungstätigkeiten, der Verfahren und der Produkte, für die sie Kompetenz beansprucht, und, falls zutreffend, eine Akkreditierungsurkunde einer nationalen Akkreditierungsstelle, die bescheinigt, dass die Stelle die Anforderungen des Artikels 39 erfüllt.

Ohne Akkreditierungsurkunde geht es auch, nur mühsamer. Dann legt die Stelle alle Unterlagen vor, die erforderlich sind, um die Erfüllung des Artikels 39 zu überprüfen, festzustellen und regelmäßig zu überwachen. Sichtbar wird der Unterschied an der Einspruchsfrist nach Artikel 43 Absatz 5. Mit Akkreditierungsurkunde beträgt sie zwei Wochen, ohne sie zwei Monate. Die Mitgliedstaaten können die Bewertung und Überwachung ohnehin einer nationalen Akkreditierungsstelle nach der Verordnung (EG) Nr. 765/2008 übertragen (Artikel 36 Absatz 2).

Für die Stelle selbst sieht der CRA eine eigene Konformitätsvermutung vor. Weist sie nach, dass sie die Kriterien einschlägiger harmonisierter Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, oder von Teilen davon erfüllt, so wird angenommen, dass sie die Anforderungen des Artikels 39 erfüllt, soweit die Normen diese abdecken (Artikel 40). Diese Vermutung betrifft die Stelle, nicht die Produkte, die sie später prüft.

Wie mit einer bestehenden Notifizierung nach anderem Unionsrecht umzugehen ist, das ähnliche Anforderungen stellt, sagt kein Artikel, sondern Erwägungsgrund 100. Als Beispiel nennt er eine Stelle, die für ein nach der Verordnung (EU) 2019/881 angenommenes europäisches Schema für die Cybersicherheitszertifizierung oder nach der Delegierten Verordnung (EU) 2022/30 notifiziert wurde: Sie sollte im Rahmen des CRA neu bewertet und neu notifiziert werden. Bei sich überschneidenden Anforderungen können die einschlägigen Behörden nach demselben Erwägungsgrund Synergien definieren, um doppelten Aufwand zu vermeiden.

Warum das schon 2026 zählt

Kapitel IV mit den Artikeln 35–51 gilt bereits ab dem 11. Juni 2026, während der CRA im Übrigen erst ab dem 11. Dezember 2027 gilt und Artikel 14 ab dem 11. September 2026 (Artikel 71 Absatz 2). Die Reihenfolge ist beabsichtigt. Zuerst müssen Stellen die Anforderungen erfüllen und notifiziert sein, erst danach können Hersteller eine Konformitätsbewertung durch Dritte überhaupt beauftragen. Bis zum 11. Dezember 2026 sorgen die Mitgliedstaaten nach Artikel 35 Absatz 2 dafür, dass es in der Union eine ausreichende Zahl notifizierter Stellen gibt, um Engpässe und Hindernisse beim Marktzugang zu verhindern.

Wer eine externe Prüfung braucht, stellt zwei Fragen deshalb besser früh. Ist die ins Auge gefasste Stelle bereits nach dem CRA notifiziert, oder erfüllt sie bislang nur die Anforderungen des Artikels 39? Und deckt ihre Notifizierung das Modul und die Produktkategorie ab, die das eigene Verfahren nach Artikel 32 verlangt?