Konformitätsvermutung

Die Konformitätsvermutung ist die zentrale Beweiserleichterung des Cyber Resilience Acts (CRA). Artikel 27 knüpft sie an veröffentlichte Regelwerke: Wer eines davon einhält, dem wird die Erfüllung der grundlegenden Cybersicherheitsanforderungen aus Anhang I unterstellt, ohne dass er sie Anforderung für Anforderung herleiten muss.

Eine Ausnahme von der Pflicht ist sie nicht. Verbindlich bleibt Artikel 6: Ein Produkt mit digitalen Elementen darf nur auf dem Markt bereitgestellt werden, wenn es Anhang I Teil I genügt und die vom Hersteller festgelegten Verfahren Anhang I Teil II entsprechen. Die Vermutung verschiebt allein die Beweisführung, nicht den Maßstab.

Drei Grundlagen, und keine weitere

Artikel 27 kennt genau drei Wege, auf denen die Vermutung entsteht: die harmonisierte Norm (Absatz 1), die gemeinsame Spezifikation (Absatz 5) und das europäische Schema für die Cybersicherheitszertifizierung (Absatz 8).

• Bei der harmonisierten Norm tritt die Wirkung erst mit der Veröffentlichung der Fundstelle im Amtsblatt der Europäischen Union ein. Den Auftrag zur Ausarbeitung erteilt die Kommission nach Artikel 10 Absatz 1 der Verordnung (EU) Nr. 1025/2012.
• Die gemeinsame Spezifikation ist die Ausweichlösung. Nach Absatz 2 darf die Kommission sie nur festlegen, wenn ein Normungsauftrag nicht angenommen wurde, die Normen nicht fristgerecht geliefert wurden oder dem Auftrag nicht entsprachen, und wenn zugleich im Amtsblatt keine Fundstelle einer passenden harmonisierten Norm veröffentlicht wurde und auch in angemessener Zeit keine zu erwarten ist. Erscheint später die Fundstelle einer harmonisierten Norm im Amtsblatt, hebt die Kommission nach Absatz 6 die Durchführungsrechtsakte oder die Teile davon wieder auf, die dieselben grundlegenden Cybersicherheitsanforderungen regeln.
• Beim Zertifizierungsschema trägt die Vermutung eine EU-Konformitätserklärung oder ein europäisches Cybersicherheitszertifikat, sofern sie im Rahmen eines nach der Verordnung (EU) 2019/881 angenommenen Schemas ausgestellt wurden.

Etwas anderes begründet die Vermutung nicht. Eine Werksnorm, eine Lieferantenerklärung oder ein Prüfsiegel können die Konformität durchaus belegen, doch die volle Darlegungslast bleibt dann beim Hersteller.

Die Reichweite endet dort, wo das Regelwerk endet

Alle drei Absätze enthalten dieselbe Begrenzung: Vermutet wird die Konformität nur für die Anforderungen, die das Regelwerk oder Teile davon abdecken. Daraus folgen zwei Dinge, die in der Praxis regelmäßig unterschätzt werden.

Erstens ist die Vermutung teilbar. Deckt eine Norm sechs von zwölf einschlägigen Anforderungen ab, bleibt für die übrigen sechs alles beim Alten. Zweitens erfasst Artikel 27 nicht nur das Produkt, sondern ausdrücklich auch die vom Hersteller festgelegten Verfahren. Die Vermutung kann also für Anhang I Teil I und Teil II gleichermaßen greifen, aber eben nur so weit, wie das Regelwerk beide Teile abdeckt. Normen, die Produkteigenschaften beschreiben, sagen über die Behandlung von Schwachstellen oft wenig.

Was sie bei der Verfahrenswahl erspart

Der handfeste Effekt zeigt sich bei den wichtigen Produkten mit digitalen Elementen. Für Klasse I nach Anhang III gilt Artikel 32 Absatz 2: Hat der Hersteller harmonisierte Normen, gemeinsame Spezifikationen oder europäische Zertifizierungsschemata mindestens der Vertrauenswürdigkeitsstufe „mittel“ nicht oder nur zum Teil angewandt, oder gibt es sie schlicht nicht, dann muss er die EU-Baumusterprüfung mit anschließender Fertigungskontrolle (Module B und C) oder die umfassende Qualitätssicherung (Modul H) durchlaufen. Beide Wege führen über eine notifizierte Stelle.

Umgekehrt gilt: Wer die Regelwerke vollständig anwendet, darf bei Klasse I beim internen Kontrollverfahren nach Modul A bleiben, das Artikel 32 Absatz 1 Buchstabe a eröffnet. Die Konformitätsvermutung entscheidet hier über Kosten und Zeitplan eines ganzen Projekts.

Bei Klasse II ist eine dritte Partei ohnehin vorgesehen: Artikel 32 Absatz 3 lässt nur die Module B und C, das Modul H oder, sofern verfügbar und anwendbar, ein europäisches Zertifizierungsschema nach Artikel 27 Absatz 9 mindestens der Stufe „mittel“ zu. Für beide Klassen wirkt daneben Artikel 27 Absatz 9 selbst: Wird im Rahmen eines von der Kommission durch delegierten Rechtsakt ausgewiesenen Schemas ein europäisches Cybersicherheitszertifikat mindestens der Stufe „mittel“ ausgestellt, entfällt für die betreffenden Anforderungen die Pflicht zur Konformitätsbewertung durch Dritte nach Artikel 32 Absatz 2 Buchstaben a und b sowie Artikel 32 Absatz 3 Buchstaben a und b.

Dokumentationspflicht, gerade beim Verzicht

Anhang VII Nummer 5 verlangt in der technischen Dokumentation eine Aufstellung der vollständig oder teilweise angewandten harmonisierten Normen, deren Fundstellen im Amtsblatt veröffentlicht wurden, der gemeinsamen Spezifikationen und der europäischen Schemata für die Cybersicherheitszertifizierung. Bei teilweiser Anwendung ist anzugeben, welche Teile angewandt wurden.

Wer keines dieser Regelwerke anwendet, kommt nicht mit weniger Papier davon, sondern mit mehr. Dann sind die gewählten Lösungen zu beschreiben, mit denen die Anforderungen aus Anhang I Teile I und II erfüllt werden, samt einer Aufstellung der sonstigen angewandten technischen Spezifikationen. Der Verzicht auf die Vermutung ist also zulässig, verlagert aber Arbeit in die Dokumentation.

Vermutung heißt widerlegbar

Die Vermutung bindet die Marktüberwachung nicht. Hat eine Behörde hinreichenden Grund zu der Annahme, dass ein Produkt ein erhebliches Cybersicherheitsrisiko birgt, führt sie nach Artikel 54 Absatz 1 unverzüglich selbst eine Konformitätsbewertung durch, gegebenenfalls in Zusammenarbeit mit dem einschlägigen CSIRT und unabhängig davon, welche Normen der Hersteller angewandt hat.

Der CRA rechnet dabei ausdrücklich mit fehlerhaften Regelwerken. Artikel 54 Absatz 6 Buchstabe b nennt Mängel in den harmonisierten Normen, den europäischen Zertifizierungsschemata oder den gemeinsamen Spezifikationen als mögliche Ursache einer Nichtkonformität. Erweist sich eine nationale Maßnahme als gerechtfertigt, leitet die Kommission bei einer Norm das Verfahren nach Artikel 11 der Verordnung (EU) Nr. 1025/2012 ein (Artikel 55 Absatz 3). Bei einem Schema oder einer gemeinsamen Spezifikation prüft sie, ob der zugrunde liegende Rechtsakt zu ändern oder aufzuheben ist (Artikel 55 Absätze 4 und 5).

Zwei weitere Vermutungen, die nicht gemeint sind

Dasselbe Prinzip steht im CRA an zwei weiteren Stellen, die mit Artikel 27 nichts zu tun haben. Artikel 40 betrifft die Konformitätsbewertungsstellen selbst: Weist eine Stelle nach, dass sie die Kriterien einschlägiger harmonisierter Normen mit veröffentlichter Fundstelle erfüllt, wird vermutet, dass sie den Anforderungen des Artikels 39 genügt, soweit die Normen diese Anforderungen abdecken. Und nach Anhang VIII Teil IV Nummer 3.3 geht die notifizierte Stelle im Modul H bei den Bestandteilen des Qualitätssicherungssystems, die den entsprechenden Spezifikationen der nationalen Norm zur Umsetzung der einschlägigen harmonisierten Norm oder technischen Spezifikation entsprechen, von einer Konformität mit den Anforderungen der Nummer 3.2 aus.