Marktüberwachungsbehörde

Die Marktüberwachungsbehörde ist die nationale Stelle, die die Einhaltung des Cyber Resilience Acts (CRA) kontrolliert und durchsetzt. Der CRA definiert sie nicht selbst, sondern verweist auf die Marktüberwachungsverordnung (EU) 2019/1020. Dort heißt es: eine von einem Mitgliedstaat nach Artikel 10 zur Durchführung der Marktüberwachung in dessen Hoheitsgebiet zuständig benannte Behörde.

Zwei Punkte stecken in diesem Satz. Die Zuständigkeit ist territorial. Sie endet an der Staatsgrenze. Und Marktüberwachung setzt nachgelagert an: Sie prüft Produkte, die bereits auf dem Markt sind, und ersetzt keine Genehmigung vor dem Inverkehrbringen.

Wer die Behörde benennt

Nach Artikel 52 Absatz 2 benennt jeder Mitgliedstaat eine oder mehrere Marktüberwachungsbehörden. Er kann eine bestehende Behörde damit betrauen oder eine neue schaffen; Erwägungsgrund 107 nennt als Kandidaten die nach NIS 2 zuständigen Behörden, die nationalen Behörden für die Cybersicherheitszertifizierung und die Marktüberwachungsbehörden der Funkanlagenrichtlinie. Über Benennung und Zuständigkeitsbereiche sind die Kommission und die übrigen Mitgliedstaaten zu unterrichten; diese Pflicht folgt aus Artikel 10 Absatz 2 der Verordnung (EU) 2019/1020, die Artikel 52 Absatz 1 für anwendbar erklärt.

Der CRA nennt also keine Behörde beim Namen. Wer für ein bestimmtes Produkt zuständig ist, ergibt sich erst aus dem nationalen Recht des Mitgliedstaats, in dem es bereitgestellt wird.

Was die Behörde verlangen kann

Die Befugnisse setzen an Unterlagen an, die ohnehin vorliegen müssen:

• Artikel 53 gibt der Behörde auf begründeten Antrag Zugang zu den Daten, die zur Bewertung von Konzeption, Entwicklung, Herstellung und Schwachstellenbehandlung erforderlich sind, einschließlich interner Unterlagen des Wirtschaftsakteurs.
• Nach Artikel 13 Absatz 22 übermitteln Hersteller auf begründetes Verlangen alle Unterlagen, die die Konformität mit Anhang I belegen, und wirken an Maßnahmen zur Beseitigung der Risiken mit.
• Technische Dokumentation und EU-Konformitätserklärung sind der Behörde mindestens zehn Jahre nach dem Inverkehrbringen bereitzuhalten, bei längerer Produktunterstützung entsprechend länger.
• Anhang VII Nummer 8 verlangt auf begründetes Verlangen zusätzlich die Software-Stückliste (SBOM), soweit die Behörde sie zur Prüfung von Anhang I benötigt.
• Artikel 23 verpflichtet alle Wirtschaftsakteure, auf Anfrage ihre Lieferanten und, soweit verfügbar, ihre Abnehmer zu benennen; diese Angaben müssen sie zehn Jahre nach dem Bezug und zehn Jahre nach der Abgabe des Produkts vorlegen können.

Nach Artikel 52 Absatz 3 erstreckt sich die Marktüberwachung auch auf die Pflichten der Verwalter quelloffener Software aus Artikel 24.

Das Verfahren bei erheblichem Cybersicherheitsrisiko

Artikel 54 ist der Kern der Durchsetzung. Hat eine Behörde hinreichenden Grund zu der Annahme, dass ein Produkt (einschließlich seiner Schwachstellenbehandlung) ein erhebliches Cybersicherheitsrisiko birgt, führt sie unverzüglich eine eigene Konformitätsbewertung durch, gegebenenfalls mit dem zuständigen CSIRT. Dabei zählen auch nichttechnische Risikofaktoren, etwa aus den koordinierten Risikobewertungen zur Sicherheit der Lieferketten auf Unionsebene nach Artikel 22 der NIS-2-Richtlinie.

Stellt sie Nichtkonformität fest, fordert sie den Wirtschaftsakteur auf, innerhalb einer gesetzten, dem Risiko angemessenen Frist Korrekturmaßnahmen zu ergreifen oder das Produkt vom Markt zu nehmen (Rücknahme vom Markt) beziehungsweise zurückzurufen (Rückruf). Bleiben angemessene Maßnahmen aus, trifft die Behörde vorläufige Maßnahmen für ihren nationalen Markt und notifiziert Kommission und Mitgliedstaaten. Erhebt binnen drei Monaten niemand Einwände, gilt die Maßnahme als gerechtfertigt; andernfalls entscheidet die Kommission im Schutzklauselverfahren nach Artikel 55 innerhalb von neun Monaten nach der Notifizierung.

Artikel 57 erweitert das auf Produkte, die dem CRA entsprechen und dennoch ein erhebliches Cybersicherheitsrisiko bergen. Betroffen sein können etwa die Gesundheit oder Sicherheit von Personen, die Erfüllung von Pflichten zum Schutz der Grundrechte oder Dienste wesentlicher Einrichtungen. Konformität ist also kein Freibrief.

Formale Nichtkonformität

Artikel 58 nennt sechs Feststellungen, für die es keine Risikobewertung braucht: Die CE-Kennzeichnung fehlt oder wurde entgegen den Artikeln 29 und 30 angebracht, die EU-Konformitätserklärung wurde nicht oder nicht ordnungsgemäß ausgestellt, die Kennnummer der beteiligten notifizierten Stelle fehlt, oder die technische Dokumentation ist nicht verfügbar oder unvollständig. Besteht der Mangel fort, muss der Mitgliedstaat die Bereitstellung einschränken oder untersagen oder Rückruf beziehungsweise Rücknahme veranlassen.

Das ist der Weg mit der niedrigsten Hürde. Er trifft Hersteller, deren Produkt technisch in Ordnung ist, deren Papiere es aber nicht sind.

Geldbußen

Artikel 64 überlässt die Ausgestaltung den Mitgliedstaaten, gibt aber Obergrenzen vor. Es sind drei Stufen, maßgeblich ist jeweils der höhere Betrag; der Prozentsatz bemisst sich am gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres und gilt nur im Falle von Unternehmen:

• 15 Mio. EUR oder 2,5 % bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen in Anhang I sowie gegen die Artikel 13 und 14.
• 10 Mio. EUR oder 2 % unter anderem bei Verstößen gegen die Artikel 18 bis 23, Artikel 28, Artikel 31 Absätze 1 bis 4 und Artikel 53.
• 5 Mio. EUR oder 1 %, wenn gegenüber notifizierten Stellen oder Marktüberwachungsbehörden auf ein Auskunftsverlangen hin falsche, unvollständige oder irreführende Angaben gemacht werden.

Bei der Bemessung zählen Art, Schwere und Dauer des Verstoßes und dessen Folgen, ob dieselben oder andere Marktüberwachungsbehörden gegen denselben Wirtschaftsakteur bereits wegen eines ähnlichen Verstoßes Geldbußen verhängt haben, sowie Größe und Marktanteil des Wirtschaftsakteurs. Verhängte Geldbußen werden den Behörden der anderen Mitgliedstaaten über das Informations- und Kommunikationssystem nach Artikel 34 der Verordnung (EU) 2019/1020 mitgeteilt.

Artikel 64 Absatz 10 nimmt zwei Fälle aus: Hersteller, die als Kleinst- oder Kleinunternehmen gelten, für die Versäumung der 24-Stunden-Frist der Frühwarnung nach Artikel 14 Absatz 2 Buchstabe a und Absatz 4 Buchstabe a sowie Verwalter quelloffener Software für jeden Verstoß. Der Wortlaut ist dabei unscharf: Die Ausnahme ist als Abweichung von den Absätzen 3 bis 9 formuliert, während die Geldbußen für Verstöße gegen Artikel 14 in Absatz 2 stehen.

Nicht nur Kontrolle

Ein Teil der Aufgaben ist auf Zusammenarbeit angelegt. Artikel 52 Absatz 10 erlaubt es den Behörden, Wirtschaftsakteuren Leitlinien und Ratschläge zur Durchführung zu geben. Absatz 11 verpflichtet sie, Verbrauchern mitzuteilen, wo Beschwerden einzureichen sind und wo sich Schwachstellen, Sicherheitsvorfälle und Cyberbedrohungen melden lassen. Absatz 16 gibt ihnen den Auftrag, zu überwachen, wie Hersteller die Kriterien des Artikels 13 Absatz 8 bei der Festlegung des Unterstützungszeitraums angewandt haben.

Koordiniert wird über die Gruppe für administrative Zusammenarbeit (ADCO) nach Artikel 30 Absatz 2 der Verordnung (EU) 2019/1020; sie veröffentlicht Statistiken zu durchschnittlichen Unterstützungszeiträumen und Leitlinien mit indikativen Werten je Produktkategorie. Hinzu kommen gemeinsame Tätigkeiten nach Artikel 59 und koordinierte Kontrollen („Sweeps“) nach Artikel 60, bei denen Produkte ausdrücklich auch unter falscher Identität erworben und untersucht werden dürfen.

Ab wann die Marktüberwachung greift

Kapitel V gilt wie der übrige CRA ab dem 11. Dezember 2027; vorgezogen sind allein Artikel 14 mit den Meldepflichten ab dem 11. September 2026 und Kapitel IV zur Notifizierung von Konformitätsbewertungsstellen ab dem 11. Juni 2026.

Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, fallen nur dann unter die Anforderungen der Verordnung, wenn sie danach wesentlich verändert werden. Die Meldepflichten des Artikels 14 gelten für sie dagegen uneingeschränkt.