Modul A: interne Kontrolle

Modul A ist das Konformitätsbewertungsverfahren auf der Grundlage einer internen Kontrolle. Der Cyber Resilience Act (CRA) nennt es in Artikel 32 Absatz 1 Buchstabe a und schreibt es in Anhang VIII Teil I aus. Kennzeichnend ist, was fehlt: keine externe Stelle, kein Zertifikat, keine Bescheinigung, die ablaufen oder entzogen werden könnte.

Nummer 1 des Anhangs VIII Teil I beschreibt, worauf das Verfahren hinausläuft. Der Hersteller erfüllt die in den Nummern 2, 3 und 4 festgelegten Pflichten und gewährleistet und erklärt auf eigene Verantwortung, dass die Produkte allen grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen und dass er selbst die Anforderungen in Anhang I Teil II erfüllt. Das sind zwei Aussagen, nicht eine: Die zweite betrifft nicht das Produkt, sondern die Verfahren des Herstellers zur Behandlung von Schwachstellen.

Was Anhang VIII Teil I verlangt

• Nummer 2: Der Hersteller erstellt die technische Dokumentation gemäß Anhang VII.
• Nummer 3: Er trifft alle erforderlichen Maßnahmen, damit die Verfahren der Konzeption, Entwicklung, Herstellung und Schwachstellenbehandlung und deren Überwachung die Konformität gewährleisten.
• Nummer 4.1: Er bringt die CE-Kennzeichnung an jedem einzelnen Produkt an, das die geltenden Anforderungen erfüllt.
• Nummer 4.2: Er stellt für jedes Produkt eine schriftliche EU-Konformitätserklärung nach Artikel 28 aus und hält sie zusammen mit der technischen Dokumentation zehn Jahre ab dem Inverkehrbringen für die nationalen Behörden bereit, bei längerem Unterstützungszeitraum für dessen Dauer. Ein Exemplar geht auf Verlangen an die einschlägigen Behörden.

Zwei Formulierungen lohnen den zweiten Blick. Nummer 4.1 spricht von jedem einzelnen Produkt, nicht vom Produktmodell. Und Nummer 4.2 nennt die „nationalen Behörden“, während Artikel 13 Absatz 13 dieselbe Aufbewahrung für die Marktüberwachungsbehörden anordnet. Der Kreis derer, die Einsicht verlangen können, ist im Anhang also weiter gefasst.

Nummer 3 ist die Pflicht, die überlesen wird

Nummer 2 und Nummer 4 lassen sich abhaken: ein Dokument, ein Zeichen, eine Erklärung. Nummer 3 nicht. Sie setzt bei den Verfahren selbst an und ausdrücklich auch bei deren Überwachung, und sie nennt die Schwachstellenbehandlung in einem Atemzug mit Konzeption, Entwicklung und Herstellung.

Modul A beschreibt damit keinen Zeitpunkt, sondern einen Zustand. Wer die Erklärung ausstellt, sagt zu, dass die beschriebenen Verfahren weiterlaufen. Artikel 13 Absatz 14 zieht dieselbe Linie für die Serienherstellung: Änderungen am Entwicklungs- und Herstellungsverfahren, an Konzeption und Merkmalen des Produkts und an den harmonisierten Normen, europäischen Schemata für die Cybersicherheitszertifizierung oder gemeinsamen Spezifikationen nach Artikel 27, auf die sich die Erklärung stützt, sind angemessen zu berücksichtigen.

Was fehlt, wenn niemand von außen prüft

Nach Modul A steht die CE-Kennzeichnung allein. Artikel 30 Absatz 4 lässt ihr die Kennnummer einer notifizierten Stelle nur folgen, wenn diese am Verfahren auf der Grundlage einer umfassenden Qualitätssicherung beteiligt ist. Bei Modul A gibt es keine solche Stelle und deshalb auch keine Nummer.

Es gibt ebenso wenig etwas, das zu erneuern wäre: keine Gültigkeitsdauer, kein Überwachungsaudit, kein Ansprechpartner, der Zwischenstände prüft. Der erste Blick von außen fällt in aller Regel erst, wenn eine Marktüberwachungsbehörde nachfragt, und dann trägt allein die technische Dokumentation. Artikel 28 Absatz 4 sagt, worauf man sich mit der Erklärung einlässt: Mit ihrer Ausstellung übernimmt der Hersteller die Verantwortung für die Konformität des Produkts.

Wann Modul A offensteht

Für Produkte, die der CRA weder als wichtig noch als kritisch einstuft, ist Modul A frei wählbar. Bei wichtigen Produkten der Klasse I knüpft Artikel 32 Absatz 2 den Weg daran, dass harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig angewandt werden. Welche Einstufung zu welchem Verfahren führt, ordnet der Beitrag zu den Konformitätsbewertungsverfahren ein.

Zwei Punkte gehen dabei leicht unter. Nach Erwägungsgrund 91 bleibt es jedem Hersteller freigestellt, ein strengeres Verfahren unter Einbeziehung eines Dritten zu wählen, auch wenn Modul A ausreichen würde. Und die falsche Wahl ist bußgeldbewehrt: Verstöße gegen Artikel 32 Absätze 1, 2 und 3 fallen nach Artikel 64 Absatz 3 in die Stufe bis 10 Millionen Euro oder 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Was ein Bevollmächtigter übernehmen darf

Nummer 5 des Anhangs VIII Teil I erlaubt, dass ein Bevollmächtigter die Pflichten aus Nummer 4 im Auftrag und unter der Verantwortung des Herstellers erfüllt, sofern der Auftrag sie benennt. Gemeint sind CE-Kennzeichnung, Konformitätserklärung und das Bereithalten der Unterlagen.

Nummer 2 und Nummer 3 stehen nicht in dieser Aufzählung. Die technische Dokumentation und die Maßnahmen an den Entwicklungs- und Schwachstellenverfahren bleiben beim Hersteller. Wer die Vertretung in der Union an einen Dienstleister gibt, verlagert die Formalien, nicht die Substanz.