Modul B: EU-Baumusterprüfung

Modul B des Cyber Resilience Acts (CRA) trägt den Namen EU-Baumusterprüfung und ist in Anhang VIII Teil II ausformuliert. Gemeint ist der Teil eines Konformitätsbewertungsverfahrens, in dem eine notifizierte Stelle die technische Konzeption und Entwicklung eines Produkts mit digitalen Elementen sowie die vom Hersteller festgelegten Verfahren zur Behandlung von Schwachstellen untersucht und prüft. Fällt die Prüfung positiv aus, bescheinigt sie, dass das Produkt den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügt und dass der Hersteller die Anforderungen in Anhang I Teil II erfüllt.

Der Wortlaut spricht vom „Teil eines Konformitätsbewertungsverfahrens“, und das ist wörtlich zu nehmen. Modul B steht nie allein. Artikel 32 nennt es ausschließlich in Verbindung mit Modul C, der Konformität mit dem Baumuster auf der Grundlage einer internen Fertigungskontrolle. Aus der Bescheinigung folgt weder die CE-Kennzeichnung noch die EU-Konformitätserklärung, denn beide entstehen erst dort. Wer statt dieser Kombination ein zugelassenes und überwachtes Qualitätssicherungssystem vorzieht, wählt Modul H, und wer die Bewertung in eigener Verantwortung durchführen darf, Modul A. Welcher Weg für welche Produktklasse offensteht, behandeln die Konformitätsbewertungsverfahren.

Zwei Prüfgegenstände

Geprüft werden ein Produkt und Prozesse. Maßstab für das Produkt ist Anhang I Teil I, Maßstab für die Verfahren zur Behandlung von Schwachstellen Anhang I Teil II. Beides deckt dieselbe Bescheinigung ab, und beides bleibt nach ihrer Ausstellung Gegenstand laufender Pflichten.

Die Prüfung erfolgt nach Nummer 2 als Bewertung der Eignung der technischen Konzeption und Entwicklung. Grundlage sind die technische Dokumentation und die zusätzlichen Nachweise sowie die Prüfung von Mustern eines oder mehrerer wichtiger Teile des Produkts. Die Verordnung nennt das eine Kombination aus Bau- und Konzeptionsmuster. Ein vollständiges Serienexemplar verlangt sie also nicht.

Der Antrag

Der Antrag geht an eine einzige notifizierte Stelle nach Wahl des Herstellers. Nummer 3 zählt auf, was ihm beiliegt:

• Name und Anschrift des Herstellers, bei Einreichung durch den Bevollmächtigten zusätzlich dessen Name und Anschrift
• eine schriftliche Erklärung, dass derselbe Antrag bei keiner anderen notifizierten Stelle eingereicht worden ist
• die technische Dokumentation einschließlich einer angemessenen Risikoanalyse und -bewertung, die gegebenenfalls zumindest die Elemente aus Anhang VII enthält
• zusätzliche Nachweise für die Eignung der Lösungen für die technische Konzeption und Entwicklung und der Verfahren zur Behandlung von Schwachstellen; darin sind alle herangezogenen Unterlagen zu vermerken, insbesondere wenn einschlägige harmonisierte Normen oder technische Spezifikationen nicht in vollem Umfang angewandt wurden

Der letzte Punkt bestimmt den Aufwand. Je weiter ein Produkt von den vorhandenen Normen abweicht, desto mehr Belege muss der Hersteller aus eigener Kraft beibringen, und desto weniger lässt sich die Dauer des Verfahrens vorher abschätzen.

Was die Stelle tut

• Sie prüft technische Dokumentation und Nachweise gegen Anhang I Teile I und II (Nummer 4.1).
• Sie überprüft, ob die Muster in Übereinstimmung mit der technischen Dokumentation entwickelt oder hergestellt wurden, und trennt die nach einschlägigen Normen konzipierten Elemente von den übrigen (Nummer 4.2).
• Sie führt geeignete Untersuchungen und Prüfungen durch oder veranlasst sie. Bei angewandten Normen geht es darum, ob sie korrekt angewandt wurden, sonst darum, ob die eigenen Lösungen des Herstellers die Anforderungen erfüllen (Nummern 4.3 und 4.4).
• Wo geprüft wird, vereinbart sie mit dem Hersteller (Nummer 4.5).

Über diese Tätigkeiten und deren Ergebnisse erstellt sie einen Bewertungsbericht. Dessen Inhalt veröffentlicht sie ganz oder teilweise nur mit Zustimmung des Herstellers, unbeschadet ihrer Pflichten gegenüber den notifizierenden Behörden.

Die Bescheinigung

Entsprechen Baumuster und Schwachstellenverfahren den Anforderungen des Anhangs I, stellt die Stelle eine EU-Baumusterprüfbescheinigung aus. Sie enthält Name und Anschrift des Herstellers, die Ergebnisse der Prüfung, etwaige Bedingungen für ihre Gültigkeit und die erforderlichen Daten zur Identifizierung des zugelassenen Baumusters und des Verfahrens zur Behandlung von Schwachstellen. Ein oder mehrere Anhänge können beigefügt werden. Bescheinigung und Anhänge müssen alle einschlägigen Informationen tragen, mit denen sich später beurteilen lässt, ob die hergestellten oder entwickelten Produkte dem geprüften Baumuster entsprechen und ob die Verfahren zur Behandlung von Schwachstellen konform sind, und mit denen sich gegebenenfalls eine Kontrolle nach der Inbetriebnahme durchführen lässt. Genügen Baumuster und Verfahren den Anforderungen nicht, verweigert die Stelle die Bescheinigung und begründet das ausführlich.

Eine Folge überrascht regelmäßig. Nach Artikel 30 Absatz 4 folgt die Kennnummer der notifizierten Stelle der CE-Kennzeichnung nur dann, wenn die Stelle am Verfahren nach Modul H beteiligt ist. Nach den Modulen B und C steht die CE-Kennzeichnung allein, obwohl auch hier eine Stelle geprüft hat.

Nach der Ausstellung

Mit der Bescheinigung endet die Beziehung zur Stelle nicht. Nummer 7 verpflichtet sie, sich über Änderungen des allgemein anerkannten Stands der Technik auf dem Laufenden zu halten, die darauf hindeuten, dass das zugelassene Baumuster und die Verfahren zur Behandlung von Schwachstellen den Anforderungen des Anhangs I nicht mehr entsprechen, und zu entscheiden, ob solche Änderungen weitere Untersuchungen nötig machen. Ist das der Fall, setzt sie den Hersteller in Kenntnis. Umgekehrt unterrichtet der Hersteller die Stelle über alle Änderungen am zugelassenen Baumuster und an den Verfahren zur Behandlung von Schwachstellen, die die Konformität oder die Gültigkeitsbedingungen beeinträchtigen könnten. Solche Änderungen erfordern eine Zusatzgenehmigung in Form einer Ergänzung der ursprünglichen Bescheinigung.

Nummer 8 verlangt zusätzlich regelmäßige Audits der Stelle, damit die Verfahren nach Anhang I Teil II angemessen umgesetzt bleiben. Stellt sie dabei fest, dass das Produkt die Anforderungen nicht mehr erfüllt, fordert sie Korrekturmaßnahmen und setzt die Bescheinigung nötigenfalls aus oder widerruft sie (Artikel 47 Absätze 5 und 6).

Aufbewahrung und Meldewege

Der Hersteller hält ein Exemplar der Bescheinigung samt Anhängen und Ergänzungen zusammen mit der technischen Dokumentation zehn Jahre ab dem Inverkehrbringen für die nationalen Behörden bereit, bei längerem Unterstützungszeitraum für dessen Dauer. Die Stelle selbst bewahrt ihr Exemplar samt technischem Dossier auf, bis die Gültigkeitsdauer der Bescheinigung endet.

Parallel laufen Meldewege, die der Hersteller nicht steuert. Jede notifizierte Stelle unterrichtet ihre notifizierende Behörde über ausgestellte und zurückgenommene Bescheinigungen und übermittelt ihr regelmäßig oder auf Verlangen eine Aufstellung der verweigerten, ausgesetzten oder anderweitig eingeschränkten. Den Antrag nach Nummer 3 sowie die Pflichten aus den Nummern 7 und 10 kann der Bevollmächtigte übernehmen, sofern der Auftrag das vorsieht.

Was der CRA offenlässt

Drei Fragen, die vor dem Antrag aufkommen, beantwortet die Verordnung nicht. Nummer 9 spricht von der Gültigkeitsdauer der Bescheinigung, legt sie aber nirgends fest; welche Bedingungen für die Gültigkeit gelten, bestimmt nach Nummer 6 die Stelle im Einzelfall. Eine Frist, bis zu der ein Verfahren abzuschließen wäre, nennt der CRA ebenfalls nicht. Und was bei reiner Software als Muster eines wichtigen Teils zu prüfen ist, bleibt ungeregelt. Alle drei Punkte gehören in das erste Gespräch mit der Stelle, nicht in die Zeit nach der Antragstellung.