Modul C: Konformität mit dem Baumuster

Modul C trägt im Cyber Resilience Act (CRA) den vollen Namen „Konformität mit dem Baumuster auf der Grundlage einer internen Fertigungskontrolle“ und steht im Wortlaut in Anhang VIII Teil III. Es ist kein eigenständiges Verfahren, sondern die zweite Hälfte eines zweistufigen. Zuerst prüft eine notifizierte Stelle das Baumuster, danach sorgt der Hersteller allein dafür, dass die tatsächlich gefertigten Produkte diesem Baumuster entsprechen.

Artikel 32 nennt die beiden Schritte deshalb nie getrennt. In Absatz 1 Buchstabe b, Absatz 2 Buchstabe a und Absatz 3 Buchstabe a steht jedes Mal dieselbe Formel: EU-Baumusterprüfverfahren nach Modul B und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle. Wer die Konformität dagegen ohne Baumusterprüfung in eigener Verantwortung bewertet, nutzt Modul A; wer statt eines Baumusters sein Qualitätssicherungssystem prüfen lässt, Modul H.

Was der Hersteller mit Modul C erklärt

Die Erklärung nach Anhang VIII Teil III Nummer 1 hat drei Bestandteile, und der erste wird häufig für das Ganze gehalten:

• Die betreffenden Produkte entsprechen dem in der EU-Baumusterprüfbescheinigung beschriebenen Baumuster.
• Sie genügen den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I.
• Der Hersteller erfüllt die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II, also die Anforderungen an die Behandlung von Schwachstellen.

Anhang I steht dort zweimal ausdrücklich, nicht nur mittelbar über das Baumuster. Die Übereinstimmung mit dem geprüften Baumuster entbindet also nicht davon, dass das ausgelieferte Produkt die Anforderungen tatsächlich erfüllt.

Zwei Pflichten, mehr nicht

Anhang VIII Teil III legt dem Hersteller nur die Nummern 2 und 3 auf. Nummer 2 betrifft die Herstellung. Der Hersteller trifft alle erforderlichen Maßnahmen, damit die Herstellung und ihre Überwachung die Konformität der hergestellten Produkte mit dem zugelassenen Baumuster und mit Anhang I Teil I gewährleisten, und stellt sicher, dass er die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II erfüllt. Nummer 3 betrifft Kennzeichnung und Erklärung.

Die CE-Kennzeichnung wird an jedem einzelnen Produkt angebracht, das mit dem beschriebenen Baumuster übereinstimmt und die geltenden Anforderungen erfüllt. Die schriftliche Konformitätserklärung wird dagegen für ein Produktmodell ausgestellt und muss erkennen lassen, für welches. Sie ist zehn Jahre ab dem Inverkehrbringen für die nationalen Behörden bereitzuhalten, bei längerem Unterstützungszeitraum für dessen Dauer. Ein Exemplar geht auf Verlangen an die einschlägigen Behörden.

Die Pflichten aus Nummer 3 kann ein Bevollmächtigter im Auftrag und unter der Verantwortung des Herstellers erfüllen, sofern die einschlägigen Verpflichtungen im Auftrag festgelegt sind. Die Herstellung nach Nummer 2 bleibt beim Hersteller.

In der Fertigung prüft niemand von außen

Modul C selbst kennt keine externe Prüfung. Die notifizierte Stelle hat ihre Rolle in Modul B, von dort laufen aber zwei Fäden weiter. Sie führt nach Anhang VIII Teil II Nummer 8 regelmäßig Audits zu den Verfahren der Schwachstellenbehandlung durch, und jede Änderung am zugelassenen Baumuster oder an den Verfahren zur Behandlung von Schwachstellen, die die Konformität mit Anhang I oder die Gültigkeitsbedingungen der Bescheinigung beeinträchtigen könnte, ist ihr nach Nummer 7 zu melden und braucht eine Ergänzung der ursprünglichen Bescheinigung.

Sichtbar wird die Stelle am Produkt trotzdem nicht. Artikel 30 Absatz 4 lässt der CE-Kennzeichnung die Kennnummer der notifizierten Stelle nur folgen, wenn diese am Verfahren nach Modul H beteiligt ist. Nach den Modulen B und C steht die CE-Kennzeichnung ohne Nummer. In der EU-Konformitätserklärung verlangt Anhang V Nummer 7 dagegen gegebenenfalls den Namen und die Kennnummer der Stelle, eine Beschreibung des durchgeführten Konformitätsbewertungsverfahrens und die Kennnummer der ausgestellten Bescheinigung. Nach den Modulen B und C trifft dieses „gegebenenfalls“ zu.

Auch Software hat eine Fertigung

„Interne Fertigungskontrolle“ klingt nach Werkshalle. Erwägungsgrund 92 stellt klar, dass Software nicht ausgenommen ist. Kompilieren, Zusammenfügen zu Versionen, Paketieren, Bereitstellen zum Herunterladen und Kopieren auf physische Datenträger sollten danach bei der Anwendung der einschlägigen Konformitätsbewertungsmodule als dem Herstellungsprozess gleichkommende Tätigkeiten betrachtet werden. Gegenstand der Kontrolle ist damit auch die Build- und Auslieferungskette.

Wer sie beschreiben muss, findet den Anknüpfungspunkt in Anhang VII Nummer 2 Buchstabe c. Die technische Dokumentation enthält danach die erforderlichen Informationen und Spezifikationen zu den Herstellungs- und Überwachungsprozessen des Produkts sowie zur Validierung dieser Prozesse. Die Kontrollen aus Modul C sind also selbst dokumentationspflichtig.

Der Bezug zur Serienherstellung

Modul C ist die verfahrensrechtliche Seite einer Pflicht, die den Hersteller ohnehin trifft. Artikel 13 Absatz 14 verlangt geeignete Verfahren, damit die Konformität mit der Verordnung bei einer Serienherstellung sichergestellt bleibt, und zählt auf, was dabei angemessen zu berücksichtigen ist: Änderungen am Entwicklungs- und Herstellungsverfahren, Änderungen an der Konzeption oder den Merkmalen des Produkts sowie Änderungen der harmonisierten Normen, der europäischen Schemata für die Cybersicherheitszertifizierung oder der in Artikel 27 genannten gemeinsamen Spezifikationen, die bei der Erklärung der Konformität zugrunde gelegt oder bei ihrer Überprüfung angewandt wurden.

Der dritte Punkt wird am ehesten übersehen. Eine Norm kann sich ändern, ohne dass am Produkt eine einzige Zeile angefasst wurde. Die erklärte Konformität bezieht sich aber auf die Fassung, die damals zugrunde lag.

Was Anhang VIII Teil III offenlässt

Der Wortlaut ist knapp und bleibt es. Er nennt keine Stichprobengröße, keine Prüfhäufigkeit und keine Methode. „Alle erforderlichen Maßnahmen“ liegt beim Hersteller und ist an Beschaffenheit und Risiko des Produkts auszurichten. Eine Variante des Moduls mit überwachten Produktprüfungen sieht Artikel 32 nicht vor.

Offen bleibt außerdem, wie weit ein zugelassenes Baumuster reicht. Weder ist „Produktmodell“ im CRA definiert, noch sagt die Verordnung, wie viele Modelle eine Bescheinigung tragen kann. Maßgeblich ist die Bescheinigung selbst, die nach Anhang VIII Teil II Nummer 6 die erforderlichen Daten zur Identifizierung des zugelassenen Baumusters enthält und Bedingungen für ihre Gültigkeit nennen kann. Welches Modul für welche Produktklasse überhaupt in Betracht kommt, steht unter Konformitätsbewertungsverfahren.