Modul H: umfassende Qualitätssicherung

Modul H ist das Konformitätsbewertungsverfahren des Cyber Resilience Acts (CRA), in dem eine notifizierte Stelle kein Baumuster prüft, sondern das Qualitätssicherungssystem des Herstellers zulässt und anschließend laufend überwacht. Artikel 32 Absatz 1 Buchstabe c nennt es, im Wortlaut ausgeführt ist es in Anhang VIII Teil IV.

Erklärt wird am Ende dasselbe wie in den übrigen Verfahren: dass die betreffenden Produkte die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I erfüllen und die vom Hersteller festgelegten Verfahren zur Behandlung von Schwachstellen die Anforderungen in Anhang I Teil II. Der Hersteller gibt diese Erklärung auf eigene Verantwortung ab. Nummer 1 spricht dabei von „Produkte mit digitalen Elementen oder Produktkategorien“, der Zuschnitt ist also nicht auf ein einzelnes Modell festgelegt.

Zugelassen wird das System, nicht das Erzeugnis

Nummer 2 verlangt ein zugelassenes Qualitätssicherungssystem für Konzeption, Entwicklung, Endabnahme und Prüfung der betreffenden Produkte sowie für die Behandlung von Schwachstellen. Seine Wirksamkeit ist während des Unterstützungszeitraums zu erhalten, und der Hersteller unterliegt der Überwachung nach Nummer 4.

Darin liegt der eigentliche Unterschied zum anderen Weg mit Beteiligung eines Dritten. Die notifizierte Stelle untersucht in Modul H keine Muster. Nach Nummer 3.3 überprüft das Auditteam die nach Nummer 3.1 Buchstabe b eingereichte technische Dokumentation, um sich zu vergewissern, dass der Hersteller in der Lage ist, die anwendbaren Anforderungen zu erkennen und die erforderlichen Prüfungen durchzuführen. Bewertet wird die Fähigkeit, nicht das einzelne Erzeugnis. Wer stattdessen ein Baumuster prüfen lassen will, findet diesen Weg bei Modul B: EU-Baumusterprüfung und Modul C: Konformität mit dem Baumuster. Welches Verfahren für welche Produktklasse offensteht, entscheidet Artikel 32; die Gegenüberstellung steht bei den Konformitätsbewertungsverfahren.

Der Antrag

Der Hersteller beantragt die Bewertung seines Systems bei einer notifizierten Stelle seiner Wahl. Nummer 3.1 verlangt vier Bestandteile:

• Name und Anschrift des Herstellers, bei Einreichung durch den Bevollmächtigten auch dessen Name und Anschrift
• die technische Dokumentation für jeweils ein Modell jeder herzustellenden oder zu entwickelnden Produktkategorie, die gegebenenfalls zumindest die Elemente aus Anhang VII enthält
• die Dokumentation zum Qualitätssicherungssystem
• eine schriftliche Erklärung, dass derselbe Antrag bei keiner anderen notifizierten Stelle eingereicht worden ist

Was in der Systemdokumentation stehen muss

Nummer 3.2 verlangt, alle vom Hersteller berücksichtigten Grundlagen, Anforderungen und Vorschriften systematisch und ordnungsgemäß in Form schriftlicher Grundsätze, Verfahren und Anweisungen zusammenzustellen. Acht Punkte sind angemessen zu beschreiben, darunter:

• Qualitätsziele sowie organisatorischer Aufbau, Zuständigkeiten und Befugnisse des Managements für Konzeption, Entwicklung, Produktqualität und Behandlung von Schwachstellen
• technische Spezifikationen für Konzeption und Entwicklung einschließlich der angewandten Normen
• verfahrenstechnische Spezifikationen, ebenfalls einschließlich der angewandten Normen
• Techniken zur Steuerung von Konzeption und Entwicklung und zur Überprüfung ihrer Ergebnisse
• Prüfungen und Erprobungen vor, während und nach der Herstellung sowie deren Häufigkeit
• qualitätsbezogene Aufzeichnungen wie Kontrollberichte, Prüf- und Kalibrierungsdaten und Berichte über die Qualifikation der Mitarbeiter

Zwei dieser Punkte tragen eine Auffangregel, und die ist der Kern der ganzen Nummer. Werden die einschlägigen harmonisierten Normen oder technischen Spezifikationen nicht vollständig angewandt, muss die Dokumentation die Mittel benennen, mit denen Anhang I Teil I bei den Produkten und Anhang I Teil II beim Hersteller stattdessen erfüllt werden.

Bewertung und Konformitätsvermutung

Die notifizierte Stelle bewertet das System gegen diesen Katalog. Nummer 3.3 räumt dabei eine Vermutung ein: Bei den Bestandteilen des Systems, die den entsprechenden Spezifikationen der nationalen Norm zur Umsetzung der einschlägigen harmonisierten Norm oder einschlägiger technischer Spezifikationen entsprechen, geht die Stelle von Konformität aus. Die Vermutung setzt also voraus, dass es eine solche Norm überhaupt gibt und eine nationale Norm sie umsetzt. Fehlt sie, wird der Bestandteil in vollem Umfang bewertet.

An das Auditteam stellt dieselbe Nummer eine eigene Anforderung. Zusätzlich zur Erfahrung mit Qualitätsmanagementsystemen muss mindestens ein Mitglied Erfahrung mit der Bewertung im einschlägigen Bereich und der betreffenden Produkttechnologie haben und die in dieser Verordnung festgelegten geltenden Anforderungen kennen. Das Audit umfasst auch einen Kontrollbesuch in den Räumlichkeiten des Herstellers, falls es solche gibt.

Geplante Änderungen am Qualitätssicherungssystem sind der Stelle nach Nummer 3.5 vorab mitzuteilen. Sie entscheidet, ob das geänderte System die Anforderungen noch erfüllt oder ob eine erneute Bewertung nötig ist.

Überwachung

Mit der Zulassung ist das Verfahren nicht abgeschlossen. Nach Nummer 4.2 gewährt der Hersteller der Stelle zu Bewertungszwecken Zugang zu den Konzeptions-, Herstellungs-, Abnahme-, Prüf- und Lagereinrichtungen und stellt ihr alle erforderlichen Unterlagen zur Verfügung, insbesondere die Unterlagen über das System sowie die Qualitätsberichte aus dem Konzeptions- und dem Fertigungsteil. Nummer 4.3 verlangt regelmäßige Audits, über die der Hersteller jeweils einen Prüfbericht erhält. In welchem Abstand „regelmäßig“ zu verstehen ist, legt der CRA nicht fest.

Kennzeichnung, Erklärung, Aufbewahrung

Nummer 5.1 unterscheidet Modul H sichtbar von allen anderen Verfahren. Neben der CE-Kennzeichnung bringt der Hersteller unter der Verantwortung der notifizierten Stelle deren Kennnummer an. Artikel 30 Absatz 4 knüpft diese Nummer ausdrücklich an die Beteiligung nach Modul H. Angebracht wird sie von der Stelle selbst oder nach ihren Anweisungen vom Hersteller oder seinem Bevollmächtigten. Auf dem anderen Weg mit Beteiligung eines Dritten bleibt die CE-Kennzeichnung dagegen ohne Nummer.

Für jedes Produktmodell stellt der Hersteller nach Nummer 5.2 eine schriftliche Konformitätserklärung aus und hält sie zehn Jahre nach dem Inverkehrbringen für die nationalen Behörden bereit, bei längerem Unterstützungszeitraum für dessen Dauer. Aus der Erklärung muss hervorgehen, für welches Produktmodell sie ausgestellt wurde.

Mindestens für denselben Zeitraum sind nach Nummer 6 vier Bestände bereitzuhalten: die technische Dokumentation nach Nummer 3.1, die Unterlagen über das Qualitätssicherungssystem, die genehmigten Änderungen nach Nummer 3.5 sowie die Entscheidungen und Berichte der notifizierten Stelle nach den Nummern 3.5 und 4.3.

Was der Bevollmächtigte übernehmen kann

Nummer 8 erlaubt es, die Pflichten aus den Nummern 3.1, 3.5, 5 und 6 dem Bevollmächtigten zu übertragen, sofern sie im Auftrag festgelegt sind. Antrag, Änderungsmitteilung, Kennzeichnung samt Erklärung und Aufbewahrung können damit bei ihm liegen. Der Betrieb des Systems nach Nummer 2 und die Mitwirkung an der Überwachung nach Nummer 4 bleiben beim Hersteller.

Was der CRA offenlässt

Eine Gültigkeitsdauer der Zulassung nennt die Verordnung nicht. Sie nennt auch keine Frist, innerhalb derer die notifizierte Stelle über einen Antrag zu entscheiden hat, und kein Verfahren für den späteren Wechsel in ein anderes Modul.

Eine Unschärfe bleibt bei der Konformitätserklärung. Anhang V Nummer 7 verlangt gegebenenfalls den Namen und die Kennnummer der notifizierten Stelle, eine Beschreibung des durchgeführten Konformitätsbewertungsverfahrens und die Kennnummer der ausgestellten Bescheinigung. Eine Bescheinigung kennt Anhang VIII Teil IV aber nicht, sondern nur die Zulassung eines Qualitätssicherungssystems.