Notifizierende Behörde

Die notifizierende Behörde ist die nationale Stelle, die darüber entscheidet, welche Prüforganisationen in ihrem Mitgliedstaat Konformitätsbewertungen nach dem Cyber Resilience Act (CRA) durchführen dürfen. Artikel 36 Absatz 1 verpflichtet jeden Mitgliedstaat, eine solche Behörde zu benennen.

Ihr Zuständigkeitsbereich steht bereits in der Definition: Bewertung, Benennung, Notifizierung und Überwachung von Konformitätsbewertungsstellen. Artikel 36 Absatz 1 ergänzt einen Punkt, den die Definition nicht nennt. Zur Überwachung gehört ausdrücklich die Einhaltung des Artikels 41, also die Frage, ob eine Stelle ihre Zweigstellen und Unterauftragnehmer im Griff hat.

Wer die Arbeit tatsächlich leistet

Der CRA schreibt nicht vor, welche nationale Einrichtung diese Rolle übernimmt, und er lässt zwei Wege offen, die Aufgaben weiterzugeben.

• Nach Artikel 36 Absatz 2 können die Mitgliedstaaten entscheiden, dass Bewertung und Überwachung von einer nationalen Akkreditierungsstelle im Sinne der Verordnung (EG) Nr. 765/2008 erfolgen.
• Nach Artikel 36 Absatz 3 kann die Behörde Bewertung, Notifizierung oder Überwachung an eine nichtstaatliche Stelle delegieren. Diese muss eine juristische Person sein, dem Artikel 37 entsprechend genügen und Vorsorge zur Deckung von Haftungsansprüchen aus ihrer Tätigkeit treffen.

Die Verantwortung wandert dabei nicht mit. Artikel 36 Absatz 4 belässt die volle Verantwortung für die Tätigkeiten einer solchen Stelle bei der notifizierenden Behörde.

Anforderungen an die Behörde selbst

Artikel 37 stellt sechs Anforderungen auf, die zusammengenommen einem Zweck dienen: Wer über Prüforganisationen entscheidet, darf am Ergebnis kein eigenes Interesse haben.

• kein Interessenkonflikt mit den Konformitätsbewertungsstellen
• eine Organisation und Arbeitsweise, die Objektivität und Unparteilichkeit wahren
• eine Trennung der Personen, denn über die Notifizierung entscheiden kompetente Personen, die nicht mit denen identisch sind, welche die Bewertung durchgeführt haben
• kein Angebot von Tätigkeiten, die Konformitätsbewertungsstellen durchführen, und keine Beratungsleistungen auf gewerblicher oder wettbewerblicher Basis
• Vertraulichkeit der erlangten Informationen
• kompetente Mitarbeiter in ausreichender Zahl

Vom Antrag zur notifizierten Stelle

Eine Konformitätsbewertungsstelle beantragt ihre Notifizierung bei der notifizierenden Behörde des Mitgliedstaats, in dem sie niedergelassen ist (Artikel 42 Absatz 1). Dem Antrag legt sie eine Beschreibung der Konformitätsbewertungstätigkeiten, der Verfahren und der betroffenen Produkte bei, gegebenenfalls zusammen mit einer Akkreditierungsurkunde. Ohne Akkreditierungsurkunde muss sie alle Unterlagen vorlegen, mit denen sich die Erfüllung des Artikels 39 überprüfen, feststellen und regelmäßig überwachen lässt.

Eine Konformitätsvermutung gibt es auch auf dieser Ebene: Weist eine Konformitätsbewertungsstelle nach, dass sie die Kriterien einschlägiger harmonisierter Normen, deren Fundstellen im Amtsblatt veröffentlicht wurden, oder von Teilen davon erfüllt, so wird nach Artikel 40 davon ausgegangen, dass sie die Anforderungen des Artikels 39 erfüllt, soweit die Normen diese abdecken.

Notifiziert werden dürfen ausschließlich Stellen, die Artikel 39 erfüllen. Die Behörde übermittelt die Notifizierung an die Kommission und die anderen Mitgliedstaaten über das Informationssystem für die nach dem neuen Konzept notifizierten und benannten Organisationen, das Erwägungsgrund 103 als NANDO-Informationssystem bezeichnet, mit vollständigen Angaben zu Tätigkeiten, Modulen, Produkten und der Bestätigung der Kompetenz. Danach läuft eine Einspruchsfrist von zwei Wochen, wenn eine Akkreditierungsurkunde vorliegt, und von zwei Monaten, wenn nicht. Erst wenn weder die Kommission noch ein anderer Mitgliedstaat Einwände erhebt, darf die Stelle tätig werden, und erst dann gilt sie im Sinne der Verordnung als notifizierte Stelle (Artikel 43).

Überwachung, Einschränkung, Widerruf

Eine Notifizierung ist kein Dauerzustand. Stellt die notifizierende Behörde fest oder wird ihr mitgeteilt, dass eine notifizierte Stelle die Anforderungen des Artikels 39 nicht mehr erfüllt oder ihren Verpflichtungen nicht nachkommt, schränkt sie die Notifizierung ein, setzt sie aus oder widerruft sie, je nach Ausmaß des Verstoßes. Kommission und übrige Mitgliedstaaten sind unverzüglich zu unterrichten (Artikel 45 Absatz 1).

Für die laufenden Vorgänge sorgt Artikel 45 Absatz 2. Bei Einschränkung, Aussetzung oder Aufhebung der Notifizierung und ebenso, wenn eine Stelle ihre Tätigkeit einstellt, ergreift der notifizierende Mitgliedstaat geeignete Maßnahmen, damit die Akten dieser Stelle entweder von einer anderen notifizierten Stelle weiterbearbeitet oder für die zuständigen notifizierenden Behörden und Marktüberwachungsbehörden auf deren Verlangen bereitgehalten werden.

Auch die Kommission kann das Verfahren anstoßen. Zweifelt sie an der Kompetenz einer notifizierten Stelle oder werden ihr Zweifel zur Kenntnis gebracht, untersucht sie den Fall, und der notifizierende Mitgliedstaat erteilt auf Verlangen sämtliche Auskünfte über die Grundlage der Notifizierung. Stellt die Kommission fest, dass eine Stelle die Voraussetzungen ihrer Notifizierung nicht oder nicht mehr erfüllt, unterrichtet sie den notifizierenden Mitgliedstaat und fordert ihn auf, die erforderlichen Korrekturmaßnahmen zu treffen, nötigenfalls einschließlich eines Widerrufs der Notifizierung (Artikel 46).

Was Hersteller davon merken

Unmittelbaren Kontakt mit dieser Behörde haben Hersteller in aller Regel nicht. Spürbar wird sie an drei Stellen.

• Angebot am Markt. Wie viele Prüforganisationen für Ihre Produktkategorie zur Verfügung stehen, hängt daran, wie zügig die notifizierenden Behörden arbeiten. Kapitel IV gilt bereits seit dem 11. Juni 2026, und bis zum 11. Dezember 2026 sorgen die Mitgliedstaaten dafür, dass es in der Union eine ausreichende Zahl notifizierter Stellen gibt, um Engpässe und Hindernisse mit Blick auf den Marktzugang zu verhindern (Artikel 35 Absatz 2).
• Meldungen über Ihr Verfahren. Notifizierte Stellen melden der notifizierenden Behörde jede Verweigerung, Einschränkung, Aussetzung und Aufhebung einer Bescheinigung, alle Umstände mit Auswirkungen auf Geltungsbereich und Bedingungen der Notifizierung sowie alle Auskunftsersuchen über Konformitätsbewertungstätigkeiten, die sie von Marktüberwachungsbehörden erhalten haben (Artikel 49 Absatz 1).
• Unteraufträge. Vergibt Ihre notifizierte Stelle Aufgaben an einen Unterauftragnehmer oder überträgt sie diese einer Zweigstelle, unterrichtet sie die notifizierende Behörde und hält die Unterlagen über die Qualifikation für sie bereit (Artikel 41). Zustimmen müssen Sie ohnehin, denn ohne Zustimmung des Herstellers dürfen Arbeiten weder an einen Unterauftragnehmer vergeben noch einer Zweigstelle übertragen werden (Artikel 41 Absatz 3).

Abgrenzung und offene Punkte

Drei Rollen werden leicht verwechselt. Die notifizierende Behörde befasst sich mit Prüforganisationen, nicht mit Produkten. Die notifizierte Stelle führt die Konformitätsbewertungsverfahren nach Anhang VIII durch. Die Marktüberwachungsbehörde kontrolliert Produkte, die bereits auf dem Markt sind, und kann Maßnahmen gegen Wirtschaftsakteure ergreifen.

Bei der Transparenz bleibt eine Lücke. Artikel 38 verpflichtet die Mitgliedstaaten, die Kommission über ihre Verfahren zur Bewertung und Notifizierung von Konformitätsbewertungsstellen und zur Überwachung notifizierter Stellen sowie über Änderungen daran zu unterrichten; diese Angaben macht die Kommission öffentlich zugänglich. Eine ausdrückliche Pflicht, auch die Behörde selbst öffentlich zu benennen, enthält der CRA nicht. Öffentlich einsehbar ist stattdessen das Ergebnis ihrer Arbeit: das Verzeichnis der notifizierten Stellen samt Kennnummern, das die Kommission nach Artikel 44 führt und auf dem neuesten Stand hält.