Notifizierte Stelle

Eine notifizierte Stelle ist eine unabhängige Prüforganisation, die ein Mitgliedstaat der Europäischen Kommission gemeldet hat, damit sie Konformitätsbewertungen nach dem Cyber Resilience Act (CRA) durchführen darf. Sie ist weder die notifizierende Behörde noch die Marktüberwachungsbehörde, sondern eine Konformitätsbewertungsstelle mit eigener Rechtspersönlichkeit nach nationalem Recht (Artikel 39 Absatz 2), die sich um diese Rolle bewirbt und dafür ein Verfahren nach Kapitel IV durchläuft.

Der CRA baut dabei auf einem etablierten Begriff auf: Artikel 3 Nummer 28 übernimmt die Konformitätsbewertungsstelle aus Artikel 2 Nummer 13 der Verordnung (EG) Nr. 765/2008. Notifiziert ist eine solche Stelle erst, wenn sie das Verfahren nach Artikel 43 durchlaufen hat. Vorher darf sie die Aufgaben einer notifizierten Stelle nicht wahrnehmen.

Wann Sie überhaupt eine brauchen

Für den Großteil der Produkte gar nicht. Artikel 32 Absatz 1 lässt das interne Kontrollverfahren zu, also die Konformitätsbewertung in Eigenregie ohne externe Stelle. Erst die Einstufung als wichtiges oder kritisches Produkt ändert das:

• Klasse I nach Anhang III verlangt eine notifizierte Stelle nur dann, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ nicht oder nur zum Teil angewandt wurden. Dasselbe gilt, wenn es solche Vorgaben für das Produkt schlicht nicht gibt.
• Klasse II nach Anhang III lässt die Eigenbewertung nicht mehr zu. Es bleiben Modul B mit anschließendem Modul C, Modul H oder, sofern verfügbar und anwendbar, ein Zertifizierungsschema mindestens der Stufe „mittel“.
• Kritische Produkte nach Anhang IV gehen vorrangig über ein europäisches Zertifizierungsschema nach Artikel 8 Absatz 1; solange dessen Voraussetzungen nicht erfüllt sind, gelten die Verfahren der Klasse II.

Eine eigene Regel gilt für freie und quelloffene Software: Hersteller solcher Produkte in den Kategorien des Anhangs III dürfen nach Artikel 32 Absatz 5 die Verfahren aus Absatz 1 nutzen, sofern die technische Dokumentation zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich gemacht wird.

Was die Stelle tatsächlich prüft

Zwei Module aus Anhang VIII sind ihr Arbeitsgebiet. Bei der EU-Baumusterprüfung (Modul B) untersucht sie die technische Konzeption und Entwicklung eines Produkts sowie die Verfahren zur Behandlung von Schwachstellen und stellt darüber eine EU-Baumusterprüfbescheinigung aus. Bei der umfassenden Qualitätssicherung (Modul H) bewertet und überwacht sie stattdessen das Qualitätssicherungssystem des Herstellers für Konzeption, Entwicklung, Endabnahme und Schwachstellenbehandlung.

In beiden Fällen führt sie regelmäßige Audits durch, bei Modul B ausdrücklich daraufhin, ob die Verfahren zur Behandlung von Schwachstellen aus Anhang I Teil II angemessen umgesetzt werden, bei Modul H daraufhin, ob der Hersteller das zugelassene Qualitätssicherungssystem aufrechterhält und anwendet. Eine Bescheinigung ist deshalb kein einmaliger Stempel: Ändert sich das zugelassene Baumuster so, dass die Konformität berührt sein kann, muss der Hersteller die Stelle unterrichten, und die Änderung braucht eine Ergänzung der ursprünglichen Bescheinigung.

Sind die Anforderungen aus Anhang I nicht erfüllt, fordert die Stelle Korrekturmaßnahmen und stellt keine Bescheinigung aus. Bereits erteilte Bescheinigungen kann sie einschränken, aussetzen oder widerrufen (Artikel 47). Aufgaben an Unterauftragnehmer oder Zweigstellen darf sie nur mit Zustimmung des Herstellers vergeben; die Verantwortung bleibt in jedem Fall bei ihr.

Sichtbar wird sie an der Kennnummer

Die Kommission weist jeder notifizierten Stelle eine Kennnummer zu und veröffentlicht ein laufend aktualisiertes Verzeichnis (Artikel 44). Auch eine Stelle, die nach mehreren Rechtsakten notifiziert ist, erhält nur eine einzige Nummer.

Auf dem Produkt taucht diese Nummer allerdings nur in einem Fall auf: Nach Artikel 30 Absatz 4 folgt sie der CE-Kennzeichnung ausschließlich dann, wenn die Stelle am Verfahren auf Grundlage der umfassenden Qualitätssicherung (Modul H) beteiligt war. Beim Weg über Modul B und C bleibt die CE-Kennzeichnung ohne Nummer. Fehlt sie dort, wo sie hingehört, ist das nach Artikel 58 formale Nichtkonformität und muss behoben werden.

Wie eine Stelle notifiziert wird

Die Stelle beantragt ihre Notifizierung bei der notifizierenden Behörde des Mitgliedstaats, in dem sie niedergelassen ist (Artikel 42). Dabei stützt sie sich gegebenenfalls auf eine Akkreditierungsurkunde; andernfalls legt sie alle Unterlagen vor, die die Erfüllung des Artikels 39 belegen. Erfüllt sie die Anforderungen des Artikels 39, meldet die Behörde sie der Kommission und den übrigen Mitgliedstaaten. Danach läuft eine Einspruchsfrist: zwei Wochen, wenn eine Akkreditierungsurkunde vorliegt, sonst zwei Monate. Erst wenn niemand Einwände erhebt, darf die Stelle tätig werden.

Artikel 39 verlangt vor allem Unabhängigkeit: ein unabhängiger Dritter, der unter anderem weder Konstrukteur, Entwickler, Hersteller, Lieferant, Einführer, Händler noch Verwender oder Wartungsbetrieb der bewerteten Produkte ist, sich nicht mit Tätigkeiten befasst, die seine Unabhängigkeit oder Integrität beeinträchtigen könnten (was besonders für Beratungsdienstleistungen gilt), und dessen oberste Leitungsebene und bewertendes Personal weder nach der Zahl der Bewertungen noch nach deren Ergebnis vergütet werden. Erfüllt eine Stelle diese Anforderungen später nicht mehr, wird die Notifizierung eingeschränkt, ausgesetzt oder widerrufen (Artikel 45).

Zeitplan und Verfügbarkeit

Kapitel IV gilt bereits seit dem 11. Juni 2026 und damit anderthalb Jahre vor dem Hauptteil der Verordnung am 11. Dezember 2027. Der Grund ist praktisch: Erst müssen Stellen existieren, dann können Hersteller sie beauftragen. Nach Artikel 35 Absatz 2 sorgen die Mitgliedstaaten bis zum 11. Dezember 2026 dafür, dass es in der Union eine ausreichende Zahl notifizierter Stellen gibt, um Engpässe und Hindernisse beim Marktzugang zu verhindern.

Ob das gelingt, ist offen. Der CRA sagt nichts darüber, was geschieht, wenn die Kapazität nicht reicht. Wer ein Produkt der Klasse II oder ein kritisches Produkt plant, sollte die Frage nach einer freien Stelle deshalb früh stellen und nicht erst im Jahr des Marktstarts. Erleichterungen gibt es an zwei Stellen: Kleinst- und Kleinunternehmen dürfen die Elemente der technischen Dokumentation nach Artikel 33 Absatz 5 in einem vereinfachten Format vorlegen, das die Kommission per Durchführungsrechtsakt festlegt und das die notifizierten Stellen für die Konformitätsbewertung akzeptieren müssen. Und nach Artikel 32 Absatz 6 werden die Gebühren für die Konformitätsbewertung proportional zu den besonderen Interessen und Bedürfnissen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen einschließlich Start-ups gesenkt.

Abgrenzung zur Marktüberwachung

Die notifizierte Stelle prüft vor dem Inverkehrbringen und begleitet danach ihre eigene Bescheinigung. Die Marktüberwachungsbehörde dagegen kontrolliert den Markt und kann Maßnahmen anordnen; kommt sie bei der Prüfung eines Produkts, das ein erhebliches Cybersicherheitsrisiko birgt, zu dem Ergebnis, dass es die Anforderungen der Verordnung nicht erfüllt, und verlangt sie Korrekturmaßnahmen, so unterrichtet sie darüber die einschlägige notifizierte Stelle (Artikel 54 Absatz 1). Gegen Entscheidungen einer notifizierten Stelle müssen die Mitgliedstaaten ein Einspruchsverfahren vorsehen (Artikel 48).

Falsche, unvollständige oder irreführende Angaben, die einer notifizierten Stelle auf deren Auskunftsverlangen hin gemacht werden, sind dabei kein Kavaliersdelikt: Artikel 64 Absatz 4 sieht dafür Geldbußen von bis zu 5 000 000 EUR oder, bei Unternehmen, bis zu 1 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist.