Reallabore für Cyberresilienz

Reallabore für Cyberresilienz sind kontrollierte Prüfumgebungen für innovative Produkte mit digitalen Elementen. Sie sollen deren Entwicklung, Entwurf, Validierung und Erprobung für einen begrenzten Zeitraum vor dem Inverkehrbringen erleichtern, und zwar ausdrücklich zu dem Zweck, die Anforderungen des Cyber Resilience Acts (CRA) zu erfüllen. Geregelt sind sie in einem einzigen Absatz, Artikel 33 Absatz 2.

Dieser Absatz steht in einem Artikel über Unterstützungsmaßnahmen für Kleinstunternehmen sowie kleine und mittlere Unternehmen, einschließlich Start-up-Unternehmen. Das prägt seinen Zuschnitt: Ein Reallabor ist kein Genehmigungsverfahren und keine Prüfstelle, sondern ein Angebot, das ein Mitgliedstaat machen kann.

Was Artikel 33 Absatz 2 festlegt

Der Absatz enthält sieben Aussagen und sonst nichts:

• Die Mitgliedstaaten können, soweit erforderlich, Reallabore für Cyberresilienz einrichten.
• Gegenstand sind kontrollierte Prüfumgebungen für innovative Produkte, begrenzt auf einen Zeitraum vor dem Inverkehrbringen.
• Die Kommission und gegebenenfalls die ENISA können technische Unterstützung, Beratung und Instrumente für Einrichtung und Betrieb bereitstellen.
• Eingerichtet werden Reallabore unter direkter Aufsicht, Leitung und Unterstützung durch die Marktüberwachungsbehörden.
• Über die Einrichtung unterrichten die Mitgliedstaaten die Kommission und die übrigen Marktüberwachungsbehörden über die Gruppe für administrative Zusammenarbeit (ADCO).
• Die Aufsichts- und Abhilfebefugnisse der zuständigen Behörden bleiben unberührt.
• Der Zugang ist offen, fair und transparent zu halten, und Kleinst- und Kleinunternehmen einschließlich Start-up-Unternehmen ist er zu erleichtern.

„Können“ heißt können

Das Ermessen liegt in der Einrichtung, nicht im Rest. Ob ein Mitgliedstaat ein Reallabor schafft, bleibt ihm überlassen. Hat er sich dafür entschieden, greifen die Pflichten desselben Absatzes: Das Reallabor wird unter direkter Aufsicht, Leitung und Unterstützung der Marktüberwachungsbehörden eingerichtet, die Einrichtung ist der Kommission und den anderen Marktüberwachungsbehörden über die ADCO mitzuteilen, und der Zugang ist offen, fair und transparent zu halten.

Der Unterschied zu Absatz 1 desselben Artikels betrifft genau diesen Punkt: Dort ergreifen die Mitgliedstaaten gegebenenfalls Sensibilisierung, Schulung, einen eigenen Kommunikationskanal und Unterstützung bei Prüf- und Konformitätsbewertungstätigkeiten. Reallabore dagegen können sie einrichten, soweit erforderlich.

Eine Mindestzahl nennt die Verordnung nicht, eine Frist ebenso wenig. Der CRA gilt ab dem 11. Dezember 2027; auch danach kann ein Mitgliedstaat vollständig ohne Reallabor auskommen. Wer seine Produktplanung darauf stützt, plant auf einer Zusage, die es nicht gibt.

Kein Freibrief

Ein Reallabor setzt keine Pflicht aus. Der Absatz sagt das selbst: Die Aufsichts- und Abhilfebefugnisse der zuständigen Behörden bleiben unberührt. Es gibt keine Ausnahme von den grundlegenden Cybersicherheitsanforderungen, keine verlängerte Frist und keine Vermutungswirkung.

Vor dem Inverkehrbringen bleibt deshalb alles zu erledigen, was ohnehin zu erledigen wäre: das passende Konformitätsbewertungsverfahren nach Artikel 32, die technische Dokumentation nach Artikel 31, die EU-Konformitätserklärung und die CE-Kennzeichnung. Eine Rückmeldung aus dem Reallabor ist keine Bescheinigung und ersetzt keinen dieser Schritte.

Wer hineinkommt

Der Absatz setzt zwei Maßstäbe, einen für die Teilnehmer und einen für das Produkt. Beim Zugang haben die Mitgliedstaaten Offenheit, Fairness und Transparenz sicherzustellen und insbesondere Kleinst- und Kleinunternehmen einschließlich Start-up-Unternehmen den Zugang zu erleichtern. Eine Beschränkung auf diese Unternehmen ist damit nicht gemeint: Erwägungsgrund 97 nennt als Ziel eine bessere Rechtssicherheit für alle Akteure, die in den Anwendungsbereich der Verordnung fallen. Ob ein Unternehmen zu den erleichtert zugelassenen zählt, ergibt sich aus der Größeneinstufung für Kleinstunternehmen und KMU nach Artikel 3 Nummer 19, nicht aus einer Entscheidung des Reallabors.

Das Produkt muss „innovativ“ sein. Diesen Begriff definiert der CRA an keiner Stelle, auch nicht in Artikel 3. Was als innovativ gilt, entscheidet daher die nationale Praxis.

Erproben ohne Reallabor

Zwei Wege stehen unabhängig davon offen, und beide kommen ohne Behörde aus. Nach Artikel 4 Absatz 2 dürfen die Mitgliedstaaten die Präsentation oder Verwendung eines nicht konformen Produkts bei Messen, Ausstellungen, Vorführungen oder ähnlichen Veranstaltungen nicht verhindern, Prototypen eingeschlossen, sofern eine sichtbare Kennzeichnung deutlich auf die fehlende Konformität hinweist. Artikel 4 Absatz 3 erlaubt entsprechend die Bereitstellung unfertiger Software, wenn sie nur für den zu Testzwecken erforderlichen begrenzten Zeitraum verfügbar ist und ebenso gekennzeichnet wird.

Eine Ausnahme steht in Absatz 4: Für Sicherheitsbauteile im Sinne anderer Harmonisierungsrechtsvorschriften der Union gilt Absatz 3 nicht.

Was die Verordnung offenlässt

Artikel 33 Absatz 2 regelt kein Verfahren. Es fehlen Zugangsvoraussetzungen, ein Antrags- oder Zulassungsweg, eine Höchstdauer für den „begrenzten Zeitraum“, ein Abschlussbericht und jede Aussage zu Kosten.

Aufschlussreich ist der Vergleich mit Absatz 5 desselben Artikels. Für das vereinfachte Formular der technischen Dokumentation verpflichtet die Verordnung die Kommission zu einem Durchführungsrechtsakt im Prüfverfahren nach Artikel 62 Absatz 2. Für Reallabore gibt es keine solche Vorgabe. Die Unterstützung durch Kommission und ENISA ist als Möglichkeit formuliert, ohne Frist und ohne Mindestumfang, und die ADCO dient als Meldeweg für die Einrichtung, nicht als Genehmigungsinstanz.