Rücknahme vom Markt

Die Rücknahme vom Markt stoppt den Nachschub. Sie erfasst die Exemplare eines Produkts, die noch in der Lieferkette stecken, und verhindert, dass sie überhaupt bei jemandem ankommen. Der Cyber Resilience Act (CRA) definiert den Begriff nicht selbst, sondern verweist auf die Marktüberwachungsverordnung (EU) 2019/1020: jede Maßnahme, mit der verhindert werden soll, dass ein in der Lieferkette befindliches Produkt auf dem Markt bereitgestellt wird.

Die Definition beschreibt ein Ziel, kein Verfahren. Ob Sie Lieferungen anhalten, Bestände sperren, eine Artikelnummer deaktivieren oder ein Paket aus einem Verzeichnis entfernen, ist ihr gleichgültig. Es zählt allein, dass keine weitere Bereitstellung mehr stattfindet.

Zwei Begriffe bestimmen die Reichweite

Die Definition steht auf zwei Wörtern: „Lieferkette“ und „bereitgestellt“. Legaldefiniert ist davon nur die Bereitstellung auf dem Markt in Artikel 3 Nummer 22. Die Lieferkette definieren weder der CRA noch die Verordnung (EU) 2019/1020; ihre Grenze ergibt sich erst aus dem Gegenstück, dem Rückruf.

Zur Lieferkette gehört alles, was den Endnutzer noch nicht erreicht hat: das eigene Fertigwarenlager, die Ware beim Einführer, das Regal beim Händler, den der CRA in Artikel 3 Nummer 17 ausdrücklich als „Person in der Lieferkette“ definiert. Was bereits beim Endnutzer ist, erreicht die Rücknahme nicht; dort beginnt der Rückruf.

Bereitstellung auf dem Markt ist nach Artikel 3 Nummer 22 die entgeltliche oder unentgeltliche Abgabe zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit. Kostenlos heißt also nicht ausgenommen. Der frei zugängliche Download, die Firmware auf der Supportseite und das Image in einer Registry gelten allesamt als Bereitstellung und sind allesamt von einer Rücknahme betroffen.

Bei Software ist sie das wirksamere Instrument

Beim Rückruf läuft Software ins Leere: Eine Rückgabe gibt es nicht, wenn nie ein Gegenstand ausgeliefert wurde. Die Rücknahme dagegen hat einen klaren Angriffspunkt, nämlich den Vertriebsweg. Artefakt aus dem Paketverzeichnis nehmen, Version im App-Store zurückziehen, Downloadseite abschalten, Auslieferung an OEM-Partner beenden: Das lässt sich sauber vollziehen und belegen.

Die Schwierigkeit liegt in der Vollständigkeit. Wer nur den eigenen Downloadbereich schließt, hat die Spiegelserver, die Einträge in Paketverzeichnissen Dritter, die in fremde Produkte einkompilierten Kopien und die Weitergabe durch Systemhäuser nicht erfasst. Eine belastbare Liste aller Vertriebswege ist deshalb keine Dokumentationskür, sondern die Voraussetzung dafür, eine Rücknahme überhaupt durchführen zu können.

Wer sie auslöst

• Der Hersteller. Artikel 13 Absatz 21 verlangt ab dem Inverkehrbringen und über den gesamten Unterstützungszeitraum unverzüglich Korrekturmaßnahmen, gegebenenfalls durch Rücknahme oder Rückruf, wenn der Hersteller weiß oder Grund zu der Annahme hat, dass Produkt oder Verfahren die Anforderungen in Anhang I nicht erfüllen. Ein behördlicher Bescheid ist dafür nicht nötig.
• Einführer und Händler. Der Einführer ergreift nach Artikel 19 Absatz 5 die erforderlichen Korrekturmaßnahmen selbst, für die Produkte, die er in den Verkehr gebracht hat. Der Händler sorgt nach Artikel 20 Absatz 4 dafür, dass sie ergriffen werden, für die Produkte, die er auf dem Markt bereitgestellt hat. Beides geschieht gegebenenfalls durch Rücknahme oder Rückruf.
• Die Marktüberwachungsbehörde. Artikel 54 setzt bei einem Produkt an, das ein erhebliches Cybersicherheitsrisiko birgt: Ergibt die Bewertung Nichtkonformität, fordert die Behörde den Wirtschaftsakteur nach Absatz 1 auf, innerhalb einer von ihr vorgeschriebenen, der Art des Cybersicherheitsrisikos angemessenen Frist Konformität herzustellen, zurückzunehmen oder zurückzurufen. Verstreicht die Frist, trifft sie nach Absatz 5 selbst vorläufige Maßnahmen.
• Die Kommission. Artikel 56 Absatz 5 (nichtkonforme Produkte) und Artikel 57 Absatz 9 (konforme Produkte, die gleichwohl ein erhebliches Risiko bergen) erlauben ihr Durchführungsrechtsakte über Korrektur- oder einschränkende Maßnahmen auf Unionsebene, einschließlich der Forderung nach Rücknahme oder Rückruf innerhalb einer dem Risiko angemessenen Frist. Diese Befugnis besteht nur, wenn die Marktüberwachungsbehörden keine wirksamen Maßnahmen ergriffen haben, und nur für die Dauer der außergewöhnlichen Umstände (Artikel 56 Absätze 3 und 7, Artikel 57 Absätze 7 und 11).

Eine Besonderheit gilt der Rücknahme allein: In der mitgliedstaatsübergreifenden Durchsetzung nach den Artikeln 54 und 55 ist sie die einzige Maßnahme, die der CRA ausdrücklich benennt. Nach Artikel 54 Absatz 9 sorgen die Marktüberwachungsbehörden aller Mitgliedstaaten unverzüglich für einschränkende Maßnahmen, indem sie das Produkt beispielsweise von ihrem Markt nehmen. Und hält die Kommission im Schutzklauselverfahren die nationale Maßnahme für gerechtfertigt, müssen nach Artikel 55 Absatz 2 alle Mitgliedstaaten dafür sorgen, dass das nichtkonforme Produkt von ihrem Markt genommen wird. Auch ohne diese Kette reicht die eigene Pflicht bereits über die Landesgrenze: Artikel 54 Absatz 4 verlangt die Korrekturmaßnahme für alle betroffenen Produkte, die der Wirtschaftsakteur unionsweit bereitgestellt hat.

Was mit der Rücknahme nicht endet

Die Rücknahme betrifft den Vertrieb, nicht den Bestand im Feld. Für alles, was bereits in Verkehr gebracht ist, laufen die Pflichten weiter:

• Die Behandlung von Schwachstellen nach Anhang I Teil II gilt über den Unterstützungszeitraum hinweg, also mindestens fünf Jahre, sofern die voraussichtliche Nutzungsdauer nicht kürzer ist (Artikel 13 Absatz 8).
• Jede während des Unterstützungszeitraums bereitgestellte Sicherheitsaktualisierung muss nach ihrer Bereitstellung mindestens zehn Jahre oder für die verbleibende Dauer des Unterstützungszeitraums verfügbar bleiben, je nachdem, welcher Zeitraum länger ist (Artikel 13 Absatz 9).
• Technische Dokumentation und EU-Konformitätserklärung sind nach dem Inverkehrbringen mindestens zehn Jahre oder für die Dauer des Unterstützungszeitraums für die Marktüberwachungsbehörden bereitzuhalten, je nachdem, welcher Zeitraum länger ist (Artikel 13 Absatz 13).
• Die Meldepflichten aus Artikel 14 knüpfen an aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle an, nicht daran, ob das Produkt noch verkauft wird.

Eine Rücknahme ist deshalb kein Ausstieg aus der Verordnung. Sie schließt den Zufluss, mehr nicht.

Was der CRA offen lässt

Für die Rücknahme selbst schreibt der CRA kein Verfahren, kein Register und keine Anzeige gegenüber einer Behörde vor. Er sagt auch nicht, wann sie als vollzogen gilt. Bei verteilten Vertriebswegen ist genau das die schwierige Frage, und beantworten muss sie der Wirtschaftsakteur.

Geregelt sind dagegen die Gegengewichte. Artikel 4 Absatz 1 verpflichtet die Mitgliedstaaten, die Bereitstellung konformer Produkte in den von der Verordnung erfassten Aspekten nicht zu behindern; jede Rücknahme ist eine Ausnahme davon und braucht eine Grundlage. Artikel 54 Absatz 1 erklärt Artikel 18 der Verordnung (EU) 2019/1020 auf die Korrekturmaßnahmen für anwendbar, und Artikel 54 Absatz 8 stellt klar, dass diese Verfahrensrechte auch dann bestehen bleiben, wenn eine vorläufige nationale Maßnahme mangels Einwänden nach drei Monaten als gerechtfertigt gilt.