Rückruf

Ein Rückruf holt Produkte zurück, die den Endnutzer bereits erreicht haben, und ist damit die schärfste Korrekturmaßnahme, die der Cyber Resilience Act (CRA) vorsieht. Definiert wird der Begriff nicht im CRA selbst, sondern in der Marktüberwachungsverordnung (EU) 2019/1020, auf die er verweist: jede Maßnahme, die auf Erwirkung der Rückgabe eines dem Endnutzer bereits bereitgestellten Produkts abzielt.

Wichtig an dieser Formulierung ist das Ziel, nicht das Mittel. „Jede Maßnahme“ deckt den Austausch eines Geräts ebenso ab wie die Aufforderung, es außer Betrieb zu nehmen und einzusenden. Und sie setzt voraus, dass das Produkt den Endnutzer bereits erreicht hat. Davor gibt es nichts zurückzurufen.

Rückruf und Rücknahme vom Markt

Der CRA nennt die beiden Maßnahmen fast immer in einem Atemzug. Sie wirken aber in entgegengesetzte Richtungen:

• Rückruf betrifft Produkte, die bereits beim Endnutzer sind, und zielt auf deren Rückgabe.
• Rücknahme vom Markt betrifft Produkte, die sich noch in der Lieferkette befinden, und verhindert, dass sie überhaupt bereitgestellt werden.

Erst zusammen decken sie die gesamte Distributionskette ab. Wer nur zurücknimmt, lässt die ausgelieferten Exemplare im Feld; wer nur zurückruft, lässt das Lager weiterlaufen.

Wann der Hersteller von sich aus zurückrufen muss

Artikel 13 Absatz 21 verpflichtet Hersteller ab dem Inverkehrbringen und über den gesamten Unterstützungszeitraum hinweg: Wer weiß oder Grund zu der Annahme hat, dass sein Produkt oder seine Verfahren die grundlegenden Cybersicherheitsanforderungen aus Anhang I nicht erfüllen, ergreift unverzüglich die erforderlichen Korrekturmaßnahmen und nimmt das Produkt gegebenenfalls vom Markt oder ruft es zurück.

Das Wort gegebenenfalls legt eine Rangfolge nahe. Zuerst steht die Herstellung der Konformität, etwa durch eine Sicherheitsaktualisierung. Der Rückruf steht am Ende der Skala. Er setzt keine behördliche Anordnung voraus: Die Pflicht entsteht mit der Kenntnis, nicht mit einem Bescheid.

Einführer und Händler stehen ebenfalls in der Pflicht

Artikel 19 Absatz 5 trifft Einführer für Produkte, die sie in den Verkehr gebracht haben; Artikel 20 Absatz 4 trifft Händler für Produkte, die sie auf dem Markt bereitgestellt haben. Der Wortlaut unterscheidet sich in einem Punkt: Einführer ergreifen die Korrekturmaßnahmen, Händler sorgen dafür, dass sie ergriffen werden, praktisch also über den Hersteller.

Beide müssen den Hersteller unverzüglich über Schwachstellen informieren, von denen sie Kenntnis erlangen. Und wer ein Produkt unter eigenem Namen oder eigener Marke in den Verkehr bringt oder eine wesentliche Änderung daran vornimmt, gilt nach Artikel 21 ohnehin als Hersteller. Damit treffen ihn alle Pflichten aus den Artikeln 13 und 14.

Der behördlich angeordnete Rückruf

Hat eine Marktüberwachungsbehörde hinreichenden Grund zu der Annahme, dass ein Produkt ein erhebliches Cybersicherheitsrisiko birgt, bewertet sie es nach Artikel 54, die Behandlung von Schwachstellen eingeschlossen. Stellt sie dabei eine Nichtkonformität fest, fordert sie den Wirtschaftsakteur auf, innerhalb einer von ihr gesetzten, dem Risiko angemessenen Frist Konformität herzustellen, das Produkt vom Markt zu nehmen oder es zurückzurufen.

Zwei Punkte werden dabei regelmäßig übersehen. Erstens endet die Maßnahme nicht an der Grenze des anordnenden Mitgliedstaats: Nach Artikel 54 Absatz 4 muss der Wirtschaftsakteur sie auf alle betroffenen Produkte erstrecken, die er unionsweit bereitgestellt hat. Zweitens handelt die Behörde selbst, wenn er die Frist verstreichen lässt. Nach Artikel 54 Absatz 5 muss sie dann alle geeigneten vorläufigen Maßnahmen treffen, bis hin zum Rückruf.

Darüber liegen zwei weitere Ebenen. Erhebt ein Mitgliedstaat binnen drei Monaten nach Eingang der Unterrichtung über diese vorläufige Maßnahme Einwände oder hält die Kommission sie für unionsrechtswidrig, greift das Schutzklauselverfahren nach Artikel 55; die Kommission entscheidet dann innerhalb von neun Monaten nach Eingang derselben Unterrichtung. Nach den Artikeln 56 und 57 kann sie zudem Durchführungsrechtsakte erlassen, die die Rücknahme vom Markt oder den Rückruf unionsweit fordern. Diese Befugnis bleibt auf außergewöhnliche Umstände beschränkt, die ein sofortiges Eingreifen zur Bewahrung des Binnenmarkts rechtfertigen und in denen die Marktüberwachungsbehörden keine wirksamen Maßnahmen ergriffen haben.

Rückruf trotz Konformität, Rückruf wegen Formfehlern

Zwei Konstellationen zeigen, wie weit das Instrument reicht. Artikel 57 erfasst Produkte, die dem CRA entsprechen, aber neben einem erheblichen Cybersicherheitsrisiko zusätzlich ein Risiko für Gesundheit oder Sicherheit von Personen, für die Erfüllung grundrechtsschützender Pflichten aus dem Unionsrecht oder dem nationalen Recht, für Dienste, die wesentliche Einrichtungen im Sinne von Artikel 3 Absatz 1 der NIS-2-Richtlinie über ein elektronisches Informationssystem anbieten, oder für andere Aspekte des Schutzes öffentlicher Interessen bergen. Auch hier zählt der Rückruf zu den möglichen Maßnahmen. Die CE-Kennzeichnung ist also kein Schutzschild.

Artikel 58 betrifft den umgekehrten Fall: rein formale Mängel. Fehlende oder regelwidrig angebrachte CE-Kennzeichnung, eine nicht oder nicht ordnungsgemäß ausgestellte EU-Konformitätserklärung, eine fehlende oder unvollständige technische Dokumentation. Besteht der Mangel fort, ergreift der Mitgliedstaat alle geeigneten Maßnahmen: Er kann die Bereitstellung auf dem Markt einschränken oder untersagen oder dafür sorgen, dass das Produkt zurückgerufen oder vom Markt genommen wird. Auch dafür muss keine einzige Schwachstelle nachgewiesen sein.

Was der CRA offen lässt

Die Definition stammt aus einer Verordnung, die vor allem körperliche Waren im Blick hat. „Rückgabe“ ist bei einem heruntergeladenen Programm oder einer Firmware, die nie als Gegenstand ausgeliefert wurde, kein sinnvoller Vorgang. Der CRA sagt nicht, was an ihre Stelle tritt. Deaktivierung, Widerruf von Lizenzen, erzwungene Deinstallation sind denkbar, aber nirgends geregelt.

Ebenso wenig gibt der CRA ein Verfahren, ein Register oder ein Formular für Rückrufe vor. Geregelt sind dagegen die Verfahrensrechte: Artikel 54 Absatz 1 erklärt Artikel 18 der Verordnung (EU) 2019/1020 auf die Korrekturmaßnahmen für anwendbar. Und geregelt ist der Preis des Unterlassens. Verstöße gegen Artikel 13 sind mit Geldbußen bis zu 15 000 000 EUR oder, bei Unternehmen, bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bedroht, Verstöße gegen die Artikel 18 bis 23 mit bis zu 10 000 000 EUR oder 2 %, je nachdem, welcher Betrag höher ist.