Schutzklauselverfahren

Das Schutzklauselverfahren der Union ist die Eskalationsstufe der Marktüberwachung im Cyber Resilience Act (CRA). Artikel 55 regelt, was geschieht, wenn eine nationale Maßnahme gegen ein Produkt mit digitalen Elementen umstritten ist: Dann entscheidet die Kommission, ob diese Maßnahme gerechtfertigt war, und ihre Entscheidung wirkt in allen Mitgliedstaaten.

Es ist damit kein eigener Kontrollweg, sondern die Fortsetzung des nationalen Verfahrens nach Artikel 54. Wer es verstehen will, muss die Kette davor kennen.

Wie es überhaupt so weit kommt

Am Anfang steht eine Marktüberwachungsbehörde, die hinreichenden Grund zu der Annahme hat, dass ein Produkt ein erhebliches Cybersicherheitsrisiko birgt. Sie bewertet das Produkt, gegebenenfalls zusammen mit dem einschlägigen CSIRT, und fordert bei festgestellter Nichtkonformität Korrekturmaßnahmen innerhalb einer Frist, die sie selbst vorschreibt und die der Art des Risikos angemessen sein muss (Artikel 54 Absatz 1).

Bleiben angemessene Maßnahmen aus, trifft die Behörde vorläufige Maßnahmen für ihren eigenen Markt: Sie untersagt oder beschränkt die Bereitstellung, verlangt die Rücknahme vom Markt oder den Rückruf. Diese Maßnahmen notifiziert sie unverzüglich der Kommission und den übrigen Mitgliedstaaten, zusammen mit allen verfügbaren Einzelheiten, insbesondere den in Artikel 54 Absatz 6 genannten: Identifizierung des Produkts, dessen Herkunft, Art der behaupteten Nichtkonformität und das damit verbundene Risiko, Art und Dauer der Maßnahme sowie die Argumente des Wirtschaftsakteurs. Anzugeben ist auch, ob die Nichtkonformität eine oder mehrere der beiden dort genannten Ursachen hat: das Produkt oder die vom Hersteller festgelegten Verfahren erfüllen die grundlegenden Cybersicherheitsanforderungen in Anhang I nicht, oder es liegen Mängel in den harmonisierten Normen, den europäischen Schemata für die Cybersicherheitszertifizierung oder den gemeinsamen Spezifikationen nach Artikel 27 vor.

Mit dieser Notifizierung beginnt eine Frist von drei Monaten. Erhebt in dieser Zeit weder ein Mitgliedstaat noch die Kommission einen Einwand, gilt die Maßnahme nach Artikel 54 Absatz 8 als gerechtfertigt, und ein Schutzklauselverfahren findet gar nicht erst statt.

Die beiden Auslöser

Artikel 55 Absatz 1 nennt genau zwei Fälle: Ein Mitgliedstaat erhebt innerhalb der drei Monate Einwände gegen die Maßnahme eines anderen, oder die Kommission hält die Maßnahme für mit dem Unionsrecht unvereinbar. Der betroffene Wirtschaftsakteur steht in dieser Aufzählung nicht.

Tritt einer der beiden Fälle ein, nimmt die Kommission unverzüglich Konsultationen auf und prüft die nationale Maßnahme. Ihre Entscheidung muss innerhalb von neun Monaten fallen, gerechnet nicht ab dem Einwand, sondern ab dem Eingang der Notifizierung nach Artikel 54 Absatz 5. Nach Ablauf der Einwandsfrist bleiben rechnerisch also sechs Monate.

Zwei mögliche Ergebnisse

• Hält die Kommission die nationale Maßnahme für gerechtfertigt, ergreifen alle Mitgliedstaaten die erforderlichen Maßnahmen, damit das Produkt von ihrem Markt genommen wird, und unterrichten die Kommission darüber. Aus einer nationalen Beschränkung wird auf diesem Weg ein unionsweiter Marktausschluss.
• Hält sie die Maßnahme für nicht gerechtfertigt, muss der Mitgliedstaat, der sie getroffen hat, sie zurücknehmen.

Wenn der Fehler nicht im Produkt liegt, sondern im Regelwerk

Aufschlussreich wird Artikel 55 dort, wo die Maßnahme gerechtfertigt ist und die Nichtkonformität auf das Regelwerk zurückgeht, an dem sich der Hersteller ausgerichtet hat. Der CRA sieht dafür drei Anschlussverfahren vor:

• Liegt die Ursache in einer harmonisierten Norm, leitet die Kommission das Verfahren des formellen Einwands nach Artikel 11 der Verordnung (EU) Nr. 1025/2012 ein. An dessen Ende kann die Fundstelle der Norm im Amtsblatt eingeschränkt oder gestrichen werden, und die Kommission kann der Normungsorganisation erforderlichenfalls den Auftrag zur Überarbeitung erteilen.
• Liegt sie in einem europäischen Schema für die Cybersicherheitszertifizierung, prüft die Kommission, ob der delegierte Rechtsakt nach Artikel 27 Absatz 9 zu ändern oder aufzuheben ist.
• Liegt sie in gemeinsamen Spezifikationen, prüft sie dasselbe für den Durchführungsrechtsakt nach Artikel 27 Absatz 2.

Die Tragweite reicht damit weit über das eine Produkt hinaus. Wird eine Fundstelle eingeschränkt oder gestrichen, verliert jeder Hersteller, der sich auf diese Norm gestützt hat, insoweit die Konformitätsvermutung. Die Anforderungen aus Anhang I bleiben unverändert; weg fällt nur der bequeme Nachweisweg. Erwägungsgrund 110 benennt genau diesen Fall als den einzigen, in dem die Kommission auch dann noch tätig werden muss, wenn Mitgliedstaaten und Kommission sich über die Berechtigung der Maßnahme längst einig sind.

Was das für den Hersteller bedeutet

Während der gesamten Prüfung bleibt die vorläufige nationale Maßnahme in Kraft. Der CRA gibt dem Verfahren keine aufschiebende Wirkung. Wer betroffen ist, verliert den Zugang zu diesem Markt für die Dauer des Verfahrens, unabhängig davon, wie es ausgeht.

Auf nationaler Ebene ist der Wirtschaftsakteur allerdings nicht rechtlos. Für die Maßnahme selbst gilt Artikel 18 der Verordnung (EU) 2019/1020: Sie muss eine genaue Angabe ihrer Grundlage enthalten, dem Wirtschaftsakteur sind die verfügbaren Rechtsbehelfe samt Fristen mitzuteilen, und vor der Entscheidung ist ihm Gelegenheit zur Äußerung innerhalb von mindestens zehn Arbeitstagen zu geben. Nur bei Dringlichkeit darf die Anhörung nachgeholt werden, und die Maßnahme ist dann umgehend zu überprüfen.

Abgrenzung zu den Nachbarverfahren

Artikel 56 regelt etwas anderes: Dort ist die Kommission der Ausgangspunkt, weil sie selbst ein nichtkonformes Produkt mit erheblichem Cybersicherheitsrisiko vermutet, gegebenenfalls aufgrund von Informationen der ENISA. Haben die einschlägigen Marktüberwachungsbehörden keine wirksamen Maßnahmen ergriffen und rechtfertigen die Umstände ein sofortiges Eingreifen, kann sie nach Konsultation der betroffenen Mitgliedstaaten und Wirtschaftsakteure unionsweite Korrektur- oder Beschränkungsmaßnahmen per Durchführungsrechtsakt erlassen. Artikel 57 wiederum betrifft Produkte, die dem CRA entsprechen und dennoch ein erhebliches Cybersicherheitsrisiko und zugleich eines der dort aufgezählten weiteren Risiken bergen, etwa für die Gesundheit oder Sicherheit von Personen oder für Dienste wesentlicher Einrichtungen.

Das Schutzklauselverfahren steht dazwischen. Es klärt nicht, ob ein Produkt sicher ist, sondern ob eine Behörde richtig gehandelt hat.