Verbraucher

Der Verbraucher ist im Cyber Resilience Act (CRA) eine natürliche Person, die zu privaten Zwecken handelt. Artikel 3 Nummer 18 stellt allein auf den Zweck des Handelns ab, nicht auf die Person selbst. Wer eine vernetzte Kamera für das eigene Wohnzimmer kauft, handelt als Verbraucher. Wer dieselbe Kamera für den Betrieb beschafft, tut es nicht.

Der Begriff beschreibt eine Rolle, keine dauerhafte Eigenschaft. Dieselbe Person kann im Beruf als Beschafferin auftreten und zu Hause Verbraucherin sein.

Der Gegenbegriff ist der Wirtschaftsakteur

Pflichten trägt nach dem CRA immer ein Wirtschaftsakteur. Artikel 3 Nummer 12 zählt dazu den Hersteller, den Bevollmächtigten, den Einführer, den Händler und jede weitere Person, die nach der Verordnung Pflichten im Zusammenhang mit der Herstellung oder der Bereitstellung auf dem Markt unterliegt.

Dem Verbraucher legt der CRA dagegen nichts auf. Er kommt in der Verordnung nur als geschützte Seite vor, und selbst das an überraschend wenigen Stellen.

Die Pflichten hängen nicht am Verbraucher

Die grundlegenden Cybersicherheitsanforderungen aus Anhang I gelten für jedes Produkt mit digitalen Elementen, das in den Verkehr gebracht wird. Ob der Abnehmer privat oder beruflich handelt, ändert daran nichts. Ein reines Industrieprodukt muss dieselben Anforderungen erfüllen wie ein Haushaltsgerät.

Auch die Informationspflichten sind nicht auf Verbraucher zugeschnitten. Anhang II trägt die Überschrift Informationen und Anleitungen für den Nutzer, und den Nutzer definiert der CRA nirgends. Der Begriff ist weiter als der Verbraucher, denn er umfasst jeden, der das Produkt einsetzt, gleich zu welchem Zweck. Dasselbe gilt für den Unterstützungszeitraum, der nach Artikel 13 Absatz 8 mindestens fünf Jahre beträgt, sofern das Produkt nicht voraussichtlich kürzer im Betrieb ist.

Wo der Begriff tatsächlich etwas entscheidet

Im verfügenden Teil der Verordnung taucht der Verbraucher nur an wenigen Stellen auf. Diese lohnen dafür einen genauen Blick.

• Artikel 30 Absatz 1. Bei Produkten in Form von Software wird die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung oder auf der das Softwareprodukt begleitenden Website angebracht. Im zweiten Fall muss der relevante Abschnitt der Website für Verbraucher leicht und direkt zugänglich sein.
• Artikel 52 Absatz 11. Die Marktüberwachungsbehörden müssen Verbrauchern mitteilen, wo Beschwerden über mögliche Verstöße einzureichen sind und wie sie Schwachstellen, Sicherheitsvorfälle und Cyberbedrohungen melden können.
• Artikel 65. Verstöße von Wirtschaftsakteuren, die die Kollektivinteressen der Verbraucher beeinträchtigen oder zu beeinträchtigen drohen, fallen unter die Richtlinie (EU) 2020/1828 über Verbandsklagen. Artikel 67 fügt den CRA dafür als Nummer 69 in deren Anhang I ein, und Erwägungsgrund 124 nennt den 11. Dezember 2027 als Startdatum.
• Beteiligung. Verbraucherverbände gehören nach Artikel 9 Absatz 1 zu den Interessenträgern, die die Kommission konsultiert. Nach Artikel 52 Absatz 12 müssen die Marktüberwachungsbehörden gegebenenfalls die Zusammenarbeit mit einschlägigen Interessenträgern erleichtern, darunter Verbraucherorganisationen.

Verbraucherprodukte in Anhang III

Eine weitere Wirkung ist indirekt und betrifft die Produkteinstufung. Anhang III führt unter Klasse I mehrere Kategorien auf, die praktisch nur im privaten Umfeld vorkommen:

• Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, darunter intelligente Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen
• mit dem Internet verbundenes Spielzeug nach der Richtlinie 2009/48/EG, das über soziale Interaktion oder Ortung verfügt
• am Körper tragbare Produkte, die zur Gesundheitsüberwachung bestimmt sind und nicht unter die Verordnungen (EU) 2017/745 oder (EU) 2017/746 fallen, oder solche, die für die Verwendung durch und für Kinder bestimmt sind

Eingestuft wird nach der Funktion, nicht nach der Zielgruppe. Praktisch führt das aber dazu, dass typische Verbraucherprodukte als Wichtige Produkte mit digitalen Elementen gelten. Erwägungsgrund 10 nennt Spielzeug und Babyphone-Systeme als Verbraucherprodukte, die für schutzbedürftige Verbraucher bestimmt sind, und hält für Verbraucherprodukte dieser Einstufung ein strengeres Konformitätsbewertungsverfahren für geboten. Verbindlich ist Artikel 32 Absatz 2: Bei Klasse I bleibt das interne Kontrollverfahren nur zulässig, wenn harmonisierte Normen, gemeinsame Spezifikationen oder ein europäisches Zertifizierungsschema mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig angewandt werden. Sonst führt der Weg über die EU-Baumusterprüfung mit anschließender Fertigungskontrolle oder über eine umfassende Qualitätssicherung.

Was das für die Praxis heißt

Die Frage „verkaufen wir an Verbraucher?“ ist für die Umsetzung selten entscheidend. An den Anforderungen aus Anhang I und an der Dokumentation ändert die Antwort nichts. Sie wirkt sich an drei Punkten aus: beim Ort der CE-Kennzeichnung, wenn das Produkt reine Software ist, bei der Angreifbarkeit über Verbandsklagen und, für die Kategorien aus Anhang III, beim Weg durch die Konformitätsbewertung.