Vernünftigerweise vorhersehbare Verwendung

Die vernünftigerweise vorhersehbare Verwendung ist der Gebrauch eines Produkts, der nicht unbedingt seiner Zweckbestimmung entspricht und mit dem der Hersteller trotzdem rechnen muss. Der Cyber Resilience Act (CRA) definiert sie in Artikel 3 Nummer 24 und knüpft daran zwei Folgen: Sie entscheidet mit darüber, ob ein Produkt überhaupt in den Anwendungsbereich fällt, und sie ist Pflichtinhalt der Bewertung der Cybersicherheitsrisiken.

Die Definition besteht aus zwei Bausteinen. Der erste grenzt ab: Die Verwendung entspricht „nicht unbedingt“ der Zweckbestimmung, die der Hersteller in Gebrauchsanleitung, Werbe- oder Verkaufsmaterial, Erklärungen und technischer Dokumentation angegeben hat. Der zweite benennt die Quellen, aus denen sie sich wahrscheinlich ergibt: vernünftigerweise vorhersehbares menschliches Verhalten, technische Vorgänge oder Wechselwirkungen.

Auf das „nicht unbedingt“ kommt es an. Der Begriff verlangt keinen Gegensatz zur Zweckbestimmung. Eine vorhersehbare Verwendung kann sich mit ihr decken, über sie hinausgehen oder neben ihr liegen. Eine Verwendung, die der Zweckbestimmung nicht entspricht, führt dagegen zu Artikel 3 Nummer 25: Sie ist eine vernünftigerweise vorhersehbare Fehlanwendung, wenn sie sich aus vernünftigerweise vorhersehbarem menschlichem Verhalten oder einer vernünftigerweise vorhersehbaren Interaktion mit anderen Systemen ergeben kann.

Sie öffnet den Anwendungsbereich

Nach Artikel 2 Absatz 1 gilt der CRA für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.

Das kleine Wort „oder“ trägt hier die ganze Entscheidung. Ein Gerät, dessen Anleitung zur Konnektivität schweigt, das aber eine Funkschnittstelle oder einen Wartungsanschluss mitbringt, erfüllt dieses Merkmal, sobald mit deren Nutzung zu rechnen ist. Der Prüfschritt läuft damit nicht über die Produktbeschreibung, sondern über das, was das Produkt technisch zulässt und was Nutzer damit absehbar tun. Ob das Produkt am Ende erfasst wird, entscheiden dann noch die Ausnahmen in Artikel 2 Absätze 2 bis 7.

Pflichtinhalt der Risikobewertung

Artikel 13 Absatz 3 legt fest, was die Bewertung der Cybersicherheitsrisiken mindestens umfasst: eine Analyse der Cybersicherheitsrisiken auf der Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung, etwa der Betriebsumgebung oder der zu schützenden Anlagen, wobei die voraussichtliche Nutzungsdauer zu berücksichtigen ist. Die vorhersehbare Verwendung steht dort gleichrangig neben der Zweckbestimmung.

Ein Blick in die englische Fassung lohnt an dieser Stelle. Sie nennt zusätzlich die Nutzungsbedingungen („as well as the conditions of use“), die in der deutschen Fassung fehlen. Wer die Betriebsbedingungen ohnehin mitbewertet, ist gegen diese Abweichung gefeit.

Die Bewertung ist kein einmaliger Vorgang. Sie wird während des Unterstützungszeitraums dokumentiert und gegebenenfalls aktualisiert. Beim Inverkehrbringen gehört sie nach Artikel 13 Absatz 4 in die technische Dokumentation, wo Anhang VII Nummer 3 sie ausdrücklich aufführt.

Daran hängt der Umfang der Pflichten. Die Sicherheitsanforderungen in Anhang I Teil I Nummer 2 gelten nur, „soweit zutreffend“, und was zutrifft, ergibt sich aus der Risikobewertung. Wer die vorhersehbare Verwendung eng zieht, verkleinert damit den Kreis der dortigen grundlegenden Cybersicherheitsanforderungen, die er für anwendbar hält. Genau deshalb verlangt Artikel 13 Absatz 4 eine klare Begründung in derselben technischen Dokumentation, wenn bestimmte grundlegende Cybersicherheitsanforderungen nicht anwendbar sind.

Bedingung des Marktzugangs

Artikel 6 Buchstabe a erlaubt die Bereitstellung auf dem Markt nur, wenn das Produkt den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügt, und zwar unter der Bedingung, dass es ordnungsgemäß installiert, gewartet und bestimmungsgemäß oder unter vernünftigerweise vorhersehbaren Umständen verwendet wird sowie gegebenenfalls die erforderlichen Sicherheitsaktualisierungen installiert wurden.

Die Vorschrift wirkt in beide Richtungen. Eine eng gefasste Zweckbestimmung entlastet nicht, weil das Produkt auch unter vorhersehbaren Umständen bestehen muss. Umgekehrt endet die Zurechnung dort, wo die Umstände nicht mehr vorhersehbar sind. Wer die Firmware durch eine fremde ersetzt und das Gerät danach in einer Umgebung betreibt, an die niemand denken konnte, liegt außerhalb dieses Rahmens.

Was der CRA offenlässt

Wann eine Verwendung „vernünftigerweise“ vorhersehbar ist, sagt die Verordnung nicht. Sie nennt weder Kriterien noch Beispiele, und auch die Erwägungsgründe führen den Begriff nicht weiter aus. Artikel 26 Absatz 2 Buchstabe a verlangt zwar, dass Leitlinien der Kommission mindestens den Anwendungsbereich behandeln, setzt den Schwerpunkt dort aber auf Datenfernverarbeitungslösungen und auf freie und quelloffene Software.

Bis dahin bleibt die Einschätzung beim Hersteller, und sie ist begründungsbedürftig. Belastbar wird sie durch Material, das ohnehin vorliegt: Supportanfragen, Integrationswünsche von Kunden, Beiträge in Foren und die schlichte Frage, welche Schnittstellen ein Gerät im Auslieferungszustand offen hält.