Wirtschaftsakteur

Wirtschaftsakteur ist der Sammelbegriff, unter dem der Cyber Resilience Act (CRA) alle Rollen zusammenfasst, die für ein Produkt mit digitalen Elementen Pflichten tragen. Artikel 3 Nummer 12 zählt vier davon namentlich auf und öffnet den Begriff danach für jede weitere natürliche oder juristische Person, die im Zusammenhang mit der Herstellung oder der Bereitstellung solcher Produkte auf dem Markt Pflichten nach dieser Verordnung trägt.

Eigene Pflichten begründet der Begriff nicht. Wo die Verordnung nicht eine bestimmte Rolle meint, sondern alle zugleich, spricht sie vom Wirtschaftsakteur, vor allem bei der Marktüberwachung und der Durchsetzung.

Die vier benannten Rollen

• Der Hersteller entwickelt oder stellt ein Produkt her oder lässt es konzipieren, entwickeln oder herstellen und vermarktet es unter eigenem Namen oder eigener Marke. Auf ihn entfällt die Hauptlast der Verordnung, die Artikel 13 und 14.
• Der Bevollmächtigte ist in der Union ansässig oder niedergelassen und nimmt aufgrund eines schriftlichen Auftrags bestimmte Aufgaben für den Hersteller wahr.
• Der Einführer ist in der Union ansässig oder niedergelassen und bringt ein Produkt in den Verkehr, das den Namen oder die Marke einer außerhalb der Union ansässigen Person trägt.
• Der Händler stellt ein Produkt ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereit und ist dabei weder Hersteller noch Einführer.

Die Aufzählung ist nicht abschließend. Praktisch wird die Auffangklausel dort, wo sich ein Vertriebsmodell nicht sauber in eine der vier Schubladen einordnen lässt.

Die Rolle folgt dem Verhalten, nicht dem Firmenschild

Welche Rolle ein Unternehmen einnimmt, entscheidet sich für jedes Produkt neu und nicht ein für alle Mal. Artikel 21 zieht daraus die schärfste Konsequenz: Wer als Einführer oder Händler ein Produkt unter eigenem Namen oder eigener Marke in den Verkehr bringt oder an einem bereits in den Verkehr gebrachten Produkt eine Wesentliche Änderung vornimmt, gilt als Hersteller und unterliegt den Artikeln 13 und 14.

Artikel 22 überträgt denselben Gedanken auf Personen außerhalb der klassischen Lieferkette. Wer weder Hersteller noch Einführer oder Händler ist, eine wesentliche Änderung vornimmt und das Produkt bereitstellt, gilt nach Absatz 1 ebenfalls als Hersteller. Die Pflichten der Artikel 13 und 14 treffen ihn nach Absatz 2 für den Teil des Produkts, der von der Änderung betroffen ist, und für das gesamte Produkt, wenn sich die Änderung auf dessen Cybersicherheit insgesamt auswirkt.

Ein und dasselbe Unternehmen kann deshalb je nach Produkt in verschiedene Kategorien fallen. Die Erwägungsgründe führen das am Online-Marktplatz vor: Wer ausschließlich vermittelt, ist überhaupt kein Wirtschaftsakteur im Sinne der Verordnung. Wer daneben selbst vertreibt, ist für diese Verkäufe Händler. Wer eigene Markenprodukte verkauft, ist insoweit Hersteller.

Adressat behördlicher Maßnahmen

Der praktische Grund für den Sammelbegriff steht in den Artikeln 54–58. Hat eine Marktüberwachungsbehörde hinreichenden Grund zu der Annahme, dass ein Produkt ein erhebliches Cybersicherheitsrisiko birgt, bewertet sie es unverzüglich, und die betroffenen Wirtschaftsakteure arbeiten im erforderlichen Umfang mit. Stellt sie Nichtkonformität fest, fordert sie den betroffenen Wirtschaftsakteur zu Korrekturmaßnahmen auf, innerhalb einer Frist, die sie selbst vorschreibt und die der Art des Risikos angemessen sein muss.

Diese Aufforderung richtet sich also nicht zwingend an den Hersteller, sondern an den Akteur, den die Behörde vor sich hat. Nach Artikel 54 Absatz 4 muss er dafür sorgen, dass die Korrekturmaßnahmen sämtliche betroffenen Produkte erfassen, die er in der Union bereitgestellt hat. Bleibt er innerhalb der Frist untätig, folgen vorläufige Maßnahmen: Untersagung oder Einschränkung der Bereitstellung auf dem nationalen Markt, Rücknahme vom Markt oder Rückruf.

Artikel 57 dehnt das auf Produkte aus, die der Verordnung entsprechen und dennoch ein erhebliches Cybersicherheitsrisiko bergen, verbunden mit einem Risiko für die Gesundheit oder Sicherheit von Personen, für die Grundrechte, für Dienste wesentlicher Einrichtungen nach der NIS-2-Richtlinie oder für andere öffentliche Interessen. Auch hier ist der Adressat ein Wirtschaftsakteur, nicht eine bestimmte Rolle.

Ein Gegenbeispiel schärft die Abgrenzung. Artikel 58 behandelt die formale Nichtkonformität, etwa eine fehlende CE-Kennzeichnung, eine nicht ausgestellte EU-Konformitätserklärung oder eine unvollständige technische Dokumentation. Dort fordert die Behörde ausdrücklich den Hersteller zur Behebung auf, nicht irgendeinen Wirtschaftsakteur.

Artikel 23: Auskunft über die eigene Lieferkette

Artikel 23 trifft jeden Wirtschaftsakteur gleichermaßen, unabhängig von seiner Rolle, und ohne dass es dafür eines laufenden Verfahrens bedarf. Auf Anfrage einer Marktüberwachungsbehörde sind zu nennen:

• Name und Anschrift aller Wirtschaftsakteure, von denen Produkte bezogen wurden,
• sofern verfügbar, Name und Anschrift aller Wirtschaftsakteure, an die Produkte abgegeben wurden.

Diese Angaben müssen zehn Jahre nach dem Bezug und zehn Jahre nach der Abgabe vorgelegt werden können. Eine bestimmte Form schreibt die Verordnung nicht vor, wohl aber das Ergebnis. Wer Beschaffung und Vertrieb in Systemen führt, die Daten nach wenigen Jahren verdichten oder löschen, hat hier ein stilles Problem.

Was bei Verstößen droht

Artikel 64 staffelt die Bußgelder nach der verletzten Pflicht. Der Prozentsatz gilt nur, wenn der Zuwiderhandelnde ein Unternehmen ist, und bezieht sich auf dessen gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres; maßgeblich ist der höhere der beiden Beträge.

• Bis zu 15 000 000 EUR oder 2,5 % bei Nichteinhaltung der grundlegenden Cybersicherheitsanforderungen in Anhang I oder bei Verstößen gegen die Artikel 13 und 14, also gegen die Herstellerpflichten.
• Bis zu 10 000 000 EUR oder 2 % unter anderem für die Artikel 18 bis 23, also für die Rollenpflichten von Bevollmächtigtem, Einführer und Händler und für die Auskunftspflicht.
• Bis zu 5 000 000 EUR oder 1 % für falsche, unvollständige oder irreführende Angaben, die notifizierten Stellen und Marktüberwachungsbehörden auf deren Auskunftsverlangen hin gemacht werden.

Bei der Bemessung zählt ausdrücklich mit, ob dieselbe oder eine andere Marktüberwachungsbehörde demselben Wirtschaftsakteur schon einmal für einen ähnlichen Verstoß ein Bußgeld auferlegt hat, außerdem seine Größe und sein Marktanteil. Verwalter quelloffener Software sind bei jedem Verstoß gegen diese Verordnung von den Bußgeldern der Absätze 3 bis 9 ausgenommen; Artikel 3 Nummer 12 nennt sie auch nicht unter den Wirtschaftsakteuren.

Neben die Bußgelder tritt der zivilrechtliche Weg. Für Zuwiderhandlungen von Wirtschaftsakteuren, die Kollektivinteressen der Verbraucher beeinträchtigen oder zu beeinträchtigen drohen, erklärt Artikel 65 die Richtlinie über Verbandsklagen für anwendbar.

Ab wann die Pflichten greifen

Die Verordnung gilt ab dem 11. Dezember 2027. Vorgezogen sind allein die Meldepflichten nach Artikel 14 ab dem 11. September 2026 und das Kapitel über die Notifizierung von Konformitätsbewertungsstellen, die Artikel 35 bis 51, ab dem 11. Juni 2026.