Müssen Zweckbestimmung und Marketingaussagen übereinstimmen?

Ja, und zwar nicht nur aus Gründen der Sorgfalt. Artikel 3 Nummer 23 zählt Werbe- und Verkaufsmaterial ausdrücklich zu den Quellen, aus denen sich die Zweckbestimmung ergibt. Verspricht eine Broschüre einen Einsatz, den die Risikobewertung nicht abdeckt, wird dieser Einsatz Teil der Zweckbestimmung, und die Bewertung ist unvollständig. In der Praxis hilft ein einziger abgestimmter Wortlaut, den Produktmanagement, Dokumentation und Vertrieb gemeinsam verwenden.

Was gilt, wenn Kunden das Produkt anders einsetzen als vorgesehen?

Das hängt davon ab, wie naheliegend der abweichende Einsatz ist. Eine Verwendung, die sich aus vernünftigerweise vorhersehbarem Verhalten oder aus technischen Wechselwirkungen ergibt, gehört nach Artikel 13 Absatz 3 in die Risikobewertung, auch wenn sie der Zweckbestimmung nicht entspricht. Für eine vorhersehbare Fehlanwendung verlangt Anhang II Nummer 5, die Nutzer über die daraus folgenden erheblichen Cybersicherheitsrisiken zu informieren. Ein Einsatz, mit dem niemand rechnen konnte, liegt dagegen außerhalb. Wo genau diese Grenze verläuft, legt der CRA nicht fest.

Ändert ein neues Feature die Zweckbestimmung?

Nicht jedes. Erwägungsgrund 39 des CRA behandelt eine Sicherheitsaktualisierung, die das Cybersicherheitsrisiko senkt und die Zweckbestimmung unberührt lässt, ausdrücklich nicht als wesentliche Änderung. Dasselbe gilt in der Regel für geringfügige Anpassungen wie eine visuelle Verbesserung, eine neue Sprache oder neue Piktogramme in der Oberfläche. Eine Funktionsaktualisierung dagegen, die die ursprünglich beabsichtigten Funktionen oder die Art oder Leistung des Produkts verändert und in der ursprünglichen Risikobewertung nicht vorgesehen war, ist eine wesentliche Änderung. Ob sie einzeln oder zusammen mit einer Sicherheitsaktualisierung ausgeliefert wird, spielt dabei keine Rolle.

Cyber Resilience Act

Zweckbestimmung

Legaldefinition Art. 3 Nr. 23 CRA

„die Verwendung, für die ein Produkt mit digitalen Elementen laut Hersteller bestimmt ist, einschließlich der besonderen Nutzungsumstände und Nutzungsbedingungen entsprechend den Angaben des Herstellers in der Gebrauchsanleitung, im Werbe- oder Verkaufsmaterial und in Erklärungen sowie in der technischen Dokumentation“

Verordnung (EU) 2024/2847, Art. 3 Nr. 23 CRA

Die Zweckbestimmung ist die Verwendung, für die der Hersteller ein Produkt mit digitalen Elementen vorgesehen hat. Der Cyber Resilience Act (CRA) definiert sie in Artikel 3 Nummer 23 und macht sie damit zu einer Rechtsgröße. Sie ist keine Produktbeschreibung, sondern der Bezugspunkt, an dem sich Anwendungsbereich, Risikobewertung und Umfang der Herstellerpflichten ausrichten.

Festgelegt wird sie vom Hersteller, aber nicht formlos. Die Definition benennt die Quellen, aus denen sie sich ergibt: die Gebrauchsanleitung, das Werbe- oder Verkaufsmaterial, Erklärungen des Herstellers und die technische Dokumentation. Sie umfasst außerdem die besonderen Nutzungsumstände und Nutzungsbedingungen. Zur Zweckbestimmung gehört also nicht nur, was das Produkt tut, sondern auch, in welcher Umgebung und unter welchen Bedingungen es das tun soll.

Zwei Bezeichnungen für dieselbe Sache

In der deutschen Fassung des CRA heißt der Begriff nicht überall gleich. Artikel 3 Nummer 23 und die Anhänge sprechen von der Zweckbestimmung, Artikel 2 Absatz 1 und Artikel 3 Nummer 30 dagegen vom bestimmungsgemäßen Zweck. Die englische Fassung verwendet an allen diesen Stellen intended purpose. Gemeint ist derselbe Begriff. Wer den Verordnungstext nur nach dem Wort „Zweckbestimmung“ durchsucht, übersieht ausgerechnet die Vorschrift zum Anwendungsbereich und die zur wesentlichen Änderung.

Der Anwendungsbereich hängt daran

Nach Artikel 2 Absatz 1 gilt der CRA für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.

Entscheidend ist das Wort „oder“. Es genügt, dass die Datenverbindung in der vorhersehbaren Verwendung angelegt ist. Ein Gerät, das eine Schnittstelle mitbringt, fällt daher auch dann in den Anwendungsbereich, wenn die Dokumentation über sie schweigt.

Sie schneidet die Risikobewertung zu

Artikel 13 Absatz 2 verpflichtet Hersteller zu einer Bewertung der Cybersicherheitsrisiken und dazu, deren Ergebnis in der Planungs-, Konzeptions-, Entwicklungs-, Herstellungs-, Liefer- und Wartungsphase zu berücksichtigen. Artikel 13 Absatz 3 legt fest, was diese Bewertung mindestens enthalten muss: eine Analyse der Cybersicherheitsrisiken auf Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung, etwa der Betriebsumgebung oder der zu schützenden Anlagen, wobei die voraussichtliche Nutzungsdauer zu berücksichtigen ist.

Daran hängt mehr als ein Dokument. Die Sicherheitsanforderungen in Anhang I Teil I Nummer 2 Buchstaben a–m gelten ausdrücklich nur, „soweit zutreffend“, und was zutrifft, ergibt sich aus dieser Bewertung. Die Zweckbestimmung entscheidet damit mittelbar darüber, welche der grundlegenden Cybersicherheitsanforderungen ein Produkt erfüllen muss. Ist eine davon nicht anwendbar, verlangt Artikel 13 Absatz 4 eine klare Begründung in der technischen Dokumentation.

An einer Stelle wirkt sie unmittelbar: Anhang I Teil I Nummer 2 Buchstabe g beschränkt die Verarbeitung von Daten auf das für die Zweckbestimmung erforderliche Maß. Umgekehrt nennt Erwägungsgrund 55 die Einschränkung der Zweckbestimmung auf vertrauenswürdige Umgebungen als eine Möglichkeit, einem Risiko zu begegnen, das sich technisch nicht auffangen lässt.

Drei Begriffe, die zusammengehören

Artikel 3 unterscheidet drei Arten der Verwendung, und die Pflichten reichen über die erste hinaus:

Die Zweckbestimmung (Nummer 23) ist die vom Hersteller angegebene Verwendung.
Die vernünftigerweise vorhersehbare Verwendung (Nummer 24) entspricht ihr nicht unbedingt, ergibt sich aber wahrscheinlich aus vorhersehbarem menschlichem Verhalten, aus technischen Vorgängen oder aus Wechselwirkungen.
Die vernünftigerweise vorhersehbare Fehlanwendung (Nummer 25) entspricht der Zweckbestimmung nicht, kann sich aber aus vorhersehbarem Verhalten oder aus der Interaktion mit anderen Systemen ergeben.

Artikel 6 Buchstabe a erlaubt die Bereitstellung auf dem Markt nur, wenn ein Produkt die Anforderungen in Anhang I Teil I erfüllt, und zwar unter der Bedingung, dass es ordnungsgemäß installiert, gewartet und bestimmungsgemäß oder unter vernünftigerweise vorhersehbaren Umständen verwendet wird und gegebenenfalls die erforderlichen Sicherheitsaktualisierungen installiert wurden. Eine eng gefasste Zweckbestimmung verkleinert die Verantwortung also nicht auf sich selbst.

Wo sie festgehalten wird

Die Zweckbestimmung taucht an drei Stellen wieder auf, die zum Marktzugang gehören:

Anhang II Nummer 4 verlangt, sie den Nutzern mitzuteilen, einschließlich des vom Hersteller bereitgestellten Sicherheitsumfelds, der Hauptfunktionen und der Sicherheitseigenschaften.
Anhang II Nummer 5 verlangt zusätzlich alle bekannten oder vorhersehbaren Umstände im Zusammenhang mit der Zweckbestimmung oder einer vernünftigerweise vorhersehbaren Fehlanwendung, die zu einem erheblichen Cybersicherheitsrisiko führen können.
Anhang VII Nummer 1 Buchstabe a verlangt sie als Teil der allgemeinen Produktbeschreibung in der technischen Dokumentation.

Zwei weitere Vorschriften greifen darauf zurück. Nach Artikel 13 Absatz 8 ist bei der Festlegung des Unterstützungszeitraums die Art des Produkts einschließlich seiner Zweckbestimmung zu berücksichtigen. Und wenn die Kommission nach Artikel 8 Absatz 1 für kritische Produkte eine Zertifizierung vorschreibt, muss die verlangte Vertrauenswürdigkeitsstufe die Zweckbestimmung berücksichtigen, einschließlich der kritischen Abhängigkeit wesentlicher Einrichtungen im Sinne der NIS-2-Richtlinie von diesen Produkten.

Eine Zweckänderung ist ein Einschnitt

Nach Artikel 3 Nummer 30 ist eine wesentliche Änderung eine Änderung des Produkts nach dem Inverkehrbringen, die sich auf die Konformität mit den Anforderungen in Anhang I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks führt, für den das Produkt geprüft wurde. Die Zweckänderung steht damit gleichrangig neben der technischen Abweichung. Bezugspunkt ist der geprüfte Zweck, nicht der zuletzt beworbene.

Erwägungsgrund 41 hält es in diesem Fall für angebracht, die Konformität zu überprüfen und das Produkt gegebenenfalls einer neuen Konformitätsbewertung zu unterziehen. War an der Konformitätsbewertung ein Dritter beteiligt, sollte ihm nach demselben Erwägungsgrund jede Veränderung mitgeteilt werden, die zu einer wesentlichen Änderung führen könnte. Artikel 22 geht weiter: Wer eine wesentliche Änderung vornimmt und das Produkt bereitstellt, ohne Hersteller, Einführer oder Händler zu sein, gilt selbst als Hersteller. Das betrifft den von der Änderung erfassten Teil des Produkts oder das gesamte Produkt, wenn sich die Änderung auf dessen Cybersicherheit insgesamt auswirkt.

Fragen aus der Praxis

: Ja, und zwar nicht nur aus Gründen der Sorgfalt. Artikel 3 Nummer 23 zählt Werbe- und Verkaufsmaterial ausdrücklich zu den Quellen, aus denen sich die Zweckbestimmung ergibt. Verspricht eine Broschüre einen Einsatz, den die Risikobewertung nicht abdeckt, wird dieser Einsatz Teil der Zweckbestimmung, und die Bewertung ist unvollständig. In der Praxis hilft ein einziger abgestimmter Wortlaut, den Produktmanagement, Dokumentation und Vertrieb gemeinsam verwenden.
: Das hängt davon ab, wie naheliegend der abweichende Einsatz ist. Eine Verwendung, die sich aus vernünftigerweise vorhersehbarem Verhalten oder aus technischen Wechselwirkungen ergibt, gehört nach Artikel 13 Absatz 3 in die Risikobewertung, auch wenn sie der Zweckbestimmung nicht entspricht. Für eine vorhersehbare Fehlanwendung verlangt Anhang II Nummer 5, die Nutzer über die daraus folgenden erheblichen Cybersicherheitsrisiken zu informieren. Ein Einsatz, mit dem niemand rechnen konnte, liegt dagegen außerhalb. Wo genau diese Grenze verläuft, legt der CRA nicht fest.
: Nicht jedes. Erwägungsgrund 39 des CRA behandelt eine Sicherheitsaktualisierung, die das Cybersicherheitsrisiko senkt und die Zweckbestimmung unberührt lässt, ausdrücklich nicht als wesentliche Änderung. Dasselbe gilt in der Regel für geringfügige Anpassungen wie eine visuelle Verbesserung, eine neue Sprache oder neue Piktogramme in der Oberfläche. Eine Funktionsaktualisierung dagegen, die die ursprünglich beabsichtigten Funktionen oder die Art oder Leistung des Produkts verändert und in der ursprünglichen Risikobewertung nicht vorgesehen war, ist eine wesentliche Änderung. Ob sie einzeln oder zusammen mit einer Sicherheitsaktualisierung ausgeliefert wird, spielt dabei keine Rolle.

Dieses Glossar dient der Orientierung und ersetzt keine Rechtsberatung. Maßgeblich ist der Wortlaut der Verordnung (EU) 2024/2847.