Bereitstellung auf dem Markt nach der EU-Cyberresilienz-Verordnung
Sytance · Aktualisiert
Der Zeitpunkt, ab dem Pflichten aus der CRA gelten, richtet sich danach, wann das Produkt in Verkehr gebracht wird, nicht danach, wann sein Modell erstmals entworfen wurde. Entscheidend ist, wann das Produkt erstmals auf dem Unionsmarkt bereitgestellt wurde, ob eine spätere Lieferung lediglich die weitere Bereitstellung desselben Produkts ist und ob eine spätere Änderung eine wesentliche Veränderung darstellt.
Begriffe zum Markt
‚Inverkehrbringen‘ die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt;
Verordnung (EU) 2024/2847, Artikel 3 Nummer 21
‚Bereitstellung auf dem Markt‘ jede entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit;
Verordnung (EU) 2024/2847, Artikel 3 Nummer 22
Das Inverkehrbringen ist die erste Bereitstellung des Produkts auf dem Unionsmarkt. Die Bereitstellung auf dem Markt ist weiter gefasst. Sie umfasst auch spätere Lieferungen zum Vertrieb oder zur Verwendung, nachdem die erste Bereitstellung bereits erfolgt ist.
Erste Bereitstellung
Die erste Bereitstellung auf dem Unionsmarkt ist das Inverkehrbringen.
Spätere Bereitstellung
Ein späterer Verkauf oder Vertrieb desselben Produkts ist eine Bereitstellung auf dem Markt.
Lagerbestand
Die Herstellung, Lagerung oder Fertigstellung eines Produkts genügt nicht, solange es nicht zum Vertrieb oder zur Verwendung bereitgestellt wird.
Der Preis ist für diese Frage nicht ausschlaggebend. Auch ein kostenloses Produkt kann auf dem Markt bereitgestellt werden, wenn die Lieferung im Rahmen einer Geschäftstätigkeit erfolgt. Anders liegt es bei einem Produkt, das ausschließlich für den Eigengebrauch des Herstellers bestimmt ist: Es wird nicht allein dadurch in Verkehr gebracht, dass es existiert.
Datum für das einzelne Produkt
Wie der Begriff der ‚Bereitstellung auf dem Markt‘ bezieht sich auch der Begriff des ‚Inverkehrbringens‘ auf jedes einzelne Produkt und nicht auf einen Produkttyp; dabei ist unerheblich, ob es als Einzelstück oder in Serie hergestellt wurde. Folglich kann ein einzelnes Produkt in der gesamten EU nur einmal auf dem Unionsmarkt in Verkehr gebracht werden; dies geschieht nicht in jedem Mitgliedstaat erneut. Auch wenn ein Produktmodell oder -typ bereits vor Inkrafttreten neuer Harmonisierungsrechtsvorschriften der Union mit neuen verbindlichen Anforderungen bereitgestellt wurde, müssen einzelne Exemplare desselben Modells oder Typs, die nach Anwendbarkeit der neuen Anforderungen in Verkehr gebracht werden, diese neuen Anforderungen erfüllen.
Der Blaue Leitfaden 2022, Abschnitt 2.3
Die FAQ der Kommission wendet diesen Grundsatz auf die CRA an. Das frühere Inverkehrbringen eines Produkttyps gilt nicht für alle späteren Exemplare dieses Typs. Für jedes einzelne Produkt ist sein eigenes Marktdatum maßgeblich.
Das ist für Lagerbestände und wiederholte Einfuhren relevant. Wurden Geräte einer Charge von Routern vor dem 11. Dezember 2027 in Verkehr gebracht, fallen diese Geräte nicht allein deshalb vollständig unter die CRA, weil sie die Endnutzer erst später erreichen. Eine spätere Charge desselben Modells, die am oder nach dem 11. Dezember 2027 auf dem Unionsmarkt in Verkehr gebracht wird, ist anders zu beurteilen.
Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden
Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen dieser Verordnung ab diesem Zeitpunkt nur dann, wenn an diesen Produkten eine wesentliche Veränderung vorgenommen wird.
Verordnung (EU) 2024/2847, Artikel 69 Absatz 2
Abweichend von Absatz 2 dieses Artikels gelten die Pflichten aus Artikel 14 für alle in den Anwendungsbereich dieser Verordnung fallenden Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Verordnung (EU) 2024/2847, Artikel 69 Absatz 3
Die Übergangsregelung nimmt Produkte, die bereits vor dem 11. Dezember 2027 in Verkehr gebracht wurden, von den vollständigen CRA-Anforderungen aus, sofern sie ab diesem Datum nicht wesentlich verändert werden. Für neue Exemplare, die später in Verkehr gebracht werden, gilt diese Ausnahme nicht.
Die Meldepflicht nach Artikel 14 gilt unabhängig davon. Sie beginnt früher und erfasst auch Produkte im Anwendungsbereich, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, sobald Artikel 14 dies vorschreibt.
Produkte, die ab diesem Datum in Verkehr gebracht werden, müssen vor dem Inverkehrbringen die anwendbaren CRA-Anforderungen erfüllen.
Vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte müssen die vollständigen CRA-Anforderungen ab diesem Datum nur erfüllen, wenn sie wesentlich verändert werden.
Marktdaten von Softwareversionen
Die Leitlinien der Kommission vom Juli 2026 behandeln eigenständige Software als in Verkehr gebracht, sobald ihre Herstellungsphase abgeschlossen ist und sie erstmals im Rahmen einer Geschäftstätigkeit zum Vertrieb oder zur Verwendung auf dem EU-Markt bereitgestellt wird. Für Kopien derselben Software gilt dasselbe Datum. Varianten mit anderen Komponenten, Konfigurationen oder aktivierten Funktionen gelten für diesen Zweck als eigenständige Produkte.
Spätere Downloads derselben Version sind in der Regel eine spätere Bereitstellung desselben Softwareprodukts. Für eine spätere Version gilt ein neues Datum des Inverkehrbringens, wenn die Version eine wesentliche Veränderung darstellt.
Dieselbe Softwareversion
Spätere Downloads richten sich in der Regel nach dem ersten Marktdatum dieser Version.
Wesentlich veränderte Version
Eine wesentlich veränderte Version gilt als neu in Verkehr gebracht.
Diese Auslegung gilt für eigenständige Software, die digital bereitgestellt wird. Wird Software auf einem physischen Datenträger bereitgestellt, ist weiterhin das physische Produkt maßgeblich. Ist Software erforderlich, damit ein Hardwareprodukt seine Funktionen erfüllen kann, können Hardware und Software ein Produkt bilden, auch wenn die Software später heruntergeladen wird.
Wesentliche Veränderung
‚wesentliche Veränderung‘ eine Änderung des Produkts mit digitalen Elementen nach seinem Inverkehrbringen, die die Konformität des Produkts mit digitalen Elementen mit den in Anhang I Teil I festgelegten grundlegenden Cybersicherheitsanforderungen beeinträchtigt oder zu einer Änderung des bestimmungsgemäßen Zwecks führt, für den das Produkt mit digitalen Elementen bewertet wurde;
Verordnung (EU) 2024/2847, Artikel 3 Nummer 30
Die Definition umfasst zwei Fälle. Eine Änderung kann wesentlich sein, wenn sie die Einhaltung der Cybersicherheitsanforderungen für das Produkt in Anhang I Teil I beeinträchtigt. Sie kann auch wesentlich sein, wenn sie den bestimmungsgemäßen Zweck ändert, für den das Produkt bewertet wurde.
Bei einer Änderung nach dem Inverkehrbringen ist die Definition der wesentlichen Veränderung anzuwenden: Beeinträchtigt die Änderung die Einhaltung der grundlegenden Cybersicherheitsanforderungen oder verändert sie den bestimmungsgemäßen Zweck, für den das Produkt bewertet wurde? Eine Reparatur oder ein Sicherheitsupdate ist anhand dieser Bedingungen zu beurteilen.
- Ein Sicherheitsupdate, das eine Schwachstelle behebt und den bestimmungsgemäßen Zweck nicht ändert, spricht in der Regel gegen eine wesentliche Veränderung.
- Ein Funktionsupdate, das den vorgesehenen Zweck des Produkts ändert, kann wesentlich sein.
- Auch eine kleine Funktion kann relevant sein, wenn sie eine neue Schnittstelle, einen neuen Datenfluss, eine externe Abhängigkeit oder ein zuvor nicht berücksichtigtes Angriffsszenario hinzufügt.
- Ein vor dem 11. Dezember 2027 in Verkehr gebrachtes Produkt fällt ab diesem Datum vollständig unter die CRA, wenn es wesentlich verändert wird.
Verantwortung nach einer Veränderung
Nach Artikel 21 gilt ein Einführer oder Händler als Hersteller, wenn er das Produkt unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt wesentlich verändert.
Artikel 22 wendet dieselbe Logik weiter gefasst an. Auch eine andere Person als der Hersteller, Einführer oder Händler kann als Hersteller gelten, wenn sie eine wesentliche Veränderung vornimmt und das veränderte Produkt auf dem Markt bereitstellt.
Häufige Fälle zum Zeitpunkt
Entscheidend ist, ob das einzelne Produkt bereits vor dem 11. Dezember 2027 auf dem Unionsmarkt in Verkehr gebracht wurde. Dass es den Endnutzer erst später erreicht, hebt die Übergangsbehandlung nicht von sich aus auf.
Bestände, die vor der vollständigen Anwendbarkeit bereits zum Vertrieb oder zur Verwendung auf dem Unionsmarkt bereitgestellt wurden, können vorbehaltlich Artikel 14 und des Auslösers einer wesentlichen Veränderung die Lieferkette weiter durchlaufen. Anders liegt es bei Beständen, die vor diesem Datum lediglich hergestellt oder gelagert wurden, ohne bereits zum Vertrieb oder zur Verwendung bereitgestellt worden zu sein.
Für dasselbe Modell gilt nicht dauerhaft ein einziges CRA-Marktdatum. Exemplare, die am oder nach dem 11. Dezember 2027 auf dem Unionsmarkt in Verkehr gebracht werden, müssen die CRA erfüllen, auch wenn frühere Exemplare dieses Modells bereits davor in Verkehr gebracht wurden.
Ein nicht wesentliches Update begründet normalerweise kein neues Datum des Inverkehrbringens. Bei einem wesentlichen Update ist das anders. Maßgeblich ist, ob das Update die CRA-Konformität des Produkts beeinträchtigt oder den bewerteten bestimmungsgemäßen Zweck ändert.
Eine spätere eigenständige Softwareversion wird neu in Verkehr gebracht, wenn sie eine wesentliche Veränderung darstellt. Ein kleines Versionsupdate, das nicht wesentlich ist, behält normalerweise das Marktdatum der früheren Version.