Rollen und Pflichten nach der EU-Cyberresilienz-Verordnung

Rollen hängen vom Produkt ab

Der CRA verwendet Rollen aus dem Produktrecht. Er weist Pflichten nicht allein danach zu, wer den Code geschrieben hat, Eigentümer des Repositorys ist oder einen Dienst betreibt. Zuerst ist zu fragen, ob ein Produkt mit digitalen Elementen auf dem Unionsmarkt bereitgestellt wird. Anschließend ist zu bestimmen, was der Akteur mit diesem Produkt tut.

Der CRA bezeichnet Hersteller, Bevollmächtigte, Einführer, Händler und einige weitere verpflichtete Personen als Wirtschaftsakteure. Dieser Begriff ist hilfreich, weil er die Rollen an die Marktaktivität knüpft. Wer lediglich Code beiträgt, ein Repository hostet oder damit nicht zusammenhängende Unterstützung anbietet, fällt nicht allein deswegen in jede CRA-Rolle.

Der Hersteller ist die zentrale Rolle

„Hersteller“ bezeichnet eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder entwickeln oder herstellen lässt und sie unter ihrem eigenen Namen oder ihrer eigenen Marke vermarktet, entgeltlich, durch Monetarisierung oder unentgeltlich;

Verordnung (EU) 2024/2847, Artikel 3 Nummer 13

Die Definition hat zwei Bestandteile. Der Akteur muss unmittelbar oder über einen Dritten an Entwicklung oder Herstellung des Produkts beteiligt sein und das Produkt unter eigenem Namen oder eigener Marke vermarkten. Der ursprüngliche Softwareautor ist nicht immer der Hersteller. Ein Markeninhaber, für den ein Produkt entwickelt wird, kann der Hersteller sein, wenn er es als eigenes Produkt vermarktet.

Deshalb liegen die zentralen CRA-Pflichten beim Hersteller. Der CRA behandelt ihn als verantwortlich für Produktentwurf und -entwicklung, Konformität, Nutzerinformationen, Unterstützungszeitraum, Umgang mit Schwachstellen und Meldepflichten nach den Artikeln 13 und 14.

Einführer und Händler haben Aufgaben in der Lieferkette

Ein Einführer hat seinen Sitz in der Union und bringt ein Produkt mit digitalen Elementen auf dem Unionsmarkt in Verkehr, das den Namen oder die Marke einer außerhalb der Union ansässigen Person trägt. Die Rolle besteht, weil ein Hersteller außerhalb der EU möglicherweise nicht unmittelbar der EU-Marktaufsicht unterliegt.

Ein Händler ist ein anderer Akteur in der Lieferkette als Hersteller oder Einführer, der ein Produkt auf dem Unionsmarkt bereitstellt, ohne dessen Eigenschaften zu verändern. Die Rolle des Händlers ist enger gefasst als die des Herstellers, da der Händler das Produkt weder entworfen noch entwickelt oder als eigenes vermarktet hat.

Einführer und Händler prüfen Konformitätskennzeichnungen sowie Hersteller- und Einführerinformationen. Ihre Pflichten umfassen auch, ein Produkt zurückzuhalten, wenn Grund zu der Annahme besteht, dass es nicht konform ist, und mit Marktüberwachungsbehörden zusammenzuarbeiten.

Der Bevollmächtigte handelt aufgrund eines Mandats

Ein Bevollmächtigter hat seinen Sitz in der Union und handelt für den Hersteller nur, weil dieser ihm ein schriftliches Mandat erteilt hat. Das Mandat muss die Aufgaben festlegen. Die Benennung eines Bevollmächtigten überträgt nicht die Herstellerrolle selbst.

Diese Unterscheidung ist in der Praxis wichtig. Der Bevollmächtigte kann für festgelegte Aufgaben als EU-Ansprechpartner dienen, etwa für die Bereitstellung von Unterlagen für Marktüberwachungsbehörden oder die Zusammenarbeit bei Korrekturmaßnahmen. Die zentralen Pflichten für Entwurf, Entwicklung, Herstellung und Aufrechterhaltung der Konformität des Produkts bleiben beim Hersteller.

Open Source umfasst zwei getrennte Konzepte

Kostenlose und Open-Source-Software fällt nicht in jedem Fall aus dem CRA-Anwendungsbereich. Bringt eine Person im Rahmen einer kommerziellen Tätigkeit ein kostenloses Open-Source-Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke auf den Markt, kann sie für dieses Produkt Hersteller sein.

Der CRA schafft außerdem eine andere Rolle für Open-Source-Software, die veröffentlicht, aber in diesem Sinne nicht auf dem Markt bereitgestellt wird. Diese Rolle heißt Open-Source-Software Steward.

„Open-Source-Software Steward“ bezeichnet eine juristische Person, bei der es sich nicht um einen Hersteller handelt und deren Zweck oder Ziel darin besteht, die Entwicklung bestimmter Produkte mit digitalen Elementen, die als freie und Open-Source-Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und dauerhaft zu unterstützen und die Lebensfähigkeit dieser Produkte sicherzustellen;

Verordnung (EU) 2024/2847, Artikel 3 Nummer 14

Die Steward-Rolle ist daher keine Bezeichnung für jeden Maintainer oder Mitwirkenden. Sie gilt für eine juristische Person und bestimmte freie Open-Source-Software, wenn diese Person das Projekt dauerhaft unterstützt und seine Lebensfähigkeit sicherstellt, ohne Hersteller dieses Produkts zu sein. Die Kommission beschreibt die Steward-Regelung als maßgeschneidert und weniger streng als die Herstellerregelung.

Einzelne Mitwirkende am Quellcode werden nochmals anders behandelt. Der CRA gilt nicht für natürliche oder juristische Personen, die Quellcode zu freier und Open-Source-Software beitragen, die nicht ihrer Verantwortung unterliegt.

Rollenwechsel

Eine Rolle kann sich ändern, wenn ein Akteur nicht mehr lediglich das Produkt einer anderen Person bereitstellt, sondern das Produkt auf eine Weise präsentiert oder ändert, die der CRA als Tätigkeit eines Herstellers behandelt.

Ein Einführer oder Händler gilt für die Zwecke dieser Verordnung als Hersteller und unterliegt den Artikeln 13 und 14, wenn er ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke auf dem Markt in Verkehr bringt oder eine wesentliche Änderung an einem bereits auf dem Markt befindlichen Produkt mit digitalen Elementen vornimmt.

Verordnung (EU) 2024/2847, Artikel 21

Derselbe Grundsatz gilt auch über Einführer und Händler hinaus. Eine andere Person gilt als Hersteller, wenn sie eine wesentliche Änderung vornimmt und das geänderte Produkt auf dem Markt bereitstellt. Für diese Person gelten die Herstellerpflichten für den betroffenen Teil des Produkts oder für das gesamte Produkt, wenn die Änderung die Cybersicherheit des Produkts insgesamt beeinträchtigt.

Eine wesentliche Änderung ist nicht jedes Update, jede Reparatur oder jede Unterstützungstätigkeit. Die CRA-Definition hängt davon ab, ob die Änderung nach dem Inverkehrbringen die Einhaltung grundlegender Cybersicherheitsanforderungen beeinflusst oder den vorgesehenen Verwendungszweck ändert, für den das Produkt bewertet wurde. Ein Sicherheitsupdate, das nur das Risiko verringert, spricht in der Regel gegen einen Rollenwechsel. Eine Funktionsänderung, die den Verwendungszweck ändert oder das Cybersicherheitsrisiko erhöht, kann dafür sprechen.

Diese Regeln erläutern häufige Abgrenzungen. Ein in der EU ansässiger Akteur, der ein Produkt mit einer Marke aus einem Drittland auf dem Unionsmarkt in Verkehr bringt, ist normalerweise Einführer. Ein Akteur in der Lieferkette, der ein unverändertes Produkt bereitstellt, ist normalerweise Händler. Wer den eigenen Namen oder die eigene Marke verwendet oder das Produkt wesentlich ändert und bereitstellt, kann zum Hersteller werden.