Die EU-Cyberresilienz-Verordnung als Produktrecht

Horizontales Produktrecht

Der CRA ist kein allgemeines Cybersicherheitsgesetz für Unternehmen, sondern ein Produktrechtsakt. Er fragt, ob ein Produkt mit digitalen Elementen auf dem EU-Markt bereitgestellt werden kann, welcher Akteur die jeweiligen Pflichten trägt und ob das Produkt und die Verfahren des Herstellers die Cybersicherheitsanforderungen erfüllen.

Regeln für die Bereitstellung von Produkten mit digitalen Elementen auf dem Markt, um die Cybersicherheit dieser Produkte zu gewährleisten;

Verordnung (EU) 2024/2847, Artikel 1 Buchstabe a

Der Rechtstitel bezeichnet diese Vorschriften als horizontale Cybersicherheitsanforderungen. „Horizontal“ bedeutet, dass der CRA nicht nur für einen einzelnen Sektor gilt. Er kann viele Produkttypen erfassen, sofern das Produkt in den Anwendungsbereich fällt und keine Ausnahme oder besondere Überschneidungsregel greift.

Warum es dieses Gesetz gibt

Die Erwägungsgründe beschreiben zwei zentrale Probleme. Erstens gelangten viele Produkte mit digitalen Elementen mit schwacher Sicherheit, bekannten Schwachstellen oder unklaren Sicherheitsupdates zu den Nutzern. Zweitens fehlten Nutzern häufig ausreichende Informationen, um Produkte sicher auszuwählen und zu verwenden.

Die EU wollte einen einheitlichen Rahmen für Cybersicherheitsanforderungen an Produkte schaffen und so die Zersplitterung der Regulierung im Binnenmarkt verringern. Daher verknüpft der CRA Cybersicherheit mit der Bereitstellung von Produkten auf dem Markt und ergänzt andere anwendbare EU-Vorschriften zu Produkten, Netzbetrieb und organisatorischer Sicherheit.

Modell der CE-Kennzeichnung

Der CRA nutzt das bestehende Modell der CE-Kennzeichnung. Er führt kein neues Cybersicherheitslogo ein. Bei einem Produkt, das bereits nach einem anderen EU-Produktrechtsakt CE-gekennzeichnet ist, ergänzt der CRA die Cybersicherheit um dieselben Konformitätsunterlagen für das Produkt.

Die CE-Kennzeichnung unterliegt den allgemeinen Grundsätzen nach Artikel 30 der Verordnung (EG) Nr. 765/2008.

Verordnung (EU) 2024/2847, Artikel 29

Der Blaue Leitfaden erläutert die Bedeutung der CE-Kennzeichnung: Der Hersteller erklärt, dass das Produkt die einschlägigen Rechtsvorschriften der Union erfüllt, die diese Kennzeichnung verlangen. Sie ist weder ein Qualitätszeichen noch ein Herkunftszeichen und bedeutet nicht, dass eine Behörde jedes Produkt geprüft hat.

Cybersicherheit in den Produktunterlagen

Der CRA ergänzt das bestehende System der Produktkonformität um Cybersicherheitsanforderungen. Hersteller können vertraute rechtliche Verfahren nutzen, müssen jedoch die relevanten technischen Inhalte hinzufügen.

• Anhang I Teil I legt Cybersicherheitsanforderungen an das Produkt selbst fest.
• Anhang I Teil II legt Anforderungen an das Verfahren des Herstellers zum Umgang mit Schwachstellen fest.
• Die technische Dokumentation muss zeigen, wie das Produkt und die Verfahren die geltenden Anforderungen erfüllen.
• Die Konformitätsbewertung prüft das Produkt und die Verfahren des Herstellers anhand dieser Anforderungen.
• Die EU-Konformitätserklärung und die CE-Kennzeichnung verknüpfen das CRA-Ergebnis mit dem üblichen EU-System der Produktkonformität.

Verhältnis zu anderen Produktrechtsvorschriften

Der CRA ersetzt keine bestehenden Produktrechtsvorschriften. Eine vernetzte Maschine, ein Funkprodukt, ein Spielzeug, eine industrielle Steuerung oder ein Zubehör für ein Medizinprodukt kann bereits einer anderen EU-Regelung unterliegen. Gilt zusätzlich der CRA, muss der Hersteller ihn gemeinsam mit dem anderen anwendbaren Rechtsakt berücksichtigen.

Einige Überschneidungen sind im CRA ausdrücklich geregelt. Für die folgenden Produktgruppen gelten eigene Ausnahmen oder Einschränkungen:

• Medizinprodukte und In-vitro-Diagnostika;
• Kraftfahrzeuge, die unter die Typgenehmigungsvorschriften fallen;
• Produkte, die nach dem Rechtsrahmen für die Zivilluftfahrt zertifiziert sind;
• Schiffsausrüstung;
• identische Ersatzteile;
• Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt oder geändert wurden;
• Produkte, die speziell für die Verarbeitung von Verschlusssachen ausgelegt sind.

Andere Überschneidungen funktionieren anders. Je nach Produkt und geregeltem Risiko kann der CRA Vorschriften wie die folgenden ergänzen:

• Maschinenverordnung;
• Verordnung über die allgemeine Produktsicherheit;
• Funkanlagenrichtlinie;
• DSGVO;
• Datenverordnung;
• KI-Verordnung;
• NIS2.