Kurzdefinition: Der Cyber Resilience Act verlangt, dass Hersteller vor dem Inverkehrbringen die Konformität ihrer Produkte mit digitalen Elementen mit den grundlegenden Cybersicherheitsanforderungen bewerten. Für viele Produkte genügt eine interne Kontrolle in eigener Verantwortung; für wichtige und kritische Produkte gelten strengere Verfahren, teils unter Einbeziehung einer notifizierten Stelle. Am Ende stehen die EU-Konformitätserklärung und die CE-Kennzeichnung. [N-CRA-13]
Der Normwortlaut
Der CRA verpflichtet die Hersteller, eine EU-Konformitätserklärung auszustellen, aus der die Konformität des Produkts mit den grundlegenden Cybersicherheitsanforderungen hervorgeht, und die CE-Kennzeichnung anzubringen. Die Konformitätsbewertung nicht als wichtig oder kritisch eingestufter Produkte „kann vom Hersteller in eigener Verantwortung nach dem internen Kontrollverfahren auf der Grundlage von Modul A“ durchgeführt werden. [N-CRA-13]
Wer bewertet die Konformität?
Grundsätzlich der Hersteller selbst. Für Produkte, die nicht als wichtig oder kritisch eingestuft sind, kann der Hersteller die Konformität in eigener Verantwortung nach dem internen Kontrollverfahren (Modul A) bewerten. Er stellt dabei sicher und erklärt, dass Produkt und Prozesse die grundlegenden Cybersicherheitsanforderungen erfüllen. [N-CRA-13]
Was gilt für wichtige und kritische Produkte?
Strengere Verfahren. Bei wichtigen Produkten der Klasse I ist eine zusätzliche Vertrauenswürdigkeitsprüfung erforderlich; wendet der Hersteller keine einschlägigen harmonisierten Normen an, ist eine Bewertung unter Beteiligung eines Dritten durchzuführen. Bei wichtigen Produkten der Klasse II ist stets ein Dritter zu beteiligen. [N-CRA-13]
Was ist die EU-Konformitätserklärung?
Der zusammenfassende Nachweis. Mit der EU-Konformitätserklärung erklärt der Hersteller, dass das Produkt die grundlegenden Cybersicherheitsanforderungen und gegebenenfalls weitere einschlägige Unionsvorschriften erfüllt. Unterliegt das Produkt mehreren Rechtsakten, ist eine einzige EU-Konformitätserklärung auszustellen. [N-CRA-13]
Welche Rolle spielt die CE-Kennzeichnung?
Sie macht die Konformität sichtbar. Am Ende der Konformitätsbewertung bringt der Hersteller die CE-Kennzeichnung an. Sie zeigt, dass das Produkt mit digitalen Elementen den grundlegenden Cybersicherheitsanforderungen des CRA entspricht, und ist Voraussetzung für das Inverkehrbringen. [N-CRA-13]
Wie verhält sich der CRA zur KI-Verordnung?
Er ist abgestimmt. Für Produkte, die zugleich Hochrisiko-KI-Systeme sind, gelten die grundlegenden Cybersicherheitsanforderungen des CRA; das Konformitätsbewertungsverfahren richtet sich dabei grundsätzlich nach der KI-Verordnung. Doppelbewertungen sollen so vermieden werden. [N-CRA-13]
Häufige Fehlannahmen
- „Jedes Produkt braucht eine notifizierte Stelle.“ Nein. Für nicht wichtige oder kritische Produkte genügt die interne Kontrolle nach Modul A. [N-CRA-13]
- „Die interne Kontrolle bedeutet geringere Anforderungen.“ Nein. Auch dabei muss der Hersteller die vollen Anforderungen erfüllen und dies erklären. [N-CRA-13]
- „Die CE-Kennzeichnung ist freiwillig.“ Nein. Sie ist Voraussetzung für das Inverkehrbringen. [N-CRA-13]
- „Die EU-Konformitätserklärung kann entfallen.“ Nein. Der Hersteller muss sie ausstellen. [N-CRA-13]
- „Für wichtige und normale Produkte gilt dasselbe Verfahren.“ Nein. Für wichtige Produkte der Klassen I und II gelten strengere Verfahren. [N-CRA-13]
- „CRA und KI-Verordnung verlangen stets getrennte Bewertungen.“ Nicht immer. Bei Hochrisiko-KI-Systemen richtet sich die Bewertung grundsätzlich nach der KI-Verordnung. [N-CRA-13]
Was die Geschäftsleitung tun sollte
- Produktklasse bestimmen. Prüfen, ob ein Produkt als wichtig oder kritisch einzustufen ist.
- Verfahren wählen. Interne Kontrolle oder Beteiligung einer notifizierten Stelle je nach Klasse festlegen.
- Dokumentation aufbauen. Technische Dokumentation und EU-Konformitätserklärung erstellen.
- CE anbringen. Die CE-Kennzeichnung erst nach abgeschlossener Bewertung anbringen.
Für die Geschäftsleitung
Die CRA-Konformitätsbewertung folgt dem bekannten CE-Prinzip: bewerten, erklären, kennzeichnen. Für die meisten Produkte reicht die interne Kontrolle, für wichtige und kritische Produkte wird ein Dritter eingebunden. Wer die Einstufung früh klärt, wählt das richtige Verfahren und vermeidet, dass die CE-Kennzeichnung zum Engpass beim Markteintritt wird.
Quellen
- [N-CRA-13] Art. 13 CRA (VO (EU) 2024/2847, Pflichten der Hersteller; EU-Konformitätserklärung, CE-Kennzeichnung, Konformitätsbewertung). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R2847
