EU-Digitalgesetzgebung
CRA-Update – Episode 2: Wer sind die Adressaten des CRA-E?
In Kapitel II legt der CRA-E eine Vielzahl an Pflichten für „Wirtschaftsakteure“ fest. Hierzu zählen gemäß Art. 3 Nr. 17 CRA-E Hersteller, Bevollmächtigte, Einführer und Händler von Produkten mit digitalen Elementen. Das erklärte Ziel der EU-Kommission lautet, sämtliche Akteure der Lieferkette von Produkten mit digitalen Elementen in die Verantwortung zu nehmen und dadurch ein erhöhtes Maß an Cybersicherheit über die gesamte Produktlebensdauer zu gewährleisten. Das Gros der Pflichten wird dabei dem Hersteller auferlegt, was insbesondere dem Umstand Rechnung trägt, dass dieser die Entwicklung des Produkts mit digitalen Elementen maßgeblich steuert, dessen Eigenschaften festlegt und somit die immanenten Cybersicherheitsrisiken beeinflussen kann.
Eine Definition des Herstellers findet sich in Art. 3 Nr. 18 CRA-E, wonach hierunter „eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter eigenen Namen oder eigener Marke vermarktet, sei es entgeltlich oder unentgeltlich“, zu verstehen ist. Insofern kann neben dem beauftragten Produktentwickler zusätzlich auch der Auftraggeber unter den Herstellerbegriff fallen.
Zudem kann der Hersteller auch einen Bevollmächtigten i.S.v. Art. 3 Nr. 18 CRA-E benennen und diesen gemäß Art. 12 Abs. 3 CRA-E mit der Wahrnehmung bestimmter Aufgaben (z.B. Zusammenarbeit mit den Marktüberwachungsbehörden) beauftragen. Von dieser Möglichkeit wird der Hersteller insbesondere dann Gebrauch machen, wenn er außerhalb der EU ansässig ist und auch keine Niederlassung in der Union betreibt, damit der Bevollmächtigte für ihn die Kommunikation mit den Marktüberwachungsbehörden wahrnehmen kann.
Neben dem Hersteller ist der Einführer eine gemäß Art. 3 Nr. 20 CRA-E „in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürliche oder juristischen Person in der Union in Verkehr bringt“ und damit Adressat der Verordnung. Inverkehrbringen meint in diesem Zusammenhang „die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“, wobei unter den Begriff Bereitstellung wiederum „jede entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“ fällt. Insofern wird die Person des Einführers relevant, wenn dieser ein Produkt mit digitalen Elementen von einem Hersteller mit Sitz außerhalb der EU bezieht und es in die EU importiert.
Schließlich unterfällt noch der Händler den Pflichten des CRA-E. Hierunter ist „jede natürliche oder juristische Person einer Lieferkette zu verstehen, die ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaft auf dem Unionsmarkt bereitstellt und nicht unter den Begriff des Herstellers oder des Einführers“ fällt. Dazu zählen somit Unternehmen, die Produkte mit digitalen Elementen an Endkunden verkaufen. Der CRA-E unterscheidet in diesem Zusammenhang nicht zwischen B2B- oder B2C-Nutzern von Produkten mit digitalen Elementen. Dies ist angesichts des in ErwG 1 f. CRA-E beschriebenen Gesetzeszwecks, die Cybersicherheit zu erhöhen und hierzu Nutzer generell zur sicheren Verwendung solcher Produkte zu befähigen, verständlich. Denn sowohl Unternehmen als auch Verbraucher kommen in der Praxis gleichermaßen mit den der Verordnung unterfallenden Produkten in Berührung.
Empfehlung für die Praxis:
Da der CRA-E die Adressaten konkret festlegt, empfehlen wir, frühzeitig zu prüfen, ob Unternehmen auch in den personellen Anwendungsbereich fallen. Denn die genannten Adressaten unterliegen unterschiedlichen Anforderungen, sodass die zu treffenden Vorkehrungen zur Umsetzung der Vorgaben dieser Verordnung variieren. Zudem sollte das laufende Gesetzgebungsverfahren im Hinblick auf mögliche Anpassungen im personellen Anwendungsbereich verfolgt werden, da nicht auszuschließen ist, dass sich die Regelungen zum Adressatenkreis noch ändern.
In unserer CRA-Update-Reihe präsentieren wir Ihnen regelmäßig Informationen zu dem geplanten Cyber Resilience Act der Europäischen Union und halten Sie über Änderungen im laufenden Gesetzgebungsverfahren informiert. In jedem unserer Beiträge geben wir Ihnen einen kurzen Überblick über einen konkreten Themenbereich und stellen Ihnen dabei die wichtigsten Aspekte und praktische Auswirkungen vor.
CRA-Update
CRA-Update – Episode 11: Finaler Entwurf des CRA – Übersicht der wichtigsten Änderungen
Am 10. Oktober 2024 hat der Rat der Minister den finalen Entwurf des Cyber Resilience Act (CRA) angenommen. Demnächst wird die Verordnung im Amtsblatt der Europäischen Union veröffentlicht und dann am darauffolgenden Tag in Kraft treten.
CRA-Update – Episode 10: Welche Sanktionen gelten nach dem CRA-E?
Mit dem Entwurf für einen Cyber Resilience Act (CRA-E) hat sich die Europäische Kommission mit horizontalen Rechtsvorgaben zum Ziel gesetzt, die Sicherheit von Produkten mit digitalen Elementen zu stärken, um den Binnenmarkt der EU besser vor den wachsenden Cyberbedrohungen zu schützen. Hierzu enthält die Verordnung eine Vielzahl an Pflichten, die sich an sämtliche Akteure einer Produktlieferkette, nämlich Hersteller, Einführer und Händler, richten.
CRA-Update – Episode 9: Die Überwachungsbehörden
Der Kommissionsentwurf für den Cyber Resilience Act (CRA-E) erwähnt in seinem Verordnungstext an mehreren Stellen unterschiedliche Behörden mit verschiedenen Aufgaben für die Überwachung und Einhaltung der Normvorgaben.
CRA-Update – Episode 8: Das Konformitätsbewertungsverfahren
Damit eine Konformität von Produkten mit digitalen Elementen mit den Anforderungen des CRA nachgewiesen werden kann, müssen Hersteller gemäß Art. 24 Abs. 1 CRA-E ein sogenanntes Konformitätsbewertungsverfahren durchführen. Hierfür sieht der CRA-E grundsätzlich drei verschiedene Verfahrensarten vor, zu denen sich jeweils Informationen in Anhang VI finden. Die dort genannten Verfahren basieren auf dem Beschluss 768/2008/EG, der einen einheitlichen Rahmen für Rechtsvorschriften zur Harmonisierung der Bedingungen für die Vermarktung von Produkten bezweckt und hierfür Konformitätsbewertungsverfahren vorsieht.
CRA-Update – Episode 7: Was sind die von Herstellern festgelegten Verfahren zur Behandlung von Schwachstellen und wann sind diese nach dem CRA konform?
Nach Art. 1 lit. c) CRA-E soll der geplante Cyber Resilience Act (CRA-E) auch Bestimmungen für die von Herstellern festgelegten Verfahren zur Behandlung von Schwachstellen vorsehen.
Mit diesen Verfahren wird die Sicherstellung der Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus bezweckt.
CRA-Update – Episode 6: Wann ist eine Konformität des Produkts mit digitalen Elementen gegeben?
Der geplante Cyber Resilience Act (CRA-E) bezweckt EU-einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, um der wachsenden Bedrohung von Cyberangriffen entgegenzutreten. Zu diesem Zweck normiert die Verordnung zahlreiche Pflichten, die vor allem die Hersteller solcher Produkte treffen.
CRA-Update – Episode 5: Welche Pflichten gelten für den Händler nach dem CRA-E?
Als letzter Akteur in der Produktlieferungskette fällt der Händler ebenfalls in den Anwendungsbereich des CRA-E.
Nach der in Art. 3 Nr. 21 CRA-E genannten Definition kann eine (juristische) Person nur dann unter den Begriff des Händlers fallen, wenn sie ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaft auf dem Unionsmarkt bereitstellt und nicht schon als Hersteller oder Einführer zu qualifizieren ist.
CRA-Update – Episode 4: Welche Pflichten gelten für den Einführer nach dem CRA-E?
Die Person des Einführers wird im CRA-E dann relevant, wenn dieser ein Produkt mit digitalen Elementen aus dem EU-Ausland unter dem Namen oder der Marke einer außerhalb der Union ansässigen (juristischen) Person in den Binnenmarkt einführt und dort erstmalig in Verkehr bringt. Für die Praxis bedeutet dies, dass bei einem im Drittland ansässigen Hersteller stets ein im Unionsmarkt niedergelassener Einführer in die Produktlieferungskette zu involvieren ist, während bei einem innerhalb der EU befindlichen Hersteller die Rechtsfigur des Einführers rechtlich keine aktive Rolle spielt. Der Einführer ist also im Sinne eines Importeurs zu verstehen.
CRA-Update – Episode 3: Welche Pflichten gelten für den Hersteller nach dem CRA-E?
Im Vergleich zu den übrigen Adressaten des CRA-E unterliegt der Hersteller den umfassendsten Pflichten, was daran liegen dürfte, dass dieser die Entwicklung des Produkts mit digitalen Elementen maßgeblich steuert, dessen Eigenschaften festlegt und somit die immanenten Cybersicherheitsrisiken beeinflussen kann. Die konkreten Pflichten für Hersteller legt die Verordnung in Art. 10 und 11 CRA-E fest.
CRA-Update – Episode 2: Wer sind die Adressaten des CRA-E?
In Kapitel II legt der CRA-E eine Vielzahl an Pflichten für „Wirtschaftsakteure“ fest. Hierzu zählen gemäß Art. 3 Nr. 17 CRA-E Hersteller, Bevollmächtigte, Einführer und Händler von Produkten mit digitalen Elementen. Das erklärte Ziel der EU-Kommission lautet, sämtliche Akteure der Lieferkette von Produkten mit digitalen Elementen in die Verantwortung zu nehmen und dadurch ein erhöhtes Maß an Cybersicherheit über die gesamte Produktlebensdauer zu gewährleisten. Das Gros der Pflichten wird dabei dem Hersteller auferlegt, was insbesondere dem Umstand Rechnung trägt, dass dieser die Entwicklung des Produkts mit digitalen Elementen maßgeblich steuert, dessen Eigenschaften festlegt und somit die immanenten Cybersicherheitsrisiken beeinflussen kann.
CRA-Update – Episode 1: Welche Produkte fallen in den Anwendungsbereich des CRA-E?
Der derzeitige Entwurf sieht gemäß ErwG 7 und Art. 2 Abs. 1 CRA-E vor, dass die Verordnung für Produkte mit digitalen Elementen gilt, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.