EU-Digitalgesetzgebung

CRA-Update – Episode 5: Welche Pflichten gelten für den Händler nach dem CRA-E?

Als letzter Akteur in der Produktlieferungskette fällt der Händler ebenfalls in den Anwendungsbereich des CRA-E.

Nach der in Art. 3 Nr. 21 CRA-E genannten Definition kann eine (juristische) Person nur dann unter den Begriff des Händlers fallen, wenn sie ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaft auf dem Unionsmarkt bereitstellt und nicht schon als Hersteller oder Einführer zu qualifizieren ist.

Hieraus wird bereits deutlich, dass die Verordnung den Händler eindeutig von den übrigen Wirtschaftsakteuren abgrenzt und seine Rolle als letztes Glied in der Wertschöpfungskette hervorhebt. Dieser Umstand spiegelt sich auch in den nach Art. 14 CRA-E genannten Pflichten des Händlers wider, die sich vor allem auf Prüf-, Aufbewahrungs- und Meldepflichten beschränken.

Art. 14 Abs. 1 CRA-E schreibt vor, dass der Händler die Vorschriften des CRA-E mit der gebührenden Sorgfalt zu befolgen hat, wenn er ein Produkt mit digitalen Elementen auf dem Markt bereitstellt. Damit konstituiert die Verordnung auch für den Händler eine Haftung, auch wenn dieser nicht in den Herstellungsprozess involviert ist, sondern das Produkt ausschließlich vertreibt. Die Haftung beschränkt sich dabei vor allem auf die Überprüfung des Produkts und der vom Hersteller festgelegten Verfahren, wie sich aus Art. 14 Abs. 1–3 CRA-E ergibt. Demnach hat der Händler zunächst zu prüfen, ob dem Produkt mit digitalen Elementen die erforderlichen Informationen und Anleitungen, die EU-Konformitätserklärung, die CE-Kennzeichnung sowie die Kontaktdaten des Einführers in Papier- oder elektronischer Form beigefügt sind. Bei Zweifeln an der Konformität des Produkts oder der Herstellerverfahren darf er das Produkt mit digitalen Elementen nicht auf dem Markt bereitstellen, sondern muss zunächst die Konformität sicherstellen, Art. 14 Abs. 3 CRA-E. Sofern das Produkt zudem ein erhebliches Cybersicherheitsrisiko birgt, sind der Hersteller und die Marktüberwachungsbehörden hierüber zu informieren.

Wurde das Produkt mit digitalen Elementen bereits von dem Händler auf dem Markt bereitgestellt und stellt sich im Nachhinein heraus, dass die Anforderungen in Anhang I nicht erfüllt werden, so muss dieser gemäß Art. 14 Abs. 4 CRA-E unverzüglich die erforderlichen Korrekturmaßnahmen ergreifen oder das Produkt mit digitalen Elementen vom Markt nehmen oder zurückrufen. Wird eine Schwachstelle identifiziert, ist der Hersteller und bei einem erheblichen Cybersicherheitsrisiko die Marktüberwachungsbehörde zu informieren. Bei einer Schwachstelle handelt es sich gemäß Art. 3 Nr. 38 CRA-E, der auf Art. 6 Nr. 15 NIS-2-Richtlinie verweist, um eine Schwäche, Anfälligkeit oder Fehlfunktion, die bei einer Cyberbedrohung ausgenutzt werden kann.

Weiterhin normiert der CRA-E in Art. 14 Abs. 5 die Übermittlung von Informationen und Unterlagen über den Nachweis der Konformität des Produkts mit digitalen Elementen und der vom Hersteller festgelegten Verfahren an die Marktüberwachungsbehörden auf deren Verlangen und schreibt auch eine Zusammenarbeit mit jenen Behörden vor.

Ebenso wie für die übrigen Wirtschaftsakteure gilt auch für den Händler die in Art. 17 Abs. 2 CRA-E genannte zehnjährige Aufbewahrungsfrist für Kontaktinformationen aller Wirtschaftsakteure, von denen er Produkte mit digitalen Elementen bezogen oder an die er solche abgegeben hat. Weiterhin sind Marktüberwachungsbehörden und Produktnutzer über die Einstellung der Betriebstätigkeit des Herstellers zu informieren, Art. 14 Abs. 6 CRA-E.

Der Händler fällt zudem, wie auch der Einführer, unter die Regelung des Art. 15 CRA-E. Hiernach wird der Händler als ein „fingierter“ Hersteller angesehen, wenn er eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt mit digitalen Elementen vornimmt, mit der Folge, dass er den Pflichten des Herstellers zumindest für die Teile des Produkts unterliegt, die von der wesentlichen Änderung betroffen sind. Gemäß Art. 3 Nr. 31 CRA-E liegt eine wesentliche Änderung dann vor, wenn das Produkt mit digitalen Elementen nach dem Inverkehrbringen derart verändert wird, dass sich die im Rahmen der Konformitätsbewertung festgestellte bestimmungsgemäße Verwendung wandelt oder sich die Veränderung generell auf die Konformität des Produkts und dessen Anforderungen in Anhang I Abschnitt 1 auswirkt. Sobald der Händler also in die Beschaffenheit eines in Verkehr gebrachten Produkts mit digitalen Elementen eingreift, besteht das Risiko, dass sich sein Pflichtenkreis stark ausweitet.

Empfehlung für die Praxis:

Unternehmen, die digitale Produkte als Händler vertreiben, sollten insbesondere die Vorschriften zum sachlichen Anwendungsbereich des CRA-E prüfen, um festzustellen, ob die von ihnen angebotenen Produkte unter den CRA-E fallen. Sofern dies zutrifft, empfehlen wir, entsprechende Prozesse einzuführen, um den umfangreichen Prüfpflichten hinreichend Rechnung tragen zu können, da diesbezüglich ein hohes Haftungsrisiko besteht. Ferner sollte möglichst sichergestellt werden, keine wesentlichen Änderungen an den angebotenen Produkten mit digitalen Elementen vorzunehmen, um nicht unter die Herstellerfiktion zu fallen.

In unserer CRA-Update-Reihe präsentieren wir Ihnen regelmäßig Informationen zu dem geplanten Cyber Resilience Act der Europäischen Union und halten Sie über Änderungen im laufenden Gesetzgebungsverfahren informiert. In jedem unserer Beiträge geben wir Ihnen einen kurzen Überblick über einen konkreten Themenbereich und stellen Ihnen dabei die wichtigsten Aspekte sowie praktische Auswirkungen vor.

Rechtsanwalt, Associate
Alexander Weiß
Rechtsanwalt, Associate
Alexander Weiß

Zurück

CRA-Update

CRA-Update – Episode 10: Welche Sanktionen gelten nach dem CRA-E?

Mit dem Entwurf für einen Cyber Resilience Act (CRA-E) hat sich die Europäische Kommission mit horizontalen Rechtsvorgaben zum Ziel gesetzt, die Sicherheit von Produkten mit digitalen Elementen zu stärken, um den Binnenmarkt der EU besser vor den wachsenden Cyberbedrohungen zu schützen. Hierzu enthält die Verordnung eine Vielzahl an Pflichten, die sich an sämtliche Akteure einer Produktlieferkette, nämlich Hersteller, Einführer und Händler, richten.

CRA-Update – Episode 9: Die Überwachungsbehörden

Der Kommissionsentwurf für den Cyber Resilience Act  (CRA-E) erwähnt in seinem Verordnungstext an mehreren Stellen unterschiedliche Behörden mit verschiedenen Aufgaben für die Überwachung und Einhaltung der Normvorgaben.

CRA-Update – Episode 8: Das Konformitätsbewertungsverfahren

Damit eine Konformität von Produkten mit digitalen Elementen mit den Anforderungen des CRA nachgewiesen werden kann, müssen Hersteller gemäß Art. 24 Abs. 1 CRA-E ein sogenanntes Konformitätsbewertungsverfahren durchführen. Hierfür sieht der CRA-E grundsätzlich drei verschiedene Verfahrensarten vor, zu denen sich jeweils Informationen in Anhang VI finden. Die dort genannten Verfahren basieren auf dem Beschluss 768/2008/EG, der einen einheitlichen Rahmen für Rechtsvorschriften zur Harmonisierung der Bedingungen für die Vermarktung von Produkten bezweckt und hierfür Konformitätsbewertungsverfahren vorsieht.

CRA-Update – Episode 7: Was sind die von Herstellern festgelegten Verfahren zur Behandlung von Schwachstellen und wann sind diese nach dem CRA konform?

Nach Art. 1 lit. c) CRA-E soll der geplante Cyber Resilience Act (CRA-E) auch Bestimmungen für die von Herstellern festgelegten Verfahren zur Behandlung von Schwachstellen vorsehen.

Mit diesen Verfahren wird die Sicherstellung der Cybersicherheit von Produkten mit digitalen Elementen über ihren gesamten Lebenszyklus bezweckt.

CRA-Update – Episode 6: Wann ist eine Konformität des Produkts mit digitalen Elementen gegeben?

Der geplante Cyber Resilience Act (CRA-E) bezweckt EU-einheitliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen, um der wachsenden Bedrohung von Cyberangriffen entgegenzutreten. Zu diesem Zweck normiert die Verordnung zahlreiche Pflichten, die vor allem die Hersteller solcher Produkte treffen.

CRA-Update – Episode 5: Welche Pflichten gelten für den Händler nach dem CRA-E?

Als letzter Akteur in der Produktlieferungskette fällt der Händler ebenfalls in den Anwendungsbereich des CRA-E.

Nach der in Art. 3 Nr. 21 CRA-E genannten Definition kann eine (juristische) Person nur dann unter den Begriff des Händlers fallen, wenn sie ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaft auf dem Unionsmarkt bereitstellt und nicht schon als Hersteller oder Einführer zu qualifizieren ist.

CRA-Update – Episode 4: Welche Pflichten gelten für den Einführer nach dem CRA-E?

Die Person des Einführers wird im CRA-E dann relevant, wenn dieser ein Produkt mit digitalen Elementen aus dem EU-Ausland unter dem Namen oder der Marke einer außerhalb der Union ansässigen (juristischen) Person in den Binnenmarkt einführt und dort erstmalig in Verkehr bringt. Für die Praxis bedeutet dies, dass bei einem im Drittland ansässigen Hersteller stets ein im Unionsmarkt niedergelassener Einführer in die Produktlieferungskette zu involvieren ist, während bei einem innerhalb der EU befindlichen Hersteller die Rechtsfigur des Einführers rechtlich keine aktive Rolle spielt. Der Einführer ist also im Sinne eines Importeurs zu verstehen.

CRA-Update – Episode 3: Welche Pflichten gelten für den Hersteller nach dem CRA-E?

Im Vergleich zu den übrigen Adressaten des CRA-E unterliegt der Hersteller den umfassendsten Pflichten, was daran liegen dürfte, dass dieser die Entwicklung des Produkts mit digitalen Elementen maßgeblich steuert, dessen Eigenschaften festlegt und somit die immanenten Cybersicherheitsrisiken beeinflussen kann. Die konkreten Pflichten für Hersteller legt die Verordnung in Art. 10 und 11 CRA-E fest.

CRA-Update – Episode 2: Wer sind die Adressaten des CRA-E?

In Kapitel II legt der CRA-E eine Vielzahl an Pflichten für „Wirtschaftsakteure“ fest. Hierzu zählen gemäß Art. 3 Nr. 17 CRA-E Hersteller, Bevollmächtigte, Einführer und Händler von Produkten mit digitalen Elementen. Das erklärte Ziel der EU-Kommission lautet, sämtliche Akteure der Lieferkette von Produkten mit digitalen Elementen in die Verantwortung zu nehmen und dadurch ein erhöhtes Maß an Cybersicherheit über die gesamte Produktlebensdauer zu gewährleisten. Das Gros der Pflichten wird dabei dem Hersteller auferlegt, was insbesondere dem Umstand Rechnung trägt, dass dieser die Entwicklung des Produkts mit digitalen Elementen maßgeblich steuert, dessen Eigenschaften festlegt und somit die immanenten Cybersicherheitsrisiken beeinflussen kann.

CRA-Update – Episode 1: Welche Produkte fallen in den Anwendungsbereich des CRA-E?

Der derzeitige Entwurf sieht gemäß ErwG 7 und Art. 2 Abs. 1 CRA-E vor, dass die Verordnung für Produkte mit digitalen Elementen gilt, deren bestimmungsgemäße oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.