Anwendungsbereich
Hersteller, Einführer oder Händler: welche Rolle Ihnen zufällt
Veröffentlicht am . Geprüft anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Die Cyberresilienz-Verordnung fragt nicht danach, wie sich Ihr Unternehmen selbst nennt. Sie fragt, was Sie mit einem Produkt mit digitalen Elementen tun, sobald es auf den Unionsmarkt gelangt, und ordnet Sie einer von drei Rollen zu. Die Rolle entscheidet über die Pflichten, und die Pflichten entscheiden über fast alles Weitere.
Drei Begriffsbestimmungen, in dieser Reihenfolge gelesen
„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“
„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person“
„eine natürliche oder juristische Person in der Lieferkette, die ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereitstellt, mit Ausnahme des Herstellers oder des Einführers“
Zusammen gelesen ergeben die drei Begriffsbestimmungen einen Entscheidungsbaum. Trägt das Produkt Ihren Namen oder Ihre Marke? Dann sind Sie der Hersteller. Trägt es den Namen einer außerhalb der Union ansässigen Partei, und bringen Sie es als Erste auf dem Unionsmarkt in Verkehr? Dann sind Sie der Einführer. Sind Sie weder das eine noch das andere und geben Sie das Produkt ohne Änderung seiner Eigenschaften weiter? Dann sind Sie der Händler.
Maßgeblich ist der Name auf dem Produkt, nicht die Arbeit dahinter
Die Wendung „die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt“ trägt in Artikel 3 Nummer 13 das meiste Gewicht. Sie können jede Zeile Code vergeben, kein eigenes Bausystem betreiben und niemanden für die Entwicklung beschäftigen und sind gleichwohl der Hersteller, weil Sie das Ergebnis unter Ihrem Namen vermarkten.
Dieselbe Begriffsbestimmung sagt außerdem „sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“. Eine kostenlose Stufe, eine werbefinanzierte Anwendung und ein verschenktes Installationsprogramm sind allesamt vermarktete Produkte. Der Preis ist nicht maßgeblich.
Was ein Hersteller schuldet
Beim Hersteller liegen die inhaltlichen Anforderungen: die grundlegenden Cybersicherheitsanforderungen des Anhangs I, die Behandlung von Schwachstellen nach Artikel 13, die technische Dokumentation, die Software-Stückliste, der erklärte Unterstützungszeitraum, das Konformitätsbewertungsverfahren und die CE-Kennzeichnung ab dem 11. Dezember 2027 sowie die Meldepflichten des Artikels 14 ab dem 11. September 2026. Artikel 14 trägt die Überschrift „Meldepflichten der Hersteller“, und keine andere Rolle übermittelt unmittelbar nach dieser Vorschrift.
Was ein Einführer schuldet
Der Einführer ist Torwächter, nicht Urheber. Artikel 19 macht das greifbar.
„Die Einführer bringen nur Produkte mit digitalen Elementen in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen“
Der Einführer prüft, ob der Hersteller seine Arbeit getan hat: ob das Konformitätsbewertungsverfahren durchgeführt wurde, ob die technische Dokumentation vorliegt, ob die CE-Kennzeichnung angebracht ist. Der Einführer muss außerdem auffindbar sein.
„Die Einführer geben ihren Namen, ihren eingetragenen Handelsnamen oder ihre eingetragene Handelsmarke“
Und der Einführer trägt zwei eigene Informationspflichten.
„Sobald die Einführer von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“
„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Einführer zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie das Produkt mit digitalen Elementen auf dem Markt bereitgestellt haben“
Was ein Händler schuldet
Der Maßstab für den Händler ist die gebührende Sorgfalt, und er ist auf dieser Ebene der Allgemeinheit formuliert.
„befolgen die Händler die Vorschriften dieser Verordnung mit der gebührenden Sorgfalt“
In der Praxis heißt das, vor der Weitergabe zu prüfen, ob die CE-Kennzeichnung angebracht ist und ob die erforderlichen Unterlagen dem Produkt beiliegen. Die beiden Informationspflichten entsprechen denen des Einführers.
„Sobald die Händler von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“
„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Händler zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten“
Die drei Rollen nebeneinander
| Rolle | Der Maßstab | Kernpflichten |
|---|---|---|
| Hersteller | Vermarktet das Produkt unter dem eigenen Namen oder der eigenen Marke, ob im Haus entwickelt oder in Auftrag gegeben, gegen Bezahlung oder unentgeltlich (Art. 3 Nummer 13) | Grundlegende Anforderungen des Anhangs I, Behandlung von Schwachstellen nach Art. 13, technische Dokumentation, Software-Stückliste, Unterstützungszeitraum, Konformitätsbewertungsverfahren, CE-Kennzeichnung, Meldung nach Art. 14 |
| Einführer | In der Union ansässig, bringt ein Produkt unter dem Namen oder der Marke einer außerhalb der Union ansässigen Partei auf dem Unionsmarkt in Verkehr (Art. 3 Nummer 16) | Nur konforme Produkte in Verkehr bringen, Konformitätsbewertungsverfahren und Unterlagen prüfen, den eigenen Namen angeben, den Hersteller über Schwachstellen informieren, bei erheblichem Risiko die Marktüberwachungsbehörden unterrichten (Art. 19) |
| Händler | In der Lieferkette, weder Hersteller noch Einführer, stellt das Produkt ohne Änderung seiner Eigenschaften bereit (Art. 3 Nummer 17) | Mit gebührender Sorgfalt handeln, CE-Kennzeichnung und Unterlagen prüfen, den Hersteller über Schwachstellen informieren, bei erheblichem Risiko die Marktüberwachungsbehörden unterrichten (Art. 20) |
Umfirmierung und Eigenmarken ändern Ihre Rolle
Diese Vorschrift übersehen Wiederverkäufer.
„Ein Einführer oder Händler gilt für die Zwecke dieser Verordnung als Hersteller und unterliegt den in den Artikeln 13 und 14 genannten Pflichten, wenn dieser Einführer oder Händler ein Produkt mit digitalen Elementen unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt mit digitalen Elementen vornimmt.“
Zwei Auslöser, und jeder genügt für sich. Wer das eigene Zeichen auf fremde Software setzt und sie als eigene verkauft, trägt für sie die Behandlung von Schwachstellen und die Uhr der Meldepflicht. Wer ein bereits in Verkehr gebrachtes Produkt so ändert, dass die Konformität mit den grundlegenden Cybersicherheitsanforderungen des Anhangs I Teil I berührt wird oder sich der bestimmungsgemäße Zweck ändert, für den es geprüft wurde, steht vor derselben Folge.
Am härtesten trifft das Geschäfte mit Eigenmarken, denn die kaufmännische Abrede sagt dort meist, um die Sicherheit kümmere sich der vorgelagerte Anbieter. Die Verordnung liest Ihren Vertrag nicht. Sie liest den Namen auf dem Produkt.
Verwalter quelloffener Software sind eine vierte Kategorie
Erwägungsgrund 18 der Verordnung nimmt das Beitragen von Quellcode aus, und Artikel 3 benennt eine eigene Rolle für die organisierte Verwaltung.
„Diese Verordnung gilt nicht für natürliche oder juristische Personen, die mit Quellcode zu Produkten mit digitalen Elementen beitragen, die als freie und quelloffene Software eingestuft sind und nicht ihrer Verantwortung unterliegen.“
„eine juristische Person, bei der es sich nicht um einen Hersteller handelt, die den Zweck oder das Ziel hat, die Entwicklung spezifischer Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig zu unterstützen, und die die Brauchbarkeit dieser Produkte sicherstellt“
Die Pflicht eines Verwalters wiegt leichter als die eines Herstellers, und sie ist eine Pflicht zur Dokumentation.
„Verwalter quelloffener Software entwickeln und dokumentieren auf überprüfbare Weise eine Cybersicherheitsstrategie, um die Entwicklung eines sicheren Produkts mit digitalen Elementen sowie einen wirksamen Umgang mit Schwachstellen durch die Entwickler dieses Produkts zu fördern.“
Die Grenze zwischen Verwalter und Hersteller verläuft entlang der Geschäftstätigkeit: quelloffene Software, die zum Vertrieb oder zur Verwendung im Rahmen einer Geschäftstätigkeit abgegeben wird, wird behandelt wie jedes andere Produkt auf dem Markt. Das Scharnier ist Artikel 3 Nummer 22, die Bereitstellung auf dem Markt.
„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“
Erwägungsgrund 18 stellt fest, dass freie und quelloffene Software, die ihr Hersteller nicht monetarisiert, nicht im Rahmen einer Geschäftstätigkeit abgegeben wird. Erwägungsgrund 15 zählt auf, was eine Abgabe zu einer geschäftlichen machen kann: ein Preis, eine bezahlte Unterstützung über die Erstattung der tatsächlichen Kosten hinaus, eine Absicht zur Monetarisierung, eine Bedingung, die personenbezogene Daten betrifft, oder Spenden, die die Kosten übersteigen.
Artikel 64 ordnet die Rahmen für Geldbußen nach der Pflicht zu, nicht nach der Rolle. Verstöße gegen die grundlegenden Cybersicherheitsanforderungen des Anhangs I und gegen die Artikel 13 und 14 liegen im höchsten Rahmen (Art. 64 Abs. 2), die Pflichten der Einführer und der Händler nach den Artikeln 19 und 20 im nächsten (Art. 64 Abs. 3), und ein dritter Rahmen erfasst falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen und Marktüberwachungsbehörden (Art. 64 Abs. 4). Jeder davon ist ein Höchstwert: der Betrag in Euro oder ein Anteil am gesamten weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Das beschreibt den Aufbau des Rechtsakts, sachlich, und sagt nichts über Ihr Unternehmen voraus.
Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.