CRA-Check

Dieser Fragebogen ist bewusst auf Hersteller ausgerichtet. Wenn Sie ein Produkt aus einem Drittland unter der Identität des ursprünglichen Lieferanten in den EU-Markt einführen, handeln Sie normalerweise als Importeur und nicht als Hersteller. Importeurspflichten werden gesondert in Artikel 19 behandelt.

Der CRA kann einen Importeur dennoch in die Herstellerrolle bringen, wenn der Importeur das Produkt unter eigenem Namen oder eigener Marke in Verkehr bringt oder wenn spätere Leitlinien eine Änderung als wesentliche Veränderung behandeln. Wenn das Ihre Situation ist, führen Sie diese Einschätzung erneut aus Herstellerperspektive durch.

Ein Händler stellt ein Produkt normalerweise weiter entlang der Lieferkette bereit, ohne Hersteller oder Importeur zu sein. Das ist eine engere Rolle als die Herstellerrolle aus Artikel 3.

Der CRA kann auch für Händler relevant sein, aber diese Einschätzung ist nur für Hersteller gedacht.

Artikel 24 schafft ein leichteres Regime für Open-Source-Software-Stewards. Dieser Pfad unterscheidet sich vom vollständigen Hersteller-Pfad und richtet sich an juristische Personen, die Open-Source-Software für kommerzielle Tätigkeiten systematisch unterstützen, ohne das Produkt selbst als Hersteller in Verkehr zu bringen.

Wenn Sie auch ein Produkt mit digitalen Elementen unter eigenem Namen oder eigener Marke vermarkten, können Sie dennoch Hersteller nach Artikel 3 sein und sollten den Hersteller-Pfad verwenden.

Der CRA beginnt mit Rollendefinitionen wie Hersteller, Importeur, Händler und Open-Source-Software-Steward. Diese Definitionen stehen in Artikel 3, mit zusätzlichen rollenspezifischen Pflichten in Vorschriften wie Artikel 19 und Artikel 24.

Wenn Sie nicht sagen können, ob Sie das Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen, sollten Sie diesen Punkt klären, bevor Sie sich auf die weitere Klassifikationslogik verlassen.

Artikel 2 wendet den CRA auf Produkte mit digitalen Elementen an, die in Verkehr gebracht werden. Wenn das Produkt nicht im Rahmen einer geschäftlichen Tätigkeit auf dem EU-Markt in Verkehr gebracht wird, gilt die Verordnung nicht.

Dies sollte erneut geprüft werden, wenn sich das Vertriebsmodell ändert, zum Beispiel wenn das Produkt später für Kundinnen, Kunden oder Geschäftsnutzer in der EU verfügbar wird.

Der zentrale Anwendungsbereichsbegriff in Artikel 2 ist das Produkt mit digitalen Elementen. Artikel 3 erklärt, dass dies Softwareprodukte, Hardwareprodukte mit Software oder Firmware und zugehörige Fernverarbeitungslösungen umfasst, wenn diese für die Funktionen des Produkts erforderlich sind.

Wenn Ihr Produkt wirklich keine Software, keine Firmware und keine notwendige digitale Fernfunktionalität hat, liegt es normalerweise außerhalb des CRA.

Der CRA zielt auf Produkte mit digitalen Elementen, nicht auf jeden digitalen Dienst. Artikel 2 und die Produktdefinition in Artikel 3 bleiben dennoch relevant, weil einige Fernverarbeitungslösungen im CRA bleiben, wenn sie notwendig sind, damit das Produkt seine Funktionen erfüllt.

Wenn das Angebot nur eine Website, ein gehosteter Dienst oder ein SaaS-Produkt ist und kein reguliertes Produkt von dieser Fernverarbeitung abhängt, um zu funktionieren, gilt der CRA-Hersteller-Pfad normalerweise nicht.

Artikel 2(2) nimmt mehrere Bereiche vom CRA aus.

Wenn Ihr Produkt vollständig unter eine dieser Ausnahmen fällt, sollten Sie den sektorspezifischen Regeln folgen, statt sich auf den CRA-Hersteller-Pfad zu stützen.

Artikel 8 und Anhang IV beschreiben kritische Produkte mit digitalen Elementen. Dies sind die Kategorien mit dem höchsten Risiko im CRA-Rahmen, etwa bestimmte sichere Hardwaregeräte, Smart-Meter-Gateways und Smartcards oder ähnliche sichere Elemente.

Die kritische Einstufung ändert die grundlegenden Herstellerpflichten nicht: Sie benötigen weiterhin die Risikobewertung über den Lebenszyklus aus Artikel 13, die wesentlichen Cybersicherheitsanforderungen aus Anhang I und die technische Dokumentation nach Anhang VII. Sie ändert aber den Konformitätsbewertungsweg nach Artikel 32, der hier die anspruchsvollste Stufe ist.

Artikel 7 und Anhang III teilen wichtige Produkte mit digitalen Elementen in Klasse I und Klasse II. Klasse II enthält die kleinere Gruppe sensiblerer Kategorien, etwa Hypervisoren, Container-Runtimes, Firewalls, IDS/IPS-Produkte und bestimmte manipulationsresistente Chips.

Der Grundgedanke bleibt gleich: Der CRA gilt, weil das Produkt im Anwendungsbereich liegt, und der Hersteller muss dieselbe Grundlagenarbeit zu Cybersicherheitsrisiko, wesentlichen Anforderungen, Schwachstellenbehandlung und Dokumentation leisten. Der Unterschied liegt im Konformitätsbewertungsweg nach Artikel 32, wo Klasse II oberhalb des Standardpfads und oberhalb des leichteren Klasse-I-Pfads liegt.

Nach Artikel 7 und Anhang III scheint das Produkt in eine wichtige Klasse-I-Kategorie zu fallen. Klasse I umfasst Kategorien wie Betriebssysteme, Browser, Passwortmanager, VPN-Produkte, Router, Smart-Home-Sicherheitsprodukte und weitere in Anhang III gelistete Produkte.

Wenn anwendbare harmonisierte Normen für die CRA-Anforderungen verwendet werden, erlaubt Artikel 32 den einfacheren Konformitätsbewertungsweg innerhalb von Klasse I. Das entfernt die zugrunde liegenden Herstellerpflichten nicht: Sie benötigen weiterhin Risikobewertung, wesentliche Anforderungen, Schwachstellenbehandlung, Überlegungen zum Support-Zeitraum und technische Dokumentation.

Das Produkt scheint nach Artikel 2 im Anwendungsbereich zu liegen, passt aber nicht offensichtlich zu den Kategorien wichtiger Produkte in Anhang III oder zu den Kategorien kritischer Produkte in Anhang IV. Das bedeutet normalerweise, dass das Produkt in der Standardstufe des CRA bleibt.

Auch in der Standardstufe hat der Hersteller erhebliche Pflichten: die Cybersicherheits-Risikobewertung über den Lebenszyklus in Artikel 13, die wesentlichen Anforderungen in Anhang I, die Dokumentation in Anhang VII und den Konformitätsbewertungsweg in Artikel 32.

Die frühen Antworten deuten darauf hin, dass der CRA relevant sein kann, aber die Produktklasse ist noch unklar. Nach dem CRA sollte die Klassifikation der Kernfunktion des fertigen Produkts folgen und dann gegen Anhang III und Anhang IV geprüft werden.

Wenn Sie nicht sicher bestimmen können, ob das Produkt zu einer kritischen Kategorie, einer wichtigen Klasse-II-Kategorie, einer wichtigen Klasse-I-Kategorie oder zu keiner davon gehört, sollten Sie dies als rechtliche und technische Klassifikationsfrage behandeln, statt zu raten.