Ratgeber - Marktrollen
Wer gilt als Hersteller, Einführer oder Händler im CRA?
Nur der Hersteller meldet, alle anderen Rollen haben eigene Pflichten
Die Verordnung ordnet jede Pflicht einer Marktrolle zu. Wer die eigene Rolle falsch bestimmt, verwechselt deshalb nicht nur Begriffe, sondern verfehlt die Pflicht, die ihn tatsächlich trifft.
Die Kurzfassung
Der Hersteller entwickelt das Produkt und trägt die Meldepflicht
Der Hersteller ist die Person, die das Produkt mit digitalen Elementen entwickelt oder herstellen lässt und unter ihrem eigenen Namen oder ihrer Marke anbietet. Nur für den Hersteller gelten die Meldepflichten des Artikels 14. Der Einführer bringt ein Produkt aus einem Drittland auf dem EU-Markt bereit, der Händler hält es dort zum Verkauf bereit. Beide haben eigene Sorgfaltspflichten, aber keine Meldepflicht nach Artikel 14.
GrundlageArt. 14 Abs. 1 CRAArt. 3 Nr. 1 CRA
Die Übersicht
Die vier Marktrollen und ihre Pflichten im Vergleich
| Rolle | Woran man sie erkennt | Meldepflicht Art. 14 | Eigene Pflichten |
|---|---|---|---|
| Hersteller | Entwickelt oder lässt entwickeln, bietet unter eigenem Namen an | ja | Sichere Entwicklung, Konformität, Meldung, Nutzerinformation |
| Einführer | Bringt ein Produkt aus einem Drittland mit EU-Sitz auf den Markt | nein | Sorgfalt bei der Auswahl, Lagerung und Weiterleitung, Produktsicherheit im eigenen Bereich |
| Händler | Hält das Produkt zum Verkauf, zur Vermietung oder zum Leasing bereit | nein | Produktsicherheit im eigenen Bereich, Weitergabe von Informationen |
| Bevollmächtigter | Wird vom Hersteller schriftlich benannt, vertritt ihn in der Union | nein | Vom Mandat umfasste Aufgaben, etwa die Bereitstellung der technischen Dokumentation |
Die Rollen schließen sich nicht aus. Ein Softwarehaus kann für das eigene Produkt Hersteller sein und gleichzeitig Händler einer Komponente eines anderen Herstellers. In diesem Fall prüft es die Pflichten je Produkt getrennt, weil die Verordnung an das Produkt anknüpft.
Der häufigste Sonderfall
Wer meldet, wenn eine Agentur die Software entwickelt hat?
Die Rolle richtet sich nach dem Auftritt am Markt
Eine Software-Agentur, die ein Produkt im Auftrag entwickelt und der Auftraggeber es unter seinem eigenen Namen anbietet, ist nicht Hersteller. Der Auftraggeber trägt die Herstellerverantwortung, weil er das Produkt unter seinem Namen auf den Markt bringt. Die Meldepflicht des Artikels 14 liegt deshalb beim Auftraggeber.
Praktisch heißt das: Der Auftraggeber braucht vertragliche Zusagen über Schwachstellen und Vorfallinformationen, weil er ohne sie seine eigenen Fristen nicht einhalten kann. Wer die Kenntnis nicht bekommt, verpasst dennoch die Frist, denn die Frist läuft ab Kenntnis des Herstellers, nicht ab Kenntnis seines Dienstleisters.
GrundlageArt. 14 Abs. 1 CRAArt. 14 Abs. 2 Buchst. a CRA
Die Frist läuft ab Kenntnis des Herstellers. Wer die Kenntnis auslagert, lagert die Frist nicht aus.
Drittlandhersteller
Ohne EU-Niederlassung greift eine Kaskade über Bevollmächtigten, Einführer und Händler
Wer meldet, wenn der Hersteller außerhalb der Union sitzt
Ein Hersteller ohne Niederlassung in der Union benennt einen Bevollmächtigten, der die Aufgaben der Meldepflicht übernimmt. Gibt es keinen, läuft eine Kaskade über Einführer und Händler bis zur Zahl der Nutzer. Welches CSIRT zuständig ist, richtet sich nach dem Mitgliedstaat, in dem die Entscheidungen über die Cybersicherheit der Produkte überwiegend getroffen werden.
GrundlageArt. 14 Abs. 7 CRA
Vertiefung