Marktüberwachung
Die Verordnung wird nicht von Brüssel aus durchgesetzt, sondern von nationalen Behörden am Markt. Ihre Werkzeuge reichen von der Aufforderung zur Korrektur bis zum Rückruf. Für Hersteller ist das wirtschaftliche Risiko eines Verkaufsstopps meist größer als das Bußgeld.
Marktüberwachung ist die Aufsicht nationaler Behörden über Produkte, die bereits auf dem Markt sind: Sie prüfen die Einhaltung der Verordnung, fordern Unterlagen an, verlangen Korrekturen und können Produkte vom Markt nehmen oder zurückrufen lassen.
Definition in der Verordnung
Die Marktüberwachung regeln Artikel 52 bis 60 der Verordnung (EU) 2024/2847; ergänzend gilt die Verordnung (EU) 2019/1020. Nach Artikel 53 erhalten Behörden auf begründeten Antrag Zugang zu Daten und Dokumentation. Nach Artikel 54 fordern sie bei erheblichem Cybersicherheitsrisiko Korrekturmaßnahmen in angemessener Frist und können bei Untätigkeit Bereitstellung untersagen, einschränken, Rücknahme oder Rückruf anordnen. Artikel 57 erlaubt Maßnahmen auch bei formal konformen Produkten mit erheblichem Risiko, Artikel 58 bei formaler Nichtkonformität wie fehlender CE-Kennzeichnung oder Konformitätserklärung. Nach Artikel 60 führen Behörden koordinierte Kontrollen (Sweeps) zu bestimmten Produktkategorien durch, auch mit verdeckten Testkäufen; die ENISA kann dafür Kategorien aus den Meldungen nach Artikel 14 vorschlagen. Die Vorschriften gelten nach Artikel 71 Absatz 2 ab dem 11. Dezember 2027.
Was das für Hersteller bedeutet
Hersteller müssen nach Artikel 13 Absatz 21 selbst Korrekturmaßnahmen bis hin zur Rücknahme ergreifen, wenn ein Produkt nicht konform ist, und nach Absatz 22 mit den Behörden zusammenarbeiten und Informationen herausgeben. Bei der Aufsicht über die Meldepflicht arbeiten Marktüberwachung, CSIRTs und ENISA zusammen (Artikel 52 Absatz 4); Datenschutzbehörden können CRA-Unterlagen anfordern (Absatz 7). In Deutschland soll das BSI die zentrale Marktüberwachungsbehörde werden, mit Beschwerdestelle für Verbraucher; der Gesetzentwurf ist am 7. Oktober 2026 nicht verkündet. Die Instrumente entsprechen denen der Produktsicherheit: Aufforderung, Verkaufsverbot, Rückruf. Wer Kenntniszeitpunkte, Meldungen und Nutzerinformation lückenlos protokolliert, hat im Prüfungsfall die Nachweise bereit.