Rollenwechsel
Die Rolle in der Lieferkette ist nicht fest. Wer ein fremdes Produkt umlabelt oder wesentlich verändert, übernimmt die Pflichten des Herstellers, einschließlich der Meldepflicht.
Rollenwechsel bedeutet, dass ein Importeur, Händler oder sonstiger Dritter als Hersteller gilt, weil er ein Produkt unter eigenem Namen vermarktet oder wesentlich verändert hat. Mit der Rolle wechseln auch alle Pflichten.
Definition in der Verordnung
Artikel 21 der Verordnung (EU) 2024/2847 regelt den Fall für Importeure und Händler. Sie gelten als Hersteller im Sinne der Artikel 13 und 14, wenn sie ein Produkt unter eigenem Namen oder eigener Marke in Verkehr bringen. Dasselbe gilt, wenn sie eine wesentliche Änderung an einem bereits in Verkehr gebrachten Produkt vornehmen. Artikel 22 Absatz 1 erfasst jede andere Person, die eine wesentliche Änderung vornimmt und das Produkt bereitstellt. Nach Artikel 22 Absatz 2 gelten die Pflichten dann für den geänderten Teil oder, wenn die Cybersicherheit des Produkts insgesamt berührt ist, für das gesamte Produkt. Als Hersteller unterliegen die Betroffenen dem höheren Bußgeldrahmen nach Artikel 64 Absatz 2: bis 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Was das für Hersteller bedeutet
Der häufigste Fall im Mittelstand ist die Eigenmarke: Ein Systemhaus verkauft eine fremde Firewall unter eigenem Namen und ist damit Hersteller eines wichtigen Produkts der Klasse II, mit eigener Konformitätsbewertung durch eine notifizierte Stelle. Der zweite Fall ist die Änderung: Wer ein Produkt um eine Fernverbindung erweitert oder seine Zweckbestimmung ändert, bringt es neu in Verkehr und trägt die Pflichten für diesen Teil. Ein reiner Sicherheitsfix löst den Wechsel nicht aus. Wer die Rolle wechselt, übernimmt auch die Meldepflicht nach Artikel 14 und braucht eine Meldeadresse, eine Rufkette und einen Zugang zur Single Reporting Platform.