Sektorale Ausnahmen
Nicht jedes vernetzte Produkt fällt unter den CRA. Wo die EU bereits sektorale Cybersicherheitsregeln hat, tritt die Verordnung zurück. Die Liste ist kurz und abschließend.
Sektorale Ausnahmen sind die Produktgruppen, die Artikel 2 des CRA vom Anwendungsbereich ausnimmt, weil ihre Cybersicherheit bereits in anderen EU-Rechtsakten geregelt ist oder weil sie der nationalen Sicherheit dienen. Für sie gelten die jeweiligen sektoralen Vorgaben.
Definition in der Verordnung
Artikel 2 Absatz 2 bis 8 nennt die Ausnahmen:
- Medizinprodukte nach der Verordnung (EU) 2017/745 und In-vitro-Diagnostika nach der Verordnung (EU) 2017/746
- Fahrzeuge im Rahmen der Typgenehmigung nach der Verordnung (EU) 2019/2144
- Produkte der zivilen Luftfahrt nach der Verordnung (EU) 2018/1139
- Schiffsausrüstung nach der Richtlinie 2014/90/EU
- Ersatzteile, die identische Komponenten ersetzen und nach denselben Spezifikationen gefertigt sind (Artikel 2 Absatz 6)
- Produkte, die ausschließlich für Zwecke der nationalen Sicherheit oder Verteidigung entwickelt oder zur Verarbeitung von Verschlusssachen bestimmt sind
Keine sektorale Ausnahme, sondern außerhalb des Produktbegriffs: reine Online-Dienste wie SaaS ohne Produkt beim Nutzer (Erwägungsgrund 12) und nicht gewerblich bereitgestellte freie und quelloffene Software.
Was das für Hersteller bedeutet
Die Ausnahme gilt für das Produkt, nicht für das Unternehmen. Ein Medizintechnikhersteller, der neben MDR-Produkten auch eine Verwaltungssoftware oder ein Laborgerät ohne Medizinzweck vertreibt, fällt mit diesen Produkten unter den CRA. Ein Zulieferer, dessen Steuergerät im Fahrzeug typgenehmigt ist, der dasselbe Modul aber auch an Maschinenbauer verkauft, ist für diese Lieferung CRA-Hersteller. Die Ersatzteil-Ausnahme greift nur bei identischen Teilen nach gleicher Spezifikation; ein verbessertes Nachfolgemodul ist ein neues Produkt. Wearables zur Gesundheitsüberwachung ohne MDR-Zulassung sind nicht ausgenommen, sondern wichtige Produkte der Klasse I. Im Zweifel hilft der Betroffenheitscheck bei der ersten Einordnung; die Entscheidung im Einzelfall bleibt eine juristische.
Verwandte Begriffe
- Produkt mit digitalen Elementen
- Freie und quelloffene Software
- Maschinenverordnung (EU) 2023/1230
- Funkanlagenrichtlinie (RED)