Dr. Marc Ruttloff, RA, Prof. Dr. Eric Wagner, RA, und Moritz Stilz, LL.M. (Duke), RA

Der Entwurf des Cyber Resilience Act (CRA) und seine Auswirkungen auf das Gewährleistungs- und Produkthaftungsrecht

Ende November 2023 wurden die Trilog-Verhandlungen über den Vorschlag eines Cyber Resilience Act abgeschlossen. Am 12.3.2024 hat das EU-Parlament den Cyber Resilience Act (im Folgenden CRA-E) verabschiedet. Damit rückt die Anwendbarkeit des von der EU geplanten horizontalen Rechtsrahmens über umfassende Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen näher. Die Relevanz des Rechtsakts reicht weit über die Verpflichtung zur Umsetzung konkreter Cybersicherheitsanforderungen hinaus. Der CRA-E wird zudem auch weitreichende Auswirkungen auf das Gewährleistungs- und das Produkthaftungsrecht haben. Betroffene Wirtschaftsakteure sollten daher für die veränderten Maßstäbe der zivilrechtlichen Haftung sensibilisiert sein.

I. Einleitung

Am 15.9.2022 veröffentlichte die EU-Kommission ihren “Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnung (EU) 2019/1020”. Mit diesem begegnet die EU-Kommission der Problematik der zunehmenden erfolgreichen Cyberangriffe. Am 12.3.2024 verabschiedete das EU Parlament den Cyber Resilience Act (im Folgenden CRA-E). Die Dimension der Problematik wird deutlich, wenn man sich vor Augen führt, dass durch solche Cyberangriffe jährlich Kosten bis zu 5,5 Billionen Euro verursacht werden. Zwar gibt es bereits bestehende Rechtsakte, die bereichsspezifisch wirken, z. B. die NIS2-Richtlinie, dennoch fehlt es an einem horizontalen Rechtsrahmen der EU, der umfassende Cybersicherheitsanforderungen für alle Produkte mit digitalen Elementen festlegt (“legislativer Flickenteppich”, Erwägungsgrund 4 CRA-E). Dieser Rechtsrahmen soll nun durch den CRA bereitgestellt werden. Der CRA regelt als lex generalis neue Anforderungen an Produkte mit digitalen Elementen und statuiert Pflichten für alle Wirtschaftsakteure entlang der Wertschöpfungskette. Der Kommissionsentwurf hat in der Aufsatzliteratur bereits einiges an Resonanz erfahren. Auch die sich aufdrängende produktsicherheitsrechtliche Perspektive wurde bereits beleuchtet. Dieser Beitrag zur Diskussion setzt den Schwerpunkt bei den Schnittstellen zum Gewährleistungs- und zum Produkthaftungsrecht. Vor diesem Hintergrund werden zunächst die neuen Anforderungen des CRA-E dargestellt und sodann ihre Auswirkungen auf die potentiellen Haftungskonstellationen bewertet.