CRA-Bevollmächtigte: Aufgaben, Grenzen und schriftliches Mandat nach Artikel 18

Ein Hersteller kann nach Artikel 18 des Cyber Resilience Act einen in der EU niedergelassenen Bevollmächtigten durch schriftliches Mandat bestellen. Der Bevollmächtigte kann insbesondere Dokumente für die Marktüberwachung bereithalten, Behördenanfragen beantworten und bei Maßnahmen zur Risikobeseitigung kooperieren. Die zentralen Herstellerpflichten für sichere Entwicklung, Risikobewertung und Schwachstellenbehandlung lassen sich dadurch jedoch nicht auf den Bevollmächtigten übertragen.

Einordnung im CRA-Wissen: Dieser Fachartikel gehört zum Themenbereich Rollen & Pflichten. Dort finden Sie die angrenzenden Anforderungen und eine praktische Reihenfolge für die Umsetzung.

Was ist ein Bevollmächtigter nach dem CRA?

Ein Bevollmächtigter ist eine in der Union niedergelassene natürliche oder juristische Person, die vom Hersteller schriftlich beauftragt wird, bestimmte Aufgaben in dessen Namen wahrzunehmen. Entscheidend ist das Mandat: Ohne schriftliche Beauftragung entsteht keine CRA-Bevollmächtigung im Sinne von Artikel 18.

Der Bevollmächtigte ist von Importeur und Händler zu unterscheiden. Ein Importeur bringt ein Produkt eines außerhalb der EU ansässigen Herstellers in der Union in Verkehr. Ein Händler stellt ein Produkt in der Lieferkette bereit. Der Bevollmächtigte dagegen übernimmt definierte Aufgaben im Namen des Herstellers, ohne dadurch automatisch selbst zum Importeur oder Hersteller zu werden.

Ist ein CRA-Bevollmächtigter für Hersteller außerhalb der EU Pflicht?

Artikel 18 formuliert die Bestellung als Möglichkeit: Ein Hersteller kann einen Bevollmächtigten benennen. Daraus folgt keine allgemeine CRA-Pflicht, wonach jeder Drittstaatenhersteller zwingend einen Bevollmächtigten einsetzen müsste.

Praktisch kann ein EU-Bevollmächtigter trotzdem sinnvoll sein, wenn Hersteller eine verlässliche Schnittstelle zu europäischen Marktüberwachungsbehörden benötigen oder Dokumente innerhalb der Union verfügbar halten möchten. Ein Bevollmächtigter ersetzt jedoch nicht die Rolle eines Importeurs, wenn tatsächlich ein Importeur im Sinne des CRA vorhanden ist.

Welche Aufgaben muss das Mandat mindestens ermöglichen?

Das Mandat muss dem Bevollmächtigten mindestens drei Aufgaben ermöglichen: Dokumente bereithalten, Behördeninformationen liefern und mit Marktüberwachungsbehörden bei Risikomaßnahmen kooperieren.

Wie lange müssen Unterlagen verfügbar gehalten werden?

Die EU-Konformitätserklärung und die technische Dokumentation müssen mindestens zehn Jahre nach dem Inverkehrbringen oder für die Dauer des Supportzeitraums verfügbar sein – maßgeblich ist der längere Zeitraum.

Das ist organisatorisch relevant, weil der Supportzeitraum bei langlebigen Produkten mehr als zehn Jahre betragen kann. Hersteller und Bevollmächtigter müssen daher regeln, wer die Unterlagen speichert, in welchem Format sie erhalten bleiben und wie Versionen eindeutig dem Produkt zugeordnet werden.

Die Anforderungen an die Dauer des Produktsupports behandelt unser Beitrag zum CRA-Supportzeitraum.

Welche Herstellerpflichten dürfen nicht übertragen werden?

Die technischen und organisatorischen Kernpflichten des Herstellers aus Artikel 13 Absätze 1 bis 11, Artikel 13 Absatz 12 erster Unterabsatz sowie Absatz 14 dürfen nicht Teil des Mandats sein. Der Hersteller kann diese Verantwortung also nicht durch Vertrag auslagern.

Zu diesen Kernbereichen gehören insbesondere die grundlegende Produktkonformität, die Cybersicherheitsrisikobewertung, die Berücksichtigung der Anforderungen im Produktlebenszyklus, Prozesse zur Schwachstellenbehandlung und die Sicherstellung fortlaufender Konformität bei Serienprodukten.

Die praktische Herstellerverantwortung ist ausführlich unter CRA-Herstellerpflichten beschrieben.

Kann der Bevollmächtigte die CRA-Risikobewertung erstellen?

Ein Dienstleister oder Bevollmächtigter kann den Hersteller fachlich unterstützen. Die gesetzliche Kernverantwortung für die Risikobewertung verbleibt jedoch beim Hersteller und kann nicht einfach Bestandteil des Mandats nach Artikel 18 werden.

Das ist ein wichtiger Unterschied zwischen Unterstützung und Verantwortungsübertragung. Ein externer Security-Berater kann Bedrohungsmodelle moderieren oder Dokumente vorbereiten. Der Hersteller muss trotzdem sicherstellen, dass die Bewertung produktbezogen korrekt ist und in Entwicklung, Herstellung und Wartung einfließt.

Wie eine belastbare Bewertung aufgebaut wird, zeigt CRA-Risikobewertung erstellen.

Kann der Bevollmächtigte Schwachstellenmeldungen übernehmen?

Die Kernpflichten nach Artikel 14 treffen den Hersteller. Ein Bevollmächtigter kann organisatorisch in Prozesse eingebunden werden, aber die gesetzliche Herstellerverantwortung für die Meldepflichten wird nicht dadurch beseitigt, dass ein Dritter Kommunikation unterstützt.

Hersteller sollten deshalb klar festlegen, wer technische Bewertung, Entscheidungsfreigabe und Meldung vorbereitet. Die kurze Frist von 24 beziehungsweise 72 Stunden verlangt eine eindeutige Eskalation. Der Beitrag zu den CRA-Meldepflichten beschreibt den Ablauf.

Was sollte im schriftlichen Mandat konkret stehen?

Das Mandat sollte nicht nur den Satz enthalten, dass eine Person „als Bevollmächtigter fungiert“. Es sollte Aufgaben, Produktumfang, Dokumentenzugriff und Kommunikationswege konkret definieren.

1. Hersteller und Bevollmächtigten eindeutig bezeichnen: vollständige Firmen- und Kontaktdaten.
2. Produkte festlegen: Produktfamilien, Typen oder Versionen benennen.
3. Mandatsumfang beschreiben: Aufgaben einzeln aufführen.
4. Nicht übertragbare Pflichten abgrenzen: technische Herstellerkernpflichten ausdrücklich beim Hersteller belassen.
5. Dokumentenzugriff regeln: Ablageort, Versionskontrolle und Aufbewahrungszeit bestimmen.
6. Behördenkommunikation definieren: wer antwortet, wer freigibt, welche Fristen intern gelten.
7. Risikokooperation festlegen: Rückruf, Warnhinweise und Behördenmaßnahmen abbilden.
8. Änderungsprozess regeln: Produktänderungen und neue Versionen müssen im Mandat berücksichtigt werden.
9. Beendigung des Mandats vorbereiten: Übergabe der Dokumentation und offene Behördenvorgänge klären.

Muss der Bevollmächtigte das Mandat Behörden zeigen?

Ja. Auf Anfrage der Marktüberwachungsbehörden muss der Bevollmächtigte eine Kopie des Mandats vorlegen können.

Das spricht gegen informelle Konstruktionen. Die Vereinbarung sollte eindeutig, aktuell und unterschrieben sein. Bei mehreren Produktfamilien sollte nachvollziehbar sein, für welche Produkte das Mandat tatsächlich gilt. Eine allgemeine Konzernvollmacht ohne CRA-Bezug kann diese Klarheit unter Umständen nicht liefern.

Welche Dokumente sollte der Bevollmächtigte praktisch vorhalten?

Mindestens die EU-Konformitätserklärung und die technische Dokumentation müssen für Marktüberwachungsbehörden verfügbar sein. Praktisch ist ein strukturierter Dokumentenindex sinnvoll, der auf die vollständigen Nachweise verweist.

Dazu können Produktbeschreibung, Softwareversionen, Risikobewertung, Architekturunterlagen, Testnachweise, angewandte Normen, SBOM-Verweise und Konformitätsunterlagen gehören. Nicht jedes Dokument muss ständig lokal als Kopie vorliegen, sofern der Zugriff zuverlässig und fristgerecht sichergestellt ist. Entscheidend ist die tatsächliche Verfügbarkeit.

Welche Rolle spielt die technische Dokumentation?

Die technische Dokumentation ist der Kernnachweis dafür, wie der Hersteller die CRA-Anforderungen erfüllt. Für den Bevollmächtigten ist deshalb nicht nur der Zugriff wichtig, sondern auch die eindeutige Zuordnung zum Produktstand.

Ein typischer Fehler wäre, dass der Bevollmächtigte eine Dokumentation für Version 3.1 bereithält, während Version 4.0 auf dem Markt ist. Deshalb sollten Dokumente über Produkt-ID, Version und Freigabestatus verbunden werden. Unsere Seite zur CRA-Konformitätsbewertung zeigt, wie diese Nachweise in den Gesamtprozess passen.

Wie reagiert der Bevollmächtigte auf eine Behördenanfrage?

Er sollte einen vorbereiteten Ablauf nutzen: Anfrage registrieren, Produkt identifizieren, benötigte Dokumente bestimmen, Hersteller informieren, fachliche Antwort freigeben und fristgerecht übermitteln.

Eine Behördenanfrage sollte nicht in einem allgemeinen Supportpostfach landen. Sinnvoll sind eine dedizierte Kontaktadresse, Stellvertretung und ein internes Zeitlimit, das deutlich kürzer ist als die externe Frist. So bleibt Zeit für Übersetzung, technische Prüfung und Freigabe.

Was bedeutet Kooperation bei der Beseitigung von Risiken?

Marktüberwachungsbehörden können Maßnahmen verlangen, wenn ein Produkt Risiken verursacht. Der Bevollmächtigte muss im Rahmen seines Mandats bei solchen Maßnahmen kooperieren.

Das kann die Bereitstellung von Produktinformationen, Abstimmung mit dem Hersteller, Unterstützung bei Warnhinweisen oder die Weitergabe von Informationen an Wirtschaftsakteure betreffen. Der Bevollmächtigte braucht deshalb einen echten Eskalationsweg zum Hersteller und darf nicht nur eine Briefkastenfunktion haben.

Ist ein externer Compliance-Dienstleister automatisch Bevollmächtigter?

Nein. Beratung, Dokumentenprüfung oder Unterstützung bei CE-Prozessen macht einen Dienstleister nicht automatisch zum Bevollmächtigten. Dafür ist ein schriftliches Mandat nach Artikel 18 erforderlich.

Umgekehrt sollte ein Unternehmen nicht versehentlich einen sehr weitgehenden Vertrag als CRA-Mandat verstehen, wenn der Dienstleister diese Rolle weder organisatorisch noch rechtlich übernehmen soll. Rollenbezeichnungen und Vertragszweck müssen zusammenpassen.

Was unterscheidet Bevollmächtigten und Importeur?

Der Bevollmächtigte handelt aufgrund eines schriftlichen Mandats im Namen des Herstellers. Der Importeur dagegen bringt ein Produkt eines außerhalb der EU ansässigen Herstellers auf den Unionsmarkt und hat eigene gesetzliche Prüfpflichten.

Ein und dasselbe Unternehmen kann theoretisch mehrere Rollen haben, doch die Pflichten müssen sauber getrennt werden. Die Rolle entscheidet sich an den tatsächlichen Tätigkeiten. Bei Drittstaatenprodukten sollte deshalb immer geprüft werden, wer Importeur ist und ob zusätzlich ein Bevollmächtigter existiert.

Welche typischen Fehler gibt es bei CRA-Mandaten?

Zu allgemeine Aufgabenbeschreibung

„Vertretung gegenüber Behörden“ ist für einen belastbaren Prozess oft zu ungenau. Dokumentenhaltung, Informationsbereitstellung und Risikokooperation sollten einzeln beschrieben sein.

Technische Herstellerpflichten übertragen wollen

Ein Vertrag kann die nicht übertragbaren Pflichten des Herstellers nicht aus Artikel 13 herauslösen.

Produktumfang nicht festlegen

Ohne klare Produktliste ist im Behördenfall unklar, ob das Mandat überhaupt greift.

Keine Langzeitarchivierung

Wenn Dokumente nach fünf Jahren verschwinden, obwohl der Supportzeitraum zwölf Jahre läuft, ist die gesetzlich erforderliche Verfügbarkeit nicht gewährleistet.

Keine Stellvertretung

Ein Bevollmächtigter, der bei Urlaub oder Personalwechsel nicht reagieren kann, ist praktisch keine belastbare Behördenstelle.

Wie sollte ein Hersteller 2026 vorgehen?

Hersteller sollten zunächst entscheiden, ob ein Bevollmächtigter für ihre Liefer- und Behördenstruktur überhaupt sinnvoll ist. Danach wird nicht vom Vertragstext, sondern vom Prozess aus gedacht: Welche Dokumente müssen verfügbar sein? Wer beantwortet Anfragen? Wie schnell kann der Hersteller technische Informationen liefern? Wer entscheidet bei einem Risiko?

Erst dann sollte das Mandat diese Abläufe abbilden. Für Unternehmen außerhalb der EU gehört parallel die Importeurstruktur in die Prüfung. Für europäische Hersteller kann ein Bevollmächtigter vor allem bei komplexen Konzern- oder Vertriebsstrukturen nützlich sein.

Was passiert beim Wechsel oder Ende des Bevollmächtigten?

Ein Wechsel des Bevollmächtigten darf keine Lücke bei Behördenkommunikation und Dokumentenverfügbarkeit erzeugen. Deshalb sollte schon im Mandat geregelt sein, wie EU-Konformitätserklärungen, technische Unterlagen, offene Behördenanfragen und Kontakthistorie an einen Nachfolger oder zurück an den Hersteller übergeben werden.

Besonders wichtig ist die Langzeitverfügbarkeit: Die Pflicht, Dokumente für zehn Jahre oder den längeren Supportzeitraum bereitzuhalten, verschwindet nicht, nur weil ein Dienstleistungsvertrag endet. Der Hersteller muss daher sicherstellen, dass er jederzeit Zugriff auf die vollständige Produktakte behält oder eine geregelte Übergabe erfolgt.

Welche Übergabepunkte sollte eine Exit-Regel enthalten?

Mindestens Produktliste, aktuelle Mandatsfassung, Behördenkontakte, offene Vorgänge, freigegebene Dokumentversionen und Zugang zu Langzeitarchiven sollten übergeben werden. Außerdem muss klar sein, ab welchem Datum der bisherige Bevollmächtigte nicht mehr nach außen handelt. Bei einem Wechsel sollte der Hersteller seine internen und externen Kontaktstellen unmittelbar aktualisieren.

Wo stehen die Regeln für CRA-Bevollmächtigte?

Die verbindlichen Anforderungen stehen in Artikel 18 der Verordnung (EU) 2024/2847 bei EUR-Lex. Für die praktische Umsetzung müssen Mandat, Produktumfang und Dokumentationsprozess aufeinander abgestimmt werden.