Produktsicherheit | CE-Kennzeichnung

Die Verordnung über die allgemeine Produktsicherheit (EU) 2023/988 gilt für alle Produkte, die in Verkehr gebracht oder auf dem Markt bereitgestellt werden, soweit für sie keine anderen spezifischen Sicherheitsbestimmungen bestehen. Darunter fallen auch gebrauchte, reparierte oder wiederaufgearbeitete Produkte. 

Sie gilt als “Dachregelung”. Wenn also in den spezielleren Vorschriften bestimmte Aspekte nicht geregelt sind, wie z.B. Cybersicherheit oder die Anwendung von KI (Künstliche Intelligenz), dann sind die in der GPSR geregelten Sicherheitsaspekte ergänzend anzuwenden. 

Ausgenommen sind allerdings: 

• Human- und Tierarzneimittel 
• Lebensmittel 
• Futtermittel 
• ​​​​​​​lebende Pflanzen und Tiere, genetisch veränderte Organismen und genetisch veränderte Mikroorganismen in geschlossenen Systemen sowie Erzeugnisse von Pflanzen und Tieren, die unmittelbar mit ihrer künftigen Reproduktion zusammenhängen 
• tierische Nebenprodukte und Folgeprodukte, 
• ​​​​​​​Pflanzenschutzmittel 
• Beförderungsmittel, mittels derer Verbraucher sich fortbewegen oder reisen und die von Dienstleistungserbringern im Rahmen einer Transportdienstleistung, die Verbrauchern erbracht wird, direkt bedient werden und nicht von den Verbrauchern selbst bedient werden 
• ​​​​​​​Luftfahrzeuge gemäß Artikel 2 Absatz 3 Buchstabe d der Verordnung (EU) 2018/1139 
• Antiquitäten 
• ​​​​​​​Produkte, die vor ihrer Verwendung repariert oder wiederaufgearbeitet werden müssen und eindeutig als solche gekennzeichnet sind 

Die Verordnung (EU) 2023/988 bezieht erstmals Online-Marktplätze mit ein. Neben Änderungen der Dokumentations- und Meldepflichten für Hersteller wurde der Rahmen der Wirtschaftsakteure erweitert. So wurden Fulfillment-Dienstleister und Anbieter von Online-Marktplätzen aufgenommen (Artikel 4). 

Anbieter von Online-Marktplätzen sind verpflichtet, sich beim Safety-Gate-Portal zu registrieren und Angaben zu ihrer zentralen Anlaufstelle zu hinterlegen. Darüber hinaus müssen sie interne Verfahren zur Gewährleistung der Produktsicherheit einführen, die die Einhaltung der einschlägigen Anforderungen der GPSR sicherstellen (Artikel 22). 

Um Verbraucher bzgl. sicherer Produktnutzung zu informieren (z. B. im Falle eines Produktsicherheitsrückrufs), müssen die Anbieter garantieren können, dass alle betroffenen Verbraucher ermittelt und informiert werden können. 

Wirtschaftsakteure und Anbieter von Online-Marktplätzen, die personenbezogene Daten ihrer Kunden erheben, können diese Daten für Rückrufe und Sicherheitswarnungen nutzen (Artikel 35). 

Kommt es zu einem Produktsicherheitsrückruf, sind Wirtschaftsakteure verpflichtet, Verbrauchern aus eigenem Antrieb wirksame, kostenfreie und zeitnahe Abhilfe in Form von zwei der folgenden Maßnahmen anzubieten (Artikel 37): 

• Reparatur des zurückgerufenen Produkts, 
• Ersatz des zurückgerufenen Produkts durch ein sicheres Produkt desselben Typs (mit identischem Wert und Qualität), 
• Angemessene Erstattung des Wertes des zurückgerufenen Produkts, sofern der Erstattungsbetrag mindestens dem gezahlten Preis entspricht. 

Rückrufanzeigen erfolgen dabei einer definierten Form (Artikel 36). 

Wirtschaftsakteure im Fernabsatz (Online-Händler) müssen ein online bereitgestelltes Produkt mit einem Minimum von eindeutigen Angaben gut sichtbar versehen (Artikel 4 und Artikel 19). Diese sind: 

• Namen, eingetragener Handelsname oder Handelsmarke des Herstellers sowie die Postanschrift und die E-Mail-Adresse, unter denen er kontaktiert werden kann,
• Name, Anschrift und Emailadresse der verantwortlichen Person, wenn der Hersteller nicht in der EU sitzt, 
• Angaben, welche die Identifizierung des Produkts ermöglichen, einschließlich der Abbildung des Produkts, seiner Produktart und sonstiger Identifikationsmerkmale, 
• Etwaige Warnhinweise oder Sicherheitsinformationen, die gemäß der neuen Produktsicherheitsverordnung oder einen anderen EU-Vorschrift vorgesehen sind. Diese müssen für den Verbraucher leicht verständlich und auf dem Produkt, der Verpackung oder in den Begleitunterlagen leicht zu finden sein. 

Eine physische oder digitale Änderung eines Produkts gilt als wesentlich, wenn sie sich auf die Sicherheit des Produkts auswirkt und die folgenden Kriterien erfüllt sind: 

• Das Produkt wurde in einer Weise verändert, die in der ursprünglichen Risikobewertung des Produkts nicht vorgesehen war; 
• Die Art der Gefahr wurde verändert, eine neue Gefahr geschaffen oder der Risikograd erhöht; und 
• die Änderungen wurden nicht vom Verbraucher selbst oder in seinem Auftrag für seine eigenen Zwecke vorgenommen. 

Für bestimmte Produkte, die ein ernstes Risiko für die Gesundheit und Sicherheit der Verbraucher darstellen können, kann die Kommission ein Rückverfolgbarkeitssystem einrichten, das von den betroffenen Wirtschaftsakteuren übernommen werden muss. 

Hersteller sind verpflichtet, für ausnahmslos jedes Produkt eine interne Risikoanalyse durchzuführen und technische Unterlagen zu erstellen. Diese müssen mindestens eine allgemeine Beschreibung des Produkts und die für die Sicherheitsbewertung relevanten wesentlichen Eigenschaften enthalten. Eine Bagatellklausel, die einfache Trivialprodukte ausnimmt, gibt es nicht. In Abhängigkeit von den Produktrisiken können weitere Pflichten hinzukommen. Der Hersteller muss die technischen Unterlagen für die Marktüberwachungsbehörden zehn Jahre bereithalten. 

Folgende Aspekte sind bei der Beurteilung der Sicherheit zu berücksichtigen: 

Eigenschaften des Produkts (Gestaltung, Konstruktion, technische Merkmale, Gebrauchsanweisung, Verpackung) 

• Wechselwirkung mit anderen Produkten 
• Kennzeichnung des Produkts 
• verbraucherspezifische Aspekte (z. B. betroffene Verbrauchergruppen, geschlechtsspezifische Unterschiede in Bezug auf Gesundheit und Sicherheit) 
• Erscheinungsbild des Produkts, wenn es den Verbraucher zu einer anderen als der bestimmungsgemäßen Verwendung verleiten könnte 
• Cybersicherheitsmerkmale 
• sich entwickelnde, lernende und prädikative Funktionen des Produkts 

• Name und Anschrift des Herstellers des Bevollmächtigten; 
• eine kurze Beschreibung des Produkts; 
• die Produktkennzeichnung, z. B. Seriennummer; 
• Bezeichnung und Anschrift der am Entwurf und an der Herstellung des Produkts beteiligten Betriebsstandorte; 
• Name und Anschrift einer etwaigen notifizierten Stelle*, die bei der Konformitätsbewertung des Produkts hinzugezogen wurde; 
• Nennung des angewandten Konformitätsbewertungsverfahrens; 
• die EU-Konformitätserklärung; 
• das Typenschild und die Gebrauchsanweisung; 
• Nennung der maßgeblichen Vorschriften, denen das Produkt entspricht; 
• Nennung der technischen Normen, deren Einhaltung geltend gemacht wird; 
• eine Aufstellung der Bauteile/Komponenten; 
• Prüf- und Messergebnisse. 

Der Hersteller sollte Auskunft darüber geben können, wo und wie die verschiedenen Elemente der technischen Dokumentation archiviert und verwaltet werden. 

Die Sprache der technischen Dokumentation ist frei wählbar. Die Marktüberwachungsbehörden können jedoch eine Übersetzung verlangen. Unter Umständen kann auch eine elektronische Übermittlung erfolgen, wenn dies von den Behörden gewünscht wird. 

Der Hersteller ist verpflichtet, Unfälle, die durch sein Produkt entstanden sind, unverzüglich über das Safety-Business-Gateway zu melden (Artikel 20). Einführer und Händler sind ebenfalls verpflichtet, Unfälle zu melden, sobald sie davon Kenntnis erlangt haben, und zwar an den Hersteller. Falls der Hersteller nicht in der Union niedergelassen ist, muss die “verantwortliche Person” den Unfall melden, bzw. muss an sie gemeldet werden. Anbieter von Online-Marktplätzen melden an das “betreffende Unternehmen” und Wirtschaftsakteure, die über die Schnittstelle angeboten haben; an die Marktüberwachungsbehörde über das Safety-Business-Gateway und an den Hersteller. 

• Gesetzgebungsportal der EU (Download kostenlos): http://eur-lex.europa.eu/  

• Deutsche Gesetze (Download kostenlos): www.gesetze-im-internet.de/  

• Fundstellen der harmonisierten Normen: https://single-market-economy.ec.europa.eu/single-market/european-standards/harmonised-standards_en 

• DIN-Norm-Entwurfs-Portal: https://www.din.de/de/mitwirken/entwuerfe 

Die M‑VO, die ab 10. Januar 2027 vollständig gilt, verknüpft die physische Maschinensicherheit erstmals systematisch mit Software- und KI-Sicherheit. Wird KI als sicherheitsrelevante Komponente eingesetzt und ist eine notifizierte Stelle erforderlich, gilt die Maschine automatisch als Hochrisiko‑System im Sinne der KI‑VO. Die Sicherheit der Hardware ist damit unmittelbar an die Robustheit der eingesetzten Algorithmen gebunden.

Der CRA definiert Cybersicherheit als verpflichtend über den gesamten Lebenszyklus digitaler Produkte. Ab dem 11. September 2026 bestehen u. a. folgende Pflichten:

• Die SBOM (Software Bill of Materials) verpflichtet die Unternehmen, alle Software-Komponenten und deren Beziehungen innerhalb der Software-Lieferkette zu dokumentieren und für Behörden verfügbar zu halten.
• Wenn einem Unternehmen bekannt wird, dass Schwachstellen von Angreifern ausgenutzt wurden, muss es dies innerhalb von 24 Stunden an die European Union Agency for Cybersecurity (ENISA) melden (www.enisa.europa.eu).
• Unternehmen müssen die Sicherheitsupdates über die festgelegte Supportdauer bereitstellen. Die Supportdauer orientiert sich dabei an den Produkttyp, die erwartete Nutzungsdauer bzw. Produktlebensdauer und an den Zweck.

Um all dies sicherzustellen, müssen die Unternehmen Prozesse einrichten, um Sicherheitslücken zu erkennen, zu melden und zu beheben. Vollständig in Kraft tritt der CRA zum 11. Dezember 2027.

Die Verordnung schafft einen risikobasierten Rahmen für den Einsatz von KI. Schon seit Februar 2025 verbietet sie bestimmte Praktiken wie beispielsweise Social Scoring, prädiktive Strafrisiko-Bewertung sowie Emotionserkennung am Arbeitsplatz. Die Anwendung der Verordnung erfolgt stufenweise bis 1. August 2027.

Die Einstufung in Risikokategorien bestimmt den regulatorischen Aufwand:

• inakzeptables Risiko: Einsatz vollständig untersagt
• hohes Risiko: umfassende Konformitätsanforderungen
• begrenztes Risiko: Transparenzpflichten
• minimales Risiko: keine zusätzlichen Pflichten

Für Hochrisiko‑Systeme gelten entsprechend hohe Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Qualitätsmanagement.

Die Anforderungen von CRA und KI‑VO greifen ineinander: Wer die CRA-Konformität erreicht, erfüllt wesentliche Vorgaben der Cyber-Sicherheit der KI‑VO bereits vorab.

Der Gesetzgebungsprozess für die KI-VO auf der EU-Ebene sei allerdings noch nicht abgeschlossen, so Eberl. Deshalb werde es voraussichtlich Verschiebungen der Fristen für Teile der KI-VO geben. Erst wenn dieser Prozess beendet sei, könnten die neuen Fristen endgültig in Kraft treten. Nach aktuellem Stand sieht der Zeitplan für die KI-VO folgendermaßen aus – abhängig vom politischen Entscheidungsprozess:

• seit Februar 2025: Verbot besonders riskanter KI-Systeme
• seit August 2025: Transparenzpflichten für allgemeine KI-Modelle
• ab Dezember 2027: Anwendung der Regeln für Hochrisiko-KI aus Anhang III (z. B. Bewerbungsverfahren, Kreditbewertungen)
• ab August 2028: Anwendung der Regeln für Hochrisiko-KI aus Anhang I (z. B. Medizinprodukte oder große IT-Systeme)
• Dezember 2030: Übergangsfrist für bestimmte bestehende Großsysteme („Legacy-Systeme“)

Merkblatt-EU-Maschinenverordnung.pdf
E & Normen: Bayern Innovativ
Bundesnetzagentur - KI
Zentrale Informationsplattform der KI-Verordnung | AI Act Service Desk
BSI - Cyber Resilience Act
CRA-Recht_202504.pdf
KI-Gesetz | Die digitale Zukunft Europas gestalten
Startseite | ENISA