(1)

Im Licht der Schlussfolgerungen des Rates vom 12. Februar 2016 zur Bekämpfung der Terrorismusfinanzierung, der Mitteilung der Kommission an das Europäische Parlament und den Rat vom 2. Februar 2016 über einen Aktionsplan für ein intensiveres Vorgehen gegen Terrorismusfinanzierung und der Richtlinie (EU) 2017/541 des Europäischen Parlaments und des Rates (2) sollten gemeinsame Vorschriften für den Handel mit Drittländern erlassen werden, um so einen wirksamen Schutz vor dem illegalen Handel mit Kulturgütern, ihrem Verlust oder ihrer Zerstörung, die Erhaltung des kulturellen Erbes der Menschheit und die Verhinderung von Terrorismusfinanzierung und Geldwäsche durch den Verkauf von geraubten Kulturgütern an Abnehmer in der Union sicherzustellen.

(2)

Die Ausbeutung von Völkern und Gebieten kann zum illegalen Handel mit Kulturgütern führen, insbesondere, wenn ein solcher illegaler Handel vor dem Hintergrund eines bewaffneten Konflikts erfolgt. Mit Blick darauf sollte in dieser Verordnung regionalen und lokalen Merkmalen von Völkern und Gebieten und nicht dem Marktwert der Kulturgüter Rechnung getragen werden.

(3)

Kulturgüter sind Teil des Kulturerbes und häufig von wesentlicher kultureller, künstlerischer, historischer und wissenschaftlicher Bedeutung. Das kulturelle Erbe ist eines der wesentlichen Elemente der Zivilisation, hat unter anderem symbolischen Wert und gehört zum kulturellen Gedächtnis der Menschheit. Es bereichert das kulturelle Leben aller Völker und eint die Menschen im Wissen um dieses gemeinsame Gedächtnis und durch die gemeinsame Entwicklung der Zivilisation. Es sollte daher vor unrechtmäßiger Aneignung und Plünderung geschützt werden. Archäologische Stätten werden seit jeher geplündert, aber inzwischen hat dieses Phänomen gewerbsmäßige Ausmaße angenommen und ist zusammen mit dem Handel mit illegal ausgegrabenen Kulturgütern ein schwerwiegendes Verbrechen, durch das den direkt und indirekt Betroffenen erhebliches Leid zugefügt wird. Der illegale Handel mit Kulturgütern trägt in vielen Fällen zu einer aufgezwungenen kulturellen Homogenisierung oder zum aufgezwungenen Verlust von kultureller Identität bei, während die Plünderung von Kulturgütern unter anderem zur Desintegration von Kulturen führt. Solange der Handel mit Kulturgütern aus illegalen Ausgrabungen lukrativ und gewinnbringend bleibt und keine nennenswerten Risiken birgt, wird es auch Raubgrabungen und Plünderungen geben. Aufgrund der wirtschaftlichen und künstlerischen Bedeutung der Kulturgüter ist die Nachfrage auf dem internationalen Markt hoch. Die Tatsache, dass es auf internationaler Ebene keine durchgreifenden rechtlichen Maßnahmen gibt und dass diejenigen Maßnahmen, die es gibt, nicht wirksam durchgesetzt werden, führt dazu, dass diese Güter in die Schattenwirtschaft überführt werden. Die Union sollte dementsprechend die Verbringung von aus Drittländern illegal ausgeführten Kulturgütern in das Zollgebiet der Union verbieten. mit besonderem Augenmerk auf Kulturgütern aus Drittländern, die von bewaffneten Konflikten betroffen sind, vor allem wenn diese Kulturgüter durch terroristische oder andere kriminelle Organisationen illegal gehandelt wurden. Dieses allgemeine Verbot hat zwar keine systematischen Kontrollen zur Folge, doch sollte es den Mitgliedstaaten gestattet sein, bei Vorliegen von Informationen über verdächtige Sendungen einzugreifen und alle geeigneten Maßnahmen zu treffen, um unzulässig ausgeführte Kulturgüter abzufangen.

(4)

Angesichts der unterschiedlichen Vorschriften, die in den Mitgliedstaaten für die Einfuhr von Kulturgütern in das Zollgebiet der Union gelten, sollten Maßnahmen getroffen werden, um insbesondere sicherzustellen, dass bestimmte Einfuhren von Kulturgütern in das Zollgebiet der Union einheitlichen Kontrollen auf der Grundlage bestehender Prozesse, Verfahren und Verwaltungsinstrumente unterzogen werden, durch die eine einheitliche Durchführung der Verordnung (EU) Nr. 952/2013 des Europäischen Parlaments und des Rates (3) erreicht werden soll.

(5)

Der Schutz von Kulturgütern, die als nationales Kulturgut der Mitgliedstaaten gelten, wird bereits von der Verordnung (EG) Nr. 116/2009 des Rates (4) und der Richtlinie 2014/60/EU des Europäischen Parlaments und des Rates (5) abgedeckt. Daher sollte die vorliegende Verordnung nicht für Kulturgüter gelten, die im Zollgebiet der Union geschaffen oder entdeckt wurden. Die durch die vorliegende Verordnung eingeführten gemeinsamen Vorschriften sollten für die zollrechtliche Behandlung von Nicht-Unions-Kulturgütern, die in das Zollgebiet der Union verbracht werden, gelten. Für die Zwecke der vorliegenden Verordnung sollte das relevante Zollgebiet das Zollgebiet der Union zum Zeitpunkt der Einfuhr sein.

(6)

Die einzuführenden Kontrollmaßnahmen, die Freizonen und sogenannte Freihäfen betreffen, sollten hinsichtlich der betroffenen Zollverfahren einen möglichst breiten Anwendungsbereich haben, damit eine Umgehung dieser Verordnung durch Ausnutzung dieser Freizonen, die für eine anhaltende Ausbreitung des illegalen Handels genutzt werden können, verhindert wird. Deshalb sollten diese Kontrollmaßnahmen nicht nur Kulturgüter betreffen, die zum zollrechtlich freien Verkehr überlassen werden, sondern auch Kulturgüter, die in ein besonderes Zollverfahren übergeführt werden. Allerdings sollte der Anwendungsbereich nicht über das Ziel, eine Verbringung unzulässig ausgeführter Kulturgüter in das Zollgebiet der Union zu verhindern, hinausgehen. Während die systematischen Kontrollmaßnahmen die Überlassung zum zollrechtlich freien Verkehr und einige der besonderen Zollverfahren, in die Güter beim Eingang in das Zollgebiet der Union übergeführt werden können, betreffen, sollte das Versandfahren ausgeschlossen sein.

(7)

Viele Drittländer und die meisten Mitgliedstaaten sind mit den Begriffsbestimmungen vertraut, die in dem am 14. November 1970 in Paris unterzeichneten Unesco-Übereinkommen über die Maßnahmen zum Verbot und zur Verhütung der unzulässigen Einfuhr, Ausfuhr und Übereignung von Kulturgut (im Folgenden „Unesco-Übereinkommen von 1970“) dessen Vertragspartei zahlreiche Mitgliedstaaten sind, und in dem am 24. Juni 1995 in Rom unterzeichneten UNIDROIT-Übereinkommen über gestohlene oder unrechtmäßig ausgeführte Kulturgüterverwendet werden. Aus diesem Grunde beruhen die in dieser Verordnung verwendeten Begriffsbestimmungen auf den dort verwendeten Begriffsbestimmungen.

(8)

Die Rechtmäßigkeit der Ausfuhr von Kulturgütern sollte vor allem auf der Grundlage der Rechts- und Verwaltungsvorschriften der Länder geprüft werden, in denen diese Kulturgüter geschaffen oder entdeckt wurden. Um allerdings den legalen Handel nicht unangemessen zu beeinträchtigen, sollte einer Person, die die Kulturgüter in das Zollgebiet der Union einführen möchte, in bestimmten Fällen ausnahmsweise gestattet werden, stattdessen nachzuweisen, dass die Kulturgüter aus dem anderen Drittland, in dem sie sich vor ihrer Absendung in die Union befanden, rechtmäßig ausgeführt wurden. Diese Ausnahme sollte in Fällen gelten, in denen das Land, in denen die Kulturgüter geschaffen oder entdeckt wurden, nicht verlässlich bestimmt werden kann oder die Ausfuhr der betreffenden Kulturgüter vor dem Inkrafttreten des Unesco-Übereinkommens von 1970 am 24. April 1972 erfolgte. Um die Umgehung dieser Verordnung zu verhindern, indem unzulässig ausgeführte Kulturgüter vor ihrer Einfuhr in die Union einfach in ein anderes Drittland geschickt werden, sollten diese Ausnahmen gelten, wenn sich die Kulturgüter für einen Zeitraum von mehr als fünf Jahren zu anderen Zwecken als die vorübergehende Verwendung, Durchfuhr, Wiederausfuhr oder Umladung in einem Drittland befanden. Werden diese Bedingungen von mehr als einem Land erfüllt, sollte das letzte dieser Länder, in dem sich die Kulturgüter vor ihrem Verbringen in das Zollgebiet der Union befanden, relevant sein.

(9)

Artikel 5 des Unesco-Übereinkommens von 1970 fordert die Vertragsstaaten auf, eine oder mehrere nationale Dienststellen einzurichten, um Kulturgüter vor unzulässiger Einfuhr, Ausfuhr und Übereignung zu schützen. Diese nationalen Dienststellen sollten mit qualifiziertem und zahlenmäßig ausreichendem Personal ausgestattet sein, um diesen Schutz gemäß dem Übereinkommen sicherzustellen und die erforderliche aktive Zusammenarbeit zwischen den zuständigen Behörden der Mitgliedstaaten, die Vertragsparteien dieses Übereinkommens sind, im Bereich der Sicherheit und der Bekämpfung der unzulässigen Einfuhr von Kulturgütern, insbesondere aus Ländern, die von bewaffneten Konflikten betroffen sind, zu ermöglichen.

(10)

Um den grenzüberschreitenden Handel mit Kulturgütern über die Außengrenzen der Union nicht unverhältnismäßig zu beeinträchtigen, sollte diese Verordnung nur für Kulturgüter oberhalb einer bestimmten Altersgrenze gelten, die in dieser Verordnung festgelegt ist. Zudem erscheint es angebracht, einen Mindestwert festzulegen, um Kulturgüter von geringerem Wert von den Bedingungen und Verfahren für die Einfuhr von Kulturgütern in das Zollgebiet der Union auszuschließen. Durch diese Schwellenwerte wird sichergestellt, dass sich die in dieser Verordnung vorgesehenen Maßnahmen auf diejenigen Kulturgüter konzentrieren, auf die es Plünderer in Konfliktgebieten aller Wahrscheinlichkeit nach abgesehen haben dürften, ohne andere Güter auszuschließen, deren Kontrolle mit Blick auf den Schutz des kulturellen Erbes notwendig ist.

(11)

Der illegale Handel mit geplünderten Kulturgütern wurde im Rahmen der supranationalen Bewertung der Risiken der Geldwäsche und der Terrorismusfinanzierung für den Binnenmarkt als mögliche Quelle für Terrorismusfinanzierung und Geldwäsche ermittelt.

(12)

Da bestimmte Kategorien von Kulturgütern, namentlich archäologische Gegenstände und Teile von Denkmälern, für Plünderungen und Zerstörungen besonders anfällig sind, erscheint es notwendig, eine Regelung verstärkter Kontrollen vorzusehen, bevor die Güter in das Zollgebiet der Union verbracht werden dürfen. Eine solche Regelung sollte vorsehen, dass vor der Überlassung dieser Güter zum zollrechtlich freien Verkehr in die Union oder ihrer Überführung in ein besonderes Zollverfahren mit Ausnahme des Versandverfahrens eine von der zuständigen Behörde eines Mitgliedstaats erteilte Einfuhrgenehmigung vorzulegen ist. Personen, die eine solche Genehmigung beantragen, sollten die rechtmäßige Ausfuhr aus dem Land, in dem die Kulturgüter geschaffen oder entdeckt wurden, anhand geeigneter Unterlagen und Nachweise, wie etwa Ausfuhrbescheinigungen Eigentumsnachweise, Rechnungen, Kaufverträge, Versicherungsunterlagen, Beförderungspapiere und Sachverständigengutachten, belegen können. Die zuständigen Behörden der Mitgliedstaaten sollten auf der Grundlage von vollständigen und korrekten Anträgen unverzüglich über die Erteilung einer Lizenz entscheiden. Sämtliche Einfuhrgenehmigungen sollten in einer elektronischen Datenbank gespeichert werden.

(13)

Eine „Ikone“ ist eine Darstellung einer Persönlichkeit der Religion oder eines religiösen Ereignisses. Sie kann auf verschiedenen Trägermaterialien und in verschiedenen Größen angefertigt sein, entweder als Teil eines Denkmals oder in tragbarer Form. Wenn sie einst, entweder frei stehend oder als Teil der architektonischen Ausstattung, beispielsweise einer Ikonostase oder eines Ikonenständers, z. B. zum Innenraum einer Kirche, eines Klosters oder einer Kapelle gehörte, ist sie ein grundlegendes und untrennbares Element der göttlichen Verehrung und des liturgischen Lebens und sollte als fester Bestandteil eines religiösen Denkmals, das nicht mehr vollständig ist, betrachtet werden. Auch in Fällen, in denen das spezifische Denkmal, zu dem die Ikone gehörte, unbekannt ist, es jedoch Anhaltspunkte dafür gibt, dass sie einst fester Bestandteil eines Denkmals war, insbesondere wenn Spuren oder Elemente vorhanden sind, die darauf hinweisen, dass sie einst Teil einer Ikonostase oder eines Ikonenständers gewesen ist, sollte die Ikone auch weiterhin unter die Kategorie „Teile künstlerischer oder geschichtlicher Denkmäler oder archäologischer Stätten, die nicht mehr vollständig sind“ im Anhang fallen.

(14)

Angesichts des besonderen Charakters der Kulturgüter spielen die Zollbehörden eine äußerst wichtige Rolle und sie sollten erforderlichenfalls in der Lage sein, zusätzliche Informationen von den Anmeldern anzufordern und die Kulturgüter im Wege einer Beschau zu untersuchen.

(15)

Bei Kategorien von Kulturgütern, für deren Einfuhr keine Einfuhrgenehmigung benötigt wird, sollten die Personen, die solche Güter in das Zollgebiet der Union einführen möchten, mittels einer Erklärung deren rechtmäßige Ausfuhr aus dem Drittland bestätigen und die Verantwortung dafür übernehmen sowie mit Blick auf eine Identifizierung durch die Zollbehörden ausreichende Informationen über diese Kulturgüter bereitstellen. Zur Vereinfachung des Verfahrens und aus Gründen der Rechtssicherheit sollten die Informationen über die Kulturgüter mithilfe eines Standarddokuments bereitgestellt werden. Für die Beschreibung der Kulturgüter kann der von der Unesco empfohlene Objektidentifizierungsstandard verwendet werden. Der Besitzer der Güter sollte diese Einzelheiten in einem elektronischen System registrieren, um die Identifizierung durch die Zollbehörden zu erleichtern, Risikoanalysen und gezielte Kontrollen zu ermöglichen und die Rückverfolgbarkeit der Kulturgüter auf dem Binnenmarkt sicherzustellen.

(16)

Im Rahmen des EU Single Window — Umfeld für den Zoll sollte die Kommission dafür zuständig sein, ein zentrales elektronisches System für die Einreichung von Anträgen auf Einfuhrgenehmigung und die Einreichung von Erklärungen der Einführer und für den Austausch von Informationen zwischen den Behörden der Mitgliedstaaten, insbesondere über Einfuhrgenehmigungen und Erklärungen der Einführer, einzurichten.

(17)

Die Datenverarbeitung gemäß dieser Verordnung sollte auch die Verarbeitung personenbezogener Daten umfassen können, und diese Verarbeitung sollte im Einklang mit dem Unionsrecht erfolgen. Die Mitgliedstaaten und die Kommission sollten personenbezogene Daten nur für die Zwecke dieser Verordnung oder in wohlbegründeten Fällen für die Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, was den Schutz vor und die Abwehr von Gefahren für die öffentliche Sicherheit einschließt, verarbeiten. Für jede Sammlung, Weitergabe, Übertragung, Kommunikation und sonstige Verarbeitung personenbezogener Daten innerhalb des Anwendungsbereichs dieser Verordnung sollten die Anforderungen der Verordnungen (EU) 2016/679 (6) und (EU) 2018/1725 (7) des Europäischen Parlaments und des Rates gelten. Die Verarbeitung personenbezogener Daten für die Zwecke dieser Verordnung sollte auch im Einklang mit dem Recht auf Achtung des Privat- und Familienlebens gemäß Artikel 8 der Konvention zum Schutz der Menschenrechte und Grundfreiheiten des Europarats und dem Recht auf Achtung des Privat- und Familienlebens und dem Recht auf Schutz personenbezogener Daten gemäß Artikel 7 bzw. 8 der Charta der Grundrechte der Europäischen Union erfolgen.

(18)

Für Kulturgüter, die nicht im Zollgebiet der Union geschaffen oder entdeckt, jedoch als Unionswaren ausgeführt wurden, sollte keine Einfuhrgenehmigung oder Erklärung des Einführers erforderlich sein, wenn sie in dieses Gebiet als Rückwaren im Sinne der Verordnung (EU) Nr. 952/2013 wieder eingeführt werden.

(19)

Für die vorübergehende Verwendung von Kulturgütern zu Zwecken der Bildung, der Wissenschaft, der Konservierung, der Restaurierung, der Ausstellung, der Digitalisierung, der darstellenden Künste, der Forschung akademischer Einrichtungen oder der Zusammenarbeit zwischen Museen oder ähnlichen Einrichtungen sollte keine Einfuhrgenehmigung oder Erklärung des Einführers erforderlich sein.

(20)

Die Lagerung von Kulturgütern aus Ländern, die von bewaffneten Konflikten oder Naturkatastrophen betroffen sind, mit dem ausschließlichen Ziel, ihre sichere Aufbewahrung und ihren Erhalt durch eine Behörde oder unter der Aufsicht einer Behörde zu gewährleisten, sollte nicht der Vorlage einer Einfuhrgenehmigung oder einer Erklärung des Einführers unterliegen.

(21)

Um die Präsentation von Kulturgütern auf kommerziellen Kunstmessen zu erleichtern, sollte keine Einfuhrgenehmigung erforderlich sein, wenn sich die Kulturgüter in vorübergehender Verwendung im Sinne des Artikels 250 der Verordnung (EU) Nr. 952/2013 befinden und statt der Einfuhrgenehmigung eine Erklärung des Einführers vorgelegt wurde. Allerdings sollte eine die Vorlage einer Einfuhrgenehmigung erforderlich sein, wenn solche Kulturgüter im Anschluss an die Kunstmesse in der Union verbleiben sollen.

(22)

Um einheitliche Bedingungen für die Durchführung dieser Verordnung zu gewährleisten, sollten der Kommission Durchführungsbefugnisse für die Annahme detaillierter Regelungen übertragen werden, und zwar für als Rückwaren wieder eingeführte Kulturgüter, oder die vorübergehende Verwendung von Kulturgütern im Zollgebiet der Union und deren sichere Verwahrung, die Muster für Einfuhrgenehmigungsanträge und Einfuhrgenehmigungsformulare, die Muster der Erklärung des Einführers und die begleitenden Dokumente sowie weitere Verfahrensvorschriften für deren Vorlage und Bearbeitung. Außerdem sollten der Kommission Durchführungsbefugnisse übertragen werden, damit sie Vorkehrungen für die Einrichtung eines elektronischen Systems für die Einreichung von Anträgen auf Erteilung einer Einfuhrgenehmigung und die Abgabe der Erklärung des Einführers sowie für die Speicherung von Informationen und den Austausch von Informationen zwischen den Mitgliedstaaten treffen kann. Diese Befugnisse sollten im Einklang mit der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates (8) ausgeübt werden.

(23)

Um eine wirksame Koordinierung sicherzustellen und Doppelarbeit zu vermeiden, wenn Schulungen, Maßnahmen zum Kapazitätsaufbau und Sensibilisierungskampagnen organisiert werden, und um gegebenenfalls einschlägige Forschungsarbeiten und die Ausarbeitung von Normstandards in Auftrag zu geben, sollten die Kommission und die Mitgliedstaaten mit internationalen Organisationen und Einrichtungen zusammenarbeiten, etwa Unesco, Interpol, Europol, der Weltzollorganisation, der Internationalen Studienzentrale für die Erhaltung und Restaurierung von Kulturgut und dem Internationalen Museumsrat (ICOM).

(24)

Es sollten sachdienliche Informationen über die Handelsströme von Kulturgütern auf elektronischem Wege zusammengetragen und zwischen den Mitgliedstaaten und der Kommission ausgetauscht werden, um die effiziente Durchführung dieser Verordnung zu unterstützen und die Grundlage für ihre künftige Bewertung zu schaffen. Im Interesse der Transparenz und der öffentlichen Kontrolle sollten möglichst viele Informationen veröffentlicht werden. Handelsströme von Kulturgütern können nicht allein anhand ihres Wertes oder Gewichts wirksam überwacht werden. Es ist von grundlegender Bedeutung, Informationen über die Anzahl der angemeldeten Gegenstände auf elektronischem Wege zusammenzutragen. Da in der Kombinierten Nomenklatur keine zusätzliche Maßeinheit für Kulturgüter aufgeführt ist, ist es notwendig zu verlangen, dass die Anzahl der Gegenstände angemeldet wird.

(25)

Mit der Strategie und dem Aktionsplan der EU für das Zollrisikomanagement sollen — unter anderem — die Kapazitäten der Zollbehörden ausgebaut und die Reaktionsfähigkeit bei Risiken im Bereich Kulturgüter verbessert werden. Der in der Verordnung (EU) Nr. 952/2013 festgelegte gemeinsame Rahmen für das Risikomanagement sollte Anwendung finden und es sollten sachdienliche Informationen zwischen den Zollbehörden ausgetauscht werden.

(26)

Um das Fachwissen der internationalen Organisationen und Einrichtungen, die im Kulturbereich tätig sind, und ihre Erfahrungen im Zusammenhang mit dem illegalen Handel mit Kulturgütern nutzbringend einzusetzen, sollten im gemeinsamen Rahmen für das Risikomanagement die Empfehlungen und Leitlinien dieser Organisationen und Einrichtungen berücksichtigt werden, wenn die mit Kulturgütern verbundenen Risiken ermittelt werden. Bei der Ermittlung der Drittländer, deren kulturelles Erbe am stärksten gefährdet ist, und der Gegenstände, die von dort häufiger im Rahmen des illegalen Handels ausgeführt werden, sollten insbesondere die von ICOM veröffentlichten Roten Listen als Leitlinien dienen.

(27)

Es ist notwendig, Sensibilisierungskampagnen durchzuführen, die sich an die Käufer von Kulturgütern richten und die mit dem illegalen Handel verbundenen Risiken betreffen, und die Marktakteure bezüglich der Auslegung und der Anwendung dieser Verordnung zu unterstützen. Die Mitgliedstaaten sollten die einschlägigen nationalen Kontaktstellen und andere Informationsdienste bei der Verbreitung dieser Informationen einbeziehen.

(28)

Die Kommission sollte dafür sorgen, dass Kleinstunternehmen sowie kleine und mittlere Unternehmen („KMU“) von geeigneter technischer Unterstützung profitieren, und sie sollte die Bereitstellung von Information an diese erleichtern, damit diese Verordnung wirksam durchgeführt wird. In der Union niedergelassene KMU, die Kulturgüter einführen, sollten daher von den bestehenden und künftigen Unionsprogrammen zur Förderung der Wettbewerbsfähigkeit von kleineren und mittleren Unternehmen profitieren.

(29)

Um die Einhaltung der Vorschriften zu fördern und vor deren Umgehung abzuschrecken, sollten die Mitgliedstaaten bei Nichtbeachtung der Bestimmungen dieser Verordnung wirksame, verhältnismäßige und abschreckende Sanktionen einführen und der Kommission diese Sanktionen mitteilen. Die von den Mitgliedstaaten gegen Verstöße gegen diese Verordnung eingeführten Sanktionen sollten in der gesamten Union eine vergleichbare abschreckende Wirkung entfalten.

(30)

Die Mitgliedstaaten sollten sicherstellen, dass sich die Zollbehörden und die zuständigen Behörden auf Maßnahmen nach Artikel 198 der Verordnung (EU) Nr. 952/2013 einigen. Die Einzelheiten dieser Maßnahmen sollten dem nationalen Recht unterliegen.

(31)

Die Kommission sollte unverzüglich Durchführungsbestimmungen zu dieser Verordnung annehmen, insbesondere in Bezug auf die geeigneten elektronischen Standardformulare, die zur Beantragung einer Einfuhrgenehmigung oder zur Vorbereitung einer Erklärung des Einführers zu verwenden sind, und anschließend das elektronische System in möglichst kurzer Zeit einrichten. Der Geltungsbeginn der Bestimmungen über die Einfuhrgenehmigung und die Erklärung des Einführers sollte entsprechend verschoben werden.

(32)

Gemäß dem Grundsatz der Verhältnismäßigkeit ist es zur Erreichung der grundlegenden Ziele dieser Verordnung erforderlich und angemessen, Vorschriften über das Verbringen, sowie über die Voraussetzungen und das Verfahren für die Einfuhr, von Kulturgütern in das Zollgebiet der Union festzulegen. Die vorliegende Verordnung geht im Einklang mit Artikel 5 Absatz 4 des Vertrags über die Europäische Union nicht über das für die Verwirklichung dieser Ziele erforderliche Maß hinaus —

(1)

Netz- und Informationssysteme sowie elektronische Kommunikationsnetze und -dienste spielen eine lebenswichtige Rolle in der Gesellschaft und sind mittlerweile zum Hauptmotor des Wirtschaftswachstums geworden. Die Informations- und Kommunikationstechnologien (IKT) bilden das Rückgrat der komplexen Systeme, die alltägliche gesellschaftliche Tätigkeiten unterstützen und unsere Volkswirtschaften in Schlüsselsektoren wie Gesundheit, Energie, Finanzen und Verkehr aufrechterhalten und die insbesondere dafür sorgen, dass der Binnenmarkt reibungslos funktioniert.

(2)

Die Nutzung von Netz- und Informationssystemen durch Bürger, Organisationen und Unternehmen ist mittlerweile in der Union allgegenwärtig. Digitalisierung und Konnektivität entwickeln sich zu Kernmerkmalen einer ständig steigenden Zahl von Produkten und Dienstleistungen; mit dem Aufkommen des Internets der Dinge dürften in den nächsten Jahrzehnten eine extrem hohe Zahl vernetzte digitale Geräte unionsweit Verbreitung finden. Zwar sind immer mehr Geräte mit dem Internet vernetzt, doch verfügen sie über eine nur unzureichende Cybersicherheit, da die Sicherheit und Abwehrfähigkeit dieser Geräte schon bei der Konzeption nicht ausreichend berücksichtigt wurden. In diesem Zusammenhang führt das geringe Maß an Zertifizierung dazu, dass Personen, Organisationen und Unternehmen die IKT-Produkte, -Dienste und -prozesse nutzen, nur unzureichend über deren Cybersicherheitsmerkmale informiert werden, wodurch das Vertrauen in digitale Lösungen untergraben wird. Netz- und Informationssysteme können uns das Leben in jeder Hinsicht erleichtern und das Wirtschaftswachstum der Union anzukurbeln. Sie spielen eine tragende Rolle bei der Verwirklichung des digitalen Binnenmarkts.

(3)

Mit der zunehmenden Digitalisierung und Vernetzung steigen auch die Cybersicherheitsrisiken, wodurch die Gesellschaft insgesamt anfälliger für Cyberbedrohungen wird und die Gefahren zunehmen, denen Privatpersonen und insbesondere schutzbedürftige Personen wie Kinder ausgesetzt sind. Um diesen Gefahren zu begegnen, gilt es, alle für die Erhöhung der Cybersicherheit in der Union notwendigen Maßnahmen zu ergreifen, damit die Netz- und Informationssysteme, die Kommunikationsnetze und die digitalen Produkte, Dienste und Geräte, die von Bürgern, Organisationen und Unternehmen — von kleinen und mittleren Unternehmen (KMU) im Sinne der Empfehlung 2003/361/EG der Kommission (4) bis zu Betreibern kritischer Infrastrukturen — genutzt werden, besser vor Cyberbedrohungen geschützt sind.

(4)

Durch das Zurverfügungstellung einschlägiger Informationen für die Öffentlichkeit trägt die mit der Verordnung (EU) Nr. 526/2013 des Europäischen Parlaments und des Rates (5) errichtete Agentur der Europäischen Union für Netz- und Informationssicherheit (im Folgenden „ENISA“) zur Entwicklung der Cybersicherheitsbranche in der Union, insbesondere von KMU und Start-ups, bei. Die ENISA sollte sich um eine engere Zusammenarbeit mit Universitäten und Forschungseinrichtungen bemühen, um einen Beitrag zur Verringerung der Abhängigkeit von Cybersicherheitsprodukten und -diensten von außerhalb der Union zu leisten und die Lieferketten innerhalb der Union zu stärken.

(5)

Cyberangriffe nehmen zu und eine Wirtschaft und Gesellschaft, die durch ihre Vernetzung anfälliger für Cyberbedrohungen und -angriffe ist, benötigt daher einen stärkeren Schutz. Obwohl jedoch die Cyberangriffe häufig grenzüberschreitend sind, sind die Zuständigkeiten und Reaktionen der für die Cybersicherheit und für die Strafverfolgung zuständigen Behörden vor allem national. Sicherheitsvorfälle großen Ausmaßes könnten die Bereitstellung wesentlicher Dienste in der gesamten Union empfindlich stören. Notwendig sind daher effektive und koordinierte Maßnahmen sowie ein Krisenmanagement auf Unionsebene, gestützt auf gezielte Strategien, sowie ein breiter angelegtes Instrumentarium für europäische Solidarität und gegenseitige Hilfe. Zudem sind daher eine auf zuverlässigen Daten der Union basierende regelmäßige Überprüfung des Stands der Cybersicherheit und der Abwehrfähigkeit in der Union sowie eine systematische Prognose künftiger Entwicklungen, Herausforderungen und Bedrohungen — auf Unionsebene und auf globaler Ebene — für die Entscheidungsträger, die Branche und die Nutzer gleichermaßen wichtig.

(6)

Angesichts immer größerer Herausforderungen, die sich der Union im Bereich der Cybersicherheit stellen, bedarf es eines umfassenden Maßnahmenpakets, das auf den bisherigen Maßnahmen der Union aufbauen und sich wechselseitig verstärkende Ziele unterstützen würde. Diese Ziele beinhalten eine weitere Stärkung der Fähigkeiten und der Abwehrbereitschaft der Mitgliedstaaten und Unternehmen sowie eine bessere Zusammenarbeit, einen besseren Informationsaustausch und Koordinierung zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der Union. Da Cyberbedrohungen an keinen Grenzen Halt machen, gilt es zudem, die Fähigkeiten auf Unionsebene zu stärken, die Maßnahmen der Mitgliedstaaten vor allem dann ergänzen könnten, wenn es zu grenzüberschreitenden Sicherheitsvorfällen und -krisen von großem Ausmaß kommt, unter Berücksichtigung der Bedeutung der Bewahrung und Verbesserung der nationalen Fähigkeiten zur Reaktion auf Cyberbedrohungen jeglichen Umfangs.

(7)

Darüber hinaus sind weitere Anstrengungen notwendig, um die Bürger, Organisationen und Unternehmen für Fragen der Cybersicherheit zu sensibilisieren. Da Sicherheitsvorfälle das Vertrauen in Anbieter digitaler Dienste und in den digitalen Binnenmarkt als solchen insbesondere unter den Verbrauchern untergraben, sollte dieses Vertrauen dadurch gestärkt werden, dass auf transparente Art und Weise Informationen über das Niveau der Sicherheit von IKT-Produkten, -Diensten und -Prozessen bereitgestellt werden, wobei betont wird, dass auch eine Cybersicherheitszertifizierung auf hohem Niveau nicht garantieren kann, dass ein IKT-Produkt, -Dienst oder -Prozess völlig sicher ist. Eine Stärkung des Vertrauens kann durch eine unionsweite Zertifizierung erleichtert werden, für die über nationale Märkte und Sektoren hinaus unionsweit einheitliche Anforderungen und Bewertungskriterien für die Cybersicherheit festgelegt werden.

(8)

Cybersicherheit ist nicht nur eine Frage der Technologie, sondern eine, bei der das menschliche Verhalten ebenso wichtig ist. Daher sollte die „Cyberhygiene“, also einfache Routinemaßnahmen, durch die, wenn sie von Bürgern, Organisationen und Unternehmen regelmäßig umgesetzt und durchgeführt werden, die Risiken von Cyberbedrohungen so gering wie möglich gehalten werden, nachdrücklich gefördert werden.

(9)

Um die Cybersicherheitsstrukturen der Union zu stärken, müssen die Fähigkeiten der Mitgliedstaaten, umfassend auf Cyberbedrohungen — einschließlich grenzüberschreitender Sicherheitsvorfälle — zu reagieren, erhalten und ausgebaut werden.

(10)

Die Unternehmen und die einzelnen Verbraucher sollten über präzise Informationen darüber verfügen, auf welcher Vertrauenswürdigkeitsstufe die Sicherheit ihrer IKT-Produkte, -Dienste und -Prozesse zertifiziert wurde. Allerdings bietet kein IKT-Produkt oder -dienst hundertprozentige Cybersicherheit weshalb grundlegenden Prinzipien der Cyberhygiene verbreitet werden sollten und ihnen Vorrang eingeräumt werden sollte. Angesichts der zunehmenden Verbreitung von Geräten des Internets der Dinge kann die Privatwirtschaft zahlreiche freiwillige Maßnahmen treffen, um das Vertrauen in die Sicherheit von IKT-Produkten, -Diensten und -Prozessen zu stärken.

(11)

Moderne IKT-Produkte und -Systeme weisen oft einen oder mehrere von Dritten entwickelte Technologien und Bestandteile wie Software-Module, Bibliotheken oder Programmierschnittstellen auf und sind von diesen abhängig. Diese „Abhängigkeit“ könnte zusätzliche Risiken im Bereich der Cybersicherheit bergen, da sich Sicherheitslücken in Bestandteilen Dritter auch auf die Sicherheit von IKT-Produkten, -Diensten, und -Prozessen auswirken könnten. In vielen Fällen ermöglicht die Aufdeckung und Dokumentierung solcher „Abhängigkeiten“ den Endnutzern von IKT-Produkten, -Diensten und -Prozessen die Verbesserung ihres Risikomanagements im Bereich der Cybersicherheit, indem beispielsweise die Behandlung von Sicherheitslücken im Bereich der Cybersicherheit durch die Nutzer und deren Abhilfeverfahren verbessert werden.

(12)

Organisationen, Hersteller oder Diensteanbieter, die an der Konzeption und Entwicklung von IKT-Produkten, -Diensten und -Prozessen beteiligt sind, sollten dazu angehalten werden, in den ersten Phasen der Konzeption und Entwicklung Maßnahmen durchzuführen, um die Sicherheit dieser Produkte, Dienste und Prozesse möglichst weitgehend zu schützen, in dem sie davon ausgehen, dass Cyberangriffe vorliegen, und deren Folgen vorwegzunehmen und so gering wie möglich zu halten (konzeptionsintegrierte Sicherheit — security by design). Die Sicherheit sollte während der gesamten Lebensdauer des IKT-Produkts, -Dienstes oder -Prozesses berücksichtigt werden, wobei die Konzeptions- und Entwicklungsprozesse ständig weiterentwickelt werden sollten, um das Risiko von Schäden durch eine böswillige Nutzung zu verringern.

(13)

Unternehmen, Organisationen und der öffentliche Sektor sollten die von ihnen konzipierten IKT-Produkte, -Dienste oder -Prozesse so konfigurieren, dass ein höheres Maß an Sicherheit gewährleistet ist, das es dem ersten Nutzer ermöglicht, eine Standardkonfiguration mit den sichersten möglichen Einstellungen („security by default“) zu erhalten; somit wären die Nutzer in geringerem Maße der Belastung ausgesetzt, ein IKT-Produkt, -einen IKT-Dienst oder einen IKT-Prozess angemessen konfigurieren zu müssen. Die Sicherheit durch Voreinstellungen („security by default“) sollte weder eine umfangreiche Konfiguration erfordern, noch spezifische technische Kenntnisse oder ein nicht offensichtliches Verhalten seitens des Nutzers, und sie sollte dort, wo sie implementiert wurde, einfach und zuverlässig funktionieren. Wenn im Einzelfall eine Risiko- und Nutzbarkeitsanalyse zu dem Ergebnis führt, dass eine solche vordefinierte Einstellung nicht machbar ist, sollten die Nutzer aufgefordert werden, die sicherste Einstellung zu wählen.

(14)

Mit der Verordnung (EG) Nr. 460/2004 des Europäischen Parlaments und des Rates (6) wurde die ENISA als Beitrag zu den Zielen errichtet, innerhalb der Union eine hohe und effektive Netz- und Informationssicherheit zu gewährleisten und eine Kultur der Netz- und Informationssicherheit zu entwickeln, die Bürgern, Verbrauchern, Unternehmen und öffentlicher Verwaltung zugute kommt. Mit der Verordnung (EG) Nr. 1007/2008 des Europäischen Parlaments und des Rates (7) wurde das Mandat der ENISA bis März 2012 verlängert. Durch die Verordnung (EU) Nr. 580/2011 des Europäischen Parlaments und des Rates (8) wurde das Mandat der ENISA nochmals bis zum 13. September 2013 verlängert. Mit der Verordnung (EU) Nr. 526/2013 des Europäischen Parlaments und des Rates wurde das Mandat der ENISA bis zum 19. Juni 2020 verlängert.

(15)

Die Union hat bereits wichtige Maßnahmen ergriffen, um die Cybersicherheit zu gewährleisten und das Vertrauen in die digitale Technik zu stärken. Im Jahr 2013 wurde die EU-Cybersicherheitsstrategie der Europäischen Union verabschiedet, die der Union als Orientierung für strategische Reaktionen auf Cybersicherheitsbedrohungen und -risiken dient. Im Zuge ihrer Bemühung, den Online-Schutz der Bürger zu verbessern, hat die Union im Jahr 2016 mit der Richtlinie (EU) 2016/1148 des Europäischen Parlaments und des Rates (9) den ersten Rechtsakt auf dem Gebiet der Cybersicherheit erlassen. Mit der Richtlinie (EU) 2016/1148 wurden Anforderungen an die nationalen Fähigkeiten im Bereich der Cybersicherheit sowie erstmals Mechanismen zur Stärkung der strategischen und operativen Zusammenarbeit zwischen den Mitgliedstaaten festgelegt und ferner Verpflichtungen in Bezug auf die Sicherheitsmaßnahmen und die Meldung von Sicherheitsvorfällen für die Sektoren, die für die Wirtschaft und Gesellschaft lebenswichtig sind, wie Energie, Verkehr, Trinkwasserlieferung und -versorgung, Bankwesen, Finanzmarktinfrastrukturen, Gesundheitswesen, digitale Infrastruktur sowie für Anbieter zentraler digitaler Dienste (Suchmaschinen, Cloud-Computing-Dienste und Online-Marktplätze) eingeführt.

Eine zentrale Aufgabe bei der Umsetzung dieser Richtlinie wurde dabei der ENISA zugewiesen. Darüber hinaus ist die wirksame Bekämpfung der Cyberkriminalität als ein Aspekt bei der Verfolgung des übergeordneten Ziels einer hohen Cybersicherheit ein wichtiger Schwerpunkt der Europäischen Sicherheitsagenda. Andere Rechtsakte wie die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (10) und die Richtlinie 2002/58/EG (11) sowie die Richtlinie (EU) 2018/1972 des Europäischen Parlaments und des Rates (12) tragen auch zu einem hohen Maß an Cybersicherheit im digitalen Binnenmarkt bei.

(16)

Seit der Verabschiedung der Cybersicherheitsstrategie der Europäischen Union im Jahr 2013 und der letzten Überarbeitung des Mandats der ENISA hat sich der gesamtpolitische Rahmen deutlich verändert, da das globale Umfeld nun von größeren Unwägbarkeiten und geringerer Sicherheit geprägt ist. Vor diesem Hintergrund und im Kontext der positiven Entwicklung der Rolle der ENISA als ein Bezugspunkt für Beratung und Sachkenntnis und als Vermittlerin in Bezug auf Zusammenarbeit und den Aufbau von Fähigkeiten sowie angesichts der neuen Unionspolitik im Bereich der Cybersicherheit muss das Mandat der ENISA im Hinblick auf ihre neue Rolle im veränderten Cybersicherheitsökosystem überarbeitet werden, damit sie die Union wirksam dabei unterstützen kann, auf die Herausforderungen im Bereich der Cybersicherheit zu reagieren, die sich aus der grundlegend veränderten Cyberbedrohungslandschaft ergeben und für die — wie in der Bewertung der ENISA bestätigt — das laufende Mandat nicht ausreicht.

(17)

Die mit dieser Verordnung errichtete ENISA sollte Rechtsnachfolgerin der durch die Verordnung (EU) Nr. 526/2013 errichteten ENISA sein. Die ENISA sollte die Aufgaben wahrnehmen, die ihr mit dieser Verordnung und anderen Rechtsakten der Union im Bereich der Cybersicherheit übertragen werden, indem sie unter anderem Beratung bietet und Sachkenntnis bereitstellt indem sie die Rolle eines Informations- und Wissenszentrums der Union übernimmt. Sie sollte den Austausch bewährter Verfahren zwischen den Mitgliedstaaten und privaten Interessenträgern fördern, der Kommission und den Mitgliedstaaten strategische Vorschläge unterbreiten, als Bezugspunkt für sektorspezifische politische Initiativen der Union im Bereich der Cybersicherheit dienen und die operative Zusammenarbeit sowohl zwischen den Mitgliedstaaten als auch zwischen den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der Union fördern.

(18)

Mit dem Einvernehmlichen Beschluss 2004/97/EG, Euratom der auf Ebene der Staats- und Regierungschefs vereinigten Vertreter der Mitgliedstaaten (13), legten die Vertreter der Mitgliedstaaten fest, dass die ENISA ihren Sitz in Griechenland in einer von der griechischen Regierung zu benennenden Stadt haben soll. Der Sitzmitgliedstaat der ENISA sollte die bestmöglichen Voraussetzungen für eine reibungslose und effiziente Tätigkeit der ENISA gewährleisten. Damit die ENISA ihre Aufgaben ordnungsgemäß und effizient erfüllen, Personal einstellen und binden und die Effizienz der Vernetzungsmaßnahmen steigern kann, ist es unbedingt erforderlich, sie an einem geeigneten Standort anzusiedeln, der unter anderem eine angemessene Verkehrsanbindung sowie Einrichtungen für die Ehepartner und Kinder des Personals der ENISA bietet. Die erforderlichen Modalitäten sollten in einem Abkommen zwischen der ENISA und dem Sitzmitgliedstaat festgelegt werden, das nach Billigung durch den Verwaltungsrat der ENISA geschlossen wird.

(19)

Angesichts der zunehmenden Bedrohungen und Herausforderungen, mit denen die Union im Bereich der Cybersicherheit konfrontiert ist, sollten die Mittelzuweisungen für die ENISA erhöht werden, damit ihre finanzielle und personelle Ausstattung ihrer größeren Rolle und ihren umfangreicheren Aufgaben sowie ihrer wichtigen Stellung im Ökosystem der Organisationen gerecht werden kann, die das digitale Ökosystem der Union verteidigen, sodass die ENISA die ihr mit dieser Verordnung übertragenen Aufgaben wirksam erfüllen kann.

(20)

Die ENISA sollte ein hohes Niveau an Sachkenntnis entwickeln und pflegen und als Bezugspunkt fungieren, wobei sie durch ihre Unabhängigkeit, die Qualität ihrer Beratung und der von ihr verbreiteten Informationen, die Transparenz ihrer Verfahren, die Transparenz ihrer Arbeitsmethoden sowie die Sorgfalt, mit der sie ihre Aufgaben erfüllt, Vertrauen in den Binnenmarkt schafft. Die ENISA sollte die Bemühungen der Mitgliedstaaten aktiv unterstützen und vorausgreifend zu den Bemühungen der Union beitragen und ihre Aufgaben in uneingeschränkter Zusammenarbeit mit den Organen, Einrichtungen und sonstigen Stellen der Union und den Mitgliedstaaten wahrnehmen, wobei Doppelarbeiten vermieden und Synergien gefördert werden sollten. Außerdem sollte sich die ENISA auf die Beiträge des Privatsektors und anderer einschlägiger Interessenträger sowie auf die Zusammenarbeit mit ihnen stützen. Mit einer Reihe von Aufgaben sollte bei gleichzeitiger Wahrung der Flexibilität in ihrer Tätigkeit vorgegeben werden, wie die ENISA ihre Ziele erreichen soll.

(21)

Damit sie die operative Zusammenarbeit zwischen den Mitgliedstaaten angemessen unterstützen kann, sollte die ENISA ihre technischen und menschlichen Fähigkeiten und Fertigkeiten weiter ausbauen. Die ENISA sollte ihr Know-how und ihre Fähigkeiten vergrößern. Die ENISA und die Mitgliedstaaten könnten auf freiwilliger Basis Programme für die Entsendung von nationalen Sachverständigen an die ENISA, die Bildung von Pools von Sachverständigen und den Austausch von Personal entwickeln.

(22)

Die ENISA sollte die Kommission mit Beratung, Stellungnahmen und Analysen zu allen Angelegenheiten der Union, die mit der Ausarbeitung, Aktualisierung und Überprüfung von Strategien und Rechtsvorschriften im Bereich der Cybersicherheit und den diesbezüglichen sektorenspezifischen Aspekten zusammenhängen, unterstützen, damit die Strategien und Rechtsvorschriften der Union mit einer Cybersicherheitsdimension zweckdienlicher gestaltet werden und die kohärente Umsetzung dieser Strategien und Rechtsvorschriften auf nationaler Ebene ermöglicht wird. Für sektorspezifische Strategien und Rechtsetzungsinitiativen der Union im Zusammenhang mit der Cybersicherheit sollte die ENISA als Bezugspunkt für Beratung und Sachkenntnis dienen. Die ENISA sollte dem Europäischen Parlament regelmäßig über ihre Tätigkeiten Bericht erstatten.

(23)

Der öffentliche Kern des offenen Internets, d. h. seine wichtigsten Protokolle und Infrastrukturen, die ein globales öffentliches Gut sind, stellt die wesentlichen Funktionen des Internets als Ganzes bereit und bildet die Grundlage für dessen normalen Betrieb. Die ENISA sollte die Sicherheit und Stabilität dieses öffentlichen Kerns des offenen Internets unterstützen, unter anderem — aber nicht beschränkt auf — die wichtigsten Protokolle (insbesondere DNS, BGP und IPv6), den Betrieb des „Domain Name System“ (DNS) (wie den Betrieb aller Domänen der obersten Ebene) und den Betrieb der Root-Zone.

(24)

Die ENISA hat grundsätzlich die Aufgabe, die einheitliche Umsetzung des einschlägigen Rechtsrahmens, vor allem die wirksame Umsetzung der Richtlinie (EU) 2016/1148 und anderer maßgeblicher Rechtsakte zu Aspekten der Cybersicherheit, zu unterstützen, was für die Stärkung der Abwehrfähigkeit gegen Cyberangriffe unerlässlich ist. Angesichts der sich rasch weiterentwickelnden Bedrohungen für die Cybersicherheit ist klar, dass die Mitgliedstaaten beim Aufbau der Abwehrfähigkeit gegen Cyberangriffe durch ein umfassenderes und ressortübergreifendes Konzept unterstützt werden müssen.

(25)

Die ENISA sollte die Mitgliedstaaten und die Organe, Einrichtungen und sonstigen Stellen der Union in ihrem Bemühen um den Auf- und Ausbau der Fähigkeiten und der Bereitschaft zur Verhütung, Erkennung und Bewältigung von Cyberbedrohungen und von Sicherheitsvorfällen im Zusammenhang mit der Netz- und Informationssicherheit unterstützen. So sollte die ENISA den Auf- und Ausbau der in der Richtlinie (EU) 2016/1148 vorgesehenen Reaktionsteams für Computersicherheitsverletzungen (im Folgenden „CSIRTs“) der Mitgliedstaaten und der Union unterstützen, damit sie ein unionsweit hohes Maß an Ausgereiftheit erreichen. Die Tätigkeiten der ENISA im Zusammenhang mit den operativen Kapazitäten der Mitgliedstaaten sollten die Maßnahmen der Mitgliedstaaten zur Erfüllung ihrer Verpflichtungen aus der Richtlinie (EU) 2016/1148 aktiv unterstützen und diese daher nicht ersetzen.

(26)

Zudem sollte die ENISA auf Ersuchen die Ausarbeitung und Aktualisierung von Strategien im Bereich der Netz- und Informationssysteme auf Unionsebene und, auf Anfrage, auf Ebene der Mitgliedstaaten, insbesondere der Cybersicherheit, unterstützen und sollte die Verbreitung solcher Strategien fördern und die Fortschritte bei deren Umsetzung verfolgen. Die ENISA sollte auch dazu beitragen, den Bedarf an Ausbildungsmaßnahmen und Ausbildungsmaterial, auch in Bezug auf öffentliche Stellen, zu decken, und gegebenenfalls in großem Umfang auf der Grundlage des Referenzrahmens für digitale Kompetenzen der Bürger Ausbilder weiterbilden, um die Mitgliedstaaten und die Organe, Einrichtungen und sonstigen Stellen der Union darin zu unterstützen, eigene Ausbildungskapazitäten aufzubauen.

(27)

Die ENISA sollte die Mitgliedstaaten im Bereich der Sensibilisierung und Ausbildung in Bezug auf die Cybersicherheit unterstützen, indem sie eine engere Koordinierung und den Austausch von bewährten Verfahren zwischen den Mitgliedstaaten fördert. Diese Unterstützung könnte darin bestehen, dass sie ein Netz von nationalen Bildungskontaktstellen und eine Ausbildungsplattform zur Cybersicherheit entwickelt. Das Netz der nationalen Bildungskontaktstellen könnte im Rahmen des Netzes der nationalen Verbindungsbeamten betrieben werden und einen Ausgangspunkt für die zukünftige Koordinierung innerhalb der Mitgliedstaaten bilden.

(28)

Die ENISA sollte die durch die Richtlinie (EU) 2016/1148 eingesetzte Kooperationsgruppe bei der Wahrnehmung ihrer Aufgaben unterstützen, indem sie vor allem ihre Sachkenntnis und Beratung zur Verfügung stellt und den Austausch bewährter Verfahren erleichtert, unter anderem was die Ermittlung von Betreibern wesentlicher Dienste durch die Mitgliedstaaten in Bezug auf Risiken und Sicherheitsvorfälle anbelangt, auch mit Blick auf grenzüberschreitende Abhängigkeiten.

(29)

Die ENISA sollte als Anreiz für die Zusammenarbeit zwischen dem öffentlichen und privaten Sektor, vor allem als Beitrag zum Schutz kritischer Infrastrukturen, den Informationsaustausch in und zwischen Sektoren, vor allem in den in Anhang II der Richtlinie (EU) 2016/1148 genannten Sektoren, unterstützen, indem sie bewährte Verfahren und Leitfäden zu den verfügbaren Instrumenten und Verfahren bereitstellt und aufzeigt, wie regulatorische Fragen im Zusammenhang mit der Informationsweitergabe geklärt werden können, wobei dies beispielsweise durch die Erleichterung des Aufbaus sektorbezogener Informationsaustausch- und -analysezentren (Information Sharing and Analysis Centres) erreicht werden soll.

(30)

In Anbetracht der Tatsache, dass die möglichen negativen Auswirkungen von Sicherheitslücken bei IKT-Produkten, -Diensten und -Prozessen stetig zunehmen, spielen die Aufdeckung und die Behebung solcher Sicherheitslücken eine wichtige Rolle bei der Verringerung der Gesamtrisiken im Bereich der Cybersicherheit. Es hat sich gezeigt, dass die Zusammenarbeit zwischen Organisationen, Herstellern oder Anbietern besonders gefährdeter IKT-Produkte, -Dienste oder -Prozesse sowie Mitgliedern der Forschungsgemeinschaft im Bereich der Cybersicherheit und Regierungen, die diese Sicherheitslücken aufspüren, sowohl die Aufdeckung als auch die Behebung von Sicherheitslücken bei IKT-Produkten, -Diensten oder -Prozessen erheblich verbessert. Die koordinierte Offenlegung von Sicherheitslücken erfolgt in einem strukturierten Prozess der Zusammenarbeit, in dem Sicherheitslücken dem Eigentümer des Informationssystems gemeldet werden, wodurch die Organisation Gelegenheit zur Diagnose und Behebung der Sicherheitslücke erhält, bevor detaillierte Informationen über die Sicherheitslücke an Dritte oder die Öffentlichkeit weitergegeben werden. Das Verfahren sieht ferner eine Koordinierung zwischen demjenigen, der die Sicherheitslücke aufgespürt hat, und der Organisation im Hinblick auf die Veröffentlichung jener Sicherheitslücke vor. Grundsätze für die koordinierte Offenlegung von Sicherheitslücken könnten eine wichtige Rolle bei den Bemühungen der Mitgliedstaaten um die Verbesserung der Cybersicherheit spielen.

(31)

Die ENISA sollte die freiwillig bereitgestellten nationalen Berichte der CSIRTs und des interinstitutionellen IT-Notfallteams für die Organe, Einrichtungen und sonstigen Stellen der Union („CERT-EU“), welche mit der zwischen dem Europäischen Parlament, dem Europäischen Rat, dem Rat der Europäischen Union, der Europäischen Kommission, dem Gerichtshof der Europäischen Union, der Europäischen Zentralbank, dem Europäischen Rechnungshof, dem Europäischen Auswärtigen Dienst, dem Europäischen Wirtschafts- und Sozialausschuss, dem Europäischen Ausschuss der Regionen und der Europäischen Investitionsbank geschlossenen Vereinbarung über die Organisation und die Funktionsweise eines IT-Notfallteams für die Organe, Einrichtungen und sonstigen Stellen der Union (CERT-EU) (14) errichtet wurde, zusammenstellen und auswerten, um einen Beitrag zur Aufstellung gemeinsamer Verfahren für den Informationsaustausch, zur Festlegung der Sprache und zu terminologischen Vereinbarungen zu leisten. In diesem Zusammenhang sollte die ENISA im Rahmen der Richtlinie (EU) 2016/1148, die die Grundlage für den freiwilligen Austausch technischer Informationen auf operativer Ebene innerhalb des Netzwerks von Computer-Notfallteams (im Folgenden „CSIRTs-Netz“) gemäß der genannten Richtlinie geschaffen hat, auch den Privatsektor einbeziehen.

(32)

Die ENISA sollte dazu beitragen, dass bei massiven grenzüberschreitenden Vorfällen und -krisen in Bezug auf Cybersicherheit eine Reaktion auf Unionsebene erfolgt. Diese Aufgabe sollte ENISA entsprechend ihrem Mandat gemäß dieser Verordnung und einem Ansatz ausführen, der von den Mitgliedstaaten im Zusammenhang mit der Empfehlung (EU) 2017/1584 (15) der Kommission und den Schlussfolgerungen des Rates vom 26. Juni 2018 zu einer koordinierten Reaktion auf große Cybersicherheitsvorfälle und -krisen festzulegen ist. Zu dieser Aufgabe könnte auch gehören, dass sie relevante Informationen zusammenstellt und den Kontakt zwischen dem CSIRTs-Netz und den Fachkreisen sowie den für das Krisenmanagement zuständigen Entscheidungsträgern erleichtert. Zudem sollte die ENISA die operative Zusammenarbeit zwischen den Mitgliedstaaten auf Ersuchen eines oder mehrerer Mitgliedstaaten unterstützen, indem sie die Bewältigung der Sicherheitsvorfälle aus technischer Sicht übernimmt, indem sie den Austausch entsprechender technischer Lösungen zwischen den Mitgliedstaaten erleichtert und Beiträge für die Öffentlichkeitsarbeit liefert. Die ENISA sollte die operative Zusammenarbeit unterstützen, indem sie die Modalitäten einer solchen Zusammenarbeit im Rahmen regelmäßig stattfindender Cybersicherheitsübungen testet.

(33)

Zur Unterstützung der operativen Zusammenarbeit sollte die ENISA im Wege einer strukturierten Zusammenarbeit auf den bei der CERT-EU vorhandenen technischen und operativen Sachverstand zurückgreifen. Eine solche strukturierte Zusammenarbeit könnte auf der Sachkenntnis der ENISA aufbauen. Für die Festlegung der praktischen Aspekte einer solchen Kooperation und zur Vermeidung von Doppelarbeit sollten gegebenenfalls zwischen den beiden Stellen die hierfür notwendigen Modalitäten festgelegt werden.

(34)

Entsprechend ihrer Aufgabe, die operative Zusammenarbeit im Rahmen des CSIRTs-Netzes zu unterstützen, sollte die ENISA in der Lage sein, die Mitgliedstaaten auf deren Ersuchen hin zu unterstützen, indem sie diese beispielsweise berät, wie sie ihre Fähigkeiten zur Verhütung, Erkennung und Bewältigung von Sicherheitsvorfällen verbessern können, die technische Bewältigung von Sicherheitsvorfällen mit beträchtlichen oder erheblichen Auswirkungen erleichtert oder sicherstellt, dass Cyberbedrohungen und Sicherheitsvorfälle analysiert werden. Die ENISA sollte die technische Bewältigung von Sicherheitsvorfällen mit beträchtlichen oder erheblichen Auswirkungen insbesondere dadurch erleichtern, dass sie den freiwilligen Austausch technischer Lösungen zwischen den Mitgliedstaaten unterstützt oder kombinierte technische Informationen — etwa über technische Lösungen, die von den Mitgliedstaaten freiwillig bereitgestellt werden — erstellt. Der Empfehlung (EU) 2017/1584 zufolge sollten die Mitgliedstaaten in gutem Glauben untereinander sowie mit der ENISA Informationen über massive Vorfälle und -krisen in Bezug auf Cybersicherheit unverzüglich austauschen. Diese Informationen würden zudem der ENISA helfen, ihre Aufgabe wahrzunehmen, die operative Zusammenarbeit zu unterstützen.

(35)

Als Teil der regulären Zusammenarbeit auf technischer Ebene zur Unterstützung der EU-Lageeinschätzung sollte die ENISA auf der Grundlage öffentlich verfügbarer Informationen, ihrer eigenen Analysen und anhand von Berichten, die sie von den CSIRTs der Mitgliedstaaten oder den nationalen Anlaufstellen für die Sicherheit von Netz- und Informationssystemen gemäß der Richtlinie (EU) 2016/1148, in beiden Fällen auf freiwilliger Basis, dem Europäischen Zentrum zur Bekämpfung der Cyberkriminalität (EC3) bei Europol und dem CERT-EU sowie gegebenenfalls dem EU-Zentrum für Informationsgewinnung und -analyse (EU INTCEN) des Europäischen Auswärtigen Dienstes erhalten hat, regelmäßig und in enger Zusammenarbeit mit den Mitgliedstaaten eingehende EU-Cybersicherheitslageberichte über Sicherheitsvorfälle und Bedrohungen erstellen. Dieser Bericht sollte dem Rat, der Kommission, der Hohen Vertreterin der Union für die Gemeinsame Außen- und Sicherheitspolitik und dem CSIRTs-Netz zur Verfügung gestellt werden.

(36)

Die ENISA sollte sich bei der Unterstützung von nachträglichen technischen Untersuchungen von Sicherheitsvorfällen mit beträchtlichen oder erheblichen Auswirkungen, die sie auf Ersuchen der betreffenden Mitgliedstaaten leistet, auf die Verhütung künftiger Sicherheitsvorfälle konzentrieren. Die betreffenden Mitgliedstaaten sollten die notwendigen Informationen und die erforderliche Hilfe bereitstellen, damit die ENISA die nachträgliche technische Untersuchung wirksam unterstützen kann.

(37)

Die Mitgliedstaaten können die von dem Sicherheitsvorfall betroffenen Unternehmen auffordern, mit der ENISA zusammenzuarbeiten und dieser — unbeschadet ihres Rechts, sensible Geschäftsinformationen und Informationen, die für die öffentliche Sicherheit von Bedeutung sind, zu schützen — die notwendigen Informationen und Hilfen zur Verfügung stellen.

(38)

Um die Herausforderungen im Bereich der Cybersicherheit besser verstehen und den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der Union langfristige strategische Beratung anbieten zu können, muss die ENISA aktuelle und neu auftretende Cybersicherheitsrisiken analysieren. Hierzu sollte die ENISA in Zusammenarbeit mit den Mitgliedstaaten und gegebenenfalls Statistikämtern und anderen Stellen einschlägige öffentlich zugängliche oder freiwillig bereitgestellte Informationen sammeln und Analysen neu entstehender Technik sowie themenspezifische Bewertungen dazu durchführen, welche gesellschaftlichen, rechtlichen, wirtschaftlichen und regulatorischen Folgen technische Innovationen für die Netz- und Informationssicherheit, insbesondere die Cybersicherheit, haben. Die ENISA sollte die Mitgliedstaaten sowie die Organe, Einrichtungen und sonstigen Stellen der Union darüber hinaus bei der Ermittlung sich abzeichnender Cybersicherheitsrisiken und bei der Vermeidung von Vorfällen unterstützen, indem sie Analysen der Cyberbedrohungen, Sicherheitslücken und Sicherheitsvorfälle durchführt.

(39)

Um die Abwehrfähigkeit der Union zu stärken, sollte die ENISA Fachwissen im Bereich der Cybersicherheit der Infrastrukturen, insbesondere zur Unterstützung der in Anhang II der Richtlinie (EU) 2016/1148 aufgeführten Sektoren und der Infrastrukturen, die von den in Anhang III jener Richtlinie aufgeführten Anbietern digitaler Dienste genutzt werden, aufbauen, indem Beratung, Leitlinien zur Verfügung gestellt und bewährte Verfahren ausgetauscht werden. Um den Zugang zu besser strukturierten Informationen über Cybersicherheitsrisiken und mögliche Abhilfemaßnahmen zu erleichtern, sollte die ENISA das Informationsportal der Union aufbauen und pflegen, über das der Öffentlichkeit Informationen der Organe, Einrichtungen und sonstigen Stellen der Union und der Mitgliedstaaten zur Cybersicherheit bereitgestellt werden. Ein leichterer Zugang zu besser strukturierten Informationen über Cybersicherheitsrisiken und mögliche Abhilfemaßnahmen könnte den Mitgliedstaaten auch dabei helfen, ihre Kapazitäten auszubauen und ihre Verfahren aufeinander abzustimmen, sodass die Abwehrfähigkeit gegenüber Cyberangriffen insgesamt gestärkt wird.

(40)

Die ENISA sollte dabei mitwirken, die Öffentlichkeit für Cybersicherheitsrisiken zu sensibilisieren, unter anderem durch eine unionsweite Sensibilisierungskampagne, die Förderung von Schulungen, und Leitlinien für bewährte Verfahren, die sich an Bürger, Organisationen und Unternehmen richten. Darüber hinaus sollte die ENISA einen Beitrag dazu leisten, bewährte Verfahren und Lösungen, einschließlich Cyberhygiene und Cyberkompetenz, auf der Ebene von Bürgern, Organisationen und Unternehmen zu fördern, indem sie öffentlich verfügbare Informationen über erhebliche Sicherheitsvorfälle sammelt und analysiert und Berichte und Leitlinien hierüber erstellt und veröffentlicht, die das Niveau der Abwehrbereitschaft und Abwehrfähigkeit von Bürgern, Organisationen und Unternehmen insgesamt erhöhen. Die ENISA sollte sich außerdem bemühen, Verbrauchern relevante Informationen über anwendbare Zertifizierungsschemata an die Hand zu geben, indem sie beispielsweise Leitlinien und Empfehlungen bereitstellt. Ferner sollte die ENISA gemäß dem mit der Mitteilung der Kommission vom 17. Januar 2018 aufgestellten Aktionsplan für digitale Bildung in Zusammenarbeit mit den Mitgliedstaaten und den Organen, Einrichtungen und sonstigen Stellen der Union regelmäßige öffentliche Aufklärungskampagnen durchführen, die sich an die Endnutzer richten, um sicherere Verhaltensweisen der Nutzer im Internet und digitale Kompetenz zu fördern, die Nutzer stärker für potenzielle Bedrohungen im Internet — auch für die Internetkriminalität wie das Abgreifen von Daten (Phishing), Botnets, Finanz- und Bankenbetrug sowie Datenbetrug — zu sensibilisieren und einfache Empfehlungen in Bezug auf mehrstufige Authentifizierung, Patching, Verschlüsselung, Anonymisierung und Datenschutz zu geben.

(41)

Die ENISA sollte eine zentrale Rolle dabei spielen, die Sensibilisierung der Endnutzer für die Sicherheit von Geräten und die sichere Nutzung von Diensten zu forcieren und auf Unionsebene konzeptionsintegrierte Sicherheit und konzeptionsintegrierten Schutz der Privatsphäre (privacy by design) zu fördern. Dabei sollte die ENISA die verfügbaren bewährten Verfahren und die vorhandene Erfahrung insbesondere von Forschungseinrichtungen und Wissenschaftlern im Bereich IT-Sicherheit optimal nutzen.

(42)

Um die im Cybersicherheitssektor tätigen Unternehmen und die Nutzer von Cybersicherheitslösungen zu unterstützen, sollte die ENISA eine „Marktbeobachtungsstelle“ aufbauen und pflegen, die die wichtigsten Nachfrage- und Angebotstrends auf dem Cybersicherheitsmarkt regelmäßig analysiert und bekannt macht.

(43)

Die ENISA sollte einen Beitrag zu den Bemühungen der Union um eine Zusammenarbeit mit internationalen Organisationen sowie innerhalb der einschlägigen internationalen Gremien für die Zusammenarbeit im Bereich der Cybersicherheit leisten. Insbesondere sollte die ENISA gegebenenfalls an der Zusammenarbeit mit Organisationen wie der OECD, der OSZE und der NATO mitwirken. Diese Zusammenarbeit könnte gemeinsame Cybersicherheitsübungen und eine gemeinsame Koordinierung der Reaktion auf Sicherheitsvorfälle umfassen. Diese Aktivitäten müssen unter uneingeschränkter Achtung der Grundsätze der Inklusivität, der Gegenseitigkeit und der Beschlussfassungsautonomie der Union — unbeschadet der spezifischen Merkmale der Sicherheits- und Verteidigungspolitik der einzelnen Mitgliedstaaten — erfolgen.

(44)

Damit die ENISA ihre Ziele in vollem Umfang verwirklichen kann, sollte sie zu den einschlägigen Aufsichtsbehörden und anderen zuständigen Behörden in der Union und anderen zuständigen Behörden, Einrichtungen und sonstigen Stellen der Union Kontakt halten — etwa zum CERT-EU, EC3, zur Europäischen Verteidigungsagentur (EDA), zur Agentur für das Europäische zivile Satellitennavigationssystem (Europäische GNSS Agentur — GSA), zum Gremium Europäischer Regulierungsstellen für elektronische Kommunikation (GEREK), zur Europäischen Agentur für das Betriebsmanagement von IT-Großsystemen im Raum der Freiheit, der Sicherheit und des Rechts (eu-LISA), zur Europäischen Zentralbank (EZB), zur Europäischen Bankenaufsichtsbehörde (EBA), zum Europäischen Datenschutzausschuss, zur Agentur für die Zusammenarbeit der Energieregulierungsbehörden (ACER), zur Europäischen Agentur für Flugsicherheit (EASA) und zu sonstigen Agenturen der Union, die sich mit Fragen der Cybersicherheit beschäftigen. Für den Austausch von Know-how und bewährten Verfahren und für die Beratung zu Fragen der Cybersicherheit, die sich auf die Arbeit von Datenschutzbehörden auswirken können, sollte die ENISA auch mit diesen in Verbindung stehen. Vertreter der Strafverfolgungs- und der Datenschutzbehörden auf nationaler Ebene und auf Unionsebene sollten als Vertreter für eine Mitwirkung in der ENISA-Beratungsgruppe in Frage kommen. Bei ihren Kontakten mit Strafverfolgungsbehörden in Bezug auf Netz- und Informationssicherheitsfragen, die sich möglicherweise auf deren Arbeit auswirken, sollte die ENISA vorhandene Informationskanäle und bestehende Netze beachten.

(45)

Es könnten Partnerschaften mit Hochschulen eingerichtet werden, die in den einschlägigen Bereichen Forschungsinitiativen betreiben, und es sollten geeignete Kanäle für Beiträge von Verbraucherschutzverbänden und anderen Organisationen, die berücksichtigt werden sollten, zur Verfügung stehen.

(46)

Die ENISA sollte in ihrer Rolle als Sekretariat des CSIRTs-Netzes bezüglich der in der Richtlinie (EU) 2016/1148 festgelegten einschlägigen Aufgaben des CSIRTs-Netzes die CSIRTs der Mitgliedstaaten und das CERT-EU bei der operativen Zusammenarbeit unterstützen. Zudem sollte die ENISA unter gebührender Berücksichtigung der Standardbetriebsverfahren des CSIRTs-Netzes die Zusammenarbeit zwischen den jeweiligen CSIRTs bei Sicherheitsvorfällen, Angriffen oder Störungen der von den CSIRTs verwalteten oder geschützten Netze oder Infrastrukturen, die mindestens zwei CSIRTs betreffen oder betreffen können, fördern und unterstützen.

(47)

Zur Erhöhung der Abwehrbereitschaft der Union bei Cybersicherheitsvorfällen sollte die ENISA auf Unionsebene regelmäßige Cybersicherheitsübungen organisieren und die Mitgliedstaaten sowie die Organe, Einrichtungen und sonstigen Stellen der Union auf deren Ersuchen hin bei der Organisation solcher Übungen unterstützen. Eine Großübung sollte alle zwei Jahre veranstaltet werden, die technische, operative und strategische Elemente umfasst. Darüber hinaus sollte die ENISA regelmäßig weniger umfassende Übungen organisieren können, mit denen dasselbe Ziel verfolgt wird, nämlich die Abwehrbereitschaft der Union bei Sicherheitsvorfällen zu stärken.

(48)

Die ENISA sollte ihre Sachkenntnis im Bereich der Cybersicherheitszertifizierung weiter ausbauen und pflegen, damit sie die Unionspolitik auf diesem Gebiet unterstützen kann. Die ENISA sollte auf bestehenden bewährten Verfahren aufbauen und die Nutzung der Cybersicherheitszertifizierung in der Union fördern, auch indem sie zum Aufbau und zur Pflege eines Rahmens für die Cybersicherheitszertifizierung auf Unionsebene (europäischer Rahmen für die Cybersicherheitszertifizierung) beiträgt, um so die Transparenz der Vertrauenswürdigkeit der Cybersicherheit von IKT-Produkten, -Diensten und -Prozessen zu erhöhen und damit das Vertrauen in den digitalen Binnenmarkt und in seine Wettbewerbsfähigkeit zu stärken.

(49)

Effiziente Cybersicherheitsstrategien sollten sowohl im öffentlichen als auch im privaten Sektor auf sorgfältig entwickelten Risikobewertungsmethoden beruhen. Risikobewertungsmethoden werden auf verschiedenen Ebenen angewandt, ohne dass es eine einheitliche Vorgehensweise für deren effiziente Anwendung gibt. Durch die Förderung und Entwicklung bewährter Verfahren für die Risikobewertung und interoperabler Lösungen für das Risikomanagement innerhalb von Organisationen des öffentlichen und des privaten Sektors wird das Niveau der Cybersicherheit in der Union erhöht. Zu diesem Zweck sollte die ENISA die Zusammenarbeit zwischen Interessenträgern auf Unionsebene unterstützen und Hilfestellung bei deren Bemühungen um die Festlegung und Einführung von europäischen und internationalen Normen für das Risikomanagement und eine messbare Sicherheit in Bezug auf elektronische Produkte, Systeme, Netze und Dienste leisten, die im Zusammenwirken mit Software die Netz- und Informationssysteme bilden.

(50)

Die ENISA sollte die Mitgliedstaaten, die Hersteller oder die Anbieter von IKT-Produkten, -Diensten oder -Prozessen dazu anspornen, ihre allgemeinen Sicherheitsstandards zu heben, damit alle Internetnutzer die erforderlichen Vorkehrungen für ihre persönliche Cybersicherheit treffen können und sie sollte Anreize dazu geben. So sollten Hersteller und Anbieter von IKT-Produkten, -Diensten oder -Prozessen jegliche notwendigen Aktualisierungen bereitstellen und diese IKT-Produkte, -Dienste und -Prozesse zurückrufen, vom Markt nehmen oder umrüsten, wenn sie den Cybersicherheitsstandards nicht genügen, während Einführer und Händler sicherstellen sollten, dass IKT-Produkte, -Dienste und -Prozesse, die sie in der Union vermarkten, den geltenden Anforderungen genügen und kein Risiko für die Verbraucher in der Union darstellen.

(51)

In Zusammenarbeit mit den zuständigen Behörden sollte die ENISA Informationen über das Niveau der Cybersicherheit von IKT-Produkten, -Diensten oder -Prozessen verbreiten, die auf dem Binnenmarkt angeboten werden, und sollte Hersteller oder Anbieter von IKT-Produkten, -Diensten oder -Prozessen verwarnen und sie auffordern, die Sicherheit, auch die Cybersicherheit, ihrer IKT-Produkte, -Dienste oder -Prozesse zu verbessern.

(52)

Die ENISA sollte die laufenden Tätigkeiten auf den Gebieten der Forschung, Entwicklung und technologischen Bewertung — insbesondere die im Rahmen der vielfältigen Forschungsinitiativen der Union durchgeführten Tätigkeiten — umfassend berücksichtigen, um die Organe, Einrichtungen und sonstigen Stellen der Union sowie gegebenenfalls die Mitgliedstaaten — auf deren Ersuchen — in Bezug auf den Forschungsbedarf und die Prioritäten im Bereich der Cybersicherheit zu beraten. Um den Bedarf und die Prioritäten im Forschungsbereich zu ermitteln, sollte die ENISA auch die einschlägigen Nutzergruppen konsultieren. Insbesondere könnte eine Zusammenarbeit mit dem Europäischen Forschungsrat und dem Europäischen Innovations- und Technologieinstitut sowie mit dem Institut der Europäischen Union für Sicherheitsstudien eingerichtet werden.

(53)

Die ENISA sollte die Normungsgremien, insbesondere die europäischen Normungsgremien, bei der Ausarbeitung von europäischen Schemata für die Cybersicherheitszertifizierung regelmäßig konsultieren.

(54)

Cyberbedrohungen bestehen weltweit. Um die Cybersicherheitsstandards, einschließlich der Notwendigkeit der Festlegung gemeinsamer Verhaltensnormen und der Annahme von Verhaltenskodizes, der Verwendung internationaler Normen und des Informationsaustauschs zu verbessern sowie eine zügigere internationale Zusammenarbeit bei der Abwehr und einen weltweiten gemeinsamen Ansatz für Probleme der Netz- und Informationssicherheit zu fördern, bedarf es einer engeren internationalen Zusammenarbeit. In dieser Hinsicht sollte die ENISA ein stärkeres Engagement der Union und die Zusammenarbeit mit Drittländern und internationalen Organisationen unterstützen, indem sie den einschlägigen Organen, Einrichtungen und sonstigen Stellen der Union gegebenenfalls die erforderlichen Sachkenntnisse und Analysen zur Verfügung stellt.

(55)

Die ENISA sollte in der Lage sein, auf Ersuchen der Mitgliedstaaten und der Organe, Einrichtungen und sonstigen Stellen der Union um Rat und Hilfestellung zu Angelegenheiten, die durch das Mandat der ENISA abgedeckt sind, ad hoc zu reagieren.

(56)

In Bezug auf die Führung der ENISA ist es vernünftig und wird empfohlen bestimmte Prinzipien umzusetzen, um der Gemeinsamen Erklärung und dem Gemeinsamen Konzept zu entsprechen, die von der Interinstitutionellen Arbeitsgruppe zu den dezentralen Einrichtungen der EU im Juli 2012 vereinbart wurden und deren Zweck darin besteht, die Aktivitäten der dezentralen Agenturen dynamischer zu gestalten und ihre Leistung zu verbessern. Die in der Gemeinsamen Erklärung und dem Gemeinsamen Konzept enthaltenen Empfehlungen sollten gegebenenfalls auch in den Arbeitsprogrammen, den Bewertungen und den Berichterstattungs- und Verwaltungsverfahren der ENISA zur Geltung kommen.

(57)

Der Verwaltungsrat, der sich aus Vertretern der Mitgliedstaaten und der Kommission zusammensetzt, sollte die allgemeine Ausrichtung der Tätigkeit der ENISA festlegen und dafür sorgen, dass sie ihre Aufgaben im Einklang mit dieser Verordnung wahrnimmt. Der Verwaltungsrat sollte über die erforderlichen Befugnisse verfügen, um den Haushaltsplan zu erstellen und die Ausführung des Haushaltsplans zu überprüfen, angemessene Finanzvorschriften und transparente Verfahren für die Entscheidungsfindung der ENISA festzulegen, das einheitliche Programmplanungsdokument der ENISA anzunehmen, sich eine Geschäftsordnung zu geben, den Exekutivdirektor zu ernennen und über die Verlängerung sowie die Beendigung der Amtszeit des Exekutivdirektors zu beschließen.

(58)

Damit die ENISA ihre Aufgaben ordnungsgemäß und effizient wahrnehmen kann, sollten die Kommission und die Mitgliedstaaten sicherstellen, dass die Personen, die als Mitglieder des Verwaltungsrats ernannt werden, über angemessenes Fachwissen und geeignete Erfahrung verfügen. Die Kommission und die Mitgliedstaaten sollten sich auch darum bemühen, die Fluktuation bei ihren jeweiligen Vertretern im Verwaltungsrat zu verringern, um die Kontinuität seiner Arbeit sicherzustellen.

(59)

Damit die ENISA reibungslos funktioniert, ist es erforderlich, dass ihr Exekutivdirektor aufgrund seiner Verdienste und nachgewiesenen Verwaltungs- und Managementfähigkeiten ernannt wird und über einschlägige Sachkenntnis und Erfahrungen auf dem Gebiet der Cybersicherheit verfügt. Die Aufgaben des Exekutivdirektors sollten in völliger Unabhängigkeit wahrgenommen werden. Der Exekutivdirektor sollte nach Anhörung der Kommission einen Vorschlag für das jährliche Arbeitsprogramm der ENISA ausarbeiten und alle erforderlichen Maßnahmen zu dessen ordnungsgemäßer Durchführung ergreifen. Der Exekutivdirektor sollte einen dem Verwaltungsrat vorzulegenden Jahresbericht, in dem auch die Umsetzung des jährlichen Arbeitsprogramms der ENISA behandelt wird, ausarbeiten, einen Entwurf eines Voranschlags für die Einnahmen und Ausgaben der ENISA erstellen und den Haushaltsplan ausführen. Der Exekutivdirektor sollte zudem die Möglichkeit haben, Ad-hoc-Arbeitsgruppen einzusetzen, die sich mit wissenschaftlichen, technischen, rechtlichen oder sozioökonomischen Einzelfragen befassen. Insbesondere im Zusammenhang mit der Ausarbeitung eines möglichen europäischen Schemas für die Cybersicherheitszertifizierung (im Folgenden „mögliches Schema“) wird die Einrichtung einer Ad-hoc-Arbeitsgruppe für notwendig erachtet. Der Exekutivdirektor sollte dafür sorgen, dass die Mitglieder der Ad-hoc-Arbeitsgruppen höchsten fachlichen Ansprüchen genügen, ein ausgewogenes Verhältnis von Frauen und Männern besteht und dass je nach behandelter Einzelfrage gegebenenfalls ein angemessenes Gleichgewicht zwischen öffentlichen Verwaltungen der Mitgliedstaaten, den Organen, Einrichtungen und sonstigen Stellen der Union und dem Privatsektor einschließlich der Wirtschaft, der Nutzer und wissenschaftlicher Sachverständiger für Netz- und Informationssicherheit gewahrt wird.

(60)

Der Exekutivrat sollte dazu beitragen, dass der Verwaltungsrat effektiv arbeiten kann. Im Rahmen seiner vorbereitenden Arbeiten für die Beschlüsse des Verwaltungsrats sollte der Exekutivrat die einschlägigen Informationen im Detail prüfen und die sich bietenden Optionen sondieren; zudem sollte er die einschlägigen Beschlüsse des Verwaltungsrats vorbereiten, indem er Beratung und Lösungen anbietet.

(61)

Die ENISA sollte über eine ENISA-Beratungsgruppe als Beratungsgremium verfügen, um einen regelmäßigen Dialog mit dem Privatsektor, den Verbraucherorganisationen und sonstigen relevanten Interessenträgern sicherzustellen. Die vom Verwaltungsrat auf Vorschlag des Exekutivdirektors eingesetzte ENISA-Beratungsgruppe sollte hauptsächlich Fragen behandeln, die die Beteiligten betreffen, und diese der ENISA zur Kenntnis bringen. Die ENISA-Beratungsgruppe sollte vor allem im Hinblick auf den Entwurf des jährlichen Arbeitsprogramms der ENISA hinzugezogen werden. Die Zusammensetzung der ENISA-Beratungsgruppe und die dieser Gruppe übertragenen Aufgaben, sollten gewährleisten, dass die Interessenträger bei der Tätigkeit der ENISA ausreichend vertreten sind.

(62)

Die Gruppe der Interessenträger für die Cybersicherheitszertifizierung sollte eingesetzt werden, um der ENISA und der Kommission die Konsultation der maßgeblichen Interessenträger zu erleichtern. Die Gruppe der Interessenträger für die Cybersicherheitszertifizierung sollte sich in ausgewogenem Verhältnis aus Branchenvertretern sowohl der Nachfrage- als auch der Angebotsseite in Bezug auf IKT-Produkte und -Dienste zusammensetzen; insbesondere sollten KMU, Anbieter digitaler Dienste, europäische und internationale Normungsgremien, nationale Akkreditierungsstellen, Datenschutz-Aufsichtsbehörden, Konformitätsbewertungsstellen gemäß der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates (16) und die Wissenschaft sowie Verbraucherorganisationen vertreten sein.

(63)

Die ENISA sollte über Vorschriften zur Vermeidung und Handhabung von Interessenkonflikten verfügen. Die ENISA sollte die einschlägigen Bestimmungen der Union in Bezug auf den Zugang der Öffentlichkeit zu Dokumenten gemäß der Verordnung (EG) Nr. 1049/2001 des Europäischen Parlaments und des Rates (17) anwenden. Die Verarbeitung personenbezogener Daten durch die ENISA sollte nach der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates (18) erfolgen. Die ENISA sollte die für die Organe, Einrichtungen und sonstigen Stellen der Union geltenden Bestimmungen über den Umgang mit Informationen, insbesondere mit sensiblen Informationen und Verschlusssachen der Europäischen Union (EUCI), sowie die entsprechenden nationalen Rechtsvorschriften befolgen.

(64)

Damit die volle Autonomie und Unabhängigkeit der ENISA gewährleistet ist und sie zusätzliche Aufgaben — auch nicht vorhergesehene Aufgaben in Notfällen — erfüllen kann, sollte die ENISA über einen ausreichenden und eigenständigen Haushalt verfügen, der hauptsächlich durch einen Beitrag der Union und durch Beiträge von Drittländern, die sich an der Arbeit der ENISA beteiligen, finanziert werden sollte. Ein angemessen ausgestatteter Haushaltsplan ist von entscheidender Bedeutung dafür, dass die ENISA ausreichende Kapazitäten hat, um ihren wachsenden Aufgaben zu erfüllen und ihre Ziele zu erreichen. Die Mehrheit der Agenturbediensteten sollte unmittelbar mit der operativen Umsetzung des Mandats der ENISA befasst sein. Dem Sitzmitgliedstaat und anderen Mitgliedstaaten sollte es erlaubt sein, freiwillige Beiträge zum Haushaltsplan der ENISA zu leisten. Sämtliche Zuschüsse aus dem Gesamthaushaltsplan der Europäischen Union sollten dem Haushaltsverfahren der Union unterliegen. Ferner sollte die Rechnungsführung der ENISA durch den Rechnungshof geprüft werden, um Transparenz und Rechenschaftspflicht sicherzustellen.

(65)

Die Cybersicherheitszertifizierung spielt eine große Rolle, wenn es darum geht, das Vertrauen in IKT-Produkte, -Dienste und -Prozesse zu stärken und deren Sicherheit zu erhöhen. Die Entwicklung des digitalen Binnenmarkts und insbesondere der Datenwirtschaft und des Internets der Dinge kommt nur voran, wenn in der breiten Öffentlichkeit das Vertrauen vorhanden ist, dass diese Produkte, Dienste und Prozesse ein gewisses Maß an Cybersicherheit gewährleisten. Vernetzte und automatisierte Fahrzeuge, elektronische medizinische Geräte, die automatischen Steuerungssysteme der Industrie und intelligente Netze sind, sind nur einige Beispiele von Sektoren, in denen die Zertifizierung bereits breiten Einsatz findet oder in naher Zukunft eingesetzt werden soll. Die unter die Richtlinie (EU) 2016/1148 fallenden Sektoren sind zudem Sektoren, in denen die Cybersicherheitszertifizierung ein maßgeblicher Faktor ist.

(66)

In ihrer Mitteilung aus dem Jahr 2016 mit dem Titel „Stärkung der Abwehrfähigkeit Europas im Bereich der Cybersicherheit und Förderung einer wettbewerbsfähigen und innovativen Cybersicherheitsbranche“ unterstrich die Kommission die Notwendigkeit hochwertiger, erschwinglicher und interoperabler Produkte und Lösungen für die Cybersicherheit. Allerdings ist das Angebot an IKT-Produkten, -Diensten und -Prozessen im Binnenmarkt nach wie vor geografisch stark zersplittert. Das liegt daran, dass sich die Cybersicherheitsbranche in Europa überwiegend aufgrund der Nachfrage der nationalen Regierungen entwickelt hat. Zudem gehört der Mangel an interoperablen Lösungen (technischen Normen), Verfahrensweisen und unionsweiten Zertifizierungsmechanismen zu den Defiziten, die den Binnenmarkt im Bereich der Cybersicherheit beeinträchtigen. Dies macht es für europäische Unternehmen schwerer, im nationalen, unionsweiten und weltweiten Wettbewerb zu bestehen. Es verringert sich dadurch auch das Angebot an tragfähiger und einsetzbarer Cybersicherheitstechnik, auf die Privatpersonen und Unternehmen zugreifen können. Auch in der Mitteilung des Jahres 2017 zur Halbzeitbewertung der Umsetzung der Strategie für den digitalen Binnenmarkt — Ein vernetzter digitaler Binnenmarkt für alle — unterstrich die Kommission die Bedeutung sicherer vernetzter Produkte und Systeme und verwies darauf, dass die Schaffung eines europäischen Rahmens für die IKT-Sicherheit, auf dessen Grundlage Vorschriften für die Organisation der IKT-Sicherheitszertifizierung in der Union festgelegt werden, dafür sorgen kann, dass das Vertrauen in den Binnenmarkt erhalten bleibt und die derzeitige Fragmentierung des Binnenmarkts eingedämmt wird.

(67)

Derzeit werden IKT-Produkte, -Dienste und -Prozesse, im Hinblick auf ihre Cybersicherheit kaum zertifiziert. Wenn dies doch der Fall ist, geschieht es meist auf Ebene der Mitgliedstaaten oder im Rahmen brancheneigener Programme. So wird ein von einer nationalen Behörde für die Cybersicherheitszertifizierung ausgestelltes Zertifikat nicht grundsätzlich auch in anderen Mitgliedstaaten anerkannt. Unternehmen müssen somit ihre IKT-Produkte, -Dienste und -Prozesse möglicherweise in mehreren Mitgliedstaaten, in denen sie tätig sind, zertifizieren lassen, um beispielsweise an einer nationalen Ausschreibung teilzunehmen, was ihre Kosten erhöht. Auch wenn immer neue Systeme entstehen, scheint es kein kohärentes und ganzheitliches Konzept zu geben, das sich mit horizontalen Fragen der Cybersicherheit, etwa im Bereich des Internets der Dinge, befasst. Die vorhandenen Systeme weisen im Hinblick auf Produkterfassung, Vertrauenswürdigkeitsstufen, wesentliche Kriterien und tatsächliche Nutzung erhebliche Mängel und Unterschiede auf, was die Verfahren zur gegenseitigen Anerkennung in der Union behindert.

(68)

Einige Anstrengungen wurden bereits unternommen, um eine gegenseitige Anerkennung der Zertifikate in der Union zu gewährleisten. Diese waren jedoch nur zum Teil erfolgreich. Das in dieser Hinsicht wichtigste Beispiel ist die in der Gruppe hoher Beamter für die Sicherheit der Informationssysteme (SOG-IS) getroffene Vereinbarung über die gegenseitige Anerkennung (MRA). Auch wenn diese Vereinbarung das wichtigste Vorbild für die Zusammenarbeit und gegenseitige Anerkennung auf dem Gebiet der Sicherheitszertifizierung ist, umfasst die SOG-IS nur einige der Mitgliedstaaten. Dies hat aus Binnenmarktsicht zur Folge, dass die Vereinbarungen der Gruppe nur begrenzt wirksam sind.

(69)

Daher ist es notwendig, einen gemeinsamen Ansatz zu verfolgen und einen europäischen Rahmen für die Cybersicherheitszertifizierung aufzubauen, auf dessen Grundlage die Anforderungen an die zu entwickelnden europäischen Schemata für die Cybersicherheitszertifizierung festgelegt werden, damit die europäischen Cybersicherheitszertifikate und EU-Konformitätserklärungen für IKT-Produkte, -Dienste oder -Prozesse in allen Mitgliedstaaten anerkannt und verwendet werden können. Dabei ist es wichtig, auf vorhandenen nationalen und internationalen Schemata sowie auf Systemen der gegenseitigen Anerkennung, insbesondere der SOG-IS, aufzubauen und einen reibungslosen Übergang von vorhandenen Schemata im Rahmen solcher Systeme zu Schemata auf der Grundlage des neuen europäischen Rahmens für die Cybersicherheitszertifizierung zu ermöglichen. Mit einem europäischen Rahmen für die Cybersicherheitszertifizierung sollten zwei Ziele verfolgt werden: erstens sollte er dazu beitragen, das Vertrauen in IKT-Produkte, -Dienste und -Prozesse zu erhöhen, die nach Schemata für die europäische Cybersicherheitszertifizierung zertifiziert wurden. Zweitens sollte er dazu beitragen, dass sich vielfältige, sich widersprechende oder überlappende nationale Schemata für die Cybersicherheitszertifizierung vermeiden lassen, und so die Kosten für auf dem digitalen Binnenmarkt tätige Unternehmen senken. Die europäischen Schemata für die Cybersicherheitszertifizierung sollten nichtdiskriminierend sein und sich auf europäische oder internationale Normen stützen, sofern diese Normen nicht unwirksam oder unangemessen im Hinblick auf die Erreichung der legitimen Ziele der Union in diesem Bereich sind.

(70)

Der europäische Rahmen für die Cybersicherheitszertifizierung sollte in einheitlicher Weise in allen Mitgliedstaaten eingeführt werden, damit es nicht aufgrund unterschiedlicher Anforderungsniveaus zwischen den Mitgliedstaaten zu einem „Zertifizierungsshopping“ kommt.

(71)

Europäische Schemata für die Cybersicherheitszertifizierung sollten auf dem auf internationaler und nationaler Ebene bereits Vorhandenen und erforderlichenfalls auf den von Gremien und Konsortien erstellten technischen Spezifikationen aufbauen, wobei die derzeitigen Stärken genutzt und Schwachstellen bewertet und behoben werden sollten.

(72)

Es bedarf flexibler Cybersicherheitslösungen, damit die Branche den Cyberbedrohungen immer einen Schritt voraus ist und daher sollte jedes Zertifizierungsschema so gestaltet werden, dass das Risiko eines schnellen Veraltens vermieden wird.

(73)

Die Kommission sollte befugt sein, für bestimmte Gruppen von IKT-Produkten, -Diensten und -Prozessen europäische Schemata für die Cybersicherheitszertifizierung anzunehmen. Diese Schemata sollten von nationalen Behörden für die Cybersicherheitszertifizierung umgesetzt und überwacht werden, und die im Rahmen dieser Schemata erteilten Zertifikate sollten unionsweit gültig sein und anerkannt werden. Die von der Industrie oder sonstigen privaten Organisationen betriebenen Zertifizierungsschemata sollten nicht in den Anwendungsbereich dieser Verordnung fallen. Die Stellen, die solche Schemata betreiben, sollten der Kommission jedoch vorschlagen können, ihre Systeme als Grundlage für ein europäisches Schema für die Cybersicherheitszertifizierung in Betracht zu ziehen und sie als ein solches zu genehmigen.

(74)

Die Rechtsvorschriften der Union, in denen bestimmte Vorschriften zur Zertifizierung von IKT-Produkten, -Diensten und -Prozessen festgelegt sind, bleiben von den Bestimmungen dieser Verordnung unberührt. Insbesondere enthält die Verordnung (EU) 2016/679 Bestimmungen zur Einführung von Zertifizierungsverfahren sowie von Datenschutzsiegeln und -prüfzeichen, die dem Nachweis dienen, dass die für die Datenverarbeitung Verantwortlichen und die Auftragsverarbeiter bei der Verarbeitung von Daten die Bestimmungen der genannten Verordnung einhalten. Solche Zertifizierungsverfahren sowie Datenschutzsiegel und -prüfzeichen sollten den betroffenen Personen einen raschen Überblick über das Datenschutzniveau einschlägiger IKT-Produkte, -Dienste und -Prozesse ermöglichen. Die Zertifizierung von Datenverarbeitungsvorgängen, die unter die Verordnung (EU) 2016/679 fallen, auch wenn solche Vorgänge in IKT-Produkte, -Dienste und -Prozesse eingebettet sind, bleibt von der vorliegenden Verordnung unberührt.

(75)

Mit den europäischen Schemata für die Cybersicherheitszertifizierung sollte gewährleistet werden, dass die nach solchen Systemen zertifizierten IKT-Produkte, -Dienste und -Prozesse bestimmten Anforderungen genügen, deren Ziel es ist, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten, Funktionen oder Dienste, die von diesen Produkten, Diensten und Prozessen angeboten oder über diese zugänglich gemacht werden, während deren gesamten Lebenszyklus zu schützen. In dieser Verordnung können nicht alle Anforderungen an die Cybersicherheit sämtlicher IKT-Produkte, -Dienste und -Prozesse im Einzelnen festgelegt werden. Die Vielfalt der IKT-Produkte, -Dienste und -Prozesse und der damit zusammenhängenden Anforderungen an die Cybersicherheit ist so groß, dass es sehr schwierig ist, allgemeine Anforderungen an die Cybersicherheit zu entwickeln, die unter allen Umständen gültig sind. Es gilt daher, ein breit gefasstes und allgemeines Konzept der Cybersicherheit für die Zwecke der Zertifizierung zu verabschieden, das durch besondere Cybersicherheitsziele ergänzt werden sollte, die bei der Konzeption der europäischen Schemata für die Cybersicherheitszertifizierung berücksichtigt werden müssen. Die Modalitäten, wie diese Ziele für bestimmte IKT-Produkte, -Dienste und -Prozesse erreicht werden sollen, sollten dann weiter im Einzelnen auf der Grundlage des jeweiligen von der Kommission angenommenen Zertifizierungsschemas festgelegt werden, etwa durch Verweise auf Normen oder technische Spezifikationen, wenn keine angemessenen Normen verfügbar sind.

(76)

Die in europäischen Schemata für die Cybersicherheitszertifizierung zu verwendenden technischen Spezifikationen sollten unter Beachtung der in Anhang II der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates (19) festgelegten Anforderungen bestimmt werden. Gewisse Abweichungen von diesen Anforderungen könnten jedoch in hinreichend begründeten Fällen als notwendig erachtet werden, wenn diese technischen Spezifikationen in einem europäischen Schema für die Cybersicherheitszertifizierung in der Vertrauenswürdigkeitsstufe „hoch“ verwendet werden sollen. Die Gründe für solche Abweichungen sollten öffentlich zugänglich gemacht werden.

(77)

Eine Konformitätsbewertung ist ein Verfahren, mit dem bewertet wird, ob bestimmte Anforderungen an ein IKT-Produkt, einen IKT-Dienst oder einen IKT-Prozess erfüllt werden. Dieses Verfahren wird von einem unabhängigen Dritten, bei dem es sich nicht um den Hersteller oder den Anbieter der IKT-Produkte, -Dienste oder -Prozesse, welche bewertet werden, handelt, durchgeführt. Ein europäisches Cybersicherheitszertifikat sollte nach der erfolgreichen Bewertung eines IKT-Produkts, -Dienstes oder -Prozesses ausgestellt werden. Ein europäisches Cybersicherheitszertifikat sollte als Bestätigung gelten, dass die Bewertung ordnungsgemäß durchgeführt wurde. Je nach Vertrauenswürdigkeitsstufe sollte im europäischen Schema für die Cybersicherheitszertifizierung angegeben werden, ob ein europäisches Cybersicherheitszertifikat von einer privaten oder einer öffentlichen Stelle auszustellen ist. Die Konformitätsbewertung und die Zertifizierung an sich können nicht garantieren, dass die zertifizierten IKT-Produkte, -Dienste und -Prozesse cybersicher sind. Es handelt sich vielmehr um Verfahren und technische Methoden, um zu bescheinigen, dass die IKT-Produkte, -Dienste und -Prozesse geprüft wurden und bestimmte Anforderungen an die Cybersicherheit erfüllen, wie sie anderweitig, beispielsweise in technischen Normen, festgelegt sind.

(78)

Die Auswahl der angemessenen Zertifizierung und der dazugehörigen Sicherheitsanforderungen durch die Nutzer der europäischen Cybersicherheitszertifizierung sollte auf der Grundlage einer Risikoanalyse der Verwendung des IKT-Produkts, -Dienstes oder -Prozesses erfolgen. Dementsprechend sollte die Vertrauenswürdigkeitsstufe das mit der beabsichtigten Verwendung eines IKT-Produkts, -Dienstes oder -Prozesses verbundene Risiko widerspiegeln.

(79)

Europäische Schemata für die Cybersicherheitszertifizierung könnten eine Konformitätsbewertung vorsehen, die unter der alleinigen Verantwortung des Herstellers oder Anbieters von IKT-Produkten, -Diensten und -Prozessen durchzuführen wäre (im Folgenden „Selbstbewertung der Konformität“). In diesen Fällen sollte es ausreichen, dass der Hersteller oder Anbieter von IKT-Produkten, -Diensten oder -Prozessen selbst alle Überprüfungen vornimmt, um sicherzustellen, dass die IKT-Produkte, -Dienste oder -Prozesse mit dem europäischen Schema für die Cybersicherheitszertifizierung konform sind. Die Selbstbewertung der Konformität sollte für IKT-Produkte, -Dienste oder -Prozesse von geringer Komplexität, die ein geringes Risiko für die Öffentlichkeit darstellen, wie bei einfacher Konzeption und einfachem Herstellungsmechanismus, als angemessen angesehen werden. Zudem sollte die Selbstbewertung der Konformität nur dann für IKT-Produkte, IKT-Dienste oder IKT-Prozesse erlaubt sein, wenn sie der Vertrauenswürdigkeitsstufe „niedrig“ entsprechen.

(80)

Europäische Schemata für die Cybersicherheitszertifizierung könnten sowohl die Selbstbewertung der Konformität als auch die Zertifizierung von IKT-Produkten, -Diensten oder -Prozessen zulassen. In einem solchen Fall sollten im System klare und verständliche Instrumente für Verbraucher oder andere Nutzer vorgesehen werden, mit denen sie zwischen IKT-Produkten, -Diensten oder -Prozessen, die unter der Verantwortung des Herstellers oder Anbieters von IKT-Produkten, -Diensten oder -Prozessen bewertet werden, und IKT-Produkten, -Diensten oder -Prozessen, die von einem Dritten zertifiziert werden, unterscheiden können.

(81)

Ein Hersteller oder Anbieter von IKT-Produkten, -Diensten oder -Prozessen, der eine Selbstbewertung der Konformität durchführt, sollte die EU-Konformitätserklärung im Rahmen des Konformitätsbewertungsverfahrens abfassen und unterzeichnen können. Eine EU-Konformitätserklärung ist ein Dokument, welches bestätigt, dass das betreffende IKT-Produkt, der betreffende IKT-Dienst oder der betreffende IKT-Prozess die Anforderungen des Schemas erfüllt. Durch die Abfassung und Unterzeichnung der EU-Konformitätserklärung übernimmt der Hersteller oder Anbieter die Verantwortung dafür, dass das IKT-Produkt, der IKT-Dienst oder der IKT-Prozess die rechtlichen Anforderungen des europäischen Schemas für die Cybersicherheitszertifizierung erfüllt. Eine Kopie der EU-Konformitätserklärung sollte der nationalen Behörde für die Cybersicherheitszertifizierung und der ENISA vorgelegt werden.

(82)

Hersteller oder Anbieter von IKT-Produkten, -Diensten und -Prozessen sollten die EU-Konformitätserklärung, die technische Dokumentation und alle weiteren einschlägigen Informationen in Bezug auf die Konformität der IKT-Produkte, -Dienste oder -Prozesse mit einem System während eines Zeitraums, der im einschlägigen europäischen Schema für die Cybersicherheitszertifizierung festgelegt ist, für die zuständige nationale Behörde für die Cybersicherheitszertifizierung bereithalten. In der technischen Dokumentation sollten die in diesem System geltenden Anforderungen aufgeführt werden und die Konzeption, Herstellung und Funktionsweise des IKT-Produkts, -Dienstes oder -Prozesses erfasst werden. Die technische Dokumentation sollte so erstellt werden, dass es möglich ist, die Konformität eines IKT-Produkts oder -Dienstes mit den in diesem System geltenden Anforderungen zu bewerten.

(83)

Bei der Gestaltung des Rahmens des europäischen Schemas für die Cybersicherheitszertifizierung sollte die Einbeziehung der Mitgliedstaaten sowie eine angemessene Einbeziehung der Interessenträger berücksichtigt werden; ferner sollte die Rolle der Kommission während der Planung und Vorlage eines europäischen Schemas für die Cybersicherheitszertifizierung, der Erteilung des entsprechenden Auftrags sowie der Ausarbeitung, der Annahme und der Überprüfung eines europäischen Schemas für die Cybersicherheitszertifizierung festgelegt werden.

(84)

Die Kommission sollte mit Unterstützung der Europäischen Gruppe für die Cybersicherheitszertifizierung und der Gruppe der Interessenträger für die Cybersicherheitszertifizierung im Anschluss an eine offene und umfassende Konsultation ein fortlaufendes Arbeitsprogramm der Union für europäische Schemata für die Cybersicherheitszertifizierung ausarbeiten und in Form eines nicht verbindlichen Instruments veröffentlichen. Das fortlaufende Arbeitsprogramm der Union sollte ein strategisches Dokument sein und insbesondere der Branche, den nationalen Behörden und den Normungsgremien ermöglichen, sich auf die künftigen Europäischen Schemata für die Cybersicherheitszertifizierung vorzubereiten. Das fortlaufende Arbeitsprogramm der Union sollte eine mehrjährige Übersicht über die Aufträge für die Ausarbeitung möglicher Systeme umfassen, die die Kommission der ENISA aus bestimmten Gründen zu erteilen beabsichtigt. Die Kommission sollte dieses fortlaufende Arbeitsprogramm der Union im Rahmen des fortlaufenden Plans für die IKT-Normung und bei der Erstellung ihrer Normungsaufträge an die europäischen Normungsorganisationen berücksichtigen. Wegen der raschen Einführung und Übernahme neuer Technologien sowie die Entstehung bislang unbekannter Cybersicherheitsrisiken und Gesetzgebungs- und Marktentwicklungen sollte die Kommission oder die Europäische Gruppe für die Cybersicherheitszertifizierung befugt sein, die ENISA mit der Ausarbeitung möglicher Zertifizierungsschemata, die nicht im fortlaufenden Arbeitsprogramm der Union enthalten waren, zu beauftragen. In solchen Fällen sollten die Kommission und die Europäische Gruppe für die Cybersicherheitszertifizierung auch die Notwendigkeit eines solchen Auftrags bewerten, wobei die allgemeinen Zielsetzungen und Vorgaben dieser Verordnung und die Notwendigkeit der Kontinuität bei der Planung der ENISA und der Nutzung der Ressourcen durch die ENISA zu berücksichtigen sind.

Im Anschluss an einen solchen Auftrag sollte die ENISA ohne ungebührliche Verzögerung mögliche Zertifizierungsschemata für bestimmte IKT- Produkte -Dienste und -Prozesse, ausarbeiten. Die Kommission sollte die positiven und negativen Auswirkungen ihres Auftrags auf den spezifischen Markt und insbesondere auf KMU, Innovation, die Schranken für den Eintritt in diesen Markt und die Kosten für die Endverbraucher bewerten. Die Kommission sollte befugt sein, auf der Grundlage des von der ENISA vorbereiteten möglichen Schemas das europäische Schema für die Cybersicherheitszertifizierung mittels eines Durchführungsrechtsakts anzunehmen. Unter Berücksichtigung des allgemeinen Zwecks dieser Verordnung und der in ihr festgelegten Sicherheitsziele sollten in den von der Kommission angenommenen europäischen Schemata für die Cybersicherheitszertifizierung Mindestbestimmungen in Bezug auf den Gegenstand, den Anwendungsbereich und die Funktionsweise des einzelnen Schemas festgelegt werden. Unter diese Bestimmungen sollte unter anderem Folgendes fallen: Anwendungsbereich und Ziel der Cybersicherheitszertifizierung, darunter auch die Kategorien von IKT-Produkten, -Diensten und -Prozessen, detaillierte Spezifikationen der Anforderungen an die Cybersicherheit, etwa durch Verweise auf Normen oder technische Spezifikationen, die jeweiligen Bewertungskriterien und -verfahren sowie die beabsichtigte Vertrauenswürdigkeitsstufe („niedrig“, „mittel“ oder „hoch“) sowie gegebenenfalls die Bewertungsniveaus. Die ENISA sollte einen Auftrag der Europäischen Gruppe für die Cybersicherheitszertifizierung ablehnen können. Solche Entscheidungen sollten gebührend begründet und vom Verwaltungsrat getroffen werden.

(85)

Die ENISA sollte eine eigene Website unterhalten, auf der sie über die europäischen Schemata für die Cybersicherheitszertifizierung informiert und für diese wirbt und auf der unter anderem die Aufträge für die Ausarbeitung eines möglichen Schemas und die Rückmeldungen im Rahmen des Konsultationsverfahrens, das von der ENISA in der Ausarbeitungsphase durchgeführt wird, zur Verfügung stehen. Auf der Website sollten auch Informationen über die europäischen Cybersicherheitszertifikate und die nach dieser Verordnung ausgestellten EU-Konformitätserklärungen einschließlich Informationen zum Widerruf und Ablauf solcher europäischen Cybersicherheitszertifikate und EU-Konformitätserklärungen bereitgestellt werden. Auf der Website sollten auch diejenigen nationalen Schemata für die Cybersicherheitszertifizierung angegeben werden, die durch ein europäisches Schema für die Cybersicherheitszertifizierung ersetzt wurden.

(86)

Die Vertrauenswürdigkeit eines europäischen Zertifizierungsschemas ist die Grundlage für das Vertrauen, dass ein IKT-Produkt, -Dienst oder -Prozess den Sicherheitsanforderungen eines spezifischen europäischen Schemas für die Cybersicherheitszertifizierung genügt. Um die Kohärenz des Rahmens für ein europäisches Schema für die Cybersicherheitszertifizierung zu gewährleisten, sollte ein europäisches Schema für die Cybersicherheitszertifizierung die Vertrauenswürdigkeitsstufen für europäische Cybersicherheitszertifikate und EU-Konformitätserklärungen, die im Rahmen dieses Schemas ausgestellt werden, angeben können. Jedes europäische Cybersicherheitszertifikat könnte sich auf eine der Vertrauenswürdigkeitsstufen „niedrig“, „mittel“ oder „hoch“ beziehen, wohingegen sich die EU-Konformitätserklärung nur auf die Vertrauenswürdigkeitsstufe „niedrig“ beziehen könnte. Die Vertrauenswürdigkeitsstufen würden die entsprechende Strenge und Gründlichkeit für die Bewertung des IKT-Produkts, -Dienstes oder -Prozesses vorgeben und durch Bezugnahme auf die diesbezüglichen technischen Spezifikationen, Normen und Verfahren einschließlich technischer Prüfungen, deren Zweck in der Minderung oder Prävention der Gefahr von Vorfällen besteht, gekennzeichnet sein. Jede Vertrauenswürdigkeitsstufe sollte in den verschiedenen Bereichen der Sektoren, in denen die Zertifizierung angewandt wird, einheitlich sein.

(87)

In einem europäischen Schema für die Cybersicherheitszertifizierung können je nach Strenge und Gründlichkeit der verwendeten Evaluierungsmethode mehrere Bewertungsniveaus angegeben werden. Die Evaluierungsstufen sollten jeweils einer der Vertrauenswürdigkeitsstufen entsprechen und mit einer entsprechenden Kombination von Vertrauenswürdigkeitskomponenten verknüpft sein sollten. Für alle Vertrauenswürdigkeitsstufen sollte das IKT-Produkt, der IKT-Dienst oder der IKT-Prozess eine Reihe sicherer Funktionen enthalten, die im jeweiligen System festgelegt sind, so unter anderem eine voreingestellte sichere Konfiguration, einen signierten Code, ein sicheres Aktualisierungsverfahren und die Reduzierung von Exploits sowie eine vollständige Absicherung von Stapelspeicher (Stack) oder dynamischem Speicher (Heap). Diese Funktionen sollten weiterentwickelt und gepflegt werden, wobei sicherheitsorientierte Entwicklungskonzepte und dazugehörige Instrumente zu verwenden sind, um sicherzustellen, dass wirksame Software- und Hardware-Mechanismen zuverlässig integriert werden.

(88)

Bei der Vertrauenswürdigkeitsstufe „niedrig“ sollte sich die Bewertung mindestens auf die folgenden Vertrauenswürdigkeitskomponenten stützen: Die Bewertung sollte mindestens eine Überprüfung der technischen Dokumentation des IKT-Produkts -Dienstes oder -Prozesses durch die Konformitätsbewertungsstelle umfassen. Schließt die Zertifizierung IKT-Prozesse ein, sollte auch das Verfahren zur Konzipierung, Entwicklung und Pflege eines IKT-Produkts oder -Dienstes einer technischen Überprüfung unterzogen werden. Ist in einem europäischen Schema für die Cybersicherheitszertifizierung eine Selbstbewertung der Konformität vorgesehen, so sollte es genügen, wenn der Hersteller oder Anbieter von IKT- Produkten, Diensten oder Prozessen eine Selbstbewertung der Konformität des IKT-Produkts, -Dienstes oder -Prozesses, mit dem Zertifizierungsschema vornimmt.

(89)

Bei der Vertrauenswürdigkeitsstufe „mittel“ sollte sich die Bewertung — zusätzlich zu den Anforderungen bei der Vertrauenswürdigkeitsstufe „niedrig“ — mindestens auf eine Überprüfung der Konformität der Sicherheitsfunktionen des IKT-Produkts, -Dienstes oder -Prozesses mit seiner technischen Dokumentation stützen.

(90)

Bei der Vertrauenswürdigkeitsstufe „hoch“ sollte sich die Bewertung — zusätzlich zu den Anforderungen bei der Vertrauenswürdigkeitsstufe „mittel“ — mindestens auf einen Wirksamkeitstest stützen, bei dem die Widerstandsfähigkeit der Sicherheitsfunktionen des IKT-Produkts, -Dienstes oder -Prozesses gegen gründlich vorbereitete Cyberattacken bewertet wird, die von Akteuren mit umfangreichen Fähigkeiten und Ressourcen durchgeführt wird.

(91)

Der Rückgriff auf eine europäische Cybersicherheitszertifizierung und eine EU-Konformitätserklärung sollte freiwillig bleiben, sofern im Unionsrecht oder in entsprechend dem Unionsrecht erlassenen Rechtsvorschriften der Mitgliedstaaten nichts anderes festgelegt ist. Falls es keine harmonisierten Unionsrechtsvorschriften gibt, können die Mitgliedstaaten nationale technische Vorschriften gemäß der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates (20) erlassen. Die Mitgliedstaaten können auch im Zusammenhang mit öffentlichen Ausschreibungen und der Richtlinie 2014/24/EU des Europäischen Parlaments und des Rates (21) auf eine europäische Cybersicherheitszertifizierung zurückgreifen.

(92)

In einigen Bereichen könnte es künftig notwendig werden, bestimmte Anforderungen an die Cybersicherheit und die entsprechende Zertifizierung für bestimmte IKT-Produkte, -Dienste oder -Prozesse verbindlich vorzuschreiben, um das Niveau der Cybersicherheit in der Union zu erhöhen. Die Kommission sollte die Auswirkungen der angenommenen europäischen Schemata für die Cybersicherheitszertifizierung auf die Verfügbarkeit sicherer IKT-Produkte, -Dienste und -Prozesse im Binnenmarkt regelmäßig überwachen und sollte regelmäßig bewerten, inwieweit die Zertifizierungsschemata durch die Hersteller oder Anbieter von IKT-Produkten, -Diensten oder -Prozessen in der Union genutzt werden. Die Effizienz der europäischen Schemata für die Cybersicherheitszertifizierung und die Frage, ob bestimmte Systeme verbindlich vorgeschrieben werden sollten, sollte anhand der Rechtsvorschriften der Union im Bereich der Cybersicherheit, insbesondere der Richtlinie (EU) 2016/1148, unter Berücksichtigung der Sicherheit der von Betreibern wesentlicher Dienste genutzten Netz- und Informationssysteme bewertet werden.

(93)

Die europäischen Cybersicherheitszertifikate und die EU-Konformitätserklärung sollten den Endnutzern dabei helfen, kundige Entscheidungen zu treffen. Daher sollten IKT-Produkte, -Dienste und -Prozesse, die zertifiziert wurden oder für die eine EU-Konformitätserklärung ausgestellt wurde, strukturierte Informationen beigegeben werden, die an das erwartete technische Niveau des vorgesehenen Endnutzers angepasst sind. Alle diese Informationen sollten online verfügbar sein, und gegebenenfalls physisch bereitgestellt werden. Der Endnutzer sollte Zugang zu Informationen über die Kennnummer des Zertifizierungsschemas, die Vertrauenswürdigkeitsstufe, die Beschreibung der Cybersicherheitsrisiken in Verbindung mit dem IKT-Produkt, -Dienst oder -Prozess sowie die ausstellende Stelle haben oder eine Kopie des europäischen Cybersicherheitszertifikats erhalten können. Darüber hinaus sollten die Endnutzer über die Politik des Herstellers oder Anbieters von IKT-Produkten, -Diensten oder -Prozessen zur Förderung der Cybersicherheit, d. h. darüber, wie lange ein Endnutzer Aktualisierungen oder Patches im Bereich der Cybersicherheit erwarten kann, informiert sein. Gegebenenfalls sollten Leitlinien über Maßnahmen oder Einstellungen, die der Endnutzer von IKT-Produkten oder -Diensten zur Aufrechterhaltung oder Verbesserung der Cybersicherheit vornehmen kann, und Kontaktinformationen einer zentralen Anlaufstelle zur Meldung von Cyberangriffen und zur Unterstützung im Fall von Cyberangriffen (neben der automatischen Berichterstattung) zur Verfügung gestellt werden. Diese Informationen sollten regelmäßig auf den neuesten Stand gebracht werden und auf einer Website, die Informationen über das europäische Schema für die Cybersicherheitszertifizierung bereitstellt, zur Verfügung stehen.

(94)

Mit Blick auf die Ziele dieser Verordnung und zur Vermeidung einer Fragmentierung des Binnenmarkts sollten nationale Schemata oder Verfahren für die Cybersicherheitszertifizierung für die IKT-Produkte, -Dienste oder -Prozesse, die unter ein europäisches Schema für die Cybersicherheitszertifizierung fallen, ab einem Zeitpunkt unwirksam werden, den die Kommission in Durchführungsrechtsakten festlegt. Zudem sollten die Mitgliedstaaten keine neuen nationalen Schemata für die Cybersicherheitszertifizierung der IKT-Produkte, -Dienste oder -Prozesse einführen, die bereits unter ein geltendes europäisches Schema für die Cybersicherheitszertifizierung fallen. Allerdings sollte es den Mitgliedstaaten freistehen, aus Gründen der nationalen Cybersicherheit nationale Cyberzertifizierungsschemata einzuführen oder beizubehalten. Die Mitgliedstaaten sollten die Kommission und die Europäische Gruppe für die Cybersicherheitszertifizierung über ihre Absicht unterrichten, neue nationale Schemata für die Cybersicherheitszertifizierung auszuarbeiten. Die Kommission und die Europäische Gruppe für die Cybersicherheitszertifizierung sollten die Auswirkungen des neuen nationalen Schemas für die Cybersicherheitszertifizierung auf das ordnungsgemäße Funktionieren des Binnenmarkts und im Hinblick auf das strategische Interesse bewerten, stattdessen einen Auftrag für ein europäisches Schema für die Cybersicherheitszertifizierung zu erteilen.

(95)

Die europäischen Schemata für die Cybersicherheitszertifizierung sollen dabei helfen, die Cybersicherheitsverfahren in der Union zu harmonisieren. Sie müssen dazu beitragen, das Niveau der Cybersicherheit in der Union zu erhöhen. Das Design der europäischen Schemata für die Cybersicherheitszertifizierung sollte weitere Innovationen im Bereich der Cybersicherheit berücksichtigen und ermöglichen werden.

(96)

Die europäischen Schemata für die Cybersicherheitszertifizierung sollten die derzeitigen Methoden der Software- und Hardware-Entwicklung und insbesondere die Auswirkungen häufiger Software- oder Firmware-Aktualisierungen zu einzelnen europäischen Cybersicherheitszertifikaten berücksichtigen. Bei den europäischen Schemata für die Cybersicherheitszertifizierung sollten die Bedingungen angegeben werden, unter denen eine Aktualisierung erfordern kann, dass ein IKT-Produkt, ein IKT-Dienst oder ein IKT-Prozess neu zertifiziert werden muss oder dass der Umfang des spezifischen europäische Cybersicherheitszertifikats eingeschränkt werden muss, wobei die möglichen nachteiligen Auswirkungen der Aktualisierung auf die Einhaltung der Sicherheitsanforderungen des Zertifikats zu berücksichtigen sind.

(97)

Sobald ein europäisches Schema für die Cybersicherheitszertifizierung eingeführt worden ist, sollten die Hersteller oder die Anbieter von IKT-Produkten, -Diensten oder -Prozessen die Zertifizierung ihrer IKT-Produkte, -Dienste oder -Prozesse bei einer nationalen Konformitätsbewertungsstelle ihrer Wahl an einem beliebigen Ort in der Union beantragen können. Die Konformitätsbewertungsstellen sollten, sofern sie bestimmten in dieser Verordnung festgelegten Anforderungen genügen, von einer nationalen Akkreditierungsstelle akkreditiert werden. Die Akkreditierung sollte für eine Höchstdauer von fünf Jahren erfolgen und unter denselben Bedingungen verlängert werden können, sofern die Konformitätsbewertungsstelle die Anforderungen weiterhin erfüllt. Die nationalen Akkreditierungsstellen sollten die einer Konformitätsbewertungsstelle erteilte Akkreditierung beschränken, aussetzen oder widerrufen, wenn die Voraussetzungen für die Akkreditierung nicht erfüllt wurden oder nicht mehr erfüllt werden oder wenn die Konformitätsbewertungsstelle gegen diese Verordnung verstößt.

(98)

Verweise im nationalen Recht, die sich auf nationale Normen beziehen, die aufgrund des Inkrafttretens eines europäischen Schemas für die Cybersicherheitszertifizierung keine Rechtswirkung mehr haben, können zu Verwirrung führen. Daher sollten die Mitgliedstaaten der Annahme eines europäischen Schemas für die Cybersicherheitszertifizierung in ihren nationalen Rechtsvorschriften Rechnung zu tragen.

(99)

Zur Erreichung gleichwertiger Standards in der gesamten Union, zur Erleichterung der gegenseitigen Anerkennung und zur Förderung der allgemeinen Akzeptanz der Europäischen Cybersicherheitszertifikate und EU-Konformitätserklärungen bedarf es eines Systems der gegenseitigen Begutachtung der nationalen Behörden für die Cybersicherheitszertifizierung. Die gegenseitige Begutachtung sollte Verfahren für Folgendes umfassen: Überwachung der Übereinstimmung der IKT-Produkte, -Dienste und -Prozesse mit den europäischen Cybersicherheitszertifikaten, Überwachung der Verpflichtungen der Hersteller oder Anbieter von IKT-Produkten, -Diensten und -Prozessen, die eine Selbstbewertung der Konformität vornehmen, Überwachung der Konformitätsbewertungsstellen sowie Angemessenheit des Fachwissens des Personals der Einrichtungen, die Zertifikate für die Vertrauenswürdigkeitsstufe „hoch“ ausstellen. Die Kommission sollte im Wege von Durchführungsrechtsakten mindestens einen Fünfjahresplan für gegenseitige Begutachtungen sowie Kriterien und Methoden für die Abwicklung der gegenseitigen Begutachtungen festlegen können.

(100)

Unbeschadet des allgemeinen Systems der gegenseitigen Begutachtung, das zwischen allen nationalen Behörden für die Cybersicherheitszertifizierung im Rahmen der europäischen Cybersicherheitszertifizierung eingerichtet werden soll, können bestimmte Schemata für die europäische Cybersicherheit ein Verfahren zur gegenseitigen Begutachtung der Stellen für die Ausstellung europäischer Cybersicherheitszertifikate für IKT-Produkte, -Dienste und -Prozesse auf der Vertrauenswürdigkeitsstufe „hoch“ im Rahmen solcher Schemata umfassen. Die Gruppe für die Cybersicherheitszertifizierung sollte die Umsetzung der Verfahren der gegenseitigen Begutachtung unterstützen. Bei solchen gegenseitigen Begutachtungen sollte insbesondere bewertet werden, ob die betreffenden Stellen ihre Aufgaben einheitlich ausführen; zudem können sie Einspruchsmöglichkeiten umfassen. Die Ergebnisse der gegenseitigen Begutachtungen sollten veröffentlicht werden. Die betreffenden Stellen können entsprechend geeignete Maßnahmen ergreifen, um ihre Verfahren und Sachkenntnisse anzupassen.

(101)

Die Mitgliedstaaten sollten eine oder mehrere nationale Behörden für die Cybersicherheitszertifizierung benennen, die die Einhaltung der sich aus dieser Verordnung ergebenden Verpflichtungen beaufsichtigen. Eine nationale Behörde für die Cybersicherheitszertifizierung kann eine bereits bestehende oder eine neue Behörde sein. Ein Mitgliedstaat sollte im gegenseitigen Einvernehmen mit einem anderen Mitgliedstaat auch eine oder mehrere nationale Behörden für die Cybersicherheitszertifizierung im Hoheitsgebiet dieses anderen Mitgliedstaats benennen können.

(102)

Die nationalen Behörden für die Cybersicherheitszertifizierung sollten insbesondere die Verpflichtungen der in ihrem jeweiligen Hoheitsgebiet niedergelassenen Hersteller oder Anbieter von IKT-Produkten, -Diensten oder -Prozessen in Bezug auf die EU-Konformitätserklärung überwachen und durchsetzen, die nationalen Akkreditierungsstellen bei der Überwachung und Beaufsichtigung der Tätigkeiten der Konformitätsbewertungsstellen durch Bereitstellung von Sachkenntnis und einschlägigen Informationen unterstützen, Konformitätsbewertungsstellen ermächtigen, ihre Aufgaben wahrzunehmen, wenn diese in einem europäischen Schema für die Cybersicherheitszertifizierung festgelegte zusätzliche Anforderungen erfüllen, und einschlägige Entwicklungen auf dem Gebiet der Cybersicherheitszertifizierung verfolgen. Die nationalen Behörden für die Cybersicherheitszertifizierung sollten auch Beschwerden bearbeiten, die von natürlichen oder juristischen Personen in Bezug auf die von diesen Behörden ausgestellten europäischen Cybersicherheitszertifikate oder die in Verbindung mit den europäischen Cybersicherheitszertifikaten von Konformitätsbewertungsstellen ausgestellten Zertifikate für die Vertrauenswürdigkeitsstufe „hoch“ eingereicht werden, den Beschwerdegegenstand, soweit angemessen, untersuchen und den Beschwerdeführer über die Fortschritte und das Ergebnis der Untersuchung innerhalb einer angemessenen Frist unterrichten. Darüber hinaus sollten die nationalen Behörden für die Cybersicherheitszertifizierung mit anderen nationalen Behörden für die Cybersicherheitszertifizierung und anderen öffentlichen Stellen zusammenarbeiten, auch indem sie Informationen über die etwaige Nichtkonformität von IKT-Produkten, -Diensten und -Prozessen mit den Anforderungen dieser Verordnung oder bestimmten europäischen Schemata für die Cybersicherheitszertifizierung austauschen. Die Kommission sollte diesen Informationsaustausch erleichtern, indem sie ein allgemeines elektronisches Informationssystem zur Unterstützung bereitstellt, zum Beispiel das internetgestützte Informations- und Kommunikationssystem zur europaweiten Marktüberwachung (Information and Communication System on Market Surveillance — ICSMS) und das gemeinschaftliche System zum raschen Austausch von Informationen über die Gefahren bei der Verwendung von Konsumgütern (Community system for the rapid exchange of information on dangers arising from the use of consumer products — RAPEX), die in Übereinstimmung mit der Verordnung (EG) Nr. 765/2008 bereits von Marktüberwachungsbehörden genutzt werden.

(103)

Für eine einheitliche Anwendung des europäischen Rahmens für die Cybersicherheitszertifizierung sollte eine europäische Gruppe für die Cybersicherheitszertifizierung eingesetzt werden, die sich aus Vertretern der nationalen Behörden für die Cybersicherheitszertifizierung oder anderer zuständiger nationaler Behörden zusammensetzt. Die Gruppe für die Cybersicherheitszertifizierung sollte vor allem die Kommission bei ihren Tätigkeiten zur Gewährleistung einer einheitlichen Umsetzung und Anwendung des europäischen Rahmens für die Cybersicherheitszertifizierung beraten und unterstützen, die ENISA bei der Ausarbeitung der möglichen Cybersicherheitszertifizierungsschemata unterstützen und mit ihr eng zusammenarbeiten, in entsprechend begründeten Fällen die ENISA mit der Ausarbeitung eines möglichen Schemas beauftragen, an die ENISA gerichtete Stellungnahmen zu möglichen Schemata annehmen, und an die Kommission gerichtete Stellungnahmen zur Pflege und Überprüfung vorhandener europäischer Schemata für die Cybersicherheitszertifizierung annehmen. Die Gruppe für die Cybersicherheitszertifizierung sollte den Austausch von bewährten Verfahren und Sachkenntnissen zwischen den verschiedenen nationalen Behörden für die Cybersicherheitszertifizierung, die für die Ermächtigung der Konformitätsbewertungsstellen und die Ausstellung von Europäischen Cybersicherheitszertifikaten zuständig sind, erleichtern.

(104)

Zur Sensibilisierung und um die Akzeptanz künftiger europäischer Schemata für die Cybersicherheitssicherheit zu erhöhen, kann die Kommission allgemeine und sektorspezifische Cybersicherheitsleitlinien herausgeben, die sich beispielsweise auf bewährte Verfahren oder verantwortungsvolles Verhalten im Bereich der Cybersicherheit beziehen, und dabei die Vorteile der Verwendung zertifizierter IKT-Produkte, -Dienste und -Prozesse hervorheben.

(105)

Da die IKT-Lieferketten weltumspannend sind, kann die Union zur weiteren Erleichterung des Handels gemäß Artikel 218 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) Abkommen über die gegenseitige Anerkennung von europäischen Cybersicherheitszertifikaten schließen. Die Kommission kann unter Berücksichtigung der Ratschläge der ENISA und der europäischen Gruppe für die Cybersicherheitszertifizierung die Aufnahme entsprechender Verhandlungen empfehlen. In jedem europäischen Schema für die Cybersicherheitszertifizierung sollten spezifische Bedingungen für diese Abkommen über die gegenseitige Anerkennung bei Drittländern vorgesehen werden.

(106)

Zur Gewährleistung einheitlicher Bedingungen für die Durchführung dieser Verordnung sollten der Kommission Durchführungsbefugnisse übertragen werden. Diese Befugnisse sollten nach Maßgabe der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates (22) ausgeübt werden.

(107)

Das Prüfverfahren sollte für die Annahme der Durchführungsrechtsakte über die europäischen Schemata für die Cybersicherheitszertifizierung von IKT-Produkten, -Diensten oder -Prozessen, für die Annahme von Durchführungsrechtsakten über die Modalitäten für die Durchführung von Umfragen durch die ENISA, für die Annahme von Durchführungsrechtsakten über einen Plan für die gegenseitige Begutachtung der nationalen Behörden für die Cybersicherheitszertifizierung sowie für die Annahme von Durchführungsrechtsakten über die Umstände, Formate und Verfahren der Notifikation akkreditierter Konformitätsbewertungsstellen durch die nationalen Behörden für die Cybersicherheitszertifizierung bei der Kommission verwendet werden.

(108)

Die Tätigkeit der ENISA sollte regelmäßig und unabhängig bewertet werden. Diese Bewertung sollte sich darauf beziehen, inwieweit die ENISA ihre Ziele erreicht, wie sie arbeitet und inwieweit ihre Aufgaben relevant sind, insbesondere ihre Aufgaben bezüglich der operativen Zusammenarbeit auf Unionsebene. Zudem sollten Wirkung, Wirksamkeit und Effizienz des europäischen Rahmens für Cybersicherheitszertifizierung bewertet werden. Im Falle einer Überprüfung sollte die Kommission bewerten, wie die Rolle der ENISA als Bezugspunkt für Beratung und Sachkenntnis verstärkt werden kann und sollte ebenfalls die Möglichkeit einer Rolle der ENISA bei der Unterstützung der Bewertung von IKT-Produkten, -Diensten und -Prozessen aus Drittländern, die auf den Unionsmarkt gelangen und gegen die Unionsvorschriften verstoßen, bewerten.

(109)

Da die Ziele dieser Verordnung von den Mitgliedstaaten nicht ausreichend verwirklicht werden können, sondern vielmehr wegen ihres Umfangs und ihrer Wirkungen auf Unionsebene besser zu verwirklichen sind, kann die Union im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union (EUV) verankerten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Verordnung nicht über das für die Verwirklichung dieser Ziele erforderliche Maß hinaus.

(110)

Die Verordnung (EU) Nr. 526/2013 sollte aufgehoben werden —

(1)

Zweck dieser Richtlinie ist es, durch Angleichung der Rechts- und Verwaltungsvorschriften der Mitgliedstaaten über die Barrierefreiheitsanforderungen für bestimmte Produkte und Dienstleistungen einen Beitrag zum reibungslosen Funktionieren des Binnenmarkts zu leisten, indem insbesondere durch unterschiedliche Barrierefreiheitsanforderungen in den Mitgliedstaaten bedingte Hindernisse für den freien Verkehr bestimmter barrierefreier Produkte und Dienstleistungen beseitigt werden bzw. die Errichtung derartiger Hindernisse verhindert wird. Dadurch dürften sich die Verfügbarkeit barrierefreier Produkte und Dienstleistungen auf dem Binnenmarkt erhöhen und die Barrierefreiheit von einschlägigen Informationen verbessern.

(2)

Der Bedarf an barrierefreien Produkten und Dienstleistungen ist groß, und die Zahl der Menschen mit Behinderungen wird voraussichtlich noch deutlich steigen. Ein Umfeld mit besser zugänglichen Produkten und Dienstleistungen ermöglicht eine inklusivere Gesellschaft und erleichtert Menschen mit Behinderungen ein unabhängiges Leben. Dabei sollte berücksichtigt werden, dass in der Union mehr Frauen als Männer eine Behinderung haben.

(3)

In dieser Richtlinie werden Menschen mit Behinderungen im Einklang mit dem am 13. Dezember 2006 angenommenen Übereinkommen der Vereinten Nationen über die Rechte von Menschen mit Behinderungen (im Folgenden „VN-Behindertenrechtskonvention“), dessen Vertragspartei die Union seit dem 21. Januar 2011 ist und das alle Mitgliedstaaten ratifiziert haben, definiert. Gemäß der VN-Behindertenrechtskonvention zählen zu den Menschen mit Behinderungen „Menschen, die langfristige körperliche, seelische, geistige oder Sinnesbeeinträchtigungen haben, welche sie in Wechselwirkung mit verschiedenen Barrieren an der vollen, wirksamen und gleichberechtigten Teilhabe an der Gesellschaft hindern können“. Diese Richtlinie fördert die volle, wirksame und gleichberechtigte Teilhabe durch Verbesserung des Zugangs zu Alltagsprodukten und -dienstleistungen, die durch ihr ursprüngliches Design oder eine spätere Anpassung den besonderen Bedürfnissen von Menschen mit Behinderungen Rechnung tragen.

(4)

Andere Menschen mit funktionellen Einschränkungen, wie ältere Menschen, Schwangere oder Reisende mit Gepäck, werden ebenfalls von dieser Richtlinie profitieren. Der Begriff „Menschen mit funktionellen Einschränkungen“ im Sinne dieser Richtlinie umfasst Menschen, die dauerhafte oder vorübergehende körperliche, seelische, geistige oder sensorische Beeinträchtigungen, altersbedingte Beeinträchtigungen oder sonstige mit der Leistungsfähigkeit des menschlichen Körpers zusammenhängende Beeinträchtigungen haben, die in Wechselwirkung mit verschiedenen Barrieren dazu führen, dass diese Menschen verminderten Zugang zu Produkten und Dienstleistungen haben, und bewirken, dass diese Produkte und Dienstleistungen an ihre besonderen Bedürfnisse angepasst werden müssen.

(5)

Die Unterschiede zwischen den Rechts- und Verwaltungsvorschriften der Mitgliedstaaten über die Barrierefreiheit von Produkten und Dienstleistungen für Menschen mit Behinderungen schaffen Hindernisse für freien Verkehr von Produkten und Dienstleistungen sowie für den wirksamen Wettbewerb im Binnenmarkt. Bei einigen Produkten und Dienstleistungen werden diese Unterschiede in der Union nach dem Inkrafttreten der VN-Behindertenrechtskonvention voraussichtlich noch zunehmen. Von solchen Hindernissen sind vor allem Wirtschaftsakteure, insbesondere kleine und mittlere Unternehmen (KMU), betroffen.

(6)

Aufgrund der Unterschiede zwischen den nationalen Barrierefreiheitsanforderungen schrecken insbesondere Selbstständige, KMU und Kleinstunternehmen davor zurück, außerhalb ihrer heimischen Märkte geschäftlich tätig zu werden. Die nationalen, manchmal sogar regionalen oder lokalen Barrierefreiheitsanforderungen, die es in den Mitgliedstaaten derzeit gibt, unterscheiden sich hinsichtlich des Regelungsumfangs und der Regelungstiefe. Diese Unterschiede beeinträchtigen die Wettbewerbsfähigkeit und das Wachstum insofern, als für die Entwicklung und die Vermarktung barrierefreier Produkte und Dienstleistungen auf den einzelnen nationalen Märkten zusätzliche Kosten entstehen.

(7)

Von den Verbrauchern werden für barrierefreie Produkte und Dienstleistungen sowie für assistive Technologien hohe Preise verlangt, da der Wettbewerb unter den Anbietern begrenzt ist. Die Vielzahl nationaler Regelungen mindert den potenziellen Nutzen eines Erfahrungsaustauschs auf nationaler und internationaler Ebene über die Frage, wie auf gesellschaftliche und technologische Entwicklungen zu reagieren ist.

(8)

Für das reibungslose Funktionieren des Binnenmarkts ist daher eine Angleichung der nationalen Vorschriften auf Unionsebene erforderlich; so könnten die Zersplitterung des Markts für barrierefreie Produkte und Dienstleistungen überwunden, Skaleneffekte erzielt, der grenzüberschreitende Handel und die grenzüberschreitende Mobilität erleichtert und die Wirtschaftsakteure dabei unterstützt werden, Ressourcen für Innovationen statt für die Deckung der Kosten einzusetzen, die durch die innerhalb der Union uneinheitlichen Rechtsvorschriften bedingt sind.

(9)

Die Vorteile einer Harmonisierung der Barrierefreiheitsanforderungen für den Binnenmarkt sind bei der Anwendung der Richtlinie 2014/33/EU des Europäischen Parlaments und des Rates über Aufzüge (3) und der Verordnung (EG) Nr. 661/2009 des Europäischen Parlaments und des Rates (4) im Verkehrsbereich deutlich geworden.

(10)

In der Erklärung Nr. 22 zu Personen mit einer Behinderung, die dem Vertrag von Amsterdam beigefügt ist, kam die Konferenz der Vertreter der Regierungen der Mitgliedstaaten überein, dass die Organe der Union bei der Ausarbeitung von Maßnahmen nach Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV) den Bedürfnissen von Menschen mit Behinderungen Rechnung tragen müssen.

(11)

Die Mitteilung der Kommission vom 6. Mai 2015„Strategie für einen digitalen Binnenmarkt für Europa“ hat das übergeordnete Ziel, mit einem vernetzten digitalen Binnenmarkt nachhaltige wirtschaftliche und soziale Vorteile zu erzielen, wodurch der Handel erleichtert und die Beschäftigung in der Union gefördert werden. Immer noch kommen die Verbraucher in der Union nicht in den vollen Genuss der Preise und der Auswahl, die der Binnenmarkt bieten kann, weil grenzüberschreitende Online-Geschäfte nach wie vor nur in sehr begrenztem Umfang getätigt werden. Die Zersplitterung begrenzt auch die Nachfrage nach grenzüberschreitender elektronischer Geschäftsabwicklung. Nötig ist außerdem ein abgestimmtes Vorgehen, damit elektronische Inhalte, elektronische Kommunikationsdienste und Zugang zu audiovisuellen Mediendiensten für Menschen mit Behinderungen uneingeschränkt verfügbar sind. Es ist daher erforderlich, die Barrierefreiheitsanforderungen für den gesamten digitalen Binnenmarkt zu harmonisieren und zu gewährleisten, dass alle Unionsbürgerinnen und -bürger unabhängig von ihren Fähigkeiten die Vorteile des Binnenmarkts nutzen können.

(12)

Seit die Union der VN-Behindertenrechtskonvention beigetreten ist, sind deren Bestimmungen fester Bestandteil der Rechtsordnung der Union und für die Organe der Union und für ihre Mitgliedstaaten verbindlich.

(13)

Gemäß der VN-Behindertenrechtskonvention müssen die Parteien geeignete Maßnahmen mit dem Ziel treffen, für Menschen mit Behinderungen den gleichberechtigten Zugang zur physischen Umwelt, zu Verkehrsmitteln, zu Information und Kommunikation, einschließlich Informations- und Kommunikationstechnologien und -systemen, sowie zu anderen Einrichtungen und Diensten, die der Öffentlichkeit in städtischen und ländlichen Gebieten offen stehen oder für sie bereitgestellt werden, zu gewährleisten. Der Ausschuss der Vereinten Nationen für die Rechte von Menschen mit Behinderungen hat festgestellt, dass die Notwendigkeit besteht, einen gesetzlichen Rahmen mit konkreten, durchsetzbaren und fristgebundenen Richtvorgaben für die Kontrolle der schrittweisen Verwirklichung der Barrierefreiheit zu schaffen.

(14)

Gemäß der VN-Behindertenrechtskonvention sind die Vertragsparteien aufgefordert, Forschung und Entwicklung in Bezug auf neue Technologien, die für Menschen mit Behinderungen geeignet sind — darunter Informations- und Kommunikationstechnologien, Mobilitätshilfen, Geräte und assistive Technologien —, zu betreiben oder zu fördern und ihre Verfügbarkeit und Nutzung zu fördern. In der VN-Behindertenrechtskonvention wird zudem gefordert, erschwinglichen Technologien Vorrang einzuräumen.

(15)

Das Inkrafttreten der VN-Behindertenrechtskonvention in den Mitgliedstaaten macht den Erlass zusätzlicher nationaler Vorschriften über die Barrierefreiheit von Produkten und Dienstleistungen erforderlich. Ohne ein Tätigwerden der Union würden diese Bestimmungen die Unterschiede zwischen den Rechts- und Verwaltungsvorschriften der Mitgliedstaaten noch vergrößern.

(16)

Es ist somit erforderlich, die Durchführung der VN-Behindertenrechtskonvention in der Union durch das Aufstellen einheitlicher Unionsvorschriften zu vereinfachen. Durch diese Richtlinie werden die Mitgliedstaaten auch in ihren Bemühungen um eine harmonisierte Erfüllung ihrer nationalen Verpflichtungen und ihrer Verpflichtungen nach der VN-Behindertenrechtskonvention im Hinblick auf die Barrierefreiheit unterstützt.

(17)

In der Kommissionsmitteilung „Europäische Strategie zugunsten von Menschen mit Behinderungen 2010-2020: Erneuertes Engagement für ein barrierefreies Europa“ vom 15. November 2010 wird Barrierefreiheit im Einklang mit der VN-Behindertenrechtskonvention als einer der acht Aktionsbereiche genannt, und es wird darauf hingewiesen, dass es sich dabei um eine Grundvoraussetzung für die gesellschaftliche Teilhabe handelt; das konkrete Ziel ist die Gewährleistung der Barrierefreiheit von Produkten und Dienstleistungen.

(18)

Die Bestimmung der Produkte und Dienstleistungen, die in den Geltungsbereich dieser Richtlinie fallen, beruht auf einem während der Vorbereitung der Folgenabschätzung durchgeführten Screening, mit dem Produkte und Dienstleistungen ermittelt wurden, die für Menschen mit Behinderungen relevant sind und zu denen die Mitgliedstaaten unterschiedliche nationale Barrierefreiheitsanforderungen angenommen haben oder voraussichtlich annehmen werden, die das Funktionieren des Binnenmarkts behindern.

(19)

Um die Barrierefreiheit der in den Geltungsbereich dieser Richtlinie fallenden Dienstleistungen zu gewährleisten, sollten Produkte, die für die Erbringung dieser Dienstleistungen verwendet werden und mit denen die Verbraucher interagieren, auch den geltenden Barrierefreiheitsanforderungen dieser Richtlinie entsprechen müssen.

(20)

Auch wenn eine Dienstleistung oder ein Teil einer Dienstleistung an einen Dritten als Unterauftragnehmer vergeben wird, sollte die Barrierefreiheit dieser Dienstleistung nicht beeinträchtigt werden und sollten die Dienstleistungserbringer die Verpflichtungen dieser Richtlinie erfüllen. Zudem sollten Dienstleistungserbringer eine angemessene und fortlaufende Schulung ihres Personals sicherstellen, um dafür zu sorgen, dass es Kenntnisse über die Nutzung barrierefreier Produkte und Dienstleistungen hat. Diese Schulungen sollten Themen wie die Bereitstellung von Informationen, Beratung und Werbung abdecken.

(21)

Die Barrierefreiheitsanforderungen sollten so eingeführt werden, dass sie den Wirtschaftsakteuren und den Mitgliedstaaten möglichst wenig Aufwand verursachen.

(22)

Es ist erforderlich, Barrierefreiheitsanforderungen für das Inverkehrbringen jener Produkte und Dienstleistungen vorzugeben, die in den Geltungsbereich dieser Richtlinie fallen, damit deren freier Verkehr im Binnenmarkt gewährleistet ist.

(23)

Diese Richtlinie sollte funktionale Barrierefreiheitsanforderungen verbindlich vorschreiben und diese als allgemeine Ziele formulieren. Diese Anforderungen sollten genau genug sein, um rechtsverbindliche Verpflichtungen zu schaffen, und detailliert genug, um die Konformität bewerten zu können, damit das reibungslose Funktionieren des Binnenmarkts für die von dieser Richtlinie betroffenen Produkte und Dienstleistungen gewährleistet ist, aber auch ein gewisser Spielraum für Innovationen besteht.

(24)

In dieser Richtlinie sind für Bedienungsformen von Produkten und Dienstleistungen eine Reihe von Anforderungen an die Funktionalität festgelegt. Diese Anforderungen stellen keine generelle Alternative zu den Barrierefreiheitsanforderungen dieser Richtlinie dar, sondern sollten nur unter ganz bestimmten Umständen zur Anwendung kommen. Diese Anforderungen sollten im Interesse der Barrierefreiheit für bestimmte Funktionen oder Merkmale der Produkte oder Dienstleistungen gelten, in denen die Barrierefreiheitsanforderungen dieser Richtlinie in Bezug auf eine oder mehrere dieser bestimmten Funktionen oder Merkmale keine Handhabe bieten. Außerdem gilt in dem Fall, dass eine Barrierefreiheitsanforderung bestimmte technische Anforderungen umfasst und für diese technischen Anforderungen in dem Produkt oder der Dienstleistung eine andere technische Lösung vorgesehen ist, dass mit dieser anderen Lösung — durch Anwendung der einschlägigen Anforderungen an die Funktionalität — dennoch die entsprechenden Barrierefreiheitsanforderungen erfüllt werden sollten und eine vergleichbare oder bessere Barrierefreiheit erreicht werden sollte.

(25)

Diese Richtlinie sollte sich auch auf Hardwaresysteme für Universalrechner für Verbraucher erstrecken. Damit diese Systeme barrierefrei funktionieren, sollte auch ihr Betriebssystem barrierefrei sein. Solche Computerhardwaresysteme zeichnen sich durch ihren Mehrzweckcharakter und ihre Fähigkeit aus, mit der geeigneten Software die vom Verbraucher geforderten üblichen Computeraufgaben durchzuführen, und sind dazu bestimmt, von Verbrauchern bedient zu werden. Personal Computer, einschließlich Desktops, Notebooks, Smartphones und Tablets sind Beispiele für solche Computerhardwaresysteme. Bei in Verbraucherelektronik eingebetteten Spezialcomputern handelt es sich nicht um Hardwaresysteme für Universalrechner für Verbraucher. Diese Richtlinie sollte sich nicht im Einzelnen auf einzelne Komponenten mit spezifischen Funktionen wie etwa Hauptplatinen oder Speicherchips erstrecken, die in einem solchen System verwendet werden oder verwendet werden könnten.

(26)

Diese Richtlinie sollte auch Zahlungsterminals, einschließlich sowohl der zugehörigen Hardware als auch der Software sowie bestimmte interaktive Selbstbedienungsterminals einschließlich sowohl der zugehörigen Hardware als auch der Software erfassen, die zur Erbringung von unter diese Richtlinie fallenden Dienstleistungen eingesetzt werden sollen, wie zum Beispiel Geldautomaten, Ticketautomaten, die physische Tickets für den Zugang zu Dienstleistungen ausgeben (wie Fahrausweisautomaten und Wartenummern-Automaten in Banken), Check-in-Automaten und interaktive Selbstbedienungsterminals für Informationen, darunter auch interaktive Anzeigebildschirme.

(27)

Bestimmte interaktive Selbstbedienungsterminals für Informationen, die als fester Bestandteil von Fahrzeugen, Luftfahrzeugen, Schiffen oder Schienenfahrzeugen eingebaut sind, sollten jedoch vom Geltungsbereich dieser Richtlinie ausgenommen sein, da sie Teil der Fahrzeuge, Luftfahrzeuge, Schiffe oder Schienenfahrzeuge sind, die nicht Gegenstand dieser Richtlinie sind.

(28)

Diese Richtlinie sollte sich auch auf elektronische Kommunikationsdienste, einschließlich Notrufe im Sinne der Richtlinie (EU) 2018/1972 des Europäischen Parlaments und des Rates (5), erstrecken. Die Maßnahmen, die die Mitgliedstaaten derzeit im Interesse der Barrierefreiheit für Menschen mit Behinderungen ergreifen, fallen unterschiedlich aus und sind nicht binnenmarktweit harmonisiert. Wenn gewährleistet ist, dass in der gesamten Union die gleichen Barrierefreiheitsanforderungen gelten, wird das bei Wirtschaftsakteuren, die in mehr als einem Mitgliedstaat tätig sind, zu Skaleneffekten führen und den effektiven Zugang für Menschen mit Behinderungen sowohl in ihrem eigenen Mitgliedstaat als auch bei Reisen durch Mitgliedstaaten erleichtern. Damit elektronische Kommunikationsdienste einschließlich Notrufe barrierefrei sind, sollten Dienstleister, wenn sie Videodarstellungen zur Verfügung stellen, zusätzlich zu Sprache auch Text und einen Gesamtgesprächsdienst in Echtzeit anbieten und dabei die Synchronisierung aller Kommunikationsmittel gewährleisten. Zusätzlich zu den Anforderungen dieser Richtlinie sollte es den Mitgliedstaaten gemäß der Richtlinie (EU) 2018/1972 möglich sein, einen Relay-Dienste-Erbringer zu bestimmen, dessen Dienstleistungen Menschen mit Behinderungen nutzen könnten.

(29)

Diese Richtlinie dient der Harmonisierung der Barrierefreiheitsanforderungen für elektronische Kommunikationsdienste und damit verbundener Produkte und der Ergänzung der Richtlinie (EU) 2018/1972, in der Vorschriften über die Gleichwertigkeit des Zugangs und über Wahlmöglichkeiten für Endnutzer mit Behinderungen festgelegt sind. In der Richtlinie (EU) 2018/1972 sind auch die nach den Universaldienstverpflichtungen geltenden Vorschriften über die Erschwinglichkeit des Internetzugangs und von Sprachkommunikation und über die Erschwinglichkeit und Verfügbarkeit der zugehörigen Endeinrichtungen, Sonderausrüstungen und Dienste für Verbraucher mit Behinderungen festgelegt.

(30)

Diese Richtlinie sollte sich ferner auf Verbraucherendgeräte mit interaktivem Leistungsumfang, bei denen vorhersehbar ist, dass sie vorrangig für den Zugang zu elektronischen Kommunikationsdiensten genutzt werden, erstrecken. Diese Geräte sollten für die Zwecke dieser Richtlinie auch Geräte umfassen, die als Teil der Konfiguration für den Zugang zu elektronischen Kommunikationsdiensten genutzt werden, wie zum Beispiel Router oder Modems.

(31)

Für die Zwecke dieser Richtlinie sollte Zugang zu audiovisuellen Mediendiensten bedeuten, dass der Zugang zu audiovisuellen Inhalten barrierefrei sein muss und dass Mechanismen vorhanden sind, die es Nutzern mit Behinderungen ermöglichen, ihre assistiven Technologien zu nutzen. Zu den Diensten, die den Zugang zu audiovisuellen Mediendiensten ermöglichen, könnten Websites, Online-Anwendungen, auf Set-top-Boxen basierende Anwendungen, herunterladbare Anwendungen, auf Mobilgeräten angebotene Dienstleistungen einschließlich mobiler Anwendungen und entsprechende Media-Player sowie auf einer Internetverbindung basierende Fernsehdienste gehören. Die Barrierefreiheit audiovisueller Mediendienste wird durch die Richtlinie 2010/13/EU des Europäischen Parlaments und des Rates (6) geregelt, mit Ausnahme der Barrierefreiheit von elektronischen Programmführern (EPG), die von der Definition von unter diese Richtlinie fallenden Diensten, die Zugang zu audiovisuellen Mediendiensten bieten, umfasst werden.

(32)

Im Hinblick auf Personenverkehrsdienste im Luft-, Bus-, Schienen- und Schiffsverkehr sollte sich diese Richtlinie unter anderem auf die Bereitstellung von Informationen zum Verkehrsdienst, einschließlich Reiseinformationen in Echtzeit, über Websites, auf Mobilgeräten angebotene Dienstleistungen, interaktive Anzeigebildschirme und interaktive Selbstbedienungsterminals erstrecken, die Fahrgäste mit Behinderungen zum Reisen benötigen. Dazu könnten beispielsweise Informationen über die Personenverkehrsprodukte und -dienste des Dienstleistungserbringers, Informationen vor Reiseantritt und während der Reise sowie Informationen bei Ausfall einer Reisedienstleistung oder einer verzögerten Abfahrt gehören. Weitere Informationsbestandteile könnten Informationen über Preise oder Sonderangebote sein.

(33)

Diese Richtlinie sollte sich auch auf Websites, die auf Mobilgeräten angebotenen Dienstleistungen, einschließlich mobiler Anwendungen, die von Betreibern von Personenverkehrsdiensten im Rahmen dieser Richtlinie oder in ihrem Auftrag entwickelt oder zur Verfügung gestellt werden, elektronische Ticketdienste, elektronische Tickets und interaktive Selbstbedienungsterminals erstrecken.

(34)

Der Geltungsbereich dieser Richtlinie im Hinblick auf Personenverkehrsdienste im Luft-, Bus-, Schienen- und Schiffsverkehr sollte auf der Grundlage der bestehenden branchenspezifischen Rechtsvorschriften über Fahrgastrechte definiert werden. Gilt diese Richtlinie für bestimmte Arten von Verkehrsdiensten nicht, sollten die Mitgliedstaaten die Dienstleistungserbringer dazu anhalten, die einschlägigen Barrierefreiheitsanforderungen dieser Richtlinie anzuwenden.

(35)

Die Richtlinie (EU) 2016/2102 des Europäischen Parlaments und des Rates (7) verpflichtet öffentliche Stellen, die Verkehrsdienste — einschließlich Stadt- und Vorortverkehrsdienste sowie Regionalverkehrsdienste — anbieten, bereits dazu, ihre Websites barrierefrei zu gestalten. Die vorliegende Richtlinie enthält auch Ausnahmen für Kleinstunternehmen, die Dienstleistungen — einschließlich Stadt- und Vorortverkehrsdienste sowie Regionalverkehrsdienste — erbringen. Die vorliegende Richtlinie enthält Verpflichtungen, um sicherzustellen, dass Websites für den elektronischen Geschäftsverkehr barrierefrei sind. Da die vorliegende Richtlinie die überwiegende Mehrheit der privaten Erbringer von Verkehrsdiensten verpflichten wird, ihre Websites für den Online-Ticketverkauf barrierefrei zu gestalten, ist es nicht notwendig, weitere Anforderungen für die Websites von Erbringern von Stadt- und Vorortverkehrsdiensten sowie Regionalverkehrsdiensten in die vorliegende Richtlinie aufzunehmen.

(36)

Einige Aspekte der Barrierefreiheitsanforderungen, insbesondere in Bezug auf die Bereitstellung von Informationen gemäß dieser Richtlinie, sind bereits Gegenstand bestehender Rechtsakte der Union im Bereich des Personenverkehrs. Hierzu gehören Teile der Verordnung (EG) Nr. 261/2004 des Europäischen Parlaments und des Rates (8), der Verordnung (EG) Nr. 1107/2006 des Europäischen Parlaments und des Rates (9), der Verordnung (EG) Nr. 1371/2007 des Europäischen Parlaments und des Rates (10), der Verordnung (EU) Nr. 1177/2010 des Europäischen Parlaments und des Rates (11) sowie der Verordnung (EU) Nr. 181/2011 des Europäischen Parlaments und des Rates (12). Dazu gehören auch die einschlägigen Rechtsakte in Bezug auf den Schienenverkehr, die auf Grundlage der Richtlinie 2008/57/EG des Europäischen Parlaments und des Rates (13) angenommen wurden. Damit die rechtliche Kohärenz gewährleistet ist, sollten die Barrierefreiheitsanforderungen gemäß diesen Verordnungen und diesen Rechtsakten auch weiterhin Anwendung finden wie zuvor. Allerdings würden zusätzliche Anforderungen der vorliegenden Richtlinie die bereits geltenden Anforderungen ergänzen, wodurch sich das Funktionieren des Binnenmarkts im Verkehrsbereich verbessern würde, was auch Menschen mit Behinderungen zugutekäme.

(37)

Bestimmte Elemente von Verkehrsdiensten sollten nicht unter diese Richtlinie fallen, sofern sie außerhalb des Hoheitsgebiets der Mitgliedstaaten erbracht wurden, auch wenn die betreffende Dienstleistung für den Unionsmarkt bestimmt war. In Bezug auf diese Elemente sollte ein Personenverkehrsdienstleister nur verpflichtet sein sicherzustellen, dass die Anforderungen dieser Richtlinie in Bezug auf den im Gebiet der Union angebotenen Teil des Dienstes erfüllt werden. Im Fall des Luftverkehrs sollten Luftfahrtunternehmen in der Union hingegen sicherstellen, dass die geltenden Anforderungen dieser Richtlinie auch bei Flügen erfüllt sind, die von einem Flughafen in einem Drittland abgehen und einen Flughafen im Hoheitsgebiet eines Mitgliedstaats zum Ziel haben. Zudem sollten sämtliche Luftfahrtunternehmen — auch die nicht in der Union zugelassenen Unternehmen —sicherstellen, dass die geltenden Anforderungen dieser Richtlinie in Fällen erfüllt sind, in denen die Flüge vom Unionsgebiet in ein Drittland führen.

(38)

Den kommunalen Behörden sollte nahelegt werden, die barrierefreie Zugänglichkeit der städtischen Verkehrsdienste in ihre Pläne für nachhaltige städtische Mobilität einzubeziehen sowie regelmäßig Listen mit bewährten Verfahren im Bereich der barrierefreien Zugänglichkeit öffentlicher städtischer Verkehrs- und Mobilitätsdienste zu veröffentlichen.

(39)

Unionsrecht zu Bank- und Finanzdienstleistungen soll die Verbraucher unionsweit schützen und informieren, es sind jedoch darin keine Barrierefreiheitsanforderungen enthalten. Damit Menschen mit Behinderungen diese Dienste — auch wenn sie über Websites und auf Mobilgeräten angebotene Dienstleistungen einschließlich mobiler Anwendungen bereitgestellt werden — in der gesamten Union nutzen, fundierte Entscheidungen treffen und sich angemessen, in gleicher Weise wie alle anderen Verbraucher, geschützt wissen können und für Dienstleistungserbringer gleiche Ausgangsbedingungen bestehen, sollten in dieser Richtlinie gemeinsame Barrierefreiheitsanforderungen für bestimmte Bank- und Finanzdienstleistungen für Verbraucher festgelegt werden.

(40)

Angemessene Barrierefreiheitsanforderungen sollten auch für Identifizierungsmethoden, elektronische Signaturen und Zahlungsdienstleistungen gelten, da diese für die Abwicklung von Bankgeschäften mit Privatkunden erforderlich sind.

(41)

E-Book-Dateien sind elektronisch so kodiert, dass die Weitergabe und Lektüre von geistigen Werken möglich ist, die mehrheitlich aus Text oder Grafik bestehen. Die Barrierefreiheit von E-Book-Dateien ist davon abhängig, wie präzise diese Codierung erfolgt, insbesondere im Hinblick darauf, wie die verschiedenen konstitutiven Elemente des Werks qualifiziert sind und ob die Beschreibung seiner Struktur standardisiert erfolgt ist. Im Sinne der Interoperabilität unter dem Aspekt der Barrierefreiheit sollte die Kompatibilität dieser Dateien mit Benutzeragenten und aktuellen und zukünftigen assistiven Technologien optimiert werden. Spezielle Merkmale spezieller Werke wie Comics, Kinderbücher und Kunstbücher sollten in Bezug auf alle anwendbaren Barrierefreiheitsanforderungen geprüft werden. Unterschiedliche Barrierefreiheitsanforderungen in den Mitgliedstaaten würden es Verlegern und anderen Wirtschaftsakteuren erschweren, die Vorteile des Binnenmarkts zu nutzen, sie könnten zu Problemen bei der Interoperabilität von E-Book-Lesegeräten führen und würden den Zugang für Kunden mit Behinderungen einschränken.

Im Zusammenhang mit E-Books könnten unter den Begriff des Dienstleistungserbringers unter anderem Verleger und andere Wirtschaftsakteure fallen, die am Vertrieb der E-Books beteiligt sind. Es ist allgemein anerkannt, dass Menschen mit Behinderungen weiterhin auf Barrieren beim Zugang zu Inhalten, die durch Urheberrecht und verwandte Schutzrechte geschützt sind, stoßen und dass bestimmte Maßnahmen zur Behebung dieser Situation bereits durch zum Beispiel die Annahme der Richtlinie (EU) 2017/1564 des Europäischen Parlaments und des Rates (14) und die Verordnung (EU) 2017/1563 des Europäischen Parlaments und des Rates (15) getroffen worden sind und dass künftig diesbezüglich weitere Maßnahmen der Union ergriffen werden könnten.

(42)

In dieser Richtlinie sind Dienstleistungen im elektronischen Geschäftsverkehr als Ferndienstleistungen definiert, die über Webseiten und auf Mobilgeräten angebotenen Dienstleistungen, elektronisch und auf individuelle Anfrage eines Verbrauchers im Hinblick auf den Abschluss eines Verbrauchervertrags erbracht werden. Für die Zwecke dieser Begriffsbestimmung bezeichnet „Ferndienstleistung“, dass die Dienstleistung erbracht wird, ohne dass die Parteien gleichzeitig anwesend sind; „elektronisch erbracht“ besagt, dass die Dienstleistung mittels Geräten für die elektronische Verarbeitung (einschließlich digitaler Kompression) und Speicherung von Daten am Ausgangspunkt gesendet und am Endpunkt empfangen wird und vollständig über Draht, über Funk, auf optischem oder anderem elektromagnetischem Wege gesendet, weitergeleitet und empfangen wird; „auf individuelle Anfrage eines Verbrauchers“ bedeutet, dass die Dienstleistung auf individuelle Aufforderung hin erbracht wird. Da Dienstleistungen im elektronischen Geschäftsverkehr immer wichtiger werden und hochtechnologisch sind, müssen für ihre Barrierefreiheit harmonisierte Anforderungen gelten.

(43)

Die Barrierefreiheitsanforderungen an Dienstleistungen im elektronischen Geschäftsverkehr nach dieser Richtlinie sollten für den Online-Verkauf von jeglichen Produkten oder Dienstleistungen gelten und sollten daher auch für den Verkauf eines Produkts oder einer Dienstleistung gelten, die für sich genommen unter diese Richtlinie fällt.

(44)

Die Maßnahmen im Zusammenhang mit der Barrierefreiheit der Beantwortung von Notrufen sollten unbeschadet der Organisation der Notrufdienste erlassen werden und keine Auswirkungen auf die Organisation der Notrufdienste haben, die im Bereich der ausschließlichen Zuständigkeit der Mitgliedstaaten bleibt.

(45)

Die Mitgliedstaaten müssen gemäß der Richtlinie (EU) 2018/1972 im Einklang mit den Rechtsvorschriften der Union zur Harmonisierung der Barrierefreiheitsanforderungen an Produkte und Dienstleistungen sicherstellen, dass Endnutzer mit Behinderungen über Notrufe Zugang zu Notdiensten haben und dieser Zugang dem Zugang der anderen Endnutzer gleichwertig ist. Die Kommission sowie die nationalen Regulierungsbehörden und anderen zuständigen Behörden müssen geeignete Maßnahmen ergreifen, mit denen sichergestellt wird, dass Endnutzer mit Behinderungen auch bei Reisen in andere Mitgliedstaaten in gegenüber anderen Endnutzern gleichwertiger Weise Zugang zu Notrufdiensten erhalten können, und zwar — soweit möglich — ohne vorherige Registrierung. Mit diesen Maßnahmen wird beabsichtigt die Interoperabilität zwischen den Mitgliedstaaten sicherzustellen, und die Maßnahmen müssen so weit wie möglich auf europäischen Normen oder Spezifikationen beruhen, die gemäß Artikel 39 der Richtlinie (EU) 2018/1972 veröffentlicht wurden. Solche Maßnahmen dürfen die Mitgliedstaaten nicht daran hindern, zusätzliche Anforderungen zu erlassen, um die in der genannten Richtlinie dargelegten Ziele zu verfolgen. Als Alternative zur Erfüllung der in der vorliegenden Richtlinie dargelegten Barrierefreiheitsanforderungen in Bezug auf die Beantwortung von Notrufen für Nutzer mit Behinderungen sollten die Mitgliedstaaten die Möglichkeit haben, einen dritten Relaisdienste-Erbringer zu bestimmen, dessen Dienste Menschen mit Behinderungen zur Kommunikation mit der Notrufabfragestelle nutzen, bis diese öffentlichen Notrufabfragestellen in der Lage sind, auf Internet-Protokollen beruhende elektronische Kommunikationsdienste zu nutzen, um die Barrierefreiheit der Beantwortung von Notrufen zu gewährleisten. In jedem Fall sollten die Verpflichtungen der vorliegenden Richtlinie nicht so ausgelegt werden, dass sie die in der Richtlinie (EU) 2018/1972 enthaltenen Verpflichtungen zugunsten von Endnutzern mit Behinderungen, einschließlich des gleichwertigen Zugangs zu elektronischen Kommunikationsdiensten und zu Notdiensten, sowie der Barrierefreiheitsverpflichtungen einschränken oder abschwächen.

(46)

In der Richtlinie (EU) 2016/2102 sind Barrierefreiheitsanforderungen für Websites und mobile Anwendungen öffentlicher Stellen und andere diesbezügliche Aspekte festgelegt, insbesondere Anforderungen in Bezug auf die Einhaltung dieser Verpflichtungen durch die relevanten Websites und mobilen Anwendungen. Die genannte Richtlinie enthält jedoch eine Liste mit spezifischen Ausnahmen. Ähnliche Ausnahmen gelten für die vorliegende Richtlinie. Bestimmte Tätigkeiten, die über Websites und mobile Anwendungen öffentlicher Stellen erfolgen, wie Personenverkehrsdienste oder Dienstleistungen im elektronischen Geschäftsverkehr, die unter diese Richtlinie fallen, sollten zusätzlich den geltenden Barrierefreiheitsanforderungen der vorliegenden Richtlinie genügen, damit gewährleistet ist, dass der Online-Verkauf von Produkten und Dienstleistungen unabhängig davon, ob der Verkäufer ein öffentlicher oder privater Wirtschaftsakteur ist, für Menschen mit Behinderungen barrierefrei zugänglich ist. Die Barrierefreiheitsanforderungen der vorliegenden Richtlinie sollten — ungeachtet von Unterschieden bei der Überwachung, der Berichterstattung oder der Durchsetzung — an die Anforderungen der Richtlinie (EU) 2016/2102 angeglichen werden.

(47)

Die vier in Richtlinie (EU) 2016/2102 verwendeten Grundsätze des barrierefreien Zugangs von Websites und mobilen Anwendungen sind: Wahrnehmbarkeit, d. h., die Informationen und Komponenten der Nutzerschnittstelle müssen den Nutzern in einer Weise dargestellt werden, dass sie sie wahrnehmen können; Bedienbarkeit, d. h., der Nutzer muss die Komponenten der Nutzerschnittstelle und die Navigation handhaben können; Verständlichkeit, d. h., die Informationen und die Handhabung der Nutzerschnittstelle müssen verständlich sein; schließlich Robustheit, d. h., die Inhalte müssen robust genug sein, damit sie zuverlässig von einer Vielfalt von Benutzeragenten, einschließlich assistiver Technologien, interpretiert werden können. Diese Grundsätze haben auch für die vorliegende Richtlinie (EU) 2016/2102 Bedeutung.

(48)

Die Mitgliedstaaten sollten alle geeigneten Maßnahmen treffen, damit der freie Verkehr der Produkte und Dienstleistungen, die unter diese Richtlinie fallen und die die geltenden Barrierefreiheitsanforderungen erfüllen, innerhalb der Union nicht aufgrund der Barrierefreiheitsanforderungen behindert wird.

(49)

In einigen Fällen würden einheitliche Barrierefreiheitsanforderungen an die bauliche Umwelt die ungehinderte Erbringung der dort angebotenen Dienstleistungen und die Bewegungsfreiheit der Menschen mit Behinderungen erleichtern. Gemäß dieser Richtlinie sollten die Mitgliedstaaten daher bestimmen können, dass die bauliche Umwelt, die für die Erbringung der unter diese Richtlinie fallenden Dienstleistungen genutzt wird, die Barrierefreiheitsanforderungen des Anhangs III erfüllen muss.

(50)

Die Barrierefreiheit sollte durch die systematische Beseitigung von Barrieren und die Verhinderung des Entstehens neuer Barrieren erreicht werden, vorzugsweise durch die Anwendung eines Konzepts wie „universelles Design“ oder „Design für alle“, das einen Beitrag zur Sicherstellung eines gleichberechtigten Zugangs für Menschen mit Behinderungen leistet. Gemäß der VN-Behindertenrechtskonvention bezeichnet dieses Konzept „ein Design von Produkten, Umfeldern, Programmen und Dienstleistungen in der Weise, dass sie von allen Menschen möglichst weitgehend ohne eine Anpassung oder ein spezielles Design genutzt werden können“. Gemäß der VN-Behindertenrechtskonvention „sollte ‚universelles Design‘ Hilfsmittel für bestimmte Gruppen von Menschen mit Behinderungen, soweit sie benötigt werden, nicht ausschließen“. Barrierefreiheit sollte darüber hinaus nicht ausschließen, dass angemessene Vorkehrungen getroffen werden, wenn dies im Unions- oder im nationalen Recht vorgeschrieben ist. Barrierefreiheit und universelles Design sollten im Einklang mit der Allgemeinen Bemerkung Nr. 2(2014) des Ausschusses für die Rechte von Menschen mit Behinderungen zu Artikel 9: Zugänglichkeit ausgelegt werden.

(51)

Produkte und Dienstleistungen, die Gegenstand dieser Richtlinie sind, fallen nicht automatisch in den Geltungsbereich der Richtlinie 93/42/EWG des Rates (16). Einige assistive Technologien, die Medizinprodukte sind, könnten jedoch in den Geltungsbereich der genannten Richtlinie fallen.

(52)

Die meisten Arbeitsplätze in der Union werden von KMU und Kleinstunternehmen bereitgestellt. Diese Unternehmen, die von zentraler Bedeutung für das künftige Wachstum sind, sehen sich bei der Entwicklung ihrer Produkte oder Dienstleistungen sehr oft Hürden und Hindernissen gegenüber, insbesondere im grenzüberschreitenden Kontext. Es ist deshalb notwendig, die nationalen Barrierefreiheitsvorschriften — unter Beibehaltung der notwendigen Garantien — zu harmonisieren, um so die Arbeit der KMU und Kleinstunternehmen zu erleichtern.

(53)

Damit Kleinstunternehmen und KMU diese Richtlinie in Anspruch nehmen können, müssen sie die Anforderungen der Empfehlung der Kommission 2003/361/EG (17) und der einschlägigen Rechtsprechung, die darauf ausgerichtet ist, eine Umgehung der Bestimmungen der Empfehlung zu unterbinden, wirklich erfüllen.

(54)

Um die Kohärenz des Unionsrechts zu gewährleisten, sollte sich diese Richtlinie an den Beschluss Nr. 768/2008/EG des Europäischen Parlaments und des Rates (18) anlehnen, weil sie Produkte betrifft, die bereits Gegenstand anderer Unionsrechtsakte sind, wobei gleichzeitig die speziellen Merkmale der Barrierefreiheitsanforderungen dieser Richtlinie anerkannt werden sollten.

(55)

Alle Wirtschaftsakteure, die in den Geltungsbereich dieser Richtlinie fallen und Teil der Liefer- und Vertriebskette sind, sollten gewährleisten, dass sie nur Produkte auf dem Markt bereitstellen, die dieser Richtlinie entsprechen. Dasselbe sollte für Wirtschaftsakteure gelten, die Dienstleistungen erbringen. Es ist notwendig, für eine klare und verhältnismäßige Aufteilung der Pflichten zu sorgen, die der Rolle jedes Akteurs im Liefer- und Vertriebsprozess entsprechen.

(56)

Wirtschaftsakteure sollten für die Konformität der Produkte und Dienstleistungen verantwortlich sein, je nachdem welche Rolle sie jeweils in der Lieferkette spielen, um ein hohes Niveau beim Schutz der Barrierefreiheit zu gewährleisten und einen fairen Wettbewerb auf dem Unionsmarkt sicherzustellen.

(57)

Die Verpflichtungen nach dieser Richtlinie sollten in gleicher Weise für die Wirtschaftsakteure des öffentlichen wie des privaten Sektors gelten.

(58)

Da der Hersteller den Entwurfs- und Fertigungsprozess in allen Einzelheiten kennt, ist er am besten für die Durchführung der gesamten Konformitätsbewertung geeignet. Während die Verantwortung für die Konformität der Produkte beim Hersteller verbleibt, sollten die Marktüberwachungsbehörden eine entscheidende Rolle bei der Überprüfung übernehmen, ob in der Union bereitgestellte Produkte im Einklang mit dem Unionsrecht hergestellt werden.

(59)

Importeure und Händler sollten in die Marktüberwachungsaufgaben der nationalen Behörden eingebunden werden und aktiv mitwirken, indem sie den zuständigen Behörden alle nötigen Informationen zu dem jeweiligen Produkt geben.

(60)

Die Importeure sollten sicherstellen, dass Produkte, die aus Drittländern auf den Unionsmarkt kommen, diese Richtlinie erfüllen, und sie sollten insbesondere sicherstellen, dass die Hersteller geeignete Konformitätsbewertungsverfahren für die betreffenden Produkte durchgeführt haben.

(61)

Beim Inverkehrbringen sollten Importeure auf den Produkten, die sie in Verkehr bringen, den Namen, den eingetragenen Handelsnamen oder die eingetragene Handelsmarke sowie ihre Kontaktanschrift angeben.

(62)

Die Händler sollten sicherstellen, dass ihre Handhabung des Produkts dessen Konformität mit den Barrierefreiheitsanforderungen dieser Richtlinie nicht negativ beeinflusst.

(63)

Jeder Wirtschaftsakteur, der ein Produkt unter seinem eigenen Namen oder seiner eigenen Marke in Verkehr bringt oder ein bereits in Verkehr gebrachtes Produkt so verändert, dass sich dies auf dessen Konformität mit den geltenden Anforderungen auswirken könnte, sollte als Hersteller gelten und die Pflichten des Herstellers wahrnehmen.

(64)

Aus Gründen der Verhältnismäßigkeit sollten Barrierefreiheitsanforderungen nur insoweit angewandt werden, wie sie dem betreffenden Wirtschaftsakteur keine unverhältnismäßige Belastung auferlegen und wie sie keine wesentliche Veränderung der Produkte bzw. Dienstleistungen erfordern, die zu einer grundlegenden Veränderung in Anbetracht dieser Richtlinie führen würde. Es sollte jedoch Kontrollmechanismen geben, damit die Berechtigung zur Befreiung von der Anwendbarkeit der Barrierefreiheitsanforderungen geprüft werden kann.

(65)

Diese Richtlinie sollte sich an dem Grundsatz „Vorfahrt für KMU“ orientieren und dem Verwaltungsaufwand für die KMU Rechnung tragen. Sie sollte schlanke Regeln für die Konformitätsbewertung enthalten sowie Schutzklauseln für die Wirtschaftsakteure anstatt allgemeiner Ausnahmen und Sonderregelungen für diese Unternehmen. Folglich sollte bei der Aufstellung der Regeln für die Auswahl und Anwendung der am besten geeigneten Konformitätsbewertungsverfahren die Situation der KMU berücksichtigt werden, und der Umfang der Pflichten im Zusammenhang mit der Konformitätsbewertung von Barrierefreiheitsanforderungen sollte so bemessen sein, dass KMU daraus keine unverhältnismäßige Belastung entsteht. Außerdem sollten die Marktüberwachungsbehörden bei ihrem Handeln der Größe der Unternehmen und dem Kleinserien- oder Nichtseriencharakter der jeweiligen Produktion gebührend Rechnung tragen und weder unnötige Hindernisse für KMU schaffen noch den Schutz des öffentlichen Interesses vernachlässigen.

(66)

In Ausnahmefällen, in denen die Einhaltung der Barrierefreiheitsanforderungen dieser Richtlinie eine unverhältnismäßige Belastung für die Wirtschaftsakteure darstellen würde, sollten diese nur dann zur Erfüllung der Anforderungen verpflichtet sein, wenn dadurch keine unverhältnismäßige Belastung entsteht. In solchen hinreichend begründeten Fällen wäre es einem Wirtschaftsakteur unter Umständen nach vernünftigem Ermessen nicht möglich, eine oder mehrere der Barrierefreiheitsanforderungen dieser Richtlinie vollumfänglich anzuwenden. Der Wirtschaftsakteur sollte unter diese Richtlinie fallende Dienstleistungen oder Produkte aber insoweit durch Anwendung dieser Anforderungen möglichst barrierefrei gestalten, als dadurch keine unverhältnismäßige Belastung entsteht. Diese Barrierefreiheitsanforderungen, die aus Sicht des Wirtschaftsakteurs keine unverhältnismäßige Belastung darstellen, sollten uneingeschränkt zur Anwendung kommen. Die Ausnahmen von der Erfüllung einer oder mehrerer Barrierefreiheitsanforderungen aufgrund einer durch diese auferlegten unverhältnismäßigen Belastungen sollten für das jeweils betroffene Produkt bzw. die jeweils betroffene Dienstleistung im Einzelfall nicht über das zur Begrenzung der Belastung unbedingt erforderliche Maß hinausgehen. Unter Maßnahmen, die eine unverhältnismäßige Belastung darstellen würden, sollten Maßnahmen verstanden werden, die eine zusätzliche übermäßige organisatorische oder finanzielle Belastung für den Wirtschaftsakteur bedeuten, wobei dem voraussichtlich entstehenden Nutzen für Menschen mit Behinderungen gemäß den in dieser Richtlinie festgelegten Kriterien Rechnung zu tragen ist. Kriterien, die sich auf diese Überlegungen stützen, sollten festgelegt werden, damit sowohl die Wirtschaftsakteure als auch die zuständigen Behörden in der Lage sind, verschiedene Situationen miteinander zu vergleichen und systematisch zu beurteilen, ob eine unverhältnismäßige Belastung vorliegt. Bei der Beurteilung, inwieweit Barrierefreiheitsanforderungen nicht erfüllt werden können, weil sie eine unverhältnismäßige Belastung bewirken würden, sollten nur berechtigte Gründe berücksichtigt werden. Mangelnde Priorität, Zeit oder Kenntnis sollten nicht als berechtigte Gründe gelten.

(67)

Die Gesamtbeurteilung der unverhältnismäßigen Belastung sollte unter Verwendung der in Anhang VI genannten Kriterien erfolgen. Der Wirtschaftsakteur sollte die Beurteilung einer unverhältnismäßigen Belastung unter Berücksichtigung der einschlägigen Kriterien dokumentieren. Die Dienstleistungserbringer sollten ihre Beurteilung einer unverhältnismäßigen Belastung mindestens alle fünf Jahre erneuern.

(68)

Der Wirtschaftsakteur sollte die zuständigen Behörden darüber unterrichten, dass er sich auf die Bestimmungen über grundlegende Veränderung und/oder unverhältnismäßige Belastung gestützt hat. Der Wirtschaftsakteur sollte nur auf Ersuchen der zuständigen Behörden eine Kopie der Beurteilung vorlegen, aus der hervorgeht, warum sein Produkt bzw. seine Dienstleistung nicht vollständig barrierefrei ist, und die unverhältnismäßige Belastung, die grundlegende Veränderung oder beides nachweisen.

(69)

Wenn ein Dienstleistungserbringer aufgrund der vorgeschriebenen Beurteilung feststellt, dass die Vorschrift, wonach alle zur Erbringung von unter diese Richtlinie fallenden Dienstleistungen eingesetzten Selbstbedienungsterminals die Barrierefreiheitsanforderungen dieser Richtlinie erfüllen müssen, eine unverhältnismäßige Belastung darstellen würde, sollte der Dienstleistungserbringer diese Anforderungen dennoch insoweit erfüllen, als diese Anforderungen für ihn mit keiner unverhältnismäßigen Belastung verbunden sind. Die Dienstleistungserbringer sollten also feststellen, welcher Grad an begrenzter Barrierefreiheit bei allen Selbstbedienungsterminals oder welche begrenzte Zahl vollständig barrierefreier Selbstbedienungsterminals es ihnen ermöglichen würde, eine ihnen sonst auferlegte unverhältnismäßige Belastung zu vermeiden, und nur in diesem Ausmaß verpflichtet sein, die Barrierefreiheitsanforderungen dieser Richtlinie zu erfüllen.

(70)

Kleinstunternehmen unterscheiden sich von allen anderen Unternehmen durch ihre begrenzten Humanressourcen, ihren begrenzten Jahresumsatz oder ihre begrenzte Jahresbilanz. Die Belastung durch die Einhaltung der Barrierefreiheitsanforderungen beansprucht für Kleinstunternehmen daher generell einen größeren Anteil ihrer Finanz- und Humanressourcen als bei anderen Unternehmen; es ist daher wahrscheinlicher, dass dies einen unverhältnismäßig großen Anteil der Kosten darstellt. Ein erheblicher Anteil der Kosten entsteht für Kleinstunternehmen durch das Erstellen oder Führen von Dokumenten und Aufzeichnungen zum Nachweis der Einhaltung der verschiedenen Anforderungen im Unionsrecht. Zwar sollten alle Wirtschaftsakteure, die unter diese Richtlinie fallen, in der Lage sein, die Verhältnismäßigkeit der Einhaltung der Barrierefreiheitsanforderungen gemäß dieser Richtlinie zu bewerten und sie nur einzuhalten, soweit sie nicht unverhältnismäßig sind, doch würde die Forderung einer solchen Beurteilung von Kleinstunternehmen, die Dienstleistungen erbringen, an sich bereits eine unverhältnismäßige Belastung darstellen. Die Anforderungen und Verpflichtungen gemäß dieser Richtlinie sollten daher nicht für Kleinstunternehmen gelten, die Dienstleistungen innerhalb des Geltungsbereichs dieser Richtlinie erbringen.

(71)

Diese Richtlinie sollte für Kleinstunternehmen, die mit in den Geltungsbereich dieser Richtlinie fallenden Produkten befasst sind, leichtere Anforderungen und Verpflichtungen enthalten, um den Verwaltungsaufwand zu verringern.

(72)

Während einige Kleinstunternehmen von den Verpflichtungen dieser Richtlinie ausgenommen sind, sollten alle Kleinstunternehmen dazu angehalten werden, Produkte herzustellen, einzuführen und zu vertreiben und Dienstleistungen zu erbringen, die die Barrierefreiheitsanforderungen dieser Richtlinie erfüllen, um ihre Wettbewerbsfähigkeit sowie ihr Wachstumspotenzial im Binnenmarkt zu steigern. Die Mitgliedstaaten sollten daher Leitlinien und Instrumente für Kleinstunternehmen vorsehen, um diesen die Anwendung einzelstaatlicher Maßnahmen zur Umsetzung dieser Richtlinie zu erleichtern.

(73)

Alle Wirtschaftsakteure sollten verantwortungsvoll und in voller Übereinstimmung mit den geltenden rechtlichen Anforderungen handeln, wenn sie Produkte in Verkehr bringen oder auf dem Markt bereitstellen oder wenn sie Dienstleistungen auf dem Markt erbringen.

(74)

Um die Bewertung der Konformität mit den geltenden Barrierefreiheitsanforderungen zu erleichtern, sollte bei jenen Produkten und Dienstleistungen von einer Konformitätsvermutung ausgegangen werden, die den freiwilligen harmonisierten Normen entsprechen, welche gemäß der Verordnung (EU) Nr. 1025/2012 des Europäischen Parlaments und des Rates (19) zwecks Ausarbeitung ausführlicher technischer Spezifikationen für diese Anforderungen angenommen wurden. Die Kommission hat den europäischen Normungsorganisationen bereits mehrere Normungsaufträge im Zusammenhang mit der Barrierefreiheit erteilt, wie etwa die Normungsaufträge M/376, M/473 und M/420, die für die Erarbeitung harmonisierter Normen relevant wären.

(75)

Die Verordnung (EU) Nr. 1025/2012 enthält ein Verfahren für förmliche Einwände gegen harmonisierte Normen, die als nicht den Anforderungen dieser Richtlinie entsprechend gelten.

(76)

Europäische Normen sollten marktgesteuert sein, dem öffentlichen Interesse sowie den politischen Zielen — die in dem von der Kommission an eine oder mehrere europäische Normungsorganisationen erteilten Auftrag, harmonisierte Normen zu erarbeiten, klar formuliert sind — Rechnung tragen und auf einem Konsens beruhen. Wenn es keine harmonisierten Normen gibt und falls zwecks Harmonisierung des Binnenmarktes ein entsprechender Bedarf besteht, sollte die Kommission in bestimmten Fällen Durchführungsrechtsakte mit technischen Spezifikationen für die in dieser Richtlinie enthaltenen Barrierefreiheitsanforderungen erlassen können. Der Rückgriff auf technische Spezifikationen sollte auf diese Fälle beschränkt sein. Die Kommission sollte zum Beispiel technische Spezifikationen erlassen können, wenn der Normungsprozess aufgrund eines fehlenden Konsenses zwischen den Interessenträgern blockiert ist, oder im Fall von ungebührlichen Verzögerungen bei der Festlegung einer harmonisierten Norm, weil beispielsweise die erforderliche Qualität nicht erreicht wird. Die Kommission sollte zwischen der Beauftragung einer oder mehrerer europäischer Normungsorganisationen mit der Ausarbeitung harmonisierter Normen und der Verabschiedung technischer Spezifikationen für die entsprechenden Barrierefreiheitsanforderungen einen ausreichend langen Zeitraum einplanen. Die Kommission sollte keine technischen Spezifikationen erlassen können, wenn sie nicht zuvor Anstrengungen dahin gehend unternommen hat, dass die Barrierefreiheitsanforderungen über das europäische Normungssystem abgedeckt werden, es sei denn, sie kann nachweisen, dass die technischen Spezifikationen den in Anhang II der Verordnung (EU) Nr. 1025/2012 festgelegten Anforderungen entsprechen.

(77)

Damit harmonisierte Normen und technische Spezifikationen eingeführt werden, die die in dieser Richtlinie festgelegten Barrierefreiheitsanforderungen an die Produkte und Dienstleistungen am effizientesten erfüllen, sollte die Kommission nach Möglichkeit die europäischen Dachverbände für Menschen mit Behinderungen und alle übrigen betroffenen Interessenträger in den Prozess einbeziehen.

(78)

Damit ein effektiver Zugang zu den Informationen gewährleistet ist, die für die Erklärung der Übereinstimmung mit allen anwendbaren Rechtsakten der Union erforderlich sind, sollten diese Informationen in einer einzigen EU-Konformitätserklärung bereitgestellt werden. Damit der Verwaltungsaufwand für Wirtschaftsakteure geringer wird, sollten sie alle relevanten individuellen Konformitätserklärungen in die einzige EU-Konformitätserklärung aufnehmen können.

(79)

Für die Konformitätsbewertung von Produkten sollte diese Richtlinie das in Anhang II des Beschlusses Nr. 768/2008/EG beschriebene Verfahren „Interne Fertigungskontrolle (Modul A)“ nutzen, weil die Wirtschaftsakteure und die zuständigen Behörden damit ohne übermäßigen Aufwand nachweisen bzw. sicherstellen können, dass die auf dem Markt bereitgestellten Produkte die Barrierefreiheitsanforderungen erfüllen.

(80)

Bei der Marktüberwachung von Produkten und bei der Überprüfung der Konformität von Dienstleistungen sollten die Behörden auch prüfen, ob die Konformitätsbewertungen einschließlich der Beurteilung der grundlegenden Veränderung oder unverhältnismäßigen Belastung ordnungsgemäß durchgeführt worden sind. Die Behörden sollten ihre Aufgaben auch unter Beteiligung von Menschen mit Behinderungen und den sie und ihre Interessen vertretenden Verbänden ausführen.

(81)

Die Informationen, die im Fall von Dienstleistungen für die Bewertung der Konformität mit den Barrierefreiheitsanforderungen dieser Richtlinie erforderlich sind, sollten unbeschadet der Richtlinie 2011/83/EU des Europäischen Parlaments und des Rates (20) in den allgemeinen Geschäftsbedingungen oder einem ähnlichen Dokument enthalten sein.

(82)

Die CE-Kennzeichnung, die die Konformität eines Produkts mit den Barrierefreiheitsanforderungen dieser Richtlinie anzeigt, ist das sichtbare Ergebnis eines ganzen Prozesses, der die Konformitätsbewertung im weiteren Sinne umfasst. Diese Richtlinie sollte sich an den allgemeinen, für die CE-Kennzeichnung geltenden Grundsätzen der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates über die Akkreditierung und Marktüberwachung im Zusammenhang mit der Vermarktung von Produkten (21) orientieren. Zusätzlich zur EU-Konformitätserklärung sollten Hersteller Verbraucher kosteneffizient über die Barrierefreiheit ihrer Produkte informieren.

(83)

Gemäß der Verordnung (EG) Nr. 765/2008 erklärt der Hersteller durch das Anbringen der CE-Kennzeichnung, dass das betreffende Produkt alle geltenden Barrierefreiheitsanforderungen erfüllt und dass der Hersteller die volle Verantwortung hierfür übernimmt.

(84)

Gemäß dem Beschluss Nr. 768/2008/EG sind die Mitgliedstaaten für die Gewährleistung einer strikten und effizienten Marktüberwachung von Produkten in ihrem Hoheitsgebiet verantwortlich und sollten ihre Marktüberwachungsbehörden mit ausreichenden Befugnissen und Ressourcen ausstatten.

(85)

Die Mitgliedstaaten sollten die Übereinstimmung von Dienstleistungen mit den Anforderungen dieser Richtlinie überprüfen und Beschwerden oder Berichten über die Nichteinhaltung nachgehen, damit Abhilfemaßnahmen ergriffen werden können.

(86)

Die Kommission könnte gegebenenfalls in Absprache mit Interessenträgern unverbindliche Leitlinien annehmen; hierdurch wird die Abstimmung zwischen den Marktüberwachungsbehörden und zwischen den Behörden, die für die Überwachung der Konformität von Dienstleistungen zuständig sind, gefördert. Die Kommission und die Mitgliedstaaten sollten Initiativen mit dem Ziel einleiten können, Ressourcen und Fachwissen der Behörden gemeinsam zu nutzen.

(87)

Die Mitgliedstaaten sollten sicherstellen, dass die Marktüberwachungsbehörden und die Behörden, die für die Überwachung der Konformität von Dienstleistungen zuständig sind, im Einklang mit Kapitel VIII und IX kontrollieren, dass die Wirtschaftsakteure die Kriterien nach Anhang VI beachten. Die Mitgliedstaaten sollten eine spezialisierte Stelle benennen können, die die Pflichten der Marktüberwachungsbehörden oder der Behörden, die für die Überwachung der Konformität von Dienstleistungen zuständig sind, nach dieser Richtlinie wahrnimmt. Die Mitgliedstaaten sollten beschließen können, dass die Zuständigkeiten einer solchen spezialisierten Stelle auf den Geltungsbereich dieser Richtlinie oder bestimmte Teile dieser Richtlinie beschränkt sind, und zwar unbeschadet der Pflichten der Mitgliedstaaten gemäß der Verordnung (EG) Nr. 765/2008.

(88)

Es sollte ein Schutzklauselverfahren geschaffen werden, das zur Anwendung gelangt, wenn sich Mitgliedstaaten hinsichtlich der von einem Mitgliedstaat ergriffenen Maßnahmen nicht einig sind, und wonach Betroffene informiert werden, wenn Maßnahmen im Zusammenhang mit Produkten getroffen werden sollen, die die Barrierefreiheitsanforderungen dieser Richtlinie nicht erfüllen. Das Schutzklauselverfahren sollte es den Marktüberwachungsbehörden ermöglichen, bei derartigen Produkten in Zusammenarbeit mit den betreffenden Wirtschaftsakteuren zu einem früheren Zeitpunkt einzuschreiten.

(89)

Wenn sich die Mitgliedstaaten und die Kommission einig sind, dass eine von einem Mitgliedstaat ergriffene Maßnahme gerechtfertigt ist, sollte die Kommission nur dann weiter tätig werden müssen, wenn sich die Nichtkonformität auf Unzulänglichkeiten einer harmonisierten Norm oder technischen Spezifikation zurückführen lässt.

(90)

In den Richtlinien 2014/24/EU (22) und 2014/25/EU (23) des Europäischen Parlaments und des Rates über die öffentliche Auftragsvergabe, in denen Verfahren für die Vergabe öffentlicher Aufträge und die Durchführung von Wettbewerben für bestimmte Lieferungen (Produkte), Dienstleistungen und Bauarbeiten bestimmt sind, ist festgelegt, dass bei jeglicher Beschaffung, die zur Nutzung durch natürliche Personen — ganz gleich, ob durch die Allgemeinheit oder das Personal des öffentlichen Auftraggebers — vorgesehen ist, die technischen Spezifikationen — außer in ordnungsgemäß begründeten Fällen — so erstellt werden, dass die Zugänglichkeitskriterien für Menschen mit Behinderungen oder die Konzeption für alle Nutzer berücksichtigt werden. Ferner ist in diesen Richtlinien vorgesehen, dass — sofern verpflichtende Zugänglichkeitserfordernisse mit einem Rechtsakt der Union erlassen werden — die technischen Spezifikationen, soweit die Kriterien der Zugänglichkeit für Menschen mit Behinderungen oder die Konzeption für alle Nutzer betroffen sind, darauf Bezug nehmen müssen. Mit der vorliegenden Richtlinie sollten verpflichtende Barrierefreiheitsanforderungen für Produkte und Dienstleistungen, die in ihren Geltungsbereich fallen, festgelegt werden. Für Produkte und Dienstleistungen, die nicht in den Geltungsbereich der vorliegenden Richtlinie fallen, sind die Barrierefreiheitsanforderungen der vorliegenden Richtlinie nicht verpflichtend. Jedoch würde die Heranziehung dieser Barrierefreiheitsanforderungen für die Erfüllung der in anderen Rechtsakten der Union als der vorliegenden Richtlinie enthaltenen einschlägigen Verpflichtungen die Umsetzung der Barrierefreiheit erleichtern und zu Rechtssicherheit und zur unionsweiten Angleichung der Barrierefreiheitsanforderungen beitragen. Die Behörden sollten nicht daran gehindert werden, Barrierefreiheitsanforderungen festzulegen, die über die in Anhang I dieser Richtlinie festgelegten Barrierefreiheitsanforderungen hinausgehen.

(91)

Durch diese Richtlinie sollte der verpflichtende oder freiwillige Charakter der Bestimmungen über Barrierefreiheit in anderen Rechtsakten der Union nicht geändert werden.

(92)

Diese Richtlinie sollte nur für Vergabeverfahren gelten, bei denen der Aufruf zum Wettbewerb nach dem Geltungsbeginn dieser Richtlinie ergangen ist oder — falls kein Aufruf zum Wettbewerb vorgesehen ist — bei denen der Auftraggeber oder die Vergabestelle das Vergabeverfahren nach dem Geltungsbeginn dieser Richtlinie eingeleitet hat.

(93)

Um die ordnungsgemäße Anwendung dieser Richtlinie zu gewährleisten, sollte der Kommission die Befugnis übertragen werden, gemäß Artikel 290 AEUV Rechtsakte in Bezug auf Folgendes zu erlassen: weitere Präzisierung jener Barrierefreiheitsanforderungen, die aufgrund ihrer Beschaffenheit die beabsichtige Wirkung nur entfalten können, wenn sie durch verbindliche Rechtsakte der Union weiter präzisiert werden; Änderung des Zeitraums, während dem Wirtschaftsakteure in der Lage sein müssen, die anderen Wirtschaftsakteure zu nennen, von denen sie ein Produkt bezogen haben oder an die sie ein Produkt abgegeben haben; schließlich weitere Präzisierung, welche einschlägigen Kriterien der Wirtschaftsakteur bei der Beurteilung, ob die Einhaltung der Barrierefreiheitsanforderungen eine unverhältnismäßige Belastung darstellen würde, zu berücksichtigen hat. Es ist von besonderer Bedeutung, dass die Kommission im Zuge ihrer Vorbereitungsarbeit angemessene Konsultationen, auch auf der Ebene von Sachverständigen, durchführt, die mit den Grundsätzen im Einklang stehen, die in der Interinstitutionellen Vereinbarung vom 13. April 2016 über bessere Rechtsetzung (24) niedergelegt wurden. Um insbesondere für eine gleichberechtigte Beteiligung an der Ausarbeitung delegierter Rechtsakte zu sorgen, erhalten das Europäische Parlament und der Rat alle Dokumente zur gleichen Zeit wie die Sachverständigen der Mitgliedstaaten, und ihre Sachverständigen haben systematisch Zugang zu den Sitzungen der Sachverständigengruppen der Kommission, die mit der Vorbereitung der delegierten Rechtsakte befasst sind.

(94)

Um einheitliche Bedingungen für die Durchführung dieser Richtlinie zu gewährleisten, sollten der Kommission Durchführungsbefugnisse für die Festlegung technischer Spezifikationen übertragen werden. Diese Befugnisse sollten gemäß der Verordnung (EU) Nr. 182/2011 des Europäischen Parlaments und des Rates (25) ausgeübt werden.

(95)

Die Mitgliedstaaten sollten dafür sorgen, dass geeignete und wirksame Maßnahmen bereitstehen, um die Einhaltung dieser Richtlinie sicherzustellen, und sollten folglich geeignete Kontrollmechanismen — wie etwa eine nachträgliche Kontrolle durch die Marktüberwachungsbehörden — einführen, um zu überprüfen, ob eine Befreiung von den Barrierefreiheitsanforderungen gerechtfertigt ist. Bei der Bearbeitung von Beschwerden in Bezug auf Barrierefreiheit sollten sich die Mitgliedstaaten an den allgemeinen Grundsatz der ordnungsgemäßen Verwaltung und insbesondere an die Pflicht der Beamten, dafür zu sorgen, dass Entscheidungen über Beschwerden innerhalb einer angemessenen Frist getroffen werden, halten.

(96)

Um die einheitliche Durchführung dieser Richtlinie zu erleichtern, sollte die Kommission eine aus einschlägigen Behörden und Interessenträgern bestehende Arbeitsgruppe einsetzen, die den Austausch von Informationen und bewährten Verfahren erleichtern und die Kommission beraten wird. Die Zusammenarbeit zwischen Behörden und einschlägigen Interessenträgern, einschließlich Menschen mit Behinderungen und der sie vertretenden Verbände, sollte gefördert werden, unter anderem um die Kohärenz der Anwendung der Bestimmungen dieser Richtlinie bezüglich Barrierefreiheitsanforderungen zu verbessern und die Umsetzung ihrer Bestimmungen über grundlegende Veränderung und unverhältnismäßige Belastung zu überwachen.

(97)

Angesichts des bestehenden Rechtsrahmens für Rechtsbehelfe in den Bereichen, die durch die Richtlinien 2014/24/EU und 2014/25/EU geregelt werden, sollten die Bestimmungen der vorliegenden Richtlinie in Bezug auf Durchsetzung und Sanktionen nicht für Vergabeverfahren gelten, die den in der vorliegenden Richtlinie enthaltenen Verpflichtungen unterliegen. Diese Ausnahme gilt unbeschadet der sich aus den Verträgen ergebenden Pflichten für die Mitgliedstaaten, alle Maßnahmen zu ergreifen, um die Anwendung und Wirksamkeit des Unionsrechts zu garantieren.

(98)

Damit Sanktionen Wirtschaftsakteuren nicht als Alternative zur Erfüllung der Barrierefreiheitsanforderungen im Hinblick auf ihre Produkte oder Dienstleistungen dienen, sollten sie der Art der Verstöße und den Umständen entsprechend angemessen sein.

(99)

Die Mitgliedstaaten sollten dafür sorgen, dass im Einklang mit dem geltenden Unionsrecht alternative Streitbeilegungsverfahren bestehen, sodass bei Fällen mutmaßlicher Nichteinhaltung dieser Richtlinie eine Möglichkeit zur Klärung besteht, bevor diese vor ein Gericht oder eine zuständige Behörde gebracht werden.

(100)

In der Gemeinsamen Politischen Erklärung der Mitgliedstaaten und der Kommission vom 28. September 2011 zu erläuternden Dokumenten (26) haben sich die Mitgliedstaaten verpflichtet, dafür zu sorgen, dass in begründeten Fällen zusätzlich zur Mitteilung ihrer Umsetzungsmaßnahmen ein oder mehrere Dokumente übermittelt werden, in denen der Zusammenhang zwischen den Bestandteilen einer Richtlinie und den entsprechenden Teilen nationaler Umsetzungsinstrumente erläutert wird. In Bezug auf diese Richtlinie hält der Gesetzgeber die Übermittlung derartiger Dokumente für gerechtfertigt.

(101)

Damit die Dienstleistungserbringer ausreichend Zeit zur Anpassung an die Anforderungen dieser Richtlinie haben, bedarf es eines Übergangszeitraums von fünf Jahren ab dem Geltungsbeginn dieser Richtlinie, während dessen Produkte zur Erbringung einer Dienstleistung, die vor diesem Zeitpunkt in Verkehr gebracht worden sind, nicht die Barrierefreiheitsanforderungen dieser Richtlinie erfüllen müssen, es sei denn, sie werden von den Dienstleistungserbringern während dieses Übergangszeitraums ersetzt. In Anbetracht der Kosten und der langen Lebensdauer von Selbstbedienungsterminals sollte verfügt werden, dass diese Terminals, wenn sie für die Erbringung von Dienstleistungen genutzt werden, bis zum Ende ihrer Lebensdauer weiterverwendet werden dürfen, solange sie in diesem Zeitraum nicht ersetzt werden, aber nicht länger als 20 Jahre.

(102)

Die Barrierefreiheitsanforderungen dieser Richtlinie sollten für Produkte bzw. Dienstleistungen gelten, die nach Geltungsbeginn der einzelstaatlichen Maßnahmen zur Umsetzung dieser Richtlinie in Verkehr gebracht bzw. erbracht werden, einschließlich gebrauchter Produkte und Produkte aus zweiter Hand, die aus einem Drittland importiert und nach diesem Zeitpunkt in Verkehr gebracht werden.

(103)

Diese Richtlinie steht im Einklang mit den Grundrechten und Grundsätzen, die insbesondere mit der Charta der Grundrechte der Europäischen Union (Grundrechtecharta) anerkannt wurden. Mit dieser Richtlinie soll insbesondere die volle Anerkennung des Rechts von Menschen mit Behinderungen auf Maßnahmen zur Gewährleistung ihrer Eigenständigkeit, ihrer sozialen und beruflichen Eingliederung und ihrer Teilnahme am Leben der Gemeinschaft gewährleistet und die Anwendung der Artikel 21, 25 und 26 der Grundrechtecharta gefördert werden.

(104)

Da das Ziel dieser Richtlinie, nämlich Hindernisse für den freien Verkehr bestimmter barrierefreier Produkte und Dienstleistungen zu beseitigen und so zum reibungslosen Funktionieren des Binnenmarkts beizutragen, von den Mitgliedstaaten nicht ausreichend verwirklicht werden kann, weil eine Harmonisierung der unterschiedlichen, in ihren Rechtsordnungen bestehenden Vorschriften erforderlich ist, sondern vielmehr mittels Festlegung einheitlicher Barrierefreiheitsanforderungen und Regeln für das Funktionieren des Binnenmarkts auf Unionsebene besser zu verwirklichen ist, kann die Union im Einklang mit dem in Artikel 5 des Vertrags über die Europäische Union verankerten Subsidiaritätsprinzip tätig werden. Entsprechend dem in demselben Artikel genannten Grundsatz der Verhältnismäßigkeit geht diese Richtlinie nicht über das zur Verwirklichung dieses Ziels erforderliche Maß hinaus —