Eine notifizierte Stelle (amtlich auch: Benannte Stelle, englisch notified body) ist eine unabhängige Konformitätsbewertungsstelle, die ein EU-Mitgliedstaat der Europäischen Kommission gemeldet – „notifiziert” – hat, damit sie Produkte im Auftrag Dritter auf die Einhaltung bestimmter EU-Rechtsvorschriften prüft.
Zusammenfassung
Notifizierte Stellen sind ein Werkzeug des sogenannten New Legislative Framework, mit dem die EU seit den 1980er Jahren Produktsicherheit über die CE-Kennzeichnung harmonisiert. Wo der jeweilige Rechtsakt eine reine Selbstbewertung durch den Hersteller für unzureichend hält, schreibt er stattdessen eine Prüfung durch eine solche Drittstelle vor.
Das betrifft klassischerweise Medizinprodukte, bestimmte Maschinenkategorien und Druckgeräte – seit 2024 aber auch zwei Rechtsakte mit unmittelbarem KI-Bezug: den Cyber Resilience Act und, in einem einzigen engen Anwendungsfall, die KI-Verordnung selbst.
Notifizierung ist dabei rechtlich etwas anderes als Akkreditierung. Die Akkreditierung stellt fest, dass eine Organisation fachlich kompetent ist, meist gegen technische Normen wie ISO/IEC 17065; sie erfolgt durch eine nationale Akkreditierungsstelle nach der Verordnung (EU) 765/2008. Die Notifizierung ist der eigenständige Rechtsakt, mit dem ein Mitgliedstaat diese Kompetenz der Kommission meldet und die Stelle damit zur amtlichen Prüfung ermächtigt.
Was bedeutet notifizieren?
Notifizieren bedeutet: Ein EU-Mitgliedstaat meldet der Europäischen Kommission amtlich, dass eine bestimmte Konformitätsbewertungsstelle fachlich kompetent ist, festgelegte Produkte oder Verfahren zu prüfen. Erst mit dieser Meldung – der Notifizierung – darf die Stelle im Auftrag von Herstellern rechtsverbindliche Prüfungen durchführen und Zertifikate ausstellen. Ohne Notifizierung bleibt sie eine reine Prüforganisation ohne amtlichen Status.
Was ist der Unterschied zwischen einer notifizierten und einer akkreditierten Stelle?
Akkreditierung und Notifizierung sind zwei getrennte Rechtsakte. Die Akkreditierung bestätigt fachliche Kompetenz, meist gegen Normen wie ISO/IEC 17065, und erfolgt durch eine nationale Akkreditierungsstelle nach Verordnung (EU) 765/2008. Die Notifizierung ist der zusätzliche Schritt, mit dem der Mitgliedstaat diese Kompetenz der EU-Kommission meldet und die Stelle dadurch erst zur amtlichen Prüfung ermächtigt.
Was macht eine notifizierte Stelle?
Eine notifizierte Stelle prüft im Auftrag eines Herstellers, ob ein Produkt oder Verfahren die gesetzlichen Anforderungen erfüllt – je nach Rechtsakt Verfahren, technische Dokumentation oder das Produkt selbst. Besteht die Prüfung, stellt sie ein Zertifikat aus; erst damit darf der Hersteller die CE-Kennzeichnung mit der Kennnummer der Stelle anbringen.
Begriffsgeschichte
Das Konzept entstand mit der „New Approach”-Ratsentschließung von 1985: Statt jedes Produktdetail gesetzlich festzuschreiben, sollten EU-Richtlinien nur noch grundlegende Sicherheitsanforderungen vorgeben und die technische Ausgestaltung harmonisierten Normen überlassen. Wo diese Normen nicht vollständig erfüllt waren oder der Gesetzgeber ein höheres Risiko sah, sollte eine unabhängige Drittstelle die Konformität bestätigen.
Über nachfolgende Jahrzehnte übernahmen zahlreiche Produktrichtlinien – Medizinprodukte, Maschinen, Aufzüge, Druckgeräte, persönliche Schutzausrüstung – dieses Muster, mit einer je eigenen Liste zugelassener Stellen.
Die Kommission führt seit den 1990er Jahren eine zentrale Datenbank für alle notifizierten Stellen über sämtliche betroffenen Rechtsakte hinweg: NANDO (New Approach Notified and Designated Organisations). Sie ist öffentlich einsehbar und listet zu jeder Stelle die Kennnummer sowie die Aufgaben, für die sie jeweils zugelassen ist.
Der bislang folgenreichste Einschnitt in der Geschichte notifizierter Stellen war kein Gesetzgebungsakt, sondern ein Betrugsfall: der PIP-Brustimplantat-Skandal ab 2010 (siehe Kontroversen und Kritik). Er erschütterte die geltende Medizinprodukterichtlinie so weit, dass die EU sie 2017 durch eine grundlegend verschärfte Verordnung ersetzte.
Methodische Grundlagen
Der Weg zur Notifizierung verläuft zweistufig. Zunächst muss die Stelle ihre fachliche Kompetenz nachweisen, üblicherweise durch Akkreditierung gegen die einschlägige ISO/IEC-Norm – 17065 für Produktzertifizierung, 17021-1 für Managementsystem-Zertifizierung, 17025 für Prüflabore – ergänzt um rechtsaktspezifische Anforderungen.
Auf dieser Grundlage notifiziert der Mitgliedstaat die Stelle bei der Kommission für einen genau umrissenen Aufgabenbereich: ein bestimmter Rechtsakt, oft sogar nur bestimmte Produktkategorien oder Prüfverfahren innerhalb dieses Rechtsakts. Die Kommission veröffentlicht das Ergebnis in NANDO; andere Mitgliedstaaten und die Kommission selbst können der Notifizierung binnen einer Frist widersprechen.
Im laufenden Betrieb prüft die notifizierte Stelle je nach Rechtsakt Verfahren, technische Dokumentation oder das Produkt selbst und stellt bei bestandener Prüfung ein Zertifikat aus. Erst dieses Zertifikat erlaubt dem Hersteller, die CE-Kennzeichnung anzubringen, ergänzt um die vierstellige Kennnummer der Stelle.
Mitgliedstaaten müssen die Aufsicht über ihre notifizierten Stellen laufend fortführen, nicht nur bei der Erstnotifizierung: Regelmäßige Neubewertung und die Möglichkeit, eine Notifizierung zu widerrufen, sind fester Bestandteil des Systems.
Anwendungsfelder
Am dichtesten reguliert sind Medizinprodukte. Die Medizinprodukteverordnung (EU) 2017/745 verlangt für die meisten Risikoklassen zwingend eine notifizierte Stelle und schreibt seither auch unangekündigte Audits beim Hersteller vor – eine direkte Konsequenz aus dem PIP-Skandal.
Neu und für die KI-Landschaft relevanter ist der Cyber Resilience Act. Er teilt Produkte mit digitalen Elementen in vier Risikostufen. Default-Produkte dürfen sich stets selbst bewerten, „Important Class I” nur bei vollständiger Anwendung harmonisierter Normen; „Important Class II” und „Critical” verlangen zwingend eine notifizierte Stelle – unabhängig davon, ob KI-Komponenten enthalten sind.
Innerhalb der KI-Verordnung selbst ist die Rolle notifizierter Stellen dagegen eng begrenzt: Nur bei der Hochrisiko-Kategorie biometrische Fernidentifizierung und -kategorisierung ist eine Prüfung durch eine notifizierte Stelle vorgesehen, und auch dort nur, wenn keine harmonisierten Normen angewendet werden.
Rechtsgrundlage sind die Artikel 28 bis 39 KI-VO. Artikel 29 regelt den Antrag einer Konformitätsbewertungsstelle auf Notifizierung, Artikel 31 die fachlichen Anforderungen an notifizierte Stellen. Artikel 37 regelt die Anfechtung ihrer Kompetenz durch die Kommission, wenn begründete Zweifel bestehen.
Für praktisch alle anderen Hochrisiko-Kategorien genügt die interne Selbstbewertung des Anbieters. Die ausführliche Kritik an dieser engen Auslegung ist bereits unter Konformitätsbewertung (KI-VO) dokumentiert.
Kontroversen und Kritik
Der zentrale Fall, der das Vertrauen in notifizierte Stellen europaweit erschütterte, ist der PIP-Brustimplantat-Skandal. Der französische Hersteller Poly Implant Prothèse füllte über zehn Jahre hinweg Implantate mit nicht zugelassenem Industriesilikon statt medizinischem Silikongel und täuschte damit auch die für ihn zuständige notifizierte Stelle, TÜV Rheinland.
Betroffen waren mehr als 300.000 Frauen weltweit (Cour de Cassation 2021). TÜV Rheinlands Aufgabe war es, Verfahren und Dokumentation des Herstellers zu prüfen, nicht das fertige Produkt selbst zu testen – genau dieser verfahrensorientierte Prüfansatz geriet danach in die Kritik.
Französische Gerichte gaben der Kritik Recht: Das Pariser Berufungsgericht sah TÜV Rheinland 2021 teilweise haftbar, der Kassationsgerichtshof bestätigte später eine Verletzung von Prüf-, Sorgfalts- und Überwachungspflichten.
Der Fall wurde zum zentralen Argument für die Medizinprodukteverordnung von 2017, die notifizierten Stellen unter anderem unangekündigte Werksaudits und strengere Personalqualifikationen vorschreibt.
Ein zweiter, jüngerer Kritikpunkt betrifft die KI-Verordnung selbst. Michael Veale und Frederik Zuiderveen Borgesius bemängelten bereits am Kommissionsentwurf von 2021, dass externe Prüfstellen darin faktisch kaum eine Rolle spielen, weil fast alle Hochrisiko-Kategorien mit Selbstbewertung auskommen. Dieser Einwand blieb zwischen Entwurf und finaler Fassung von 2024 unverändert (Details siehe Konformitätsbewertung (KI-VO)).
Verwandte Begriffe
- Marktüberwachungsbehörde – kontrolliert Produkte nach dem Inverkehrbringen, während die notifizierte Stelle davor prüft
- Hochrisiko-KI-System – nur eine seiner Kategorien verlangt überhaupt eine notifizierte Stelle
- Produkthaftungsrichtlinie – haftungsrechtliches Pendant zur technischen Prüfung durch eine notifizierte Stelle
Quellenangaben
- Europäisches Parlament und Rat, 2008. Verordnung (EG) Nr. 765/2008 über die Vorschriften für die Akkreditierung. Amtsblatt der Europäischen Union L 218/30, 9. Juli 2008.
- Europäisches Parlament und Rat, 2017. Verordnung (EU) 2017/745 über Medizinprodukte. Amtsblatt der Europäischen Union L 117/1, 5. April 2017.
- Europäische Kommission. NANDO – New Approach Notified and Designated Organisations Information System. ec.europa.eu/growth/tools-databases/nando/.
- Europäische Kommission. Notified Bodies. Single Market Economy, single-market-economy.ec.europa.eu/single-market/goods/building-blocks/notified-bodies_en.
- Europäische Kommission. Cyber Resilience Act – Conformity Assessment. Digital Strategy, digital-strategy.ec.europa.eu/en/policies/cra-conformity-assessment.
- Cour de Cassation (Frankreich), 2021/2023. Entscheidungen im PIP-Brustimplantate-Verfahren gegen TÜV Rheinland France, zusammengefasst in: TÜV Rheinland, Decisions of the French Supreme Court in the PIP Breast Implant Case, tuv.com.
- Veale, Michael und Zuiderveen Borgesius, Frederik, 2021. Demystifying the Draft EU Artificial Intelligence Act. Computer Law Review International 22 (4), S. 97–112.
- Europäisches Parlament und Rat, 2024. Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung), insbesondere Art. 28–39. Amtsblatt der Europäischen Union L, 2024/1689, 12. Juli 2024.