Alt heißt nicht ausgenommen
Der Cyber Resilience Act gilt ab Dezember 2027, und Bestandsprodukte sind bis dahin geschont. Für die Meldepflicht ab dem 11. September gilt genau das nicht: Ein eigener Absatz nimmt die Schonung ausdrücklich zurück.
In gut zwei Wochen, am 11. September 2026, greift die erste scharfe Pflicht aus dem Cyber Resilience Act. Das ist bemerkenswert früh, denn die Verordnung selbst gilt erst ab dem 11. Dezember 2027. Artikel 71 nennt beide Daten in einem Satz: Die Verordnung gilt ab Dezember 2027, Artikel 14 jedoch ab September 2026.
Interessanter als das Datum ist die Frage, für welche Produkte das gilt. Und dort steckt eine Konstruktion, die man beim ersten Lesen leicht übersieht.
Absatz 2 gibt, Absatz 3 nimmt
Die Übergangsbestimmung in Artikel 69 Absatz 2 klingt beruhigend: Produkte, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen der Verordnung nur dann, wenn sie danach wesentlich geändert werden. Wer das liest, schließt daraus vernünftigerweise, dass der Bestand außen vor bleibt, solange man ihn nicht anfasst.
Der nächste Absatz nimmt genau das zurück. Abweichend von Absatz 2 gelten die Pflichten aus Artikel 14 für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich fallen und vor dem 11. Dezember 2027 in Verkehr gebracht wurden.
Die Schonfrist für den Bestand gilt also für die Produktanforderungen, nicht für das Melden. Was seit Jahren im Feld ist und nie wieder angefasst wurde, ist ab dem 11. September meldepflichtig wie ein Neuprodukt.
Zwei Uhren, die gleichzeitig laufen
Gemeldet wird an zwei Stellen zugleich: an das als Koordinator benannte CSIRT und an die ENISA, über eine einheitliche Meldeplattform. Zuständig ist das CSIRT des Mitgliedstaats, in dem der Hersteller seine Hauptniederlassung in der Union hat.
Die Fristen für eine aktiv ausgenutzte Schwachstelle stehen gestaffelt in Artikel 14:
Innerhalb von 24 Stunden ab Kenntnis eine Frühwarnung, und zwar unter Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt bereitgestellt wurde. Diese Angabe ist der stille Sprengsatz: Sie setzt voraus, dass man weiß, wohin die eigenen Produkte geliefert wurden.
Innerhalb von 72 Stunden die eigentliche Meldung mit Angaben zum Produkt, zur Art der Ausnutzung und zu bereits ergriffenen Maßnahmen, einschließlich dessen, was Nutzer selbst tun können.
Spätestens 14 Tage, nachdem eine Korrektur zur Verfügung steht, ein Abschlussbericht mit Schweregrad, Auswirkungen und, falls bekannt, Angaben zum Angreifer.
Für schwerwiegende Sicherheitsvorfälle läuft dieselbe Mechanik. Die Frühwarnung muss dort zumindest sagen, ob der Verdacht besteht, dass rechtswidrige oder böswillige Handlungen dahinterstecken.
Die Pflicht, die niemand auf dem Zettel hat
Neben der Meldung an die Behörden steht in Absatz 8 eine zweite Pflicht: Der Hersteller informiert die betroffenen Nutzer, gegebenenfalls alle Nutzer, über die Schwachstelle oder den Vorfall und über das, was sie selbst tun können. Die Verordnung wünscht sich das ausdrücklich in einem strukturierten, maschinenlesbaren Format.
Das ist keine Nebenbemerkung. Es bedeutet, dass man im Ernstfall innerhalb von Stunden nicht nur an eine Behörde schreiben können muss, sondern an die eigenen Kunden, und zwar in einer Form, die deren Werkzeuge einlesen können.
Was das jetzt bedeutet
24 Stunden ab Kenntnis sind keine Frist, die man im Ereignisfall organisiert. Wer im September gemeldet werden muss, braucht vorher drei Dinge: eine Stelle, an der Meldungen über eigene Produkte eingehen, eine Liste, welche Produkte in welchen Mitgliedstaaten bereitgestellt wurden, und einen benannten Zugang zur Meldeplattform des zuständigen CSIRT.
Mehr dazu auf der Lösungsseite zum Cyber Resilience Act.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.