Bestandsschutz endet beim Melden
Für den Cyber Resilience Act kennen alle den 11. Dezember 2027. Der Termin, der zählt, ist der 11. September 2026. An diesem Tag beginnen die Meldepflichten der Hersteller. Und anders als der Rest der Verordnung kennen sie keinen Bestandsschutz.
Wenn vom Cyber Resilience Act die Rede ist, fällt fast immer ein Datum: der 11. Dezember 2027. Dann gilt die Verordnung vollständig, dann braucht ein Produkt mit digitalen Elementen die CE-Kennzeichnung für Cybersicherheit.
Das Datum, das jetzt zählt, ist ein anderes. Am 11. September 2026 beginnen die Meldepflichten nach Artikel 14. Fünfzehn Monate vor allem anderen.
Zwei Auslöser
Gemeldet werden muss zweierlei: jede aktiv ausgenutzte Schwachstelle im eigenen Produkt, und jeder schwerwiegende Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt.
Was schwerwiegend ist, definiert Artikel 14 Absatz 5 weiter, als man beim ersten Lesen denkt: wenn der Vorfall die Fähigkeit des Produkts beeinträchtigt, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit zu schützen, oder wenn er zur Einführung von Schadcode führt oder führen kann.
Führen kann. Der eingetretene Schaden ist keine Voraussetzung.
Drei Stufen, zwei verschiedene Uhren
Gemeldet wird in drei Stufen: Frühwarnung binnen 24 Stunden nach Kenntniserlangung, vollständige Meldung binnen 72 Stunden, dann der Abschlussbericht (Absätze 2 und 4).
Beim Abschlussbericht trennen sich die Fälle, und hier werden Fristen gerissen. Bei einer Schwachstelle sind es spätestens 14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist. Bei einem Vorfall ein Monat nach der vollständigen Meldung.
Die 14 Tage laufen also nicht ab Kenntnis, sondern ab dem Patch. Wer sie ab Kenntnis rechnet, meldet zu früh und unvollständig; wer die Monatsfrist auf Schwachstellen anwendet, meldet zu spät.
Adressat ist das CSIRT des Mitgliedstaats der Hauptniederlassung, gleichzeitig geht dieselbe Information an die ENISA: eine Plattform, eine Einreichung. Dazu eine Pflicht, die in der Diskussion untergeht. Nach Absatz 8 sind die betroffenen Nutzer des Produkts zu informieren, über die Schwachstelle oder den Vorfall und, soweit erforderlich, über Korrektur- und Minderungsmaßnahmen. Die Meldung an die Behörde erledigt das nicht.
Und jetzt der Teil, der übersehen wird
Artikel 69 Absatz 2 enthält die Übergangsregel, auf die sich viele verlassen:
„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, unterliegen den Anforderungen dieser Verordnung nur, wenn diese Produkte ab diesem Zeitpunkt einer wesentlichen Änderung unterworfen sind."
Wer daraus schließt, dass der Altbestand außen vor bleibt, hat einen Absatz zu früh aufgehört zu lesen. Absatz 3 nimmt Artikel 14 von dieser Ausnahme wieder aus: Die Meldepflichten gelten für alle Produkte mit digitalen Elementen, unabhängig davon, wann sie in Verkehr gebracht wurden.
Im Klartext: Die Fassung, die 2019 ausgeliefert und seither nicht angefasst wurde, braucht keine CE-Kennzeichnung. Wird eine Schwachstelle darin aktiv ausgenutzt, läuft die 24-Stunden-Uhr trotzdem.
Wen es trifft, und was heute noch reicht
Artikel 14 verpflichtet Hersteller, nicht Betreiber. Das beruhigt die meisten zu früh: Hersteller ist, wer ein Produkt mit digitalen Elementen unter eigenem Namen in Verkehr bringt, auch ohne sich als Softwarehaus zu verstehen. Wer ausschließlich einkauft, hat die Pflicht nicht, aber die Gegenseite: Für Lieferanten ist die bisher freiwillige Kommunikation jetzt eine Frist mit Behörde am anderen Ende.
Vierundzwanzig Stunden organisiert man nicht, während sie laufen. Drei Dinge sollten vor dem ersten Ereignis geklärt sein: Wer entscheidet, ob eine Schwachstelle aktiv ausgenutzt ist. Wer die Meldung abgibt, mit Zugang zur Plattform statt Zuständigkeit auf dem Papier. Und ab welchem Ereignis die Uhr läuft, denn sie beginnt mit der Kenntnis, nicht mit der Bestätigung.
Die Fristen und Fundstellen zu diesem und den nächsten Stichtagen stehen im Compliance-Kalender. Wie wir die Produktakte, die Schwachstellenmeldung und die Nutzerinformation im Modul führen, steht auf der Modulseite zum Cyber Resilience Act.
Quellen
Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 14 und Artikel 69. Zum Geltungsbeginn und zum Meldeweg über die einheitliche Plattform die Darstellung der Europäischen Kommission: CRA reporting obligations.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.