Artikel 14, in klarer Sprache
Artikel 14 des Cyber Resilience Act begründet zwei Meldepflichten für Hersteller: eine für Schwachstellen in Ihrem Produkt, die aktiv ausgenutzt werden, und eine für schwerwiegende Vorfälle, die die Sicherheit Ihres Produkts betreffen. Beide laufen auf denselben ersten zwei Fristen und trennen sich bei der dritten.
Für wen das gilt
Für jeden Hersteller, der ein Produkt mit digitalen Elementen auf dem EU-Markt bereitstellt, wo auch immer das Unternehmen seinen Sitz hat.Art. 2(1) Das umfasst installierte Software, Firmware, vernetzte Geräte, Bibliotheken und SDKs sowie Apps. Ein reiner Hosting-Dienst fällt in der Regel nicht darunter, es sei denn, er ist der Teil der Fernverarbeitung eines Produkts, das Sie in Verkehr bringen.
Produkte, die bereits auf dem Markt sind, bleiben meldepflichtig, solange sie sich im Unterstützungszeitraum befinden.Art. 69(3) Eine Ausnahme für ältere Produkte gibt es nicht.
Die drei Fristen
Alle beginnen mit der Kenntnisnahme, bis auf die letzte, und genau das ist das Detail, das am häufigsten falsch verstanden wird.
Frühwarnung, 24 Stunden
Innerhalb von 24 Stunden nach Kenntnisnahme.Art. 14(2)(a) Bewusst kurz: bei einer Schwachstelle die Mitgliedstaaten, in denen das Produkt nach Ihrer Kenntnis bereitgestellt wird. Bei einem schwerwiegenden Vorfall stattdessen, ob der Verdacht besteht, dass er durch rechtswidrige oder böswillige Handlungen verursacht wurde.Art. 14(4)(a) Sie soll der Behörde sagen, dass etwas passiert, nicht vollständig sein. 24 Stunden schließen Nächte und Wochenenden ein.
Meldung, 72 Stunden
Innerhalb von 72 Stunden.Art. 14(2)(b) Die Art der Ausnutzung, eine erste Bewertung von Schweregrad und Auswirkungen, ergriffene Korrektur- oder Abhilfemaßnahmen und das, was Nutzer selbst tun können.
Abschlussbericht
Bei einer Schwachstelle: innerhalb von 14 Tagen, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist.Art. 14(2)(c) Diese Frist beginnt, wenn die Behebung existiert, nicht mit der Kenntnisnahme; ein Fall kann also lange zwischen der 72-Stunden-Meldung und dem Beginn dieser Frist liegen.
Bei einem Vorfall: innerhalb eines Monats nach Einreichung der Vorfallsmeldung.Art. 14(4)(c) Das läuft ab der tatsächlichen Einreichung, nicht ab der 72-Stunden-Frist, weshalb der festgehaltene Einreichungszeitpunkt sorgfältig aufbewahrt werden sollte.
Wer die Meldung erhält
Das als Koordinator benannte CSIRT und die ENISA, über die zentrale Meldeplattform.Art. 14(7) Sind Sie in der EU niedergelassen, ist es der Mitgliedstaat Ihrer Hauptniederlassung. Sind Sie es nicht, ist es der Mitgliedstaat Ihrer engsten Verbindung: Ihr Bevollmächtigter, hilfsweise Ihr Einführer, dann Ihr Händler, dann der Ort der meisten Nutzer. Alle 27 CSIRTs.
Betroffene Nutzer müssen Sie außerdem unverzüglich informieren, einschließlich dessen, was sie tun können.Art. 14(8)
Der Unterschied, auf den es ankommt
Die Pflicht wird durch eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt ausgelöst. Dass eine Ihrer Abhängigkeiten in einem Katalog ausgenutzter Schwachstellen auftaucht, ist ein starker Grund zu prüfen, und für sich genommen kein meldepflichtiges Ereignis. Wer beides verwechselt, produziert Fehlalarme oder Meldungen, die er nicht schuldete, und beides ist teuer.
Nicht sicher, ob das für Sie gilt?
Die Fristen im Überblick: jedes Datum in der Verordnung. Diese Seite auf Englisch: Article 14, in plain language.
Dies erzeugt Nachweise, Zeitpläne und Entwürfe. Es ist keine Rechtsberatung, und der Hersteller bleibt die für die Meldung verantwortliche Partei.