Die Fristen des Cyber Resilience Act
Drei Daten, und nur eines davon ist das, an dem die meisten Hersteller zum ersten Mal etwas tun müssen. Das mittlere ist erreicht: die Meldepflicht gilt.
In Kraft getretenArt. 71(1)
Die Verordnung ist geltendes Recht. Fast nichts gilt bereits, weshalb die meisten Hersteller sie abgelegt und vergessen haben.
Meldepflichten geltenArt. 71(2)
Artikel 14 beginnt. Ab diesem Tag muss eine aktiv ausgenutzte Schwachstelle in einem Produkt, das Sie auf dem EU-Markt bereitstellen, innerhalb von 24 Stunden gemeldet werden: an das als Koordinator benannte CSIRT und an die ENISA, über die zentrale Meldeplattform nach Artikel 16.
Alle Pflichten geltenArt. 71(2)
Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation und die Anforderungen an die Schwachstellenbehandlung aus Anhang I. Das ist der größere Teil der Arbeit, und genau deshalb überrascht es, dass die Meldepflicht zuerst kommt.
Es gibt keinen Bestandsschutz
Ein Produkt, das vor diesen Daten in Verkehr gebracht wurde, bleibt meldepflichtig, solange es sich im Unterstützungszeitraum befindet.Art. 69(3) Die verbreitete Annahme, ältere Produkte seien ausgenommen, ist falsch, und sie ist die Annahme, die am ehesten zu einem nicht gemeldeten Vorfall führt.
Gilt das erste dieser Daten für Sie?
Die Meldepflicht hängt davon ab, was Sie ausliefern und wo Sie es verkaufen, nicht von der Größe Ihres Unternehmens. Fünf Fragen, keine Anmeldung, und das Ergebnis nennt die Behörde, an die Sie melden würden.
Dies erzeugt Nachweise, Zeitpläne und Entwürfe. Es ist keine Rechtsberatung, und der Hersteller bleibt die für die Meldung verantwortliche Partei.