24-Stunden-Sicherheitsmeldungen (CRA Artikel 14)

• Regulation (EU) 2024/2847 — Cyber Resilience Act, Article 14
• Directive (EU) 2022/2555 — NIS2, for entities also in its scope
• Regulation (EU) 2016/679 — GDPR Article 33, where personal data is affected

Wer muss benennen

Jeder Hersteller eines Produkts mit digitalen Elementen, das ab dem 11. September 2026 auf dem EU-Markt angeboten wird, unabhängig von Größe oder Sektor. Die Pflicht liegt beim Hersteller, nicht beim Importeur oder Distributor, aber ein Hersteller außerhalb der Union wird sie normalerweise über seinen bevollmächtigten Vertreter oder eine Stelle, die auf seine Anweisungen handelt, erfüllen. Open-Source-Verwalter haben eine leichtere, separate Meldepflicht.

Schwellen und Ausnahmen

Keine Größenanforderung. Auslöser der Verpflichtung ist faktisch: eine Schwachstelle in Ihrem Produkt, die aktiv ausgenutzt wird, oder ein schwerwiegendes Ereignis, das Auswirkungen auf die Sicherheit des Produkts hat. 'Aktiv ausgenutzt' bedeutet, dass es zuverlässige Beweise dafür gibt, dass jemand Code ausgeführt oder das Produkt ohne Autorisierung beeinflusst hat. Verdacht ist nicht der Auslöser, sondern der Standard ist das Bewusstsein für Beweise, nicht die Bestätigung des vollständigen Bildes.

Was auf das Etikett gehört

Keine Kennzeichnungspflicht. Was veröffentlicht werden muss, ist ein einzelner Kontaktpunkt für die Meldung von Schwachstellen, der leicht auf Ihrer Website zu finden ist, zusammen mit einer koordinierten Offenlegungspolitik für Schwachstellen, die darlegt, wie Meldungen entgegengenommen, priorisiert und beantwortet werden.

Marktplatz-Felder

Nicht anwendbar als Marktplatzfeld. Es taucht stattdessen in Unternehmensbeschaffungs- und Sicherheitsfragebögen auf, in denen Käufer jetzt nach dem Kontaktpunkt für Schwachstellen, der Offenlegungspolitik und Nachweisen eines Meldeprozesses fragen, bevor sie unterzeichnen.

Unterlagen, die Sie vorhalten müssen

Ein internes Verfahren zur Bearbeitung, das definiert, wer das Bewusstsein erklärt, wer entwirft, wer genehmigt und wer ablegt, mit einem benannten Stellvertreter für außerhalb der Arbeitszeiten. Ein Schwachstellenregister mit Zeitstempeln für jede Phase. Die koordinierte Offenlegungspolitik für Schwachstellen. Nachweise der Korrekturmaßnahme und das Datum, an dem sie verfügbar wurde. Aufzeichnungen über Benachrichtigungen an Benutzer, da Artikel 14 auch verlangt, betroffene Benutzer über das Ereignis und, falls erforderlich, über Korrekturmaßnahmen, die sie anwenden sollten, zu informieren.

Normen und Prüfungen

Nicht anwendbar. Was nachträglich geprüft wird, ist der Zeitrahmen: wann der Hersteller Kenntnis erlangte, wann die frühzeitige Warnung eingereicht wurde und ob die Fristen eingehalten wurden.

Sprachanforderungen

Berichte werden über die einheitliche Meldeplattform eingereicht, die Englisch akzeptiert. Kommunikationen mit einem nationalen CSIRT können in der Sprache des betreffenden Mitgliedstaates durchgeführt werden, und Benachrichtigungen an Benutzer sollten in der Sprache der betroffenen Benutzer erfolgen.

Ab wann es gilt

Drei Fristen, die alle von der Kenntnisnahme und nicht von der Bestätigung ausgehen. Eine frühzeitige Warnung innerhalb von 24 Stunden, die besagt, dass eine aktiv ausgenutzte Schwachstelle oder ein schwerwiegendes Ereignis vorliegt, ob andere Mitgliedstaaten betroffen sind und — selbst ohne vollständige Details — genug für das CSIRT, um zu handeln. Eine Schwachstellen- oder Ereignismeldung innerhalb von 72 Stunden, mit allgemeinen Informationen über das Produkt, der Art des Angriffs und etwaigen ergriffenen oder empfohlenen Korrekturmaßnahmen. Ein Abschlussbericht innerhalb von 14 Tagen nach Verfügbarkeit einer Korrekturmaßnahme oder innerhalb eines Monats nach der 72-Stunden-Meldung für ein schwerwiegendes Ereignis, der die Schwachstelle, ihre Schwere, die Ausnutzung und die Behebung beschreibt.

Aufbewahrungsfristen

Das Schwachstellenregister, die eingereichten Benachrichtigungen und deren Zeitstempel, mindestens für die Dauer des Unterstützungszeitraums. Dies ist der Nachweis, der einen Durchsetzungsfall entscheidet, da die Frage sein wird, wann Sie wussten.

Was bei Verstößen passiert

Bis zu 15 Millionen Euro oder 2,5 % des gesamten weltweiten Jahresumsatzes bei Verstößen gegen die Verpflichtungen des Herstellers, zu denen auch Artikel 14 gehört. Die Haftung ist ungewöhnlich, da sie nicht davon abhängt, dass die Schwachstelle selbst Ihr Verschulden ist: eine Abhängigkeit, die Sie nicht geschrieben haben, die in der Wildnis ausgenutzt wird, startet dennoch die 24-Stunden-Frist. Die Behörden können auch anordnen, dass das Produkt zurückgezogen wird, solange das Problem ungelöst ist.

Wer kontrolliert

Das CSIRT, das als Koordinator im Mitgliedstaat Ihres Hauptsitzes benannt ist, oder, wenn Sie keinen in der Union haben, das für Ihren bevollmächtigten Vertreter benannte. ENISA erhält die Meldungen parallel über die einheitliche Meldeplattform. Die Marktüberwachungsbehörden setzen durch.

Wo die Grenze verläuft

Diese Verpflichtung tritt mehr als ein Jahr vor dem Rest der CRA in Kraft, und diese Lücke ist es, was die meisten Hersteller übersehen. Sie steht neben den NIS2-Meldungen, die ähnliche Fristen, aber einen anderen Auslöser haben — ein Ereignis, das Ihren Dienst als Einheit betrifft, anstatt eine Schwachstelle in einem Produkt, das Sie verkaufen — und neben der Datenschutz-Grundverordnung Artikel 33 zur Meldung von Verstößen, bei denen personenbezogene Daten betroffen sind. Ein Ereignis kann alle drei erfordern, an drei verschiedene Behörden, auf drei verschiedenen rechtlichen Grundlagen.

Häufige Fragen

Wer entscheidet, ob eine Schwachstelle aktiv ausgenutzt wird?

Sie entscheiden, basierend auf den Beweisen, die Sie haben. Der sichere Weg ist, die frühzeitige Warnung einzureichen und sie in der 72-Stunden-Meldung zu verfeinern. Zu spät zu melden, weil Sie noch bestätigen mussten, ist der Fehlermodus, den die Behörden signalisiert haben, dass sie nicht akzeptieren werden.

Was, wenn wir am Samstag von einem Forscher darüber erfahren?

Die Frist läuft ab dem Zeitpunkt der Kenntnisnahme, nicht ab dem nächsten Geschäftstag. Deshalb benötigt das Verfahren einen benannten Stellvertreter und einen Kontaktweg außerhalb der Arbeitszeiten: die 24 Stunden sind Kalendertage.

Setzt uns die Meldung einer Haftung aus?

Die Berichte gehen an CSIRTs und ENISA, nicht an die Öffentlichkeit, und die Verordnung schränkt ihre Verwendung ein. Was Haftung schafft, ist nicht die Meldung: eine nicht gemeldete ausgenutzte Schwachstelle, die später öffentlich wird, ist sowohl ein Verstoß als auch ein Beweis dafür.

Wir verwenden eine Drittanbieterkomponente mit dem Fehler — ist es immer noch unser Bericht?

Ja, wenn das Produkt, das Sie auf den Markt gebracht haben, betroffen ist. Sie müssen möglicherweise auch den Wartungsanbieter der Komponente benachrichtigen, aber das entbindet Sie nicht von Ihrer eigenen Pflicht.