Meldepflichten des EU-Cyberresilienzgesetzes für Schwachstellen treten heute in Kraft

Die erste durchsetzbare Phase des EU-Cyberresilienzgesetzes (CRA) trat am 11. September in Kraft und verpflichtet Hersteller vernetzter Software- und Hardwareprodukte, die in der EU verkauft werden, zur Meldung von Schwachstellen und Vorfällen — einschließlich Altprodukten, die bereits vor der vollständigen Anwendung des CRA auf dem Markt waren.

Dies ist eine deutlich andere Art von Cybersicherheitsnachricht als die Offenlegung eines Verstoßes oder einer aktiv ausgenutzten Schwachstelle: Es ist der Punkt, an dem die Meldung von Schwachstellen aufhört, eine bewährte Praxis zu sein, und zu einer harten gesetzlichen Anforderung wird, die durch regulatorische Sanktionen im gesamten EU-Markt gestützt wird.

Was Hersteller jetzt tun müssen

Nach den neuen Regeln müssen Hersteller die Behörden über aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit von Produkten mit digitalen Elementen betreffen, nach einem strikten Zeitplan benachrichtigen: eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme des Problems, eine vollständige Meldung innerhalb von 72 Stunden, und ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrekturmaßnahme für aktiv ausgenutzte Schwachstellen verfügbar ist.

Die Meldung erfolgt über die neue zentrale Meldeplattform (SRP) des CRA, die von ENISA, der EU-Cybersicherheitsagentur, betrieben wird. Die Plattform ermöglicht es Herstellern, einen einzigen Bericht einzureichen, der alle relevanten nationalen Behörden erreicht.

Warum das über die EU hinaus wichtig ist

Der CRA gilt für jeden Hersteller, der vernetzte Produkte auf dem EU-Markt verkauft, unabhängig vom Firmensitz — dieselbe extraterritoriale Reichweite, die die DSGVO zu einem globalen Compliance-Referenzpunkt gemacht hat.

Was als Nächstes kommt

Dies ist erst die erste Phase. Die umfassenderen Anforderungen des CRA — einschließlich verpflichtender Security-by-Design-Standards und CE-Kennzeichnung für Produkte mit digitalen Elementen — werden schrittweise über die nächsten zwei Jahre eingeführt.

Quelle: Europäische Kommission: Cyberresilienzgesetz — Meldepflichten