• Meldepflichten des EU Cyber Resilience Act treten am 11. September in Kraft
  • Hersteller haben 24 Stunden für die erste Warnung und 72 Stunden für einen ausführlicheren Bericht

Der Sachverhalt

Die Meldepflichten des EU Cyber Resilience Act sind am 11. September in Kraft getreten. Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Vorfälle melden, die die Produktsicherheit betreffen. Eine Frühwarnung ist innerhalb von 24 Stunden nach dem Bekanntwerden eines meldepflichtigen Ereignisses fällig.

Eine ausführlichere Meldung folgt innerhalb von 72 Stunden. Die endgültige Frist hängt dann vom Ereignis ab. Bei einer aktiv ausgenutzten Schwachstelle ist der Abschlussbericht spätestens 14 Tage nach Verfügbarkeit einer Korrektur- oder Abhilfemaßnahme fällig. Bei einem schwerwiegenden Vorfall ist der Abschlussbericht innerhalb eines Monats nach der 72-Stunden-Meldung einzureichen und muss den Vorfall, seine Auswirkungen, die wahrscheinliche Ursache sowie ergriffene oder geplante Maßnahmen abdecken.

Die Meldungen laufen über ENISAs Single Reporting Platform an den zuständigen nationalen CSIRT; die Informationen werden im Allgemeinen zugleich ENISA zur Verfügung gestellt. Die Pflichten gelten für Hersteller und begründen keine gleiche Meldepflicht für jeden Kunden, der das Produkt nutzt. Der Cyber Resilience Act regelt zudem die Benachrichtigung betroffener Nutzer und die Bereitstellung von Informationen zu Korrektur- oder Abhilfemaßnahmen. Die meisten seiner weitergehenden Produktanforderungen gelten ab Dezember 2027.

Die Einschätzung

Sobald ein Hersteller weiß, dass eine Schwachstelle aktiv ausgenutzt wird, muss er das Problem möglicherweise melden, bevor die Ingenieure es vollständig verstanden haben. Die erste 24-Stunden-Warnung könnte daher erfolgen, bevor alle betroffenen Versionen identifiziert oder eine Korrektur getestet wurde. Weitere Details folgen nach 72 Stunden, während die technische Untersuchung noch läuft.

In der Praxis werden Meldung und Behebung oft gleichzeitig stattfinden. Hersteller müssen den Regulierern mitteilen, was sie wissen, ohne frühe Annahmen als gesicherte Ergebnisse darzustellen. Gleichzeitig benötigen ihre Kunden genügend Informationen, um einzuschätzen, ob sie betroffen sind und ob sofortiges Handeln nötig ist.

Für BTW-Leser entscheidend ist, wie schnell aus dieser ersten Warnung brauchbare Hinweise werden. Betreiber brauchen klare Angaben zu betroffenen Versionen, sicheren Abhilfemaßnahmen und schließlich eine unterstützte Korrektur. Die Einhaltung der Meldefrist ist wichtig, aber die Kunden müssen dennoch wissen, was sie mit der von ihnen betriebenen Ausstattung anfangen sollen.

Worauf zu achten ist

Zu beobachten ist, ob Hersteller-Hinweise nach der ersten Warnung bestätigte Fakten, vorläufige Befunde und verfügbare Abhilfemaßnahmen klar trennen. Versionsspezifische Hinweise, Aktualisierungen nach der 72-Stunden-Meldung und ein klarer Weg zu einer unterstützten Korrektur zeigen, ob der neue Zeitplan den Betreibern bei Wartungsentscheidungen hilft – und nicht nur rechtzeitig eingereichte Regulierungsberichte erzeugt.