Was eine Meldung auslöst
Artikel 14 des Cyber Resilience Act (Verordnung (EU) 2024/2847) nennt zwei Auslöser:
- Eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt - es gibt verlässliche Belege, dass sie ausgenutzt wurde.
- Ein schwerwiegender Vorfall, der die Sicherheit Ihres Produkts beeinträchtigt - zum Beispiel einer, der die Integrität Ihres Update-Mechanismus oder der vom Produkt verarbeiteten Daten gefährdet.
Die Pflicht gilt auch für Produkte, die bereits auf dem Markt sind, und hängt nicht von der Unternehmensgröße ab.
Die Fristen
| Aktiv ausgenutzte Schwachstelle | Schwerwiegender Vorfall | |
|---|---|---|
| Frühwarnung | innerhalb von 24 Stunden nach Kenntnis | innerhalb von 24 Stunden nach Kenntnis |
| Meldung | innerhalb von 72 Stunden nach Kenntnis | innerhalb von 72 Stunden nach Kenntnis |
| Abschlussbericht | spätestens 14 Tage, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist | innerhalb eines Monats nach der Meldung |
Die Frist beginnt mit Ihrer Kenntnis - deshalb ist es so wichtig zu wissen, was in jedem ausgelieferten Release steckt.
Wer die Meldungen erhält
Meldungen werden über die zentrale Meldeplattform der ENISA, der EU-Agentur für Cybersicherheit, eingereicht. Sie gehen an das als Koordinator benannte CSIRT im Mitgliedstaat Ihrer Hauptniederlassung und an die ENISA. Außerdem müssen Sie betroffene Nutzer über die Schwachstelle oder den Vorfall und mögliche Gegenmaßnahmen informieren.
Was der CRA außerdem verlangt
- Sicherheitsupdates für die erwartete Nutzungsdauer des Produkts - in den meisten Fällen mindestens fünf Jahre.
- Eine Richtlinie und eine Kontaktstelle für die koordinierte Offenlegung von Schwachstellen.
- Eine Software-Stückliste (SBOM) und eine dokumentierte Behandlung jeder Schwachstelle.
- Technische Dokumentation und eine EU-Konformitätserklärung, die zehn Jahre aufbewahrt werden.
Ab dem 11. Dezember 2027 gelten alle Anforderungen, und Produkte ohne CRA-Konformität dürfen in der EU nicht mehr in Verkehr gebracht werden.
Wie Kernwatch hilft
- Markiert Komponenten mit bekannten ausgenutzten Schwachstellen in den von Ihnen unterstützten Releases und legt in Ihrer Aufgaben-Inbox eine Aufgabe an, einen Meldefall zu eröffnen.
- Eröffnet den Fall mit den Fristen für 24 Stunden, 72 Stunden und den Abschlussbericht und erinnert die richtigen Personen rechtzeitig.
- Entwirft Frühwarnung, Meldung und Abschlussbericht aus Ihren Produkt-, Release- und Bewertungsdaten zur Prüfung und Freigabe.
- Hilft beim Einreichen: freigegebenen Text kopieren, die ENISA-Plattform öffnen, dort einreichen und Referenz und Eingangsbestätigung in Kernwatch erfassen. Die ENISA-Plattform bietet Herstellern keine API, deshalb kann Kernwatch nicht für Sie einreichen.
- Erkennt den Fix: Enthält ein neueres Release die verwundbare Version nicht mehr, schlägt Kernwatch das Datum der Abhilfemaßnahme vor, mit dem die 14-Tage-Frist für den Abschlussbericht beginnt.
- Informiert Nutzer nach Ihrer Freigabe - per E-Mail an die Kundenkontakte des Produkts und im Professional-Plan mit dem veröffentlichten Advisory - und dokumentiert, wer wann informiert wurde.
Offizielle Quellen
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), EUR-Lex
- Cyber Resilience Act, Europäische Kommission
- ENISA - EU-Agentur für Cybersicherheit
Diese Seite fasst die Verordnung (EU) 2024/2847 zur Orientierung zusammen und ist keine Rechtsberatung.