Fristen
Was die Meldepflicht ab dem 11. September 2026 verlangt, Stunde für Stunde
Veröffentlicht am . Geprüft anhand der Verordnung (EU) 2024/2847, ABl. L, 20.11.2024.
Artikel 14 der Cyberresilienz-Verordnung gilt ab dem 11. September 2026. Er ist der erste Teil der Verordnung, der Hersteller unter eine Uhr stellt, und er trifft sie fünfzehn Monate vor dem übrigen Teil der Verordnung.
„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“
Was am 11. September 2026 beginnt
Die Meldung beginnt, und nur sie. Die technische Dokumentation, die Software-Stückliste, der erklärte Unterstützungszeitraum, die Konformitätsbewertung und die CE-Kennzeichnung warten alle auf den 11. Dezember 2027.
Artikel 14 kennt zwei Stränge. Der eine wird durch eine aktiv ausgenutzte Schwachstelle in Ihrem Produkt ausgelöst, der andere durch einen schwerwiegenden Sicherheitsvorfall, der die Sicherheit Ihres Produkts betrifft. Jeder Strang kennt drei Übermittlungen: eine Frühwarnung, eine Meldung und einen Abschlussbericht.
Wen die Pflicht trifft
Die Überschrift des Artikels 14 nennt eine einzige Rolle und keine weitere.
„Meldepflichten der Hersteller“
Ein Hersteller im Sinne der Verordnung ist keine Fabrik.
„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“
Einführer und Händler übermitteln nach Artikel 14 nicht aus eigenem Recht. Hineingezogen werden können sie sehr wohl: Wer als Einführer oder Händler ein Produkt unter dem eigenen Namen oder der eigenen Marke in den Verkehr bringt oder an einem bereits in Verkehr gebrachten Produkt eine wesentliche Änderung vornimmt, gilt nach Artikel 21 als Hersteller und erbt damit die Artikel 13 und 14.
Strang eins: eine aktiv ausgenutzte Schwachstelle
Der Begriff der aktiv ausgenutzten Schwachstelle ist eng gefasst.
„eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“
Auf diesem Strang stehen drei Übermittlungen an:
- 24 Stunden: die Frühwarnung, unverzüglich und in jedem Fall binnen 24 Stunden, nachdem der Hersteller Kenntnis erlangt hat;
- 72 Stunden: die Meldung von Schwachstellen;
- 14 Tage: der Abschlussbericht, gerechnet ab dem Tag, an dem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht.
„unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle“
„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen“
„spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht“
Die letzte der drei Fristen geben die meisten Zusammenfassungen falsch wieder. Auf diesem Strang hängt der Abschlussbericht nicht an einem festen Zeitraum nach der Meldung. Er hängt an der Verfügbarkeit einer Abhilfe und läuft von dieser Verfügbarkeit an 14 Tage.
Strang zwei: ein schwerwiegender Sicherheitsvorfall
Schwerwiegend ist ein Sicherheitsvorfall, wenn er die Sicherheitseigenschaften des Produkts trifft.
„gilt ein Sicherheitsvorfall, der Auswirkungen auf die Sicherheit des Produkts mit digitalen Elementen hat, als schwerwiegend, wenn a) er sich negativ auf die Fähigkeit eines Produkts mit digitalen Elementen auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von sensiblen oder wichtigen Daten oder Funktionen zu schützen“
Die Frühwarnung und die Meldung laufen auf denselben Uhren von 24 und 72 Stunden. Der Abschlussbericht nicht.
„innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht“
Die beiden Stränge nebeneinander
| Übermittlung | Aktiv ausgenutzte Schwachstelle | Schwerwiegender Sicherheitsvorfall |
|---|---|---|
| Frühwarnung | Binnen 24 Stunden ab Kenntnis | Binnen 24 Stunden ab Kenntnis |
| Meldung | Binnen 72 Stunden | Binnen 72 Stunden |
| Abschlussbericht | Spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Art. 14 Abs. 2 Buchst. c) | Binnen eines Monats nach Übermittlung der Meldung (Art. 14 Abs. 4 Buchst. c) |
Zwei Stränge, zwei verschiedene Regeln für den Abschlussbericht. Wer für beide eine einzige Vorlage baut, übermittelt unter Druck die falsche.
Die Uhr läuft ab der Kenntnis
Nicht ab der Ausnutzung, nicht ab der Veröffentlichung, nicht ab dem Tag, an dem die Aktualisierung ausgeliefert wird.
„unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle“
Diese eine Wendung entscheidet den größten Teil der operativen Arbeit. Kenntnis ist eine Tatsache der Organisation, und deshalb lohnt es sich aufzuschreiben, wer im Unternehmen für das Unternehmen Kenntnis erlangen kann und über welche Wege: das Sicherheitspostfach, die Warteschlange der Unterstützung, die Sichtung eines Programms für Fehlerprämien, die Rufbereitschaft, die Betreuerin einer mitgelieferten Abhängigkeit. Auf welchem Weg eine Mitteilung auch eintrifft, jemand muss sie erkennen und die 24 Stunden anlaufen lassen.
Wohin die Übermittlungen gehen
Artikel 14 Abs. 1 nennt beide Empfänger und bestimmt, dass sie gleichzeitig unterrichtet werden.
„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“
Artikel 14 Abs. 3 bestimmt denselben Weg für schwerwiegende Sicherheitsvorfälle. Das als Koordinator benannte CSIRT ist dasjenige, das nach Artikel 12 Abs. 1 der Richtlinie (EU) 2022/2555, der NIS-2-Richtlinie, benannt wurde. Beide Übermittlungen laufen über die nach Artikel 16 eingerichtete einheitliche Meldeplattform.
„Die Meldung wird über den Endpunkt für die elektronische Meldung des CSIRT übermittelt, der als Koordinator des Mitgliedstaats benannt wurde, in dem die Hersteller ihre Hauptniederlassung in der Union haben, und ist gleichzeitig für die ENISA zugänglich.“
Die ENISA gibt auf einer zuletzt am 31. August 2026 aktualisierten Seite an, die Plattform solle bis zum 11. September 2026 betriebsbereit sein und vorher werde ein Testzeitraum erwartet. Die Europäische Kommission gibt auf einer zuletzt am 31. Juli 2026 aktualisierten Seite an, die Plattform werde bis zum 11. September 2026 betriebsbereit sein und Tests der Funktion und der Sicherheit liefen. Das ist, was die beiden gesagt haben, samt dem Tag, an dem sie es gesagt haben. Wie sich die Plattform am ersten Tag verhalten wird, sagen wir Ihnen nicht.
Auch bereits in Verkehr gebrachte Produkte werden gemeldet
Das ist der Teil, der alle überrascht, die nur das Datum 2027 gelesen haben. Artikel 69 Abs. 2 regelt den Übergang für den übrigen Teil der Verordnung.
„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.“
Artikel 69 Abs. 3 nimmt den Artikel 14 von dieser Ausnahme wieder aus.
„gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden“
Die ältere Version also, deren Entwicklung Sie 2024 eingestellt haben, bleibt außerhalb der grundlegenden Anforderungen, bis sie wesentlich geändert wird, und liegt ab dem 11. September 2026 gleichwohl innerhalb der Meldepflicht.
Wie Bereitschaft vor dem 11. September aussieht
Fünf Dinge, von denen keines eine eigene Haushaltszeile braucht:
- Eine benannte Person und eine Vertretung. Eine Person, die übermittelt, und eine, die übermittelt, wenn die erste nicht erreichbar ist.
- Ein aufgeschriebener Auslöser für die Kenntnis. Welches Postfach, welche Warteschlange, welche Warnung als Kenntnis des Unternehmens zählt, und wer sie außerhalb der Geschäftszeiten beobachtet.
- Der Weg, aufgeschrieben. Ihr als Koordinator benanntes CSIRT und die ENISA, gleichzeitig unterrichtet.
- Zwei Vorlagen, nicht eine. Der Strang der Schwachstelle und der Strang des Sicherheitsvorfalls laufen beim Abschlussbericht auseinander.
- Eine Liste Ihrer Produkte. Welche Ihrer Versionen Produkte mit digitalen Elementen sind, einschließlich derer, die Sie nicht mehr weiterentwickeln, denn Artikel 69 Abs. 3 greift auch auf sie zu.
Nach Artikel 64 Abs. 2 liegen Verstöße gegen die Artikel 13 und 14 im höchsten Rahmen für Geldbußen, den die Verordnung kennt. Das beschreibt den Aufbau des Rechtsakts und sagt nichts über ein einzelnes Produkt voraus.
Orientierung, keine Rechtsberatung. Prüfen Sie jede Angabe am amtlichen Wortlaut, bevor Sie sich darauf stützen.