Cyberresilienz-Verordnung: häufig gestellte Fragen

Die Verordnung erfasst Produkte mit digitalen Elementen: Software- oder Hardwareprodukte und deren Datenfernverarbeitungslösungen. Ein Dienst, der vollständig auf der eigenen Infrastruktur des Anbieters läuft, wird nicht als solches Produkt abgegeben; reines SaaS bleibt deshalb in aller Regel außerhalb der Verordnung, und die Cybiq-Prüfung weist es als voraussichtlich nicht erfasst aus, mit Prüfschritten, die sich dennoch lohnen. Die Verordnung entscheidet diese Grenze nicht durch eine ausdrückliche Regelung zu Diensten: Sobald Kunden auf ihrer Seite etwas installieren oder ausführen, etwa eine App, einen Agenten, einen Konnektor oder eine Browsererweiterung, oder sobald der Dienst zusammen mit Hardware verkauft wird, kann dieses Element erfasst sein.

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

„Diese Verordnung gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“

Nicht für alle, die damit zu tun haben. Die Verordnung gilt nicht für Personen, die Quellcode zu freien und quelloffenen Produkten beitragen, die nicht ihrer Verantwortung unterliegen. Und Software, deren Quellcode offen geteilt und unter einer Lizenz bereitgestellt wird, die alle Rechte zum freien Nutzen, Verändern und Weiterverteilen einräumt, fällt unter die eigene Begriffsbestimmung der Verordnung für freie und quelloffene Software. Die Ausnahme endet, sobald die Software im Rahmen einer Geschäftstätigkeit bereitgestellt wird, etwa durch entgeltlichen Vertrieb oder eine kommerzielle Unterstützungsstufe rund um das Produkt selbst.

„Diese Verordnung gilt nicht für natürliche oder juristische Personen, die mit Quellcode zu Produkten mit digitalen Elementen beitragen, die als freie und quelloffene Software eingestuft sind und nicht ihrer Verantwortung unterliegen.“

„eine Software, deren Quellcode offen geteilt wird und die im Rahmen einer kostenlosen Open-Source-Lizenz zur Verfügung gestellt wird, die alle Rechte vorsieht, um sie frei zugänglich, nutzbar, veränderbar und weiterverteilbar zu machen“

„freie und quelloffene Software, die auf dem Markt bereitgestellt und somit zum Vertrieb oder zur Nutzung im Rahmen einer Geschäftstätigkeit verfügbar gemacht wird“

Nein. Die Verordnung regelt das Inverkehrbringen und die Bereitstellung auf dem Unionsmarkt; beides setzt voraus, dass das Produkt über die eigene Organisation hinaus abgegeben wird. Software, die sie nie verlässt, löst keinen der beiden Begriffe aus, und die Prüfung gibt für rein interne Werkzeuge „nicht erfasst“ zurück.

„die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Ja. Die Begriffsbestimmung des Produkts mit digitalen Elementen erfasst ausdrücklich ein Software- oder Hardwareprodukt und schließt Software- oder Hardwarekomponenten ein, die getrennt in den Verkehr gebracht werden. Hardware ist auch dann erfasst, wenn Sie sie ohne eigene Software ausliefern.

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

Ersatzteile sind ausgenommen, soweit sie auf dem Markt bereitgestellt werden, um identische Komponenten zu ersetzen, und nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen. Die Ausnahme ist eng: Komponenten, die getrennt in den Verkehr gebracht werden, fallen sonst unter die Begriffsbestimmung des Produkts, und wenn Sie ein bereits in Verkehr gebrachtes Produkt so verändern, dass sich das auf seine Konformität mit den grundlegenden Anforderungen auswirkt, kann darin eine wesentliche Änderung mit neuen Pflichten liegen.

„Diese Verordnung gilt nicht für Ersatzteile, die auf dem Markt bereitgestellt werden, um identische Komponenten in Produkten mit digitalen Elementen zu ersetzen, und die nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen.“

„eine Änderung des Produkts mit digitalen Elementen nach dessen Inverkehrbringen, die sich auf die Konformität des Produkts mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks, für den das Produkt geprüft wurde, führt“

Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, bleiben außerhalb der Hauptanforderungen, solange sie ab diesem Zeitpunkt keiner wesentlichen Änderung unterliegen. Eine Pflicht greift unabhängig davon zurück: Die Meldepflichten nach Artikel 14 gelten für alle erfassten Produkte, auch für die vor dem Beginn der vollständigen Geltung in Verkehr gebrachten.

„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.“

„gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden“

Gemeint ist die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt. Es ist ein einmaliger Auslöser je Produkt: Alles, was danach geschieht, etwa weitere Abgaben, Aktualisierungen und der Umgang mit Schwachstellen, hängt an anderen Begriffen wie der Bereitstellung auf dem Markt und den Pflichten im Unterstützungszeitraum.

„die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“

Gemeint ist die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit. Eine unentgeltliche Abgabe zählt damit genauso wie ein Verkauf, solange sie im Rahmen einer Geschäftstätigkeit erfolgt.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Ja. Auslöser ist die Abgabe auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit, und keine der beiden Begriffsbestimmungen knüpft daran an, wo der Verkäufer niedergelassen ist. In der Praxis erreicht ein Verkäufer ohne Niederlassung in der Union den EU-Markt über einen Einführer; die Verordnung bestimmt diesen als eine in der Union ansässige Person, die ein Produkt unter dem Namen oder der Marke einer außerhalb der Union ansässigen Person in den Verkehr bringt.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person“

Unterliegt das Produkt einem der aufgeführten Rechtsakte der Union, geht dieser Rechtsakt vor und die Cyberresilienz-Verordnung gilt nicht: Die Liste umfasst Medizinprodukte, In-vitro-Diagnostika und Kraftfahrzeuge, hinzu kommen Ausnahmen für luftfahrtzertifizierte Produkte und für Schiffsausrüstung. Für Hochrisiko-KI-Systeme gilt etwas anderes: Sie sind nicht ausgenommen, und ein Hochrisiko-KI-System, das die grundlegenden Cybersicherheitsanforderungen dieser Verordnung erfüllt, gilt als konform mit den Cybersicherheitsanforderungen der KI-Verordnung; die beiden Konformitätsbewertungen werden aufeinander abgestimmt.

„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“

„als mit den Cybersicherheitsanforderungen gemäß Artikel 15 der genannten Verordnung konform“

„Verordnung (EU) 2024/1689“

Ein Produkt ist wichtig, wenn es in eine der in Anhang III aufgeführten Kategorien fällt. Die Liste reicht von Passwort-Managern über eigenständige und eingebettete Browser, Betriebssysteme und Netzausrüstung bis zu Sicherheitswerkzeugen wie Software gegen Schadsoftware und SIEM-Systemen, intelligenten Türschlössern und Sicherheitskameras für die intelligente häusliche Umgebung, mit dem Internet verbundenem Spielzeug und am Körper tragbaren Produkten zur Gesundheitsüberwachung.

„WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Passwort-Manager“

„eigenständige und eingebettete Browser“

„Betriebssysteme“

Beide Klassen liegen innerhalb der Liste wichtiger Produkte in Anhang III; sie unterscheiden sich darin, wie die Konformität nachgewiesen wird. Produkte der Klasse I behalten das interne Kontrollverfahren nur so lange, wie harmonisierte Normen, gemeinsame Spezifikationen oder Zertifizierungsschemata vollständig angewandt werden; andernfalls greifen Verfahren unter Beteiligung Dritter. Produkte der Klasse II, etwa Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme, Hypervisoren und Container-Runtime-Systeme, weisen die Konformität über diese Verfahren unter Beteiligung Dritter nach, sofern der Hersteller nicht unter die Ausnahme des Artikels 32 Absatz 5 fällt: Freie und quelloffene Software, die unter Anhang III fällt, darf stattdessen die Verfahren des Artikels 32 Absatz 1 nutzen, sofern ihre technische Dokumentation nach Artikel 31 zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich ist.

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

„Hat der Hersteller bei der Bewertung der Konformität eines wichtigen Produkts mit digitalen Elementen, das in Klasse I gemäß Anhang III fällt, und der von dessen Hersteller festgelegten Verfahren mit den grundlegenden Cybersicherheitsanforderungen in Anhang I harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ gemäß Artikel 27 nicht oder nur zum Teil angewandt oder sind solche harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung nicht vorhanden, so sind die Produkte mit digitalen Elementen und die vom Hersteller festgelegten Verfahren im Hinblick auf die grundlegenden Cybersicherheitsanforderungen einem der folgenden Verfahren zu unterziehen:“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

„Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme“

Anhang IV führt die kritischen Kategorien auf: Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen sowie Chipkarten oder ähnliche Geräte einschließlich Sicherheitselemente. Für sie gilt der strengste Weg, bei dem eine notifizierte Stelle an der Konformitätsbewertung beteiligt ist.

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Hardwaregeräte mit Sicherheitsboxen“

„Smart-Meter-Gateways in intelligenten Messsystemen“

„Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente“

Die Verordnung benennt keine einstufende Stelle: Sie veröffentlicht die Listen in Anhang III und Anhang IV, und der Hersteller führt die Konformitätsbewertung durch, wozu auch gehört, die passende aufgeführte Kategorie zu bestimmen. Bei Produkten der Klasse II und bei kritischen Produkten prüft eine notifizierte Stelle diese Wahl im Rahmen der Bewertung nach, statt sie hinzunehmen. Anders liegt es, wenn der Hersteller unter die Ausnahme des Artikels 32 Absatz 5 für freie und quelloffene Produkte des Anhangs III mit öffentlicher technischer Dokumentation nach Artikel 31 fällt: dann greifen die Verfahren des Artikels 32 Absatz 1 ganz ohne notifizierte Stelle.

„Der Hersteller führt eine Konformitätsbewertung des Produkts mit digitalen Elementen und der vom Hersteller festgelegten Verfahren durch, um festzustellen, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt sind.“

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

„WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN“

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

Die Verordnung entscheidet nicht, wie sich überschneidende Kategorien zu ordnen sind: Eine ausdrückliche Rangfolge zwischen den Einträgen der Anhänge fehlt. Gehen Sie vorsichtig vor. Bestimmen Sie jede Kategorie, auf die das Produkt passt, und folgen Sie dem Verfahren der anspruchsvollsten, denn eine Kategorie der Klasse II oder eine kritische Kategorie lässt für das interne Kontrollverfahren keinen Raum, während die umgekehrte Überschneidung Sie vom strengeren Weg nicht entlastet.

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

Nicht ohne Bedingung. Für Produkte der Klasse I bleibt das interne Kontrollverfahren nur verfügbar, wenn harmonisierte Normen, gemeinsame Spezifikationen oder europäische Schemata für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig angewandt werden. Wenden Sie sie nur zum Teil an oder gibt es sie für Ihr Produkt nicht, so greifen stattdessen die EU-Baumusterprüfung mit anschließender Fertigungskontrolle (Modul B und C) oder die umfassende Qualitätssicherung (Modul H).

„Hat der Hersteller bei der Bewertung der Konformität eines wichtigen Produkts mit digitalen Elementen, das in Klasse I gemäß Anhang III fällt, und der von dessen Hersteller festgelegten Verfahren mit den grundlegenden Cybersicherheitsanforderungen in Anhang I harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ gemäß Artikel 27 nicht oder nur zum Teil angewandt oder sind solche harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung nicht vorhanden, so sind die Produkte mit digitalen Elementen und die vom Hersteller festgelegten Verfahren im Hinblick auf die grundlegenden Cybersicherheitsanforderungen einem der folgenden Verfahren zu unterziehen:“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

Ja. Die Begriffsbestimmung erfasst eine Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Wer unter eigener Marke weiterverkauft, gilt unmittelbar als Hersteller: Ein Einführer oder Händler, der ein Produkt unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder an einem bereits in Verkehr gebrachten Produkt eine wesentliche Änderung vornimmt, gilt als Hersteller und unterliegt den Artikeln 13 und 14.

„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“

„Ein Einführer oder Händler gilt für die Zwecke dieser Verordnung als Hersteller und unterliegt den in den Artikeln 13 und 14 genannten Pflichten, wenn dieser Einführer oder Händler ein Produkt mit digitalen Elementen unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt mit digitalen Elementen vornimmt.“

Einführer bringen nur Produkte in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen genügen, und geben ihren Namen, ihren eingetragenen Handelsnamen oder ihre eingetragene Handelsmarke auf dem Produkt an. Bei Schwachstellen trifft sie eine Weitergabepflicht: Sobald sie von einer Schwachstelle Kenntnis erlangen, informieren sie den Hersteller unverzüglich, und birgt das Produkt ein erhebliches Cybersicherheitsrisiko, unterrichten sie unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie es bereitgestellt haben.

„Die Einführer bringen nur Produkte mit digitalen Elementen in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen“

„Die Einführer geben ihren Namen, ihren eingetragenen Handelsnamen oder ihre eingetragene Handelsmarke“

„Sobald die Einführer von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“

„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Einführer zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie das Produkt mit digitalen Elementen auf dem Markt bereitgestellt haben“

Händler befolgen die Vorschriften der Verordnung mit der gebührenden Sorgfalt; dazu gehört, vor der Bereitstellung eines Produkts zu überprüfen, dass es die CE-Kennzeichnung trägt und die erforderlichen Unterlagen beiliegen. Sie spiegeln die Weitergabepflichten der Einführer: den Hersteller unverzüglich über Schwachstellen informieren und die Marktüberwachungsbehörden unverzüglich unterrichten, wenn das Produkt ein erhebliches Cybersicherheitsrisiko birgt.

„befolgen die Händler die Vorschriften dieser Verordnung mit der gebührenden Sorgfalt“

„Sobald die Händler von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“

„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Händler zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten“

Die Verordnung setzt an der Unionsgrenze an, nicht am eingetragenen Sitz des Unternehmens. Ihre Begriffsbestimmung des Einführers erfasst genau den Fall, dass eine in der Union ansässige Person ein Produkt unter dem Namen oder der Marke einer außerhalb der Union ansässigen Person in den Verkehr bringt, und Einführer dürfen dort nur konforme Produkte in den Verkehr bringen. Ein Hersteller außerhalb der EU sollte deshalb damit rechnen, dass sein Einführer in der Union Konformitätsnachweise verlangt, bevor er Ware übernimmt, denn der Einführer haftet selbst für das, was er durchlässt.

„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person“

„Die Einführer bringen nur Produkte mit digitalen Elementen in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen“

Ein Verwalter quelloffener Software ist eine juristische Person, die kein Hersteller ist und die Entwicklung bestimmter freier und quelloffener Produkte, die für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig unterstützt und deren Brauchbarkeit sicherstellt. Verwalter müssen auf überprüfbare Weise eine Cybersicherheitsstrategie entwickeln und dokumentieren, die eine sichere Entwicklung und einen wirksamen Umgang mit Schwachstellen fördert; Teile der Meldepflichten nach Artikel 14 können sie erreichen, soweit sie an der Entwicklung beteiligt sind.

„eine juristische Person, bei der es sich nicht um einen Hersteller handelt, die den Zweck oder das Ziel hat, die Entwicklung spezifischer Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig zu unterstützen, und die die Brauchbarkeit dieser Produkte sicherstellt“

„Verwalter quelloffener Software entwickeln und dokumentieren auf überprüfbare Weise eine Cybersicherheitsstrategie, um die Entwicklung eines sicheren Produkts mit digitalen Elementen sowie einen wirksamen Umgang mit Schwachstellen durch die Entwickler dieses Produkts zu fördern.“

Eine Software-Stückliste (SBOM) ist eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts enthalten sind. Die geforderte Tiefe ist eine Untergrenze, keine Obergrenze: Sie muss zumindest die obersten Abhängigkeiten des Produkts erfassen, in einem gängigen maschinenlesbaren Format wie CycloneDX oder SPDX.

„eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts mit digitalen Elementen enthalten sind“

„Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“

Der Unterstützungszeitraum ist der Zeitraum, in dem der Hersteller sicherstellen muss, dass Schwachstellen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen behandelt werden. Er beträgt mindestens fünf Jahre. Wird davon ausgegangen, dass das Produkt weniger als fünf Jahre im Betrieb ist, entspricht der Unterstützungszeitraum stattdessen der voraussichtlichen Nutzungsdauer.

„den Zeitraum, in dem der Hersteller sicherstellen muss, dass die Schwachstellen des Produkts mit digitalen Elementen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

„beträgt der Unterstützungszeitraum mindestens fünf Jahre“

„Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.“

Hersteller müssen sicherstellen, dass Schwachstellen des Produkts wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen behandelt werden: in der Praxis ein dokumentiertes Verfahren, um Meldungen entgegenzunehmen, zu bewerten, zu beheben und Behebungen zu veröffentlichen, samt einem Kontaktweg für Meldende. Produkte müssen mit einer sicheren Standardkonfiguration ausgeliefert werden, sofern Hersteller und gewerblicher Nutzer nichts anderes vereinbart haben.

„wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

„mit einer sicheren Standardkonfiguration auf dem Markt bereitgestellt werden, sofern zwischen dem Hersteller und dem gewerblichen Nutzer in Bezug auf ein maßgeschneidertes Produkt mit digitalen Elementen nichts anderes vereinbart wurde“

Artikel 14 bindet allein Hersteller, was schon seine Überschrift sagt. Ein Hersteller meldet aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig dem als Koordinator benannten CSIRT und der ENISA über die einheitliche Meldeplattform. Die Fristen laufen ab Kenntnis: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung von Schwachstellen innerhalb von 72 Stunden, ein Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, und ein Abschlussbericht zum Sicherheitsvorfall innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls.

„Meldepflichten der Hersteller“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

„unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle“

„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen“

„unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt“

„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller von dem Sicherheitsvorfall Kenntnis erlangt hat, eine Meldung des Sicherheitsvorfalls“

„spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht“

„innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht“

Mit der CE-Kennzeichnung erklärt der Hersteller, dass das Produkt und die von ihm festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen genügen. Sie muss gut sichtbar, lesbar und dauerhaft angebracht sein. Bei Produkten in Form von Software wird die Kennzeichnung stattdessen auf der EU-Konformitätserklärung oder auf der das Softwareprodukt begleitenden Website angebracht.

„eine Kennzeichnung, durch die ein Hersteller erklärt, dass ein Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I und anderen geltenden Harmonisierungsrechtsvorschriften der Union über ihre Anbringung genügen“

„gut sichtbar, lesbar und dauerhaft hervorgeht“

„Bei Produkten mit digitalen Elementen in Form von Software wird die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung gemäß Artikel 28 oder auf der das Softwareprodukt begleitenden Website angebracht.“

Die technische Dokumentation wird vor dem Inverkehrbringen des Produkts erstellt und gegebenenfalls zumindest während des Unterstützungszeitraums laufend aktualisiert. Ihr Inhalt steht in Anhang VII. Achten Sie auf die Nummerierung: Anhang V enthält das Muster der EU-Konformitätserklärung, nicht die technische Dokumentation.

„Die technische Dokumentation wird vor dem Inverkehrbringen des Produkts mit digitalen Elementen erstellt und gegebenenfalls, zumindest während des Unterstützungszeitraums, laufend aktualisiert.“

„INHALT DER TECHNISCHEN DOKUMENTATION“

„EU-KONFORMITÄTSERKLÄRUNG“

Kapitel IV, die Notifizierung von Konformitätsbewertungsstellen (Artikel 35 bis 51), gilt ab dem 11. Juni 2026. Die Meldepflichten nach Artikel 14 gelten ab dem 11. September 2026. Alles Übrige gilt ab dem 11. Dezember 2027.

„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“

„NOTIFIZIERUNG VON KONFORMITÄTSBEWERTUNGSSTELLEN“

Die Mitgliedstaaten erlassen die Vorschriften über Sanktionen und müssen für ihre Umsetzung sorgen; die Verordnung setzt die Obergrenzen. Bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen und die Artikel 13 und 14 werden Geldbußen von bis zu 15 000 000 EUR oder, im Falle von Unternehmen, von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes verhängt. Bei Verstößen gegen die Pflichten der Wirtschaftsakteure werden Geldbußen von bis zu 10 000 000 EUR oder von bis zu 2 % verhängt.

„Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen diese Verordnung zu verhängen sind, und treffen alle für die Umsetzung der Sanktionen erforderlichen Maßnahmen.“

„werden Geldbußen von bis zu 15 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“

„werden Geldbußen von bis zu 10 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“

Die unmittelbare rechtliche Folge ist das eben beschriebene Sanktionsregime: Die Mitgliedstaaten setzen national erlassene Sanktionen durch, begrenzt durch die Obergrenzen des Artikels 64. Wie die Durchsetzung im Einzelnen abläuft, ist von Mitgliedstaat zu Mitgliedstaat verschieden; behandeln Sie diese Obergrenzen deshalb als äußeren Rahmen und nicht als Vorhersage, und schließen Sie Lücken vor dem maßgeblichen Datum statt danach.

„Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen diese Verordnung zu verhängen sind, und treffen alle für die Umsetzung der Sanktionen erforderlichen Maßnahmen.“

„werden Geldbußen von bis zu 15 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“

Ja, sofern die Abgabe im Rahmen einer Geschäftstätigkeit erfolgt. Die Bereitstellung auf dem Markt erfasst die entgeltliche wie die unentgeltliche Abgabe; kostenlose Stufen, Werbegaben und kostenlose Downloads eines Unternehmens zählen daher wie Verkäufe.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Nein. Die Verordnung gilt nicht für natürliche oder juristische Personen, die Quellcode zu freien und quelloffenen Produkten beitragen, die nicht ihrer Verantwortung unterliegen. Dieser Schutz gilt Beitragenden; ein Projekt zu betreiben oder zu monetarisieren ist etwas anderes und kann Sie als Verwalter oder als Hersteller, der die Software unter seinem Namen vermarktet, in den Anwendungsbereich bringen.

„Diese Verordnung gilt nicht für natürliche oder juristische Personen, die mit Quellcode zu Produkten mit digitalen Elementen beitragen, die als freie und quelloffene Software eingestuft sind und nicht ihrer Verantwortung unterliegen.“

Drei Fälle ziehen eine Bewertung unter Beteiligung Dritter nach sich. Produkte der Klasse II nach Anhang III weisen die Konformität über die EU-Baumusterprüfung mit Fertigungskontrolle nach, über die umfassende Qualitätssicherung oder, sofern verfügbar und anwendbar, über ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“. Produkte der Klasse I nach Anhang III verlieren das interne Kontrollverfahren, sobald harmonisierte Normen, gemeinsame Spezifikationen oder Zertifizierungsschemata nicht vollständig angewandt werden. Kritische Produkte nach Anhang IV unterliegen durchgehend dem strengsten Weg. Die Ausnahme des Artikels 32 Absatz 5 gilt über den ganzen Anhang III: Freie und quelloffene Software beider Klassen darf stattdessen die Verfahren des Artikels 32 Absatz 1 nutzen, sofern ihre technische Dokumentation nach Artikel 31 zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich ist.

„Der Hersteller führt eine Konformitätsbewertung des Produkts mit digitalen Elementen und der vom Hersteller festgelegten Verfahren durch, um festzustellen, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt sind.“

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

„sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung gemäß Artikel 27 Absatz 9 der vorliegenden Verordnung mindestens auf der Vertrauenswürdigkeitsstufe „mittel“ gemäß der Verordnung (EU) 2019/881“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

Ein erhebliches Cybersicherheitsrisiko ist ein Risiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall führt, der schwerwiegende negative Auswirkungen hat und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte. Diese Schwelle verpflichtet Einführer und Händler, die Marktüberwachungsbehörden unverzüglich zu unterrichten.

„ein Cybersicherheitsrisiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall führen wird, der schwerwiegende negative Auswirkungen haben und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte“

„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Einführer zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie das Produkt mit digitalen Elementen auf dem Markt bereitgestellt haben“