Cyberresilienz-Verordnung: häufig gestellte Fragen

Die Verordnung erfasst Produkte mit digitalen Elementen: Software- oder Hardwareprodukte und deren Datenfernverarbeitungslösungen. Ein Dienst, der vollständig auf der eigenen Infrastruktur des Anbieters läuft, wird nicht als solches Produkt abgegeben; reines SaaS bleibt deshalb in aller Regel außerhalb der Verordnung, und die Cybiq-Prüfung weist es als voraussichtlich nicht erfasst aus, mit Prüfschritten, die sich dennoch lohnen. Eine ausdrückliche Regelung zu Diensten, die diese Grenze zieht, enthält die Verordnung nicht: Sobald Kunden auf ihrer Seite etwas installieren oder ausführen, etwa eine App, einen Agenten, einen Konnektor oder eine Browsererweiterung, oder sobald der Dienst zusammen mit Hardware verkauft wird, kann dieses Element erfasst sein.

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

„Diese Verordnung gilt für auf dem Markt bereitgestellte Produkte mit digitalen Elementen, deren bestimmungsgemäßer Zweck oder vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt.“

Nicht für alle, die damit zu tun haben, und nicht nur dann, wenn Geld fließt. Die Verordnung gilt nicht für Personen, die Quellcode zu freien und quelloffenen Produkten beitragen, die nicht ihrer Verantwortung unterliegen. Und Software, deren Quellcode offen geteilt und unter einer Lizenz bereitgestellt wird, die alle Rechte zum freien Nutzen, Verändern und Weiterverteilen einräumt, fällt unter die eigene Begriffsbestimmung der Verordnung für freie und quelloffene Software. Die Ausnahme endet, sobald die Software im Rahmen einer Geschäftstätigkeit bereitgestellt wird. Erwägungsgrund 15 nennt fünf Umstände, die eine Geschäftstätigkeit kennzeichnen können, und Randnummer 41 der Leitlinien der Kommission C(2026) 5252 (nicht verbindlich) ruft sie in Erinnerung. Die Leitlinien schränken zwei davon ein: Bezahlte Unterstützung rund um eine frei verfügbare Software genügt für sich allein nicht, denn entscheidend ist, ob der Zugang zur Software selbst von einer Zahlung abhängt (Randnummern 55 bis 56), und Spenden zählen, selbst wenn sie die Kosten übersteigen, nur dann, wenn sie den Zugang zur Software, zu ihren Funktionen oder zu ihren Updates einschränken (Randnummern 61 bis 62). Eine kostenlose Community-Version neben einer bezahlten Version desselben Codes wird für sich genommen nicht in Verkehr gebracht: Nur die bezahlte Version wird in Verkehr gebracht, und eine juristische Person, die die kostenlose Version veröffentlicht, unterliegt zudem den Pflichten der Verwalter (Abschnitt 3.2.1, Randnummern 52 bis 53).

„Diese Verordnung gilt nicht für natürliche oder juristische Personen, die mit Quellcode zu Produkten mit digitalen Elementen beitragen, die als freie und quelloffene Software eingestuft sind und nicht ihrer Verantwortung unterliegen.“

„eine Software, deren Quellcode offen geteilt wird und die im Rahmen einer kostenlosen Open-Source-Lizenz zur Verfügung gestellt wird, die alle Rechte vorsieht, um sie frei zugänglich, nutzbar, veränderbar und weiterverteilbar zu machen“

„freie und quelloffene Software, die auf dem Markt bereitgestellt und somit zum Vertrieb oder zur Nutzung im Rahmen einer Geschäftstätigkeit verfügbar gemacht wird“

Entscheidend ist, ob die Abgabe im Rahmen einer Geschäftstätigkeit erfolgt, nicht ob sie entgeltlich ist. Bereitstellung auf dem Markt ist die Abgabe eines Produkts zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit, und die Verordnung stellt ausdrücklich klar, dass dies unabhängig davon gilt, ob die Abgabe entgeltlich oder unentgeltlich erfolgt; die Begriffsbestimmung des Herstellers nennt Bezahlung, Monetarisierung und unentgeltliche Abgabe gleichrangig nebeneinander. Eine kostenlose App, ein kostenloser Tarif oder ein Gratis-Installer eines Unternehmens wird daher genauso behandelt wie ein bezahltes Angebot, sobald die Abgabe im Rahmen einer Geschäftstätigkeit erfolgt. Bei freier und quelloffener Software entscheiden speziell die fünf Umstände aus der Antwort auf „Gilt die Cyberresilienz-Verordnung für freie und quelloffene Software?“, ob diese Abgabe geschäftlich ist.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“

In der Regel nicht. Die Leitlinien der Kommission werten einen Spendenlink nicht als Gewinnerzielungsabsicht, selbst wenn die Spenden die Kosten übersteigen, solange der Zugang zur Software, zu ihrem Quellcode und zu ihren Updates nicht von einer Spende abhängt (Abschnitt 3.2.4, Randnummer 61, Beispiel 20). Spenden werden zum Entgelt, wenn sie in der Praxis genau diese Bedingung darstellen: Releases oder Sicherheitsupdates, die nur an Spender gehen, kommen einer Bezahlung für den Zugang zum Produkt gleich, und die Leitlinien behandeln ein so geführtes Projekt als in Verkehr gebracht (Randnummer 62, Beispiele 21 und 22).

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Nein. Die Verordnung regelt das Inverkehrbringen und die Bereitstellung auf dem Unionsmarkt; beides setzt voraus, dass das Produkt über die eigene Organisation hinaus abgegeben wird. Software, die sie nie verlässt, erfüllt keinen der beiden Tatbestände, und die Prüfung gibt für rein interne Werkzeuge „nicht erfasst“ zurück.

„die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Ja. Die Begriffsbestimmung des Produkts mit digitalen Elementen erfasst ausdrücklich ein Software- oder Hardwareprodukt und schließt Software- oder Hardwarekomponenten ein, die getrennt in den Verkehr gebracht werden. Hardware kann auch dann erfasst sein, wenn Sie sie ohne eigene Software ausliefern, sofern ihr bestimmungsgemäßer Zweck oder ihre vernünftigerweise vorhersehbare Verwendung eine direkte oder indirekte logische oder physische Datenverbindung mit einem Gerät oder Netz einschließt (Art. 2 Abs. 1).

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

Ersatzteile sind ausgenommen, soweit sie auf dem Markt bereitgestellt werden, um identische Komponenten zu ersetzen, und nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen. Die Ausnahme ist eng: Komponenten, die getrennt in den Verkehr gebracht werden, fallen sonst unter die Begriffsbestimmung des Produkts, und wenn Sie ein bereits in Verkehr gebrachtes Produkt so verändern, dass sich das auf seine Konformität mit den grundlegenden Anforderungen auswirkt, kann darin eine wesentliche Änderung mit neuen Pflichten liegen.

„Diese Verordnung gilt nicht für Ersatzteile, die auf dem Markt bereitgestellt werden, um identische Komponenten in Produkten mit digitalen Elementen zu ersetzen, und die nach denselben Spezifikationen hergestellt werden wie die Bauteile, die sie ersetzen sollen.“

„eine Änderung des Produkts mit digitalen Elementen nach dessen Inverkehrbringen, die sich auf die Konformität des Produkts mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks, für den das Produkt geprüft wurde, führt“

Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, bleiben außerhalb der Hauptanforderungen, solange sie ab diesem Zeitpunkt keiner wesentlichen Änderung unterliegen. Eine Pflicht greift unabhängig davon zurück: Die Meldepflichten nach Artikel 14 gelten für alle erfassten Produkte, auch für die vor dem Beginn der vollständigen Geltung in Verkehr gebrachten.

„Produkte mit digitalen Elementen, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden, unterliegen den in dieser Verordnung festgelegten Anforderungen nur dann, wenn nach diesem Zeitpunkt diese Produkte einer wesentlichen Änderung unterliegen.“

„gelten die in Artikel 14 festgelegten Pflichten für alle Produkte mit digitalen Elementen, die in den Anwendungsbereich dieser Verordnung fallen und vor dem 11. Dezember 2027 in den Verkehr gebracht wurden“

Gemeint ist die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt. Es ist ein einmaliger Auslöser je Produkt: Alles, was danach geschieht, etwa weitere Abgaben, Aktualisierungen und der Umgang mit Schwachstellen, hängt an anderen Begriffen wie der Bereitstellung auf dem Markt und den Pflichten im Unterstützungszeitraum.

„die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt“

Gemeint ist die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit. Eine unentgeltliche Abgabe zählt damit genauso wie ein Verkauf, solange sie im Rahmen einer Geschäftstätigkeit erfolgt.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Ja. Auslöser ist die Abgabe auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit, und keine der beiden Begriffsbestimmungen knüpft daran an, wo der Verkäufer niedergelassen ist. In der Praxis erreicht ein Verkäufer ohne Niederlassung in der Union den EU-Markt über einen Einführer; die Verordnung bestimmt diesen als eine in der Union ansässige Person, die ein Produkt unter dem Namen oder der Marke einer außerhalb der Union ansässigen Person in den Verkehr bringt.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person in der Union in den Verkehr bringt“

Unterliegt das Produkt einem der aufgeführten Rechtsakte der Union, geht dieser Rechtsakt vor und die Cyberresilienz-Verordnung gilt nicht: Die Liste umfasst Medizinprodukte, In-vitro-Diagnostika und Kraftfahrzeuge, hinzu kommen Ausnahmen für luftfahrtzertifizierte Produkte und für Schiffsausrüstung. Für Hochrisiko-KI-Systeme gilt etwas anderes: Sie sind nicht ausgenommen, und ein Hochrisiko-KI-System, das die grundlegenden Cybersicherheitsanforderungen dieser Verordnung erfüllt, gilt als konform mit den Cybersicherheitsanforderungen der KI-Verordnung; die beiden Konformitätsbewertungen werden aufeinander abgestimmt.

„Diese Verordnung gilt nicht für Produkte mit digitalen Elementen, auf die folgende Rechtsakte der Union Anwendung finden:“

„als mit den Cybersicherheitsanforderungen gemäß Artikel 15 der genannten Verordnung konform“

„Verordnung (EU) 2024/1689“

Es kann dazugehören. Die Begriffsbestimmung des Produkts mit digitalen Elementen schließt dessen Datenfernverarbeitungslösungen ein, und die Verordnung definiert die Datenfernverarbeitung anhand dreier Merkmale: Sie findet aus der Ferne statt, ohne sie könnte das Produkt eine seiner Funktionen nicht erfüllen, und ihre Software wird vom Hersteller oder unter dessen Verantwortung konzipiert und entwickelt. Die Leitlinien der Kommission, die nicht verbindlich sind, legen die Begriffsbestimmung ebenso aus: Ein Dienst, den Sie als fertig entwickelte Anwendung eines Dritten mit nur nutzerseitiger Konfiguration einbinden, ist nicht Ihre Datenfernverarbeitung (Leitlinien Abschnitt 8.1, Randnummern 184 und 200). Eine ausschließlich im Browser genutzte Webanwendung ist allein deshalb kein Produkt, während die Datenfernverarbeitung, die ein lokal installierter Client für eine Funktion braucht, Teil des Produkts ist (Leitlinien Abschnitt 2.2, Beispiel 5).

Die kostenlose Prüfung Ist mein Cloud-Backend Teil des Produkts? Prüfung zur Datenfernverarbeitung stellt diese drei Fragen und liefert ein Ergebnis mit Gründen und Quellen. Orientierung, keine Rechtsberatung.

„entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte“

„ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden“

Ein Produkt ist wichtig, wenn seine Kernfunktionen einer der in Anhang III aufgeführten Kategorien entsprechen; die Integration eines solchen Produkts allein bringt das Produkt, in das es integriert wird, nicht in diese Kategorie (Art. 7 Abs. 1). Die Liste reicht von Passwort-Managern über eigenständige und eingebettete Browser, Betriebssysteme und Netzausrüstung bis zu Sicherheitswerkzeugen wie Software gegen Schadsoftware und SIEM-Systemen, intelligenten Türschlössern und Sicherheitskameras für die intelligente häusliche Umgebung, mit dem Internet verbundenem Spielzeug und am Körper tragbaren Produkten zur Gesundheitsüberwachung.

„WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Passwort-Manager“

„eigenständige und eingebettete Browser“

„Betriebssysteme“

Beide Klassen liegen innerhalb der Liste wichtiger Produkte in Anhang III; sie unterscheiden sich darin, wie die Konformität nachgewiesen wird. Produkte der Klasse I behalten das interne Kontrollverfahren nur so lange, wie harmonisierte Normen, gemeinsame Spezifikationen oder Zertifizierungsschemata vollständig angewandt werden; andernfalls greifen Verfahren unter Beteiligung Dritter. Produkte der Klasse II, etwa Firewalls, Intrusion-Detection- und Intrusion-Prevention-Systeme, Hypervisoren und Container-Runtime-Systeme, weisen die Konformität über diese Verfahren unter Beteiligung Dritter nach, sofern der Hersteller nicht unter die Ausnahme des Artikels 32 Absatz 5 fällt: Freie und quelloffene Software, die unter Anhang III fällt, darf stattdessen die Verfahren des Artikels 32 Absatz 1 nutzen, sofern ihre technische Dokumentation nach Artikel 31 zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich ist.

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

„Hat der Hersteller bei der Bewertung der Konformität eines wichtigen Produkts mit digitalen Elementen, das in Klasse I gemäß Anhang III fällt, und der von dessen Hersteller festgelegten Verfahren mit den grundlegenden Cybersicherheitsanforderungen in Anhang I harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ gemäß Artikel 27 nicht oder nur zum Teil angewandt oder sind solche harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung nicht vorhanden, so sind die Produkte mit digitalen Elementen und die vom Hersteller festgelegten Verfahren im Hinblick auf die grundlegenden Cybersicherheitsanforderungen einem der folgenden Verfahren zu unterziehen:“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

„Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme“

Anhang IV führt die kritischen Kategorien auf: Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways in intelligenten Messsystemen und andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung, sowie Chipkarten oder ähnliche Geräte einschließlich Sicherheitselemente. Für sie gilt der strengste Weg: ein europäisches System für die Cybersicherheitszertifizierung, soweit es nach Artikel 8 Absatz 1 vorgeschrieben ist, andernfalls die Verfahren der Klasse II nach Artikel 32 Absatz 3, an denen eine notifizierte Stelle beteiligt ist.

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Hardwaregeräte mit Sicherheitsboxen“

„Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (¹) sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung“

„Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente“

Die Verordnung benennt keine einstufende Stelle: Sie veröffentlicht die Listen in Anhang III und Anhang IV, und der Hersteller führt die Konformitätsbewertung durch, wozu auch gehört, die passende aufgeführte Kategorie zu bestimmen. Bei Produkten der Klasse II und bei kritischen Produkten prüft ein Dritter diese Wahl im Rahmen der Bewertung nach, statt sie hinzunehmen: eine notifizierte Stelle oder eine Zertifizierungsstelle im Rahmen eines europäischen Systems für die Cybersicherheitszertifizierung. Anders liegt es, wenn der Hersteller unter die Ausnahme des Artikels 32 Absatz 5 für freie und quelloffene Produkte des Anhangs III mit öffentlicher technischer Dokumentation nach Artikel 31 fällt: Dann greifen die Verfahren des Artikels 32 Absatz 1 ganz ohne notifizierte Stelle.

„Der Hersteller führt eine Konformitätsbewertung des Produkts mit digitalen Elementen und der vom Hersteller festgelegten Verfahren durch, um festzustellen, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt sind.“

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

„WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN“

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

Die Verordnung entscheidet nicht, wie sich überschneidende Kategorien zu ordnen sind: Eine ausdrückliche Rangfolge zwischen den Einträgen der Anhänge fehlt. Gehen Sie vorsichtig vor. Bestimmen Sie jede Kategorie, auf die das Produkt passt, und folgen Sie dem Verfahren der anspruchsvollsten, denn eine Kategorie der Klasse II oder eine kritische Kategorie verlangt ein Verfahren unter Beteiligung Dritter, vorbehaltlich der Ausnahme des Artikels 32 Absatz 5 für freie und quelloffene Software, und eine sich überschneidende Kategorie der Klasse I hebt diese Anforderung nicht auf.

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

Nicht ohne Bedingung. Für Produkte der Klasse I bleibt das interne Kontrollverfahren nur verfügbar, wenn harmonisierte Normen, gemeinsame Spezifikationen oder europäische Schemata für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ vollständig angewandt werden. Wenden Sie sie nur zum Teil an oder gibt es sie für Ihr Produkt nicht, so greifen stattdessen die EU-Baumusterprüfung mit anschließender Fertigungskontrolle (Modul B und C) oder die umfassende Qualitätssicherung (Modul H).

„Hat der Hersteller bei der Bewertung der Konformität eines wichtigen Produkts mit digitalen Elementen, das in Klasse I gemäß Anhang III fällt, und der von dessen Hersteller festgelegten Verfahren mit den grundlegenden Cybersicherheitsanforderungen in Anhang I harmonisierte Normen, gemeinsame Spezifikationen oder europäische Systeme für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“ gemäß Artikel 27 nicht oder nur zum Teil angewandt oder sind solche harmonisierten Normen, gemeinsamen Spezifikationen oder europäischen Schemata für die Cybersicherheitszertifizierung nicht vorhanden, so sind die Produkte mit digitalen Elementen und die vom Hersteller festgelegten Verfahren im Hinblick auf die grundlegenden Cybersicherheitsanforderungen einem der folgenden Verfahren zu unterziehen:“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

Ja. Die Begriffsbestimmung erfasst eine Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich. Wer unter eigener Marke weiterverkauft, gilt unmittelbar als Hersteller: Ein Einführer oder Händler, der ein Produkt unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder an einem bereits in Verkehr gebrachten Produkt eine wesentliche Änderung vornimmt, gilt als Hersteller und unterliegt den Artikeln 13 und 14.

„eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich“

„Ein Einführer oder Händler gilt für die Zwecke dieser Verordnung als Hersteller und unterliegt den in den Artikeln 13 und 14 genannten Pflichten, wenn dieser Einführer oder Händler ein Produkt mit digitalen Elementen unter seinem eigenen Namen oder seiner eigenen Marke in den Verkehr bringt oder eine wesentliche Änderung an einem bereits in den Verkehr gebrachten Produkt mit digitalen Elementen vornimmt.“

Einführer bringen nur Produkte in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen genügen, und geben ihren Namen, ihren eingetragenen Handelsnamen oder ihre eingetragene Handelsmarke auf dem Produkt an. Bei Schwachstellen trifft sie eine Weitergabepflicht: Sobald sie von einer Schwachstelle Kenntnis erlangen, informieren sie den Hersteller unverzüglich, und birgt das Produkt ein erhebliches Cybersicherheitsrisiko, unterrichten sie unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie es bereitgestellt haben.

„Die Einführer bringen nur Produkte mit digitalen Elementen in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen“

„Die Einführer geben ihren Namen, ihren eingetragenen Handelsnamen oder ihre eingetragene Handelsmarke“

„Sobald die Einführer von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“

„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Einführer zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie das Produkt mit digitalen Elementen auf dem Markt bereitgestellt haben“

Händler befolgen die Vorschriften der Verordnung mit der gebührenden Sorgfalt; dazu gehört, vor der Bereitstellung eines Produkts zu überprüfen, ob es die CE-Kennzeichnung trägt und die erforderlichen Unterlagen beiliegen. Für sie gelten dieselben Weitergabepflichten wie für Einführer: Sie informieren den Hersteller unverzüglich über Schwachstellen und unterrichten die Marktüberwachungsbehörden unverzüglich, wenn das Produkt ein erhebliches Cybersicherheitsrisiko birgt.

„befolgen die Händler die Vorschriften dieser Verordnung mit der gebührenden Sorgfalt“

„Sobald die Händler von einer Schwachstelle in dem Produkt mit digitalen Elementen Kenntnis erhalten, informieren sie den Hersteller unverzüglich über diese Schwachstelle.“

„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Händler zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten“

Die Verordnung setzt an der Unionsgrenze an, nicht am eingetragenen Sitz des Unternehmens. Ihre Begriffsbestimmung des Einführers erfasst genau den Fall, dass eine in der Union ansässige Person ein Produkt unter dem Namen oder der Marke einer außerhalb der Union ansässigen Person in den Verkehr bringt, und Einführer dürfen dort nur konforme Produkte in den Verkehr bringen. Ein Hersteller außerhalb der EU sollte deshalb damit rechnen, dass sein Einführer in der Union Konformitätsnachweise verlangt, bevor er Ware übernimmt, denn der Einführer haftet selbst für das, was er durchlässt.

„eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person in der Union in den Verkehr bringt“

„Die Einführer bringen nur Produkte mit digitalen Elementen in den Verkehr, die den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen“

Ein Verwalter quelloffener Software ist eine juristische Person, die kein Hersteller ist und die Entwicklung bestimmter freier und quelloffener Produkte, die für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig unterstützt und deren Brauchbarkeit sicherstellt. Verwalter müssen auf überprüfbare Weise eine Cybersicherheitsstrategie entwickeln und dokumentieren, die eine sichere Entwicklung und einen wirksamen Umgang mit Schwachstellen fördert; Teile der Meldepflichten nach Artikel 14 können auch für sie gelten, soweit sie an der Entwicklung beteiligt sind.

„eine juristische Person, bei der es sich nicht um einen Hersteller handelt, die den Zweck oder das Ziel hat, die Entwicklung spezifischer Produkte mit digitalen Elementen, die als freie und quelloffene Software gelten und für kommerzielle Tätigkeiten bestimmt sind, systematisch und nachhaltig zu unterstützen, und die die Brauchbarkeit dieser Produkte sicherstellt“

„Verwalter quelloffener Software entwickeln und dokumentieren auf überprüfbare Weise eine Cybersicherheitsstrategie, um die Entwicklung eines sicheren Produkts mit digitalen Elementen sowie einen wirksamen Umgang mit Schwachstellen durch die Entwickler dieses Produkts zu fördern.“

Eine Software-Stückliste (SBOM) ist eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts enthalten sind. Die geforderte Tiefe ist eine Untergrenze, keine Obergrenze: Sie muss zumindest die obersten Abhängigkeiten des Produkts erfassen, in einem gängigen maschinenlesbaren Format. Ein bestimmtes Format schreibt die Verordnung nicht vor; verbreitet sind etwa CycloneDX und SPDX.

„eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts mit digitalen Elementen enthalten sind“

„Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen“

Der Unterstützungszeitraum ist der Zeitraum, in dem der Hersteller sicherstellen muss, dass Schwachstellen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen behandelt werden. Er beträgt mindestens fünf Jahre. Wird davon ausgegangen, dass das Produkt weniger als fünf Jahre im Betrieb ist, entspricht der Unterstützungszeitraum stattdessen der voraussichtlichen Nutzungsdauer.

„den Zeitraum, in dem der Hersteller sicherstellen muss, dass die Schwachstellen des Produkts mit digitalen Elementen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

„beträgt der Unterstützungszeitraum mindestens fünf Jahre“

„Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.“

Hersteller müssen sicherstellen, dass Schwachstellen des Produkts wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen behandelt werden: in der Praxis ein dokumentiertes Verfahren, um Meldungen entgegenzunehmen, zu bewerten, zu beheben und Behebungen zu veröffentlichen, samt einem Kontaktweg für Meldende. Produkte müssen mit einer sicheren Standardkonfiguration auf dem Markt bereitgestellt werden, sofern Hersteller und gewerblicher Nutzer für ein maßgeschneidertes Produkt nichts anderes vereinbart haben.

„wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

„mit einer sicheren Standardkonfiguration auf dem Markt bereitgestellt werden, sofern zwischen dem Hersteller und dem gewerblichen Nutzer in Bezug auf ein maßgeschneidertes Produkt mit digitalen Elementen nichts anderes vereinbart wurde“

Artikel 14 richtet sich an Hersteller, wie schon seine Überschrift zeigt; nach Artikel 24 Absatz 3 gelten Teile davon auch für Verwalter quelloffener Software. Ein Hersteller meldet aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gleichzeitig dem als Koordinator benannten CSIRT und der ENISA über die einheitliche Meldeplattform. Die Fristen laufen ab Kenntnis: eine Frühwarnung innerhalb von 24 Stunden, eine Meldung von Schwachstellen innerhalb von 72 Stunden, ein Abschlussbericht zu einer aktiv ausgenutzten Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, und ein Abschlussbericht zum Sicherheitsvorfall innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls.

„Meldepflichten der Hersteller“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

„unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle“

„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen“

„unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt“

„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller von dem Sicherheitsvorfall Kenntnis erlangt hat, eine Meldung des Sicherheitsvorfalls“

„spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht“

„innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht“

Artikel 14 erfasst eine aktiv ausgenutzte Schwachstelle, die im Produkt enthalten ist, und einen schwerwiegenden Sicherheitsvorfall, nicht jede katalogisierte Schwachstelle. Die Verordnung bestimmt die aktiv ausgenutzte Schwachstelle als eine, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie ausgenutzt hat. Ob diese Nachweise vorliegen, ist eine Tatsachenfrage in Ihrem Fall: Sind nur ein CVE-Eintrag, ein Schweregrad oder ein Proof of Concept bekannt, fehlt dieser Nachweis. Die Behandlung von Schwachstellen nach Anhang I Teil II Nummer 2 gilt davon unabhängig.

Zwei Punkte aus den Leitlinien der Kommission, die nicht verbindlich sind: Eine Schwachstelle in einer Drittkomponente ist nur meldepflichtig, wenn sie im eigenen Produkt ausgenutzt wird (Randnummer 218; die Begriffsbestimmung selbst spricht von einer Ausnutzung „in einem System“, wird also eine Komponentenschwachstelle in anderen Systemen ausgenutzt und ist eine Ausnutzung in Ihrem Produkt nicht bekannt, liefert die Prüfung „Prüfung erforderlich“), und die Fristen beginnen, wenn Sie nach einer sofortigen Erstbewertung mit hinreichender Sicherheit von der Ausnutzung oder dem Sicherheitsvorfall wissen (Randnummer 213). Die kostenlose Prüfung Ist diese Schwachstelle oder dieser Vorfall meldepflichtig? Prüfung zu Artikel 14 führt ein einzelnes Ereignis durch diese Fragen und zeigt, ob Ihre Angaben eine aktiv ausgenutzte Schwachstelle (Artikel 14 Absatz 1) oder einen schwerwiegenden Sicherheitsvorfall (Artikel 14 Absatz 3) beschreiben. Der Beitrag Wann muss eine Schwachstelle nach Artikel 14 gemeldet werden? stellt den Maßstab im Text dar. Orientierung, keine Rechtsberatung. Cybiq reicht nie etwas in Ihrem Namen ein oder übermittelt es.

„eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

„unverzüglich Schwachstellen behandeln und beheben, unter anderem durch Bereitstellung von Sicherheitsaktualisierungen; soweit technisch machbar, müssen neue Sicherheitsaktualisierungen getrennt von den Funktionsaktualisierungen bereitgestellt werden“

Ja. Die vier Meldevorlagen nach Artikel 14 im Paket zu 199 EUR drucken die Feldliste und die Zeichengrenzen aus dem Glossar der ENISA zur einheitlichen Meldeplattform der Cyberresilienz-Verordnung (Version 1.5, letzte Aktualisierung der ENISA am 15. Oktober 2026, von Cybiq abgerufen am 19. Oktober 2026) neben den Inhalten, die Artikel 14 der Verordnung (EU) 2024/2847 verlangt. Die Plattformspalte ist eine Spezifikation, kein Recht: Die Verordnung legt fest, was eine Meldung enthalten muss, das Glossar, wie die Plattform danach fragt.

Die ENISA ändert ihr Glossar, daher beobachtet Cybiq es und nennt die Version, die ein Dokument verwendet hat. Zwei Felder tragen einen Plattformhinweis: eines kommt mit einer späteren Version der Plattform, eines ist heute als „festgestellt“ gekennzeichnet. Cybiq reicht nichts ein und übermittelt nichts in Ihrem Namen.

„Meldepflichten der Hersteller“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

Ja, für Agenten und Skripte. Das MCP-Werkzeug compute_reporting_deadlines und POST /api/deadlines, beide auf /de/for-agents.html beschrieben, nehmen den Zeitpunkt der Kenntniserlangung, den Sie angeben, und liefern die äußeren Fristen von 24 und 72 Stunden in ihrer frühesten Lesart, dazu eine Kalenderdatei. Geben Sie bei einer Schwachstelle den Zeitpunkt an, zu dem eine Korrekturmaßnahme zur Verfügung stand, oder bei einem Sicherheitsvorfall den Zeitpunkt der Übermittlung der Meldung, liefern beide auch die Frist für den Abschlussbericht von 14 Tagen oder einem Monat. Stunden werden auf den genauen Zeitpunkt der Kenntniserlangung addiert, und ein Monat endet am selben Kalendertag des Folgemonats, höchstens am letzten Tag dieses Monats. Jede Meldung ist in jedem Fall schon vor diesen Fristen unverzüglich zu übermitteln.

Einen Rechner im Browser gibt es mit Absicht nicht, weil die Frist mit einer Tatsache beginnt, die nur Sie kennen. Cybiq reicht nichts ein und übermittelt nichts in Ihrem Namen.

„unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle“

„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen“

Mit der CE-Kennzeichnung erklärt der Hersteller, dass das Produkt und die von ihm festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen genügen. Sie muss gut sichtbar, lesbar und dauerhaft angebracht sein. Bei Produkten in Form von Software wird die Kennzeichnung stattdessen auf der EU-Konformitätserklärung oder auf der das Softwareprodukt begleitenden Website angebracht.

„eine Kennzeichnung, durch die ein Hersteller erklärt, dass ein Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I und anderen geltenden Harmonisierungsrechtsvorschriften der Union über ihre Anbringung genügen“

„gut sichtbar, lesbar und dauerhaft hervorgeht“

„Bei Produkten mit digitalen Elementen in Form von Software wird die CE-Kennzeichnung entweder auf der EU-Konformitätserklärung gemäß Artikel 28 oder auf der das Softwareprodukt begleitenden Website angebracht.“

Die technische Dokumentation wird vor dem Inverkehrbringen des Produkts erstellt und gegebenenfalls zumindest während des Unterstützungszeitraums laufend aktualisiert. Ihr Inhalt steht in Anhang VII. Achten Sie auf die Nummerierung: Anhang V enthält das Muster der EU-Konformitätserklärung, nicht die technische Dokumentation.

„Die technische Dokumentation wird vor dem Inverkehrbringen des Produkts mit digitalen Elementen erstellt und gegebenenfalls, zumindest während des Unterstützungszeitraums, laufend aktualisiert.“

„INHALT DER TECHNISCHEN DOKUMENTATION“

„EU-KONFORMITÄTSERKLÄRUNG“

Das vollständige Compliance-Paket enthält das Arbeitsblatt zur Bewertung der Cybersicherheitsrisiken als Abschnitt 13. Es ist eine leere Struktur zum Ausfüllen: eine Tabelle für den Kontext Ihres Produkts und ein Risikoregister mit leeren, nummerierten Zeilen. Die Skalen für Eintrittswahrscheinlichkeit und Auswirkung legen Sie selbst fest und dokumentieren sie. Das Arbeitsblatt enthält keine vorausgefüllten Bedrohungen und keine Bewertungsmethode, denn Cybiq führt Ihre Bewertung nicht durch, und eine fertige Bedrohungsliste würde das nahelegen.

Es ist keine fertige Bewertung und keine Bescheinigung der Konformität. Das Dokument wird in Ihrem Browser erzeugt, und wir speichern nicht, was Sie darin eintragen. Cybiq reicht nie etwas in Ihrem Namen ein oder übermittelt es. Ihre fertige Bewertung gehört in Ihre technische Dokumentation, die nach der Verordnung vor dem Inverkehrbringen des Produkts erstellt und gegebenenfalls zumindest während des Unterstützungszeitraums laufend aktualisiert werden muss. Anhang VII legt ihren Inhalt fest.

„Die technische Dokumentation wird vor dem Inverkehrbringen des Produkts mit digitalen Elementen erstellt und gegebenenfalls, zumindest während des Unterstützungszeitraums, laufend aktualisiert.“

„INHALT DER TECHNISCHEN DOKUMENTATION“

Kapitel IV, die Notifizierung von Konformitätsbewertungsstellen (Artikel 35 bis 51), gilt seit dem 11. Juni 2026. Die Meldepflichten nach Artikel 14 gelten seit dem 11. September 2026. Alles Übrige gilt ab dem 11. Dezember 2027.

„Diese Verordnung gilt ab dem 11. Dezember 2027. Artikel 14 gilt jedoch ab dem 11. September 2026, und Kapitel IV (Artikel 35 bis 51) gilt ab dem 11. Juni 2026.“

„NOTIFIZIERUNG VON KONFORMITÄTSBEWERTUNGSSTELLEN“

Die Mitgliedstaaten erlassen die Vorschriften über Sanktionen und müssen für ihre Umsetzung sorgen; die Verordnung setzt die Obergrenzen. Nach Artikel 64 Absatz 2 werden bei Verstößen gegen die grundlegenden Cybersicherheitsanforderungen und die Artikel 13 und 14 Geldbußen von bis zu 15 000 000 EUR oder, im Falle von Unternehmen, von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes verhängt, je nachdem, welcher Betrag höher ist. Nach Artikel 64 Absatz 3 werden bei Verstößen gegen weitere Pflichten der Wirtschaftsakteure Geldbußen von bis zu 10 000 000 EUR oder von bis zu 2 % verhängt, je nachdem, welcher Betrag höher ist.

„Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen diese Verordnung zu verhängen sind, und treffen alle für die Umsetzung der Sanktionen erforderlichen Maßnahmen.“

„werden Geldbußen von bis zu 15 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“

„werden Geldbußen von bis zu 10 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“

Die unmittelbare rechtliche Folge ist das eben beschriebene Sanktionsregime: Die Mitgliedstaaten setzen national erlassene Sanktionen durch, begrenzt durch die Obergrenzen des Artikels 64. Wie die Durchsetzung im Einzelnen abläuft, ist von Mitgliedstaat zu Mitgliedstaat verschieden; behandeln Sie diese Obergrenzen deshalb als äußeren Rahmen und nicht als Vorhersage. Artikel 14 gilt seit dem 11. September 2026, die übrigen Pflichten gelten ab dem 11. Dezember 2027.

„Die Mitgliedstaaten erlassen Vorschriften über Sanktionen, die bei Verstößen gegen diese Verordnung zu verhängen sind, und treffen alle für die Umsetzung der Sanktionen erforderlichen Maßnahmen.“

„werden Geldbußen von bis zu 15 000 000 EUR oder — im Falle von Unternehmen — von bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist.“

Ja, sofern die Abgabe im Rahmen einer Geschäftstätigkeit erfolgt. Die Bereitstellung auf dem Markt erfasst die entgeltliche wie die unentgeltliche Abgabe; kostenlose Tarife, Gratisangebote und kostenlose Downloads eines Unternehmens zählen daher wie Verkäufe.

„die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit“

Nein. Die Verordnung gilt nicht für natürliche oder juristische Personen, die Quellcode zu freien und quelloffenen Produkten beitragen, die nicht ihrer Verantwortung unterliegen. Dieser Schutz gilt Beitragenden; ein Projekt zu betreiben oder zu monetarisieren ist etwas anderes und kann Sie als Verwalter oder als Hersteller, der die Software unter seinem Namen vermarktet, in den Anwendungsbereich bringen.

„Diese Verordnung gilt nicht für natürliche oder juristische Personen, die mit Quellcode zu Produkten mit digitalen Elementen beitragen, die als freie und quelloffene Software eingestuft sind und nicht ihrer Verantwortung unterliegen.“

Drei Fälle ziehen eine Bewertung unter Beteiligung Dritter nach sich. Produkte der Klasse II nach Anhang III weisen die Konformität über die EU-Baumusterprüfung mit Fertigungskontrolle nach, über die umfassende Qualitätssicherung oder, sofern verfügbar und anwendbar, über ein europäisches Schema für die Cybersicherheitszertifizierung mindestens der Vertrauenswürdigkeitsstufe „mittel“. Produkte der Klasse I nach Anhang III verlieren das interne Kontrollverfahren, sobald harmonisierte Normen, gemeinsame Spezifikationen oder Zertifizierungsschemata nicht vollständig angewandt werden. Kritische Produkte nach Anhang IV unterliegen durchgehend dem strengsten Weg. Die Ausnahme des Artikels 32 Absatz 5 gilt für den gesamten Anhang III: Freie und quelloffene Software beider Klassen darf stattdessen die Verfahren des Artikels 32 Absatz 1 nutzen, sofern ihre technische Dokumentation nach Artikel 31 zum Zeitpunkt des Inverkehrbringens öffentlich zugänglich ist.

„Der Hersteller führt eine Konformitätsbewertung des Produkts mit digitalen Elementen und der vom Hersteller festgelegten Verfahren durch, um festzustellen, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt sind.“

„Handelt es sich bei dem Produkt um ein wichtiges Produkt mit digitalen Elementen, das in Klasse II gemäß Anhang III fällt, so erbringt der Hersteller den Nachweis der Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der folgenden Verfahren:“

„sofern verfügbar und anwendbar, ein europäisches Schema für die Cybersicherheitszertifizierung gemäß Artikel 27 Absatz 9 der vorliegenden Verordnung mindestens auf der Vertrauenswürdigkeitsstufe „mittel“ gemäß der Verordnung (EU) 2019/881“

„a) EU-Baumusterprüfverfahren (auf der Grundlage von Modul B) gemäß Anhang VIII und anschließend Konformität mit dem EU-Baumuster auf der Grundlage der internen Fertigungskontrolle (auf der Grundlage von Modul C) gemäß Anhang VIII oder b) eine Konformitätsbewertung auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H) gemäß Anhang VIII.“

„KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN“

„Hersteller von Produkten mit digitalen Elementen, die als freie und quelloffene Software gelten und in die in Anhang III aufgeführten Kategorien fallen, können die Konformität mit den grundlegenden Cybersicherheitsanforderungen in Anhang I anhand eines der in Absatz 1 dieses Artikels genannten Verfahren nachweisen, sofern die in Artikel 31 genannte technische Dokumentation zum Zeitpunkt des Inverkehrbringens dieser Produkte der Öffentlichkeit zugänglich gemacht wird.“

Ein erhebliches Cybersicherheitsrisiko ist ein Risiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall führt, der schwerwiegende negative Auswirkungen hat und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte. Diese Schwelle verpflichtet Einführer und Händler, die Marktüberwachungsbehörden unverzüglich zu unterrichten.

„ein Cybersicherheitsrisiko, bei dem aufgrund seiner technischen Merkmale davon auszugehen ist, dass es mit hoher Wahrscheinlichkeit zu einem Sicherheitsvorfall führen wird, der schwerwiegende negative Auswirkungen haben und erhebliche materielle oder immaterielle Verluste oder Störungen verursachen könnte“

„Wenn das Produkt mit digitalen Elementen ein erhebliches Cybersicherheitsrisiko birgt, unterrichten die Einführer zudem unverzüglich die Marktüberwachungsbehörden der Mitgliedstaaten, in denen sie das Produkt mit digitalen Elementen auf dem Markt bereitgestellt haben“