Fünf Werkzeuge für die Umsetzung der Cyberresilienz-Verordnung

1. security.txt erzeugen (RFC 9116)

Eine Datei security.txt unter /.well-known/security.txt sagt Sicherheitsforschenden, wie sie Sie mit einer Schwachstelle erreichen. Sie ist die praktische Eingangstür für die koordinierte Offenlegung von Schwachstellen, die die Verordnung erwartet. Die Feldnamen der Datei sind in RFC 9116 festgelegt und bleiben deshalb auch hier englisch.

„wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

2. Unterstützungszeitraum berechnen (Art. 13 Abs. 8)

Hersteller müssen einen Unterstützungszeitraum angeben. Die Verordnung setzt eine Untergrenze, eine kürzere voraussichtliche Nutzungsdauer kann sie jedoch senken. Geben Sie an, wie lange das Produkt voraussichtlich im Betrieb ist.

„beträgt der Unterstützungszeitraum mindestens fünf Jahre“

„Wird davon ausgegangen, dass das Produkt mit digitalen Elementen weniger als fünf Jahre im Betrieb ist, muss der Unterstützungszeitraum der voraussichtlichen Nutzungsdauer entsprechen.“

„dass das Enddatum des in Absatz 8 genannten Unterstützungszeitraums, zum Zeitpunkt des Kaufs in leicht zugänglicher Weise und sofern zutreffend auf dem Produkt mit digitalen Elementen, seiner Verpackung oder mit digitalen Mitteln klar und verständlich angegeben wird, wobei mindestens der Monat und das Jahr anzugeben sind“

3. Vorlage für die koordinierte Offenlegung von Schwachstellen

Anhang I Teil II Nummer 5 verlangt eine Strategie für die koordinierte Offenlegung von Schwachstellen. Dies ist eine kurze, veröffentlichungsfähige Fassung: Sie sagt Forschenden zu, dass Sie bei einer Meldung in gutem Glauben nicht rechtlich gegen sie vorgehen, nennt Ihre Zusagen und führt sowohl die nach Nummer 6 verlangte Kontaktadresse als auch die nach Art. 13 Abs. 17 verlangte zentrale Anlaufstelle. Sie gehört mit der security.txt oben zusammen.

„eine Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und umsetzen“

„eine Kontaktadresse für die Meldung der in dem Produkt mit digitalen Elementen entdeckten Schwachstellen angeben“

„benennen die Hersteller eine zentrale Anlaufstelle, die es den Nutzern ermöglicht, direkt und schnell mit ihnen zu kommunizieren, auch um die Meldung von Schwachstellen des Produkts mit digitalen Elementen zu erleichtern“

„wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden“

„unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle“

„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen“

4. Meldeweg nach Artikel 14

Artikel 14 gilt ab dem 11. September 2026 und bindet Hersteller. Diese Karte beantwortet zwei Fragen: an welchen Endpunkt des CSIRT-Koordinators Ihre Meldung geht und welche Fristen laufen, sobald Sie Kenntnis erlangen. Sie gibt die Regel wieder und nennt kein nationales CSIRT, denn die Verordnung nennt keines, und die Liste der benannten Koordinatoren führen die Mitgliedstaaten.

„Ein Hersteller meldet jede aktiv ausgenutzte Schwachstelle, die in dem Produkt mit digitalen Elementen enthalten ist und von der er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA.“

„richtet die ENISA eine einheitliche Meldeplattform ein“

„Die Architektur der einheitlichen Meldeplattform muss es den Mitgliedstaaten und der ENISA ermöglichen, ihre eigenen Endpunkte für die elektronische Meldung einzurichten.“

„Die Meldung wird über den Endpunkt für die elektronische Meldung des CSIRT übermittelt, der als Koordinator des Mitgliedstaats benannt wurde, in dem die Hersteller ihre Hauptniederlassung in der Union haben, und ist gleichzeitig für die ENISA zugänglich.“

„in dem die Entscheidungen im Zusammenhang mit der Cybersicherheit seiner Produkte mit digitalen Elementen überwiegend getroffen werden“

„Hat ein Hersteller keine Hauptniederlassung in der Union, so übermittelt er die in den Absätzen 1 und 3 genannten Meldungen unter Verwendung des Endpunkts für die elektronische Meldung des in dem Mitgliedstaat als Koordinator benannten CSIRT, der gemäß folgender Reihenfolge“

„unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über einen schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt“

„unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller von dem Sicherheitsvorfall Kenntnis erlangt hat, eine Meldung des Sicherheitsvorfalls“

„innerhalb eines Monats nach Übermittlung der Meldung des Sicherheitsvorfalls gemäß Buchstabe b einen Abschlussbericht“

„spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht“

„die Hersteller auffordern, einen Zwischenbericht über relevante Statusaktualisierungen“

„informiert er die betroffenen Nutzer des Produkts mit digitalen Elementen und gegebenenfalls alle Nutzer über diese Schwachstelle oder diesen schwerwiegenden Sicherheitsvorfall“

5. EU-Konformitätserklärung nach Anhang V erzeugen

Die EU-Konformitätserklärung ist das Dokument, das Sie ausstellen und mit dem Produkt ausliefern. Artikel 28 verlangt, dass der Hersteller sie ausstellt; Anhang V legt die acht nummerierten Angaben fest, die sie enthalten muss. Dieses Werkzeug formatiert Ihre eigenen Einträge in diese acht Angaben und beschriftet jede mit ihrer Nummer aus Anhang V, damit nichts stillschweigend fehlt.

Es ist eine andere Datei als die technische Dokumentation, deren Inhalt Anhang VII festlegt. Die vereinfachte Erklärung nach Art. 13 Abs. 20 ist nicht Teil dieses Werkzeugs.

„EU-KONFORMITÄTSERKLÄRUNG“

„Die EU-Konformitätserklärung gemäß Artikel 28 enthält alle folgenden Angaben“

„Die EU-Konformitätserklärung wird vom Hersteller gemäß Artikel 13 Absatz 12 ausgestellt und besagt, dass die Erfüllung der grundlegenden Cybersicherheitsanforderungen in Anhang I nachgewiesen worden ist.“

„den Namen und den Typ sowie alle zusätzlichen Informationen, die eine eindeutige Identifizierung des Produkts mit digitalen Elementen ermöglichen“

„den Namen und die Anschrift des Herstellers oder seines Bevollmächtigten“

„eine Erklärung darüber, dass der Anbieter die alleinige Verantwortung für die Ausstellung der EU-Konformitätserklärung trägt“

„den Gegenstand der Erklärung (Bezeichnung des Produkts mit digitalen Elementen zwecks Rückverfolgbarkeit, gegebenenfalls mit Foto)“

„eine Erklärung, dass der oben beschriebene Gegenstand der Erklärung den einschlägigen Harmonisierungsrechtsvorschriften der Union entspricht“

„Verweise auf die verwendeten einschlägigen harmonisierten Normen oder sonstigen gemeinsamen Spezifikationen oder die Cybersicherheitszertifizierung, für die die Konformität erklärt wird“

„gegebenenfalls den Namen und die Kennnummer der notifizierten Stelle, eine Beschreibung des durchgeführten Konformitätsbewertungsverfahrens und die Kennnummer der ausgestellten Bescheinigung“

Dieses Werkzeug formatiert die Einträge, die Sie eingeben, in die acht Angaben nach Anhang V. Ob das Produkt tatsächlich konform ist, entscheidet die Arbeit hinter der Erklärung, nicht die Datei. Unterzeichnen und datieren Sie die Fassung, die Sie ausstellen.