Schwachstellenmeldung nach der Cyberresilienz-Verordnung

Die Cyberresilienz-Verordnung (Cyber Resilience Act, Verordnung (EU) 2024/2847) erfasst Produkte mit digitalen Elementen: vernetzte Geräte, Apps zu ihrer Steuerung und die meiste in der EU verkaufte Software. Die meisten Anforderungen gelten ab dem 11. Dezember 2027, die Meldepflichten nach Artikel 14 gelten jedoch bereits seit dem 11. September 2026.

Was Hersteller melden müssen

Aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, die die Sicherheit ihrer Produkte beeinträchtigen, über die zentrale Meldeplattform der ENISA:

• eine Frühwarnung innerhalb von 24 Stunden nach Kenntnisnahme;
• eine Meldung innerhalb von 72 Stunden;
• einen Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrektur für eine Schwachstelle verfügbar ist, bzw. innerhalb eines Monats bei einem schwerwiegenden Vorfall.

Auch die Nutzer müssen informiert werden. Die Pflicht erstreckt sich auf bereits in Verkehr gebrachte Produkte, und Bußgelder bei Verstößen können 15 Millionen Euro oder 2,5 % des weltweiten Umsatzes erreichen. Einführer und Händler haben eigene Prüfpflichten, und ein Unternehmen, das ein Produkt unter seiner eigenen Marke anbietet, wird zu dessen Hersteller.

Unsere Leistungen

1. Anwendungsbereich — welche Ihrer Produkte digitale Elemente enthalten und wer der Hersteller ist.
2. SBOM — eine Software-Stückliste für jedes Produkt, einschließlich Komponenten von Drittanbietern.
3. Meldeeingang — ein öffentlicher Kontakt für Schwachstellenmeldungen und ein interner Triage-Prozess.
4. Ablaufplan — wer entscheidet, wer schreibt und wer jede Meldung fristgerecht einreicht, mit Vorlagen.
5. Bereitschaftsunterstützung — Hilfe bei der Vorbereitung und Einreichung von Meldungen im Ernstfall.

Besonders nützlich für Marken, die vernetzte Produkte von Herstellern in China importieren; Unterstützung auf Mandarin-Chinesisch (中文服务) verfügbar.

Zusammenarbeit

Listen Sie Ihre vernetzten Produkte über die Kontaktseite oder per WhatsApp auf.