Nora Steddin —

Der Cyber Resilience Act (CRA, Verordnung (EU) 2024/2847) gilt in weiten Teilen erst ab dem 11. Dezember 2027. Die Meldepflichten aus Art. 14 CRA greifen jedoch bereits ab dem 11. September 2026. Ab diesem Tag müssen Hersteller in der Lage sein, eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall binnen 24 Stunden zu melden. Damit sind die Meldepflichten der erste Baustein des CRA, der Hersteller unmittelbar in die Pflicht nimmt.

Dieser Beitrag zeigt, wann eine Meldepflicht entsteht, welche Fristen gelten und was jetzt vorzubereiten ist.

Anwendungsbereich und Adressaten des CRA haben wir in unserem Übersichtsbeitrag behandelt.

Was muss gemeldet werden?

Art. 14 CRA kennt zwei Meldetatbestände, die unabhängig nebeneinander stehen:

• Aktiv ausgenutzte Schwachstelle: eine Schwäche des vernetzten Produkts mit digitalen Elementen, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Herstellers tatsächlich ausgenutzt hat.

Dass eine Schwachstelle besteht oder theoretisch ausnutzbar wäre, genügt also nicht; für die tatsächliche Ausnutzung muss es konkrete Anhaltspunkte geben.

• Schwerwiegender Sicherheitsvorfall: ein Sicherheitsvorfall, der die Fähigkeit des vernetzten Produkts mit digitalen Elementen beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder der zur Einschleusung bzw. Ausführung von Schadcode im Produkt selbst oder im Netz- und Informationssystem eines Nutzers geführt hat oder führen kann.

In diesem Meldetatbestand geht es also um Ereignisse, die die Sicherheit des vernetzten Produkts mit digitalen Elementen berühren, nicht um allgemeine Betriebsstörung.

Beispiele: Wann greift die Meldepflicht, wann nicht?

Die Europäische Kommission veranschaulicht in ihren FAQ die Abgrenzung der Meldepflichtigkeit von Schwachstellen an drei Konstellationen:

• Meldepflichtig: Ein Sicherheitsforscher veröffentlicht einen Bericht über eine bislang unbekannte Schwachstelle, die bereits gezielt für Angriffe ausgenutzt wird.
• Nicht meldepflichtig: Ein ethischer Hacker meldet eine Schwachstelle über ein Bug-Bounty-Programm, oder ein beauftragtes Testlabor findet die Schwachstelle bei einem Penetrationstest. In beiden Konstellationen gibt es jeweils keine Anhaltspunkte für eine tatsächliche Ausnutzung der Schwachstelle.
• Drittkomponenten: Enthält das vernetzte Produkt mit digitalen Elementen eine Komponente eines Drittherstellers und in dieser Drittkomponente befindet sich eine aktiv ausgenutzte Schwachstelle, muss der Hersteller des Endprodukts die Schwachstelle melden, sofern diese im eigenen Produkt erreichbar und ausnutzbar ist. Andernfalls entfällt die Meldepflicht; die Schwachstelle muss aber trotzdem an den Dritthersteller gemeldet werden.

Für schwerwiegende Sicherheitsvorfälle, die sich auf die Sicherheit des vernetzten Produkts mit digitalen Elementen auswirken, nennt Erwägungsgrund 68 des CRA ausdrücklich den Fall, dass ein Angreifer ein Schadprogramm in den Freigabekanal einschleust, über den der Hersteller des vernetzten Produkts mit digitalen Komponenten Sicherheitsaktualisierungen für dieses Produkt für die Nutzer bereitstellt.

Anders sieht es beispielsweise bei Ransomwareangriffen aus: Diese unterliegen nicht generell der Meldepflicht aus dem CRA, sondern nur, wenn sich derartige Angriffe auch konkret auf die Sicherheit vernetzter Produkte mit digitalen Elementen auswirken. Wichtig ist jedoch, dass neben der Meldepflicht aus dem CRA auch Meldepflichten aus anderen Gesetzen bestehen können, z.B. aus der NIS-2-Richtlinie oder aus der DSGVO. Ob die Meldepflichten nach diesen Gesetzen greifen, ist unabhängig davon zu beurteilen, ob eine Meldepflicht nach dem CRA besteht. Zudem können auch nicht meldepflichtige Schwachstellen und Sicherheitsvorfälle freiwillig an die ENISA gemeldet werden.

Welche Fristen gelten und an wen muss gemeldet werden?

Die Meldefristen nach dem CRA sind sehr kurz:

Frühwarnung

• Aktiv ausgenutzte Schwachstelle: binnen 24 Stunden ab Kenntnis
• Schwerwiegender Sicherheitsvorfall: binnen 24 Stunden ab Kenntnis

Meldung

• Aktiv ausgenutzte Schwachstelle: binnen 72 Stunden ab Kenntnis
• Schwerwiegender Sicherheitsvorfall: binnen 72 Stunden ab Kenntnis

Abschlussbericht

• Aktiv ausgenutzte Schwachstelle: binnen 14 Tagen, nachdem eine Korrektur- oder Risikominderungsmaßnahme (z. B. Patch) zur Verfügung steht
• Schwerwiegender Sicherheitsvorfall: binnen eines Monats nach der 72-Stunden-Meldung

In Bezug auf den Beginn der Meldefristen ist zu beachten, dass diese nach Art. 14 CRA erst beginnen, wenn der Hersteller einen angemessenen Grad an Gewissheit über die aktive Ausnutzung oder die Beeinträchtigung der Produktsicherheit hat. Das bedeutet jedoch nicht, dass Unternehmen diese Prüfung hinauszögern sollten; vielmehr hat auch hier die Prüfung zügig zu erfolgen.

Zudem regelt der CRA nicht, ob bei der Berechnung der 24- und 72-Stunden-Fristen Wochenenden und Feiertage berücksichtigt werden müssen. Da jedoch beide Fristen nach Stunden bemessen sind und die allgemeinen Fristenregelungen des Unionsrechts vorsehen, dass derartigen Fristen auch an Wochenenden und Feiertagen weiterlaufen, sollten Unternehmen auch an Wochenenden und Feiertag meldefähig sein.

Des Weiteren ist zu beachten, dass sich beim Abschlussbericht die Anknüpfungspunkte, ab wann die Fristen jeweils laufen, unterscheiden: Bei aktiv ausgenutzten Schwachstellen läuft die Frist erst ab Verfügbarkeit einer Korrektur- oder Risikominderungsmaßnahme und ist daher einigermaßen flexibel; bei schwerwiegenden Sicherheitsvorfällen ist sie fest an die 72-Stunden-Meldung gekoppelt.

Gemeldet werden sowohl aktiv ausgenutzte Schwachstellen als auch schwerwiegende Sicherheitsvorfälle über die zentrale Single Reporting Platform der ENISA (SRP), gleichzeitig an die ENISA und an das zuständige Computer Security Incident Response Team (CSIRT). Das zuständige CSIRT ist in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI). Auch wenn das betroffene vernetzte Produkt mit digitalen Elementen in mehreren Mitgliedsstaaten bereitgestellt wird, reicht eine zentrale Meldung über die SRP; die Weiterleitung an betroffene Mitgliedstaaten übernimmt das empfangende CSIRT.

Welche Informationen muss eine Meldung enthalten?

Die unterschiedlichen Meldungen in Bezug auf eine aktiv ausgenutzte Schwachstelle bzw. einen schwerwiegenden Sicherheitsvorfall bauen aufeinander auf, so dass es sich bei allen drei abzugebenden Meldungen um eine sich fortschreibende Meldung und nicht um drei unabhängige Vorgänge handelt.

Bei der Frühwarnung muss beispielsweise angegeben werden, in welchen Mitgliedstaaten das vernetzte Produkt mit digitalen Elementen bereitgestellt wurde und ob bei schwerwiegenden Sicherheitsvorfällen der Verdacht rechtswidriger oder böswilliger Handlungen besteht.

Die 72-Stunden-Meldung muss demgegenüber

• allgemeine Angaben zum vernetzten Produkt mit digitalen Elementen,
• allgemeine Angaben zur Art der Schwachstellenausnutzung oder des Sicherheitsvorfalls,
• bei meldepflichtigen Sicherheitsvorfällen eine erste Bewertung des Sicherheitsvorfalls,
• Angaben zu ergriffenen Maßnahmen und zu Maßnahmen, die Nutzer ergreifen können, sowie
• eine Angabe dazu, als wie sensibel die gemeldeten Informationen angesehen werden,

enthalten.

Im Abschlussbericht müssen zusätzlich folgende Informationen zur Verfügung gestellt werden:

• Eine Beschreibung der Schwachstelle oder des Sicherheitsvorfalls (inklusive Schweregrad und Auswirkungen),
• bei Sicherheitsvorfällen Angaben zur Art der Bedrohung bzw. der dem Sicherheitsvorfall zugrundeliegenden Ursache,
• bei Schwachstellen Angaben über jeden böswilligen Akteur, der die Schwachstelle ausgenutzt hat oder noch ausnutzt, sowie
• Angaben zu getroffenen und laufenden Abhilfemaßnahmen bzw. bei Schwachstellen Informationen über die zur Verfügung gestellte Sicherheitsaktualisierung oder andere Korrekturmaßnahmen.

Nicht vergessen: Die Information der Nutzer

Neben der Meldung an Behörden sind Hersteller zusätzlich verpflichtet, betroffene Nutzer und, soweit angemessen, alle Nutzer des vernetzten Produkts mit digitalen Elementen über die Schwachstelle oder den Sicherheitsvorfall und über mögliche Gegenmaßnahmen zu informieren.

Ein Automatismus zur unterschiedslosen Veröffentlichung folgt daraus laut den Leitlinien der EU Kommission jedoch nicht. Nach der Auslegung der Kommission ist die Pflicht zur Information der Nutzer risikobasiert anzuwenden. Die Information kann daher beispielsweise bei sensiblen Einsatzumgebungen des vernetzten Produkts mit digitalen Elementen zunächst auf betroffene Kunden beschränkt werden; nach Behebung kann eine breitere Information sinnvoll sein.

Für derartige Nutzerinformationen sollte ein eigener, vom behördlichen Meldeweg getrennter,  Kommunikationspfad (z.B. Sicherheitshinweise auf der Website, direkte Kundenansprache) bestehen. Kommen Hersteller der Verpflichtung Nutzer zu informieren nämlich nicht rechtzeitig nach, können die CSIRTs die Nutzer selbst informieren.

Gelten die Meldepflichten auch für Bestandsprodukte?

Ja. Anders als die übrigen Anforderungen des CRA gelten die Meldepflichten ab dem 11. September 2026 unabhängig vom Zeitpunkt des Inverkehrbringens des vernetzten Produkts mit digitalen Elementen. Entsprechend greifen die Meldepflichten auch für Bestandsprodukte, selbst wenn diese schon länger nicht mehr weiterentwickelt werden.

Aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle, die bereits in der Vergangenheit liegen, sind jedoch nicht zu melden – jedenfalls, wenn diese bereits vor dem 11. September 2026 bekannt waren. Wird die aktiv ausgenutzte Schwachstelle oder der schwerwiegende Sicherheitsvorfall erst ab dem 11. September 2026 erkannt, greifen die Meldepflichten hingegen.

Was sollten Unternehmen jetzt konkret tun?

Da die Registrierung auf der SRP über ein EU-Login-Konto läuft, sollten Unternehmen bereits jetzt ein entsprechendes EU-Login-Konto für die Personen anlegen, die für spätere Meldungen verantwortlich sein sollen.

Eine proaktive Registrierung bei der SRP soll hingegen nach Auskunft der ENISA – anders als beispielsweise bei den Registrierungspflichten nach der NIS-2-Richtlinie – nicht erforderlich sein. Vielmehr empfiehlt die ENISA, sich erst zu registrieren, wenn es eine meldepflichtige Schwachstelle oder einen meldepflichtigen Sicherheitsvorfall bei dem jeweiligen Unternehmen gibt.

Entsprechend liegen die aktuellen ToDos für Unternehmen weniger bei der Registrierung, sondern vielmehr in der eigenen Organisation. Um im Ernstfall frist- und ordnungsgemäße Meldungen abgeben zu können, sollten Unternehmen bereits jetzt

• interne Verantwortlichkeiten für Erkennung, Bewertung und Meldung festlegen,
• Eskalationswege definieren, die die 24-Stunden-Frist auch außerhalb der Geschäftszeiten tragen, und
• Bestandsprodukte identifizieren, für die im Ernstfall gemeldet werden müsste.

Wer erst im Ernstfall klärt, wer bewertet, wer freigibt und wer meldet, wird die 24-Stunden-Frist nämlich kaum einhalten können.

Haben Sie Fragen?

Wenn Sie klären möchten, welche Ihrer Produkte von den Meldepflichten des Cyber Resilience Act erfasst sind, wie ein interner Meldeprozess aussehen kann oder wenn wir Sie beim Umgang mit aktiv ausgenutzten Schwachstellen oder schwerwiegenden Sicherheitsvorfällen unterstützen sollen, stehen Ihnen Nora Steddin, Senior Associate und Rechtsanwältin im Referat IT-Recht und Datenschutz, sowie das Team von Vogel & Partner Rechtsanwälte mbB gerne zur Verfügung.

Nora Steddin, Senior Associate, Rechtsanwältin: nos@vogel-partner.eu

Häufige Fragen zu den Meldepflichten nach dem CRA