Cyber Resilience Act: Was Hersteller seit September melden müssen

Für die meisten Pflichten ja, die gelten ab dem elften Dezember zweitausendsiebenundzwanzig. Die Meldepflichten aus Artikel vierzehn gelten aber schon seit dem elften September zweitausendsechsundzwanzig.

Eine EU-Verordnung, auf Deutsch Cyberresilienz-Verordnung, mit Sicherheitspflichten für Produkte mit digitalen Elementen. Gemeint ist Hard- und Software, die sich mit einem Gerät oder einem Netz verbinden kann.

Ihre Maschinen haben eine Steuerung mit Software und oft einen Fernwartungszugang. Damit sind Sie in aller Regel Hersteller eines solchen Produkts, und die Verordnung spricht Sie direkt an.

Nein. NIS2 regelt die Sicherheit Ihres Betriebs, das war Thema der Folgen eins und zwei, die Cyberresilienz-Verordnung regelt die Sicherheit Ihres Produkts beim Kunden.

Zwei Dinge: jede aktiv ausgenutzte Schwachstelle in Ihrem Produkt und jeden schwerwiegenden Sicherheitsvorfall, der die Sicherheit des Produkts beeinträchtigt. Die erste Frühwarnung muss spätestens nach vierundzwanzig Stunden raus.

Welche Ihrer Maschinen betroffen sind, ab wann die Uhr läuft und wie Sie einen Angriff im eigenen Haus richtig einordnen. Dafür gehen wir drei typische Fälle durch.

Für die Meldepflicht spielt das keine Rolle. Nach Artikel neunundsechzig, Absatz drei gilt Artikel vierzehn auch für Produkte, die vor dem elften Dezember zweitausendsiebenundzwanzig in Verkehr gebracht wurden.

Ja. Laut Leitlinie der EU-Kommission vom Juli zweitausendsechsundzwanzig gilt die Meldepflicht weiter, auch wenn der Unterstützungszeitraum eines Produkts abgelaufen ist.

Nein. Die Pflichten zur Behandlung von Schwachstellen aus Anhang eins, Teil zwei, gelten für solche Altprodukte laut derselben Leitlinie nicht.

Solange Sie sie nicht wesentlich ändern. Bauen Sie eine solche Maschine nach dem elften Dezember zweitausendsiebenundzwanzig wesentlich um, gelten alle Anforderungen, so steht es in Artikel neunundsechzig, Absatz zwei.

In der Regel nicht. Ein Update, das nur eine bekannte Lücke schließt und den Zweck der Maschine nicht ändert, gilt laut Erwägungsgrund neununddreißig nicht als wesentliche Änderung.

Nein. Wussten Sie schon vor dem elften September von der Ausnutzung, verlangt die Verordnung laut Leitlinie keine rückwirkende Meldung.

Dann ist sie meldepflichtig. Entscheidend ist, wann Sie von der Ausnutzung erfahren, nicht wann Sie die Lücke entdeckt haben.

Sie. Wer ein Produkt herstellen lässt und unter eigenem Namen oder eigener Marke vermarktet, ist nach Artikel drei, Nummer dreizehn Hersteller.

Lassen Sie eine Liste aller Maschinentypen mit Steuerungssoftware oder Fernzugang anlegen, auch für alte Baureihen. Je Typ notieren Sie, in welche EU-Länder Sie geliefert haben.

Die brauchen Sie schon für die Frühwarnung nach vierundzwanzig Stunden. Artikel vierzehn verlangt dort die Mitgliedstaaten, in denen das Produkt nach Ihrer Kenntnis bereitgestellt wurde.

Deshalb legen Sie die Liste jetzt gemeinsam an und nicht erst in der Nacht eines Vorfalls.

Noch nicht ganz. Laut Leitlinie der Kommission prüfen Sie den Verdacht sofort, und die Frist beginnt, sobald Sie danach hinreichend sicher von einer Ausnutzung ausgehen.

Das wäre riskant. Die Leitlinie betont eine zügige Erstprüfung, besonders wenn die Lücke ein großes Risiko sein kann.

Es braucht verlässliche Nachweise, dass ein Angreifer die Lücke ohne Zustimmung des Eigentümers in einem System ausgenutzt hat. So definiert es Artikel drei, Nummer zweiundvierzig.

Das allein reicht laut BSI nicht, ebenso wenig ein Beispielcode zur Vorführung oder das bloße Abtasten offener Netzzugänge. Es muss eine tatsächliche Ausnutzung in echten Systemen geben.

Dann ist sie nicht meldepflichtig, Funde aus Tests in gutem Glauben nimmt Erwägungsgrund achtundsechzig aus. Schließen sollten Sie die Lücke natürlich trotzdem.

Wird sie in Ihrer Maschine ausgenutzt, melden Sie. Ist der fehlerhafte Code in Ihrer Maschine nicht erreichbar oder dort nicht ausgenutzt, sind Sie laut Leitlinie nicht meldepflichtig.

Informieren Sie ihn trotzdem. Für Maschinen, die ab Dezember zweitausendsiebenundzwanzig in Verkehr kommen, ist das nach Artikel dreizehn, Absatz sechs Pflicht.

Über die einheitliche Meldeplattform der EU-Agentur für Cybersicherheit, kurz ENISA. Die Meldung geht gleichzeitig an das zuständige Notfallteam, für Deutschland ist das ein Team im BSI.

Eine Pflicht dazu gibt es nicht, laut BSI dauern Registrierung und Meldung im Ernstfall wenige Minuten. Sie brauchen aber ein EU-Login-Konto, und die Meldung schreiben Sie auf Englisch.

Das legen Sie vorher fest. Die Plattform kennt eine Hauptperson je Hersteller, die weitere Vertreter einladen kann, also benennen Sie mindestens eine Vertretung.

Nach vierundzwanzig Stunden die Frühwarnung mit den betroffenen Ländern. Nach zweiundsiebzig Stunden die Meldung mit Art der Ausnutzung, ergriffenen Maßnahmen und dem, was Kunden selbst tun können.

Spätestens vierzehn Tage, nachdem eine Korrektur oder eine Maßnahme zur Risikominderung verfügbar ist. Damit kann schon eine Behelfslösung die Frist starten, nicht erst das fertige Update.

Nicht unbedingt. Nach Artikel vierzehn, Absatz sechs kann das Notfallteam einen Zwischenbericht anfordern.

Verlassen Sie sich nicht darauf. Laut ENISA setzt der Zähler die Zweiundsiebzig-Stunden-Frist derzeit achtundvierzig Stunden nach der Frühwarnung an, rechtlich zählt aber allein der Zeitpunkt Ihrer Kenntnis.

Sie informieren die betroffenen Nutzer selbst, auch darüber, was sie zum Schutz tun können. Tun Sie das nicht rechtzeitig, darf das Notfallteam nach Artikel vierzehn, Absatz acht Ihre Kunden informieren.

Nicht zwingend. Laut Leitlinie dürfen Sie Einzelheiten bei sensiblen Anlagen auf die betroffenen Kunden beschränken, und in der Meldung können Sie angeben, wie sensibel die Angaben sind.

Nicht automatisch. Das BSI schreibt ausdrücklich, dass ein Erpressungsangriff beim Hersteller nicht von selbst ein schwerwiegender Vorfall im Sinne der Verordnung ist.

Wenn er sich auf die Sicherheit Ihres Produkts auswirkt. Das BSI nennt als Beispiele manipulierte Software, Updates, Signaturschlüssel oder Produktfunktionen.

Kommen die Angreifer an den Server, über den Sie Updates an die Maschinen verteilen, ist das der Musterfall. Erwägungsgrund achtundsechzig nennt genau das: Schadcode im Kanal für Sicherheitsupdates.

Auch das kann reichen. Nach Artikel vierzehn, Absatz fünf ist ein Vorfall schwerwiegend, wenn er Schadcode beim Nutzer ermöglichen oder den Schutz wichtiger Daten oder Funktionen schwächen kann.

Unter Umständen ja, auf zwei Wegen. Nach Paragraf zweiunddreißig BSI-Gesetz melden Sie einen erheblichen Vorfall im Betrieb an die gemeinsame Meldestelle von BSI und Bundesamt für Bevölkerungsschutz und Katastrophenhilfe.

Die läuft getrennt über die EU-Plattform. Die Takte sind ähnlich: vierundzwanzig Stunden, zweiundsiebzig Stunden, Abschlussbericht einen Monat nach der zweiten Meldung.

Derzeit nicht, laut BSI melden Sie auf beiden Wegen und können jeweils auf die andere Meldung verweisen. Eine Zusammenlegung im sogenannten Digital Omnibus hat die Kommission erst vorgeschlagen, beschlossen ist sie nicht.

Artikel vierundsechzig nennt für Verstöße gegen Artikel vierzehn bis zu fünfzehn Millionen Euro oder zweieinhalb Prozent des weltweiten Jahresumsatzes. Es gilt der höhere Betrag, die Einzelheiten regeln die Mitgliedstaaten.

Nur für Klein- und Kleinstunternehmen, und nur beim Versäumen der Vierundzwanzig-Stunden-Frist. Mit hundertachtzig Leuten fallen Sie nicht darunter.

In Deutschland sitzt die Marktüberwachung für diese Verordnung beim BSI. Dort ist auch das Notfallteam angesiedelt, das Ihre Meldungen koordiniert.

Schreiben Sie in Ihren Notfallplan eine feste Prüffrage: Sind Update-Server, Signaturschlüssel oder Maschinensoftware betroffen? Bei Ja startet sofort die Erstprüfung für die Produktmeldung.

Ein benannter Verantwortlicher mit Vertretung. Er hält schriftlich fest, wann die Erstprüfung abgeschlossen war, denn dieser Zeitpunkt ist Ihr Fristbeginn.

Erstens: Die Meldepflicht gilt seit dem elften September auch für Maschinen, die längst beim Kunden stehen. Legen Sie eine Liste aller Typen mit Software und ihren Lieferländern an.

Legen Sie fest, wer einen Verdacht sofort prüft und wann die Prüfung als abgeschlossen gilt. Ab dann laufen vierundzwanzig und zweiundsiebzig Stunden, bei einer Schwachstelle folgt der Abschluss vierzehn Tage nach der Abhilfe.

Benennen Sie eine Person mit Vertretung für die EU-Meldeplattform. Und prüfen Sie bei jedem Angriff auf Ihr Netz, ob Update-Wege oder Schlüssel betroffen sind.

Mit einem Ablauf, den Sie einmal trocken durchspielen, bevor es ernst wird. Einen Meldeassistenten mit Fristen-Uhr für alle drei Stufen und den Zwischenbericht finden Sie bei frag.hugo.