Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit

Ein Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit ist einer von zwei Anlässen, die im Cyber Resilience Act (CRA) eine Meldung an Behörden auslösen. Artikel 3 Nummer 44 führt ihn unter der vollen amtlichen Bezeichnung „Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts mit digitalen Elementen“. Die kürzere Form auf dieser Seite meint dasselbe.

Die Definition setzt auf einem älteren Begriff auf. Ein Sicherheitsvorfall ist nach Artikel 3 Nummer 43 ein Sicherheitsvorfall im Sinne der NIS-2-Richtlinie, also ein Ereignis, das die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit gespeicherter, übermittelter oder verarbeiteter Daten oder der über Netz- und Informationssysteme angebotenen oder zugänglichen Dienste beeinträchtigt. Artikel 3 Nummer 44 fügt den Produktbezug hinzu: Der Vorfall muss sich auf die Schutzfähigkeit eines Produkts mit digitalen Elementen auswirken oder auswirken können.

Das Wort „können“ trägt hier Gewicht. Ein eingetretener Schaden ist nicht verlangt. Es genügt, dass der Vorfall die Schutzfähigkeit des Produkts beeinträchtigen kann.

Der Unterschied zur Schwachstelle

Eine Schwachstelle ist eine Eigenschaft des Produkts, ein Sicherheitsvorfall dagegen ein Ereignis. Und dieses Ereignis spielt sich typischerweise beim Hersteller ab, nicht im ausgelieferten Gerät. Erwägungsgrund 68 beschreibt genau das: Gemeint sind Situationen, in denen ein Cybersicherheitsvorfall die Entwicklungs-, Herstellungs- oder Wartungsprozesse des Herstellers so beeinträchtigt, dass daraus ein erhöhtes Cybersicherheitsrisiko für Nutzer oder andere Personen entstehen könnte.

Das Beispiel, das die Verordnung selbst nennt, ist der kompromittierte Freigabekanal: Ein Angreifer schleust Schadcode in den Weg ein, über den der Hersteller Sicherheitsaktualisierungen an seine Nutzer ausliefert. Nach demselben Muster liegen der übernommene Buildserver, der entwendete Signaturschlüssel und das gekaperte Konto in einem Paketregister.

Die zweite Meldespur des CRA, die Aktiv ausgenutzte Schwachstelle, betrifft dagegen einen Fehler im Produkt selbst. Beide Spuren nutzen dieselbe Meldeplattform und dieselben ersten beiden Fristen von 24 und 72 Stunden, knüpfen aber an völlig verschiedene Sachverhalte an. Auch der Abschlussbericht folgt verschiedenen Regeln: bei der Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht (Artikel 14 Absatz 2 Buchstabe c), beim Sicherheitsvorfall innerhalb eines Monats nach der 72-Stunden-Meldung (Artikel 14 Absatz 4 Buchstabe c).

Meldepflichtig ist nur der schwerwiegende Vorfall

Artikel 14 Absatz 3 verpflichtet den Hersteller, jeden schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit zu melden, von dem er Kenntnis erlangt. Was schwerwiegend ist, sagt Artikel 14 Absatz 5. Eine der beiden Alternativen genügt:

• Der Vorfall wirkt sich negativ auf die Fähigkeit des Produkts aus, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder er kann das.
• Er hat zur Einführung oder Ausführung von Schadcode im Produkt oder im Netzwerk und Informationssystem eines Nutzers geführt, oder er kann dazu führen.

Gegenüber der Definition in Artikel 3 Nummer 44 sind das genau zwei Wörter Unterschied. Dort heißt es schlicht „von Daten oder Funktionen“, in Artikel 14 Absatz 5 Buchstabe a dagegen „von sensiblen oder wichtigen Daten oder Funktionen“. Genau diese Einschränkung trennt den meldepflichtigen vom nicht meldepflichtigen Vorfall. Näher definiert der CRA weder „sensibel“ noch „wichtig“, sodass die Einstufung eine begründete und dokumentierte Entscheidung des Herstellers bleibt.

Die Meldung in drei Stufen

Die Meldung geht gleichzeitig an das als Koordinator benannte CSIRT und an die ENISA, übermittelt über die Einheitliche Meldeplattform. Artikel 14 Absatz 4 staffelt sie in drei Schritten:

• 24 Stunden nach Kenntniserlangung die Frühwarnung. Sie gibt mindestens an, ob der Verdacht auf rechtswidrige oder böswillige Handlungen besteht, und gegebenenfalls, in welchen Mitgliedstaaten das Produkt nach Kenntnis des Herstellers bereitgestellt wurde.
• 72 Stunden nach Kenntniserlangung die eigentliche Meldung des Sicherheitsvorfalls mit allgemeinen Informationen, soweit verfügbar: Art des Vorfalls, erste Bewertung, ergriffene Korrektur- oder Risikominderungsmaßnahmen und das, was Nutzer selbst tun können. Hier gibt der Hersteller gegebenenfalls auch an, wie sensibel er die gemeldeten Informationen einschätzt.
• Ein Monat nach Übermittlung der 72-Stunden-Meldung der Abschlussbericht mit mindestens einer ausführlichen Beschreibung des Vorfalls einschließlich Schweregrad und Auswirkungen, Angaben zur Art der Bedrohung oder zur zugrunde liegenden Ursache, die den Vorfall wahrscheinlich ausgelöst hat, sowie zu den getroffenen und laufenden Abhilfemaßnahmen.

Dazwischen kann das als Koordinator benannte CSIRT, das die Meldung ursprünglich erhalten hat, nach Artikel 14 Absatz 6 einen Zwischenbericht über den Stand anfordern. Die ersten beiden Fristen laufen ab dem Zeitpunkt, zu dem der Hersteller Kenntnis erlangt, nicht ab dem Beginn des Vorfalls. Die Frist für den Abschlussbericht läuft dagegen ab der 72-Stunden-Meldung.

Nutzer unterrichten

Artikel 14 Absatz 8 verlangt zusätzlich eine Unterrichtung der betroffenen Nutzer und gegebenenfalls aller Nutzer, einschließlich der Risikominderungs- und Korrekturmaßnahmen, die diese selbst ergreifen können, gegebenenfalls in einem strukturierten, maschinenlesbaren Format, das leicht automatisch zu verarbeiten ist. Diese Pflicht steht neben der Behördenmeldung und kennt keine Stundenfrist, sondern nur das Merkmal „rechtzeitig“.

Informiert der Hersteller die Nutzer nicht rechtzeitig, dürfen die unterrichteten als Koordinatoren benannten CSIRTs die Nutzer selbst informieren, soweit sie das für verhältnismäßig und erforderlich halten, um die Auswirkungen zu verhindern oder abzumildern. Artikel 17 Absatz 2 geht noch weiter: Ist eine Sensibilisierung der Öffentlichkeit erforderlich, kann das als Koordinator benannte CSIRT nach Konsultation des Herstellers die Öffentlichkeit informieren oder den Hersteller dazu auffordern.

Freiwillig meldbar ist mehr

Nach Artikel 15 Absatz 2 darf jeder Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit freiwillig gemeldet werden, also auch der, der die Schwelle „schwerwiegend“ nicht erreicht, ebenso ein Beinahe-Vorfall, der zu einem solchen Vorfall hätte führen können. Artikel 15 Absatz 5 stellt klar, dass aus einer freiwilligen Meldung keine Pflichten erwachsen, die ohne sie nicht bestanden hätten. Meldet auf diesem Weg jemand anderes als der Hersteller einen schwerwiegenden Vorfall, unterrichtet das CSIRT den Hersteller unverzüglich.

Ab wann, und was bei Verstoß

Artikel 14 gilt nach Artikel 71 bereits ab dem 11. September 2026. Der übrige CRA gilt ab dem 11. Dezember 2027, Kapitel IV über die Notifizierung der Konformitätsbewertungsstellen bereits ab dem 11. Juni 2026. Die Meldepflicht ist damit die erste Pflicht der Verordnung, die den Hersteller selbst trifft.

Verstöße gegen Artikel 14 sind nach Artikel 64 Absatz 2 mit Geldbußen bis zu 15 000 000 Euro oder, im Falle von Unternehmen, bis zu 2,5 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres bewehrt, je nachdem, welcher Betrag höher ist. Artikel 64 Absatz 10 Buchstabe a nennt Hersteller, die als Kleinst- oder Kleinunternehmen gelten, in Bezug auf die Nichteinhaltung der 24-Stunden-Frist nach Artikel 14 Absatz 2 Buchstabe a oder Artikel 14 Absatz 4 Buchstabe a. Diese Ausnahme ist allerdings als Abweichung von den Absätzen 3 bis 9 formuliert, während Verstöße gegen Artikel 14 in Absatz 2 geregelt sind.

Vorbeugung verlangt der CRA ohnehin an anderer Stelle. Anhang I Teil I Nummer 2 fordert, soweit zutreffend und auf Grundlage der Cybersicherheitsrisikobewertung nach Artikel 13 Absatz 2, unter Buchstabe h die Verfügbarkeit wesentlicher und grundlegender Funktionen auch nach einem Sicherheitsvorfall und unter Buchstabe k eine Bauweise, die die Auswirkungen eines Vorfalls von vornherein verringert.