Unterrichtung der Nutzer

Die Unterrichtung der Nutzer ist die Pflicht des Herstellers, diejenigen zu erreichen, die ein Produkt tatsächlich einsetzen, sobald sich dessen Sicherheitslage verschlechtert. Der Cyber Resilience Act (CRA) regelt sie an mehreren Stellen, und überall steht sie eigenständig neben der Meldung an die Behörden. Wer gemeldet hat, hat damit noch niemanden unterrichtet.

Der Kern: Artikel 14 Absatz 8

Die Pflicht entsteht, sobald der Hersteller Kenntnis von einer aktiv ausgenutzten Schwachstelle oder von einem schwerwiegenden Sicherheitsvorfall mit Auswirkungen auf die Produktsicherheit erlangt. Zu unterrichten sind dann die betroffenen Nutzer des Produkts und gegebenenfalls alle Nutzer.

Der Inhalt ist zweigeteilt. Über die Schwachstelle oder den Sicherheitsvorfall selbst ist stets zu unterrichten. Erforderlichenfalls kommen die Risikominderungs- und Korrekturmaßnahmen hinzu, die die Nutzer selbst ergreifen können, um die Auswirkungen zu mindern. Gegebenenfalls geschieht das in einem strukturierten, maschinenlesbaren Format, das leicht automatisch zu verarbeiten ist.

Eine Frist nennt Artikel 14 Absatz 8 nicht. Er knüpft an die Kenntniserlangung an; der zweite Satz setzt lediglich voraus, dass rechtzeitig unterrichtet wird. Diese Offenheit hat eine scharfe Kehrseite: Versäumt es der Hersteller, rechtzeitig zu informieren, dürfen die als Koordinatoren benannten CSIRTs die Informationen selbst an die Nutzer geben, wenn sie das für verhältnismäßig und erforderlich halten, um die Auswirkungen zu verhindern oder abzumildern. Die Unterrichtung findet dann ohne den Hersteller statt, und er erfährt von ihrem Wortlaut erst hinterher.

Anhang I Teil II Nummer 4: die öffentliche Offenlegung

Daneben steht eine zweite Pflicht mit anderem Auslöser. Sobald eine Sicherheitsaktualisierung bereitgestellt worden ist, müssen Hersteller Informationen über die beseitigte Schwachstelle teilen und veröffentlichen. Der Mindestinhalt ist ausdrücklich benannt:

• eine Beschreibung der Schwachstelle
• Angaben, anhand deren die Nutzer das betroffene Produkt erkennen können
• die Auswirkungen der Schwachstelle und ihre Schwere
• eindeutige und verständliche Informationen, die den Nutzern helfen, die Schwachstelle zu beheben

Auslöser ist hier die Verfügbarkeit der Korrektur, nicht die Kenntnis vom Problem. Die Nummer erlaubt außerdem einen Aufschub: In hinreichend begründeten Fällen, in denen die Hersteller die Risiken der Veröffentlichung höher gewichten als deren Vorteile für die Sicherheit, dürfen sie warten, bis die Nutzer Gelegenheit hatten, den Patch anzuwenden. Für Artikel 14 Absatz 8 gibt es keine vergleichbare Klausel.

Weitere Anlässe über die Produktlebensdauer

• Verfügbare Aktualisierungen: Anhang I Teil I Nummer 2 Buchstabe c verlangt, soweit zutreffend und auf Grundlage der Bewertung der Cybersicherheitsrisiken, bei automatischen Sicherheitsaktualisierungen eine Benachrichtigung der Nutzer über verfügbare Aktualisierungen sowie die Möglichkeit, sie vorübergehend zu verschieben.
• Ende des Unterstützungszeitraums: Nach Artikel 13 Absatz 19 zeigen Hersteller den Nutzern eine Mitteilung an, dass dieser Zeitpunkt erreicht ist, sofern das angesichts der Art des Produkts technisch machbar ist.
• Historische Versionen: Wer nach Artikel 13 Absatz 11 ein öffentliches Softwarearchiv betreibt, muss die Nutzer klar und in leicht zugänglicher Form über die Risiken der Verwendung nicht unterstützter Software informieren.
• Einstellung der Betriebstätigkeit: Artikel 13 Absatz 23 verlangt, vor dem Wirksamwerden der Einstellung die Marktüberwachungsbehörden und die Nutzer der betroffenen Produkte zu unterrichten, letztere mit allen verfügbaren Mitteln und soweit möglich.
• Hinweise zur Aktualisierung: Anhang I Teil II Nummer 8 verlangt, Sicherheitsaktualisierungen zusammen mit Hinweisen und einschlägigen Informationen zu verbreiten, auch über mögliche zu treffende Maßnahmen.

Die Kette endet nicht beim Hersteller. Erfahren Einführer oder Händler, dass der Hersteller seine Betriebstätigkeit eingestellt hat, trifft dieselbe Unterrichtungspflicht sie selbst, nach Artikel 19 Absatz 8 und Artikel 20 Absatz 6. Auch Verwalter quelloffener Software sind erfasst: Nach Artikel 24 Absatz 3 gilt Artikel 14 Absatz 8 für sie, soweit schwerwiegende Sicherheitsvorfälle die Netz- und Informationssysteme beeinträchtigen, die sie für die Entwicklung solcher Produkte bereitstellen.

Kanal und Form bleiben weitgehend offen

Der CRA schreibt keinen Kanal vor. Erwägungsgrund 67 nennt für die Unterrichtung über schwerwiegende Sicherheitsvorfälle als Beispiele die Veröffentlichung einschlägiger Informationen auf der Website des Herstellers und, wenn dieser die Nutzer erreichen kann und die Cybersicherheitsrisiken es rechtfertigen, die direkte Kontaktaufnahme. Erwägungsgrund 56 hält allgemein fest, dass der Hersteller die Nutzer über Schwachstellen informieren sollte, unabhängig davon, ob das Produkt für automatische Aktualisierungen ausgelegt ist. Die vorhandene Benutzerschnittstelle nennt derselbe Erwägungsgrund allerdings nur für einen bestimmten Anlass: Verfügt ein Produkt über eine Benutzerschnittstelle oder ähnliche technische Mittel der direkten Interaktion, soll der Hersteller sie nutzen, um die Nutzer über das Erreichen des Endes des Unterstützungszeitraums zu unterrichten. Für solche Mitteilungen mahnt er im selben Atemzug Zurückhaltung an: Sie sollen sich auf das beschränken, was für den tatsächlichen Empfang der Information erforderlich ist, und das Nutzererlebnis nicht beeinträchtigen.

Das maschinenlesbare Format aus Artikel 14 Absatz 8 ist die Stelle, an der die Vorschrift auf gängige Praxis trifft. Ein Format nennt der CRA nicht. In der Industrie tragen diese Aussage heute Advisories im CSAF-Format, oft ergänzt um VEX-Angaben zur Betroffenheit einzelner Versionen. Das ist eine Einordnung der Praxis, keine Vorgabe des Verordnungstextes: Wer bereits so veröffentlicht, hat für den Zusatz „gegebenenfalls in einem strukturierten, maschinenlesbaren Format“ ein naheliegendes Werkzeug zur Hand, ist damit aber noch nicht der Pflicht enthoben, die betroffenen Nutzer auch tatsächlich zu erreichen.

Abgrenzung zu Meldung und Nutzerinformationen

Drei Pflichten werden regelmäßig vermischt. Die Meldepflichten des Artikels 14 richten sich an das als Koordinator benannte CSIRT und die ENISA, laufen über die einheitliche Meldeplattform und folgen einem festen Zeitplan aus Frühwarnung innerhalb von 24 Stunden, Meldung innerhalb von 72 Stunden und Abschlussbericht. Die Unterrichtung der Nutzer richtet sich an den Markt und kennt keinen solchen Zeitplan. Die Informationen und Anleitungen für den Nutzer nach Anhang II sind das statische Paket, das dem Produkt von Anfang an beiliegt.

Praktisch heißt das: Eine Meldung über die einheitliche Meldeplattform erfüllt Artikel 14 Absatz 8 nicht, und ein vollständiges Informationspaket nach Anhang II ebenso wenig.

Geltung und Sanktionen

Artikel 14 gilt bereits ab dem 11. September 2026. Anhang I und Artikel 13 gelten dagegen erst ab dem 11. Dezember 2027, dem allgemeinen Geltungsbeginn der Verordnung; früher gilt sonst nur Kapitel IV (Artikel 35 bis 51) über die Notifizierung der Konformitätsbewertungsstellen, nämlich ab dem 11. Juni 2026. Die Unterrichtung der Nutzer nach Artikel 14 Absatz 8 gehört damit zu den ersten Pflichten des CRA, die Hersteller überhaupt treffen.

Verstöße gegen die Artikel 13 und 14 sowie gegen Anhang I fallen in die oberste Stufe des Artikels 64 Absatz 2: Geldbußen bis zu 15 000 000 EUR oder, im Falle von Unternehmen, bis zu 2,5 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.