Ein dokumentiertes „Nein“ ist so viel wert wie ein „Ja“: wie sich ein Hersteller verteidigt
Nicht zu melden ist ein legitimes Ergebnis. Aber es schützt nur, wenn es damals begründet und aufgeschrieben wurde, nicht hinterher rekonstruiert. Bei einer Marktüberwachungsprüfung sieht eine undokumentierte richtige Entscheidung genauso aus wie eine Unterlassung.
Die Asymmetrie: Die Behörde prüft den Prozess, nicht nur das Ergebnis
Wenn ein Prüfer einen Fall ansieht, fragt er nicht „haben Sie gemeldet oder nicht?“. Er fragt, ob Sie in der Lage waren zu entscheiden, und ob Sie nachvollziehbar entschieden haben. Das ist der Punkt, den fast alle übersehen: Eine verteidigbare Akte mit einem schriftlichen „Nein“ schlägt jedes Mal ein undokumentiertes „Ja“, denn die erste zeigt einen funktionierenden Prozess und das zweite nur Glück.
Ein Hersteller, der aus Vorsicht alles gemeldet hat, aber nicht erklären kann warum, steht schwächer da als einer, der nichts gemeldet hat, weil — Fall für Fall — kein Ereignis die Schwelle erreichte, und das beweisen kann. Die Pflicht ist nicht zu melden: Sie ist, jedes Ereignis richtig einzustufen und nach der Einstufung zu handeln. Die Meldepflichten des Art. 14 setzen eine Bewertung voraus; die Bewertung ist, was die Behörde prüft.
Was ein guter Nachweis enthält
Ein Nachweis, der standhält, ist kein langes Dokument. Es ist ein kurzes, das sechs Fragen ohne Ausflüchte beantwortet. Das Ereignis: was ankam und über welchen Kanal. Der Moment der Kenntnisnahme: der Zeitstempel, ab dem jede Frist läuft, festgehalten, als er geschah. Die Einstufung: ausgenutzt oder nicht, Vorfall oder nicht — mit dem angewandten Artikel daneben, denn dieser Artikel fixiert die Fristen.
Dann die Begründung: zwei, drei Sätze, warum das Ereignis so eingestuft wurde. Die Belege: das Protokoll, die E-Mail, die Scanner-Ausgabe, die Notiz des Analysten — worauf die Begründung sich stützt. Und schließlich die berechneten Fristen: Selbst wenn das Fazit „keine Pflicht“ lautet, beweist das Aufschreiben der Fristen, denen man gegenübergestanden hätte, dass man wusste, dass die Uhr existiert. Fehlt der Einstufungsschritt, lässt sich nichts berechnen — der häufigste Mangel in den internen Prozessen, die man uns zeigt.
Die Behörde kann kurzfristig fragen
Die Marktüberwachungsbehörde kann die Konformitätsdokumentation anfordern — kurzfristig und ohne Begründungspflicht. Ein Nachweisdossier existiert genau dafür: mit dem zu antworten, was schon existiert, statt Monate von Entscheidungen unter Druck zu rekonstruieren — eine Rekonstruktion, die, so ehrlich sie sei, immer nachträglich wirkt.
Der Unterschied zwischen den beiden Situationen ist nicht die Qualität Ihres Engineerings. Es ist, ob die Entscheidung im Moment ihres Entstehens festgehalten wurde. Ein am selben Tag geschriebener Nachweis ist Beweis; derselbe Inhalt, in der Woche der Prüfung getippt, ist eine Erzählung — und Prüfer kennen den Unterschied.
Sorgfalt und Kooperation verringern die Exposition
Die Sanktionen sind nicht theoretisch. Ein Verstoß gegen die Pflichten der Art. 13 und 14 kann fünfzehn Millionen Euro oder 2,5 % des weltweiten Jahresumsatzes erreichen, je nachdem, was höher ist. Aber die Verordnung verlangt von den Behörden, Art und Schwere des Verstoßes zu würdigen, ob er fahrlässig oder vorsätzlich war, und den Grad der gezeigten Kooperation. Ein dokumentierter Prozess ist die konkrete Form, die „Sorgfalt“ annimmt.
Zwei Hersteller mit derselben versäumten Meldung werden nicht gleich behandelt. Wer zeigen kann, dass er das Ereignis bewertet, in gutem Glauben ein vertretbares Fazit gezogen und nach Auftauchen des Fehlers kooperiert hat, argumentiert aus einer Position, die der andere nicht hat. Die Akte verhindert nicht nur die Unterlassung — sie formt die Antwort, wenn trotzdem etwas schiefgeht.
Ein konkretes Beispiel: die als „nicht ausgenutzt“ beurteilte Abhängigkeit
Ein Scanner markiert eine bekannte Schwachstelle in einer Drittbibliothek in Ihrem Produkt. Der Ingenieur schaut sie an und folgert, dass sie in Ihrer Konfiguration nicht ausnutzbar ist: Der verwundbare Codepfad wird nie erreicht. Das Fazit ist wahrscheinlich richtig. Nirgends festgehalten, ist es in sechs Monaten nichts wert.
Hier der eine Absatz, der standhielte. „CVE-XXXX-NNNN gemeldet vom SBOM-Scan am 5. August 2026, 09:12, in Bibliothek X v2.3, Komponente von Produkt Y. Am selben Tag bewertet: keine verlässlichen Nachweise einer Ausnutzung in freier Wildbahn; die betroffene Funktion wird in unserem Build nicht aufgerufen (Aufrufgraf beigefügt). Eingestuft als nicht ausgenutzte Schwachstelle nach Art. 3(42): Frühwarnpflicht des Art. 14 nicht ausgelöst. Patch für das nächste Wartungsrelease geplant. Prüfer: [Name].“ Das genügt. Es benennt das Ereignis, die zeitgestempelte Kenntnisnahme, die Einstufung mit ihrem Artikel, die Begründung, die Belege und die Tatsache, dass die Fristenuhr bewusst geprüft und als nicht gestartet befunden wurde.
Multiplizieren Sie diesen Absatz mit der Handvoll Ereignisse, die monatlich Ihren Kanal kreuzen, und Sie haben ein Nachweisdossier, das Minuten kostet und eine Prüfung ohne eine einzige Rekonstruktion beantwortet. Das „Nein“ ist dokumentiert, und ein dokumentiertes „Nein“ ist so viel wert wie ein „Ja“.
Dieser Artikel beschreibt unsere Lesart des Verordnungstexts und stellt keine Rechtsberatung dar.
Risikoklasse