Die Fragen, die man uns vor der Unterschrift stellt

Die Meldepflichten des Art. 14 gelten ab dem 11. September 2026. Die übrigen Herstellerpflichten und die grundlegenden Anforderungen des Anhangs I gelten ab dem 11. Dezember 2027. Wer bereits Produkte auf dem Markt hat, unterliegt der Meldung aktiv ausgenutzter Schwachstellen ab dem ersten Datum, unabhängig davon, wann das Produkt in Verkehr gebracht wurde.

Zwei Kategorien: aktiv ausgenutzte Schwachstellen im Produkt und schwerwiegende Vorfälle mit Auswirkungen auf die Sicherheit des Produkts. Schwachstellen, die nur entdeckt oder offengelegt wurden, ohne Nachweis einer Ausnutzung, müssen nicht gemeldet werden, ebenso wenig Störungen ohne Sicherheitsrelevanz. Der Unterschied muss dokumentiert werden: Ein begründetes „Nein“ zählt als Sorgfalt, ein stilles „Nein“ nicht.

Verlässliche Anhaltspunkte, dass jemand die Schwachstelle ohne Genehmigung in einem System ausgenutzt hat: Protokolle unautorisierter Ausführung, ein funktionierender Exploit im Umlauf, die Bestätigung eines CSIRT oder eines Kunden mit Belegen. Theoretischer Verdacht genügt nicht; die Bestätigung eines einzigen realen Falls schon.

Ja. Nach der Meldung an die Behörden informiert der Hersteller die Nutzer des betroffenen Produkts unverzüglich und nennt, wo angebracht, die Korrektur- oder Risikominderungsmaßnahmen, die sie ergreifen können. Der Hinweis ist aufzubewahren: Er ist der Beleg, dass der Markt informiert wurde.

Sie muss dem Betreuer der Komponente gemeldet werden, zusätzlich zu den Pflichten gegenüber den Behörden, wenn die Ausnutzungsvoraussetzung erfüllt ist. In der Anwendung erscheint die Aufgabe automatisch, wenn die SBOM des Produkts Drittkomponenten enthält, mit dem Kontakt des Betreuers bereits verfügbar.

Nein, und das ist Absicht. Die Einreichung auf der zentralen Meldeplattform der ENISA ist ein Akt des Herstellers, mit eigenen EU-Login-Zugangsdaten und eigener Unterschrift. Die Anwendung bereitet den endgültigen Text vor, versiegelt ihn mit Zeitstempel, führt Sie Feld für Feld durch das Formular und bewahrt die hochgeladene Quittung auf. Kein Vermittler tritt zwischen Sie und die Behörde.

Einen halben Tag. Sie registrieren die Produkte, auch per CSV-Import; benennen die Kontakte mit Eskalationsstufen und Alarmschwellen; veröffentlichen das öffentliche Meldeformular; legen die EU-Login-Zugangsdaten an. Der Übungsmodus erlaubt, den gesamten Ablauf ohne rechtswirksame Akte durchzuspielen.

Die Frist läuft ab dem Moment der Kenntnisnahme, der im Triage mit Datum und Uhrzeit erfasst wird. Ab diesem Moment zeigt der Fall die verbleibende Zeit, den Zeitbalken und die Erinnerungen bei −12, −8, −4 und −1 Stunde, gesendet an den Kontakt der jeweiligen Stufe über Slack, Teams oder E-Mail.

Ein einziges geordnetes PDF: Fall- und Produktdatenblatt, die Meldung wie eingegangen mit Anhängen, den Triage-Pfad mit der angewandten Rechtsgrundlage, die entworfene und eingereichte Kommunikation, Quittungen und Bestätigungen, verbundene Pflichten (Art. 14(8) und 13(6)) und die vollständige Chronologie mit den Integritätskennungen jedes Eintrags.

Ja. Jede Gesellschaft hat ein eigenes Register, eigene Produkte und Nutzer; derselbe Nutzer wechselt über die Auswahl zwischen ihnen, und jeder Wechsel wird protokolliert. Jede Gesellschaft zählt ihre eigenen verwalteten Produkte, und die Trennung kann in einem Enterprise-Vertrag auch vertraglich verankert werden.

Die Einstufung bleibt Ihre, aber sie bleibt nicht implizit. Jeder Schritt protokolliert Antwort, angewandten Artikel, Autor und Zeit: Entscheiden Sie, dass die Pflicht nicht entsteht, ist die Begründung geschrieben und verteidigbar. Es ist das Gegenteil des Schweigens, das sich bei einer Prüfung nicht erklären lässt.

Nein. Die SBOM-Integrationen und die APIs sind optional. Wer bereits Dependency-Track, Syft, Snyk, Black Duck, FOSSA, JFrog Xray, Mend oder den Abhängigkeitsgraphen von GitHub nutzt, verbindet sie und sieht Drittkomponenten in den Fällen erscheinen; wer sie nicht nutzt, arbeitet mit dem von Hand oder per CSV gefüllten Produktregister.

Ja, mit einem einzufügenden iframe: konfigurierbare Felder (Produkt und Version, Anhänge, PGP-Schlüssel, anonyme Meldung), editierbarer Einleitungstext, ein eigener E-Mail-Alias und White-Label-Erscheinung. Jede Einsendung öffnet einen Fall mit Zeitstempel und gibt dem Meldenden eine Vorgangsnummer zurück.

Ja: Endpunkte für Fälle, Triage, Meldungen und Register, dazu HMAC-SHA256-signierte Webhooks für Ereignisse (Fall angelegt, Triage abgeschlossen, Frist naht, Meldung eingereicht). Jeder Schlüssel hat wählbare Berechtigungen und lässt sich mit 24 Stunden Überlappung rotieren.

Rollen (Administrator, Prüfer, nur Abrechnung, nur Lesen), Zugriffsanfragen mit Administratorfreigabe, Zwei-Faktor-Verifizierung mit Wiederherstellungscodes, Verwaltung aktiver Sitzungen und ein Protokoll jeder Berechtigungsänderung.

In der Europäischen Union. Das Aktivitätsregister wird fünf Jahre aufbewahrt, entsprechend der Notwendigkeit, Sorgfalt nachzuweisen. Die Verarbeitung regelt ein Vertrag nach Art. 28 DSGVO, mit öffentlicher Liste der Unterauftragsverarbeiter.

Ja. Jeder Eintrag trägt eine Kennung, berechnet aus Zeitstempel, Inhalt und Verweisen: Die Änderung eines einzigen Zeichens erzeugt eine andere Kennung, sodass jede Veränderung im Vergleich offensichtlich ist. Das Register lässt sich als CSV exportieren und wird vollständig im Nachweisdossier wiedergegeben.

Nur, um aus der eingegangenen Meldung den beschreibenden Entwurf des Ereignisses vorzuschlagen, und der Text muss immer von einer Person validiert werden. Einstufung, Fristenberechnung und Einreichung werden keinen generativen Modellen anvertraut. Die Einzelheiten stehen auf der Seite zum Einsatz von KI.

Verstöße gegen die Pflichten der Artikel 13 und 14 des Cyber Resilience Act können Geldbußen bis zu 15 Mio. € oder 2,5 % des gesamten weltweiten Jahresumsatzes nach sich ziehen, je nach Verstoß, Akteur und den in der Verordnung genannten Umständen. Hinzu kommen Marktrücknahmen und der kommerzielle Schaden gegenüber Kunden, die in Ausschreibungen Konformität verlangen.

Monats- oder Jahresabonnement mit zwei inkludierten Monaten, Kartenzahlung über Stripe; auf Anfrage Überweisung, Rechnung mit 30 Tagen Ziel, SEPA-Lastschrift oder Aufträge per Verwaltungsdekret. Keine Mehrjahresbindung: Die Kündigung wirkt zum Ende des bezahlten Zeitraums, und Sie exportieren Register und Dossiers.

Ja, mit anderem Einsatz: Sie verfolgen eingegangene Meldungen, leiten sie an den Hersteller weiter und dokumentieren, dass sie es getan haben. Der Preis folgt den deklarierten verwalteten Produkten, ein kleiner Katalog kostet also wenig; wer Drittprodukte unter eigener Marke verkauft, unterliegt den Herstellerpflichten.

Wir führen geführte Übungen an Ihrem Prozess durch und begleiten das Team bei den ersten echten Meldungen. Wir sind keine Anwaltskanzlei und erteilen keine Rechtsberatung: Bei der Einstufung von Grenzfällen arbeiten wir mit Ihrem Berater.