Meldebereitschaft nach Artikel 14 des CRA

Vor einer Meldung vorbereitet sein

Vor einem Vorfall sollte der Hersteller wissen, welche Produkte in den Anwendungsbereich fallen, wer Meldungen einreichen darf, welches koordinierende CSIRT sie entgegennimmt und in welchen Mitgliedstaaten die Produkte bereitgestellt wurden.

Koordinierendes CSIRT

Die Meldung ist über den elektronischen Meldeendpunkt des CSIRT einzureichen, das als Koordinator des Mitgliedstaats benannt wurde, in dem der Hersteller seine Hauptniederlassung in der Union hat; sie muss gleichzeitig für ENISA zugänglich sein.

Verordnung (EU) 2024/2847, Artikel 14 Absatz 7

Bei einem EU-Hersteller ist die Hauptniederlassung der Mitgliedstaat, in dem die Cybersicherheitsentscheidungen für das Produkt hauptsächlich getroffen werden. Lässt sich dies nicht bestimmen, gilt als Ersatz der Mitgliedstaat, in dem sich die Niederlassung des Herstellers in der Union mit der höchsten Beschäftigtenzahl befindet.

Bei einem Hersteller ohne Hauptniederlassung in der Union ist der Mitgliedstaat des koordinierenden CSIRT nach Artikel 14 Absatz 7 in der folgenden Reihenfolge und anhand der dem Hersteller verfügbaren Informationen zu bestimmen:

1. Der Mitgliedstaat, in dem der Bevollmächtigte niedergelassen ist, der für die größte Zahl der Produkte dieses Herstellers handelt.
2. Der Mitgliedstaat, in dem der Importeur niedergelassen ist, der die größte Zahl der Produkte dieses Herstellers auf dem Markt bereitstellt.
3. Der Mitgliedstaat, in dem der Händler niedergelassen ist, der die größte Zahl der Produkte dieses Herstellers auf dem Markt verfügbar macht.
4. Der Mitgliedstaat, in dem sich die größte Zahl der Nutzer der Produkte dieses Herstellers befindet.

Produkte nach Mitgliedstaat

Die Frühwarnung innerhalb von 24 Stunden verlangt die Angabe der Mitgliedstaaten, in denen das betroffene Produkt nach Kenntnis des Herstellers bereitgestellt wurde. Die SRP leitet Informationen außerdem an andere CSIRTs der Mitgliedstaaten weiter, in denen das Produkt verfügbar ist.

• direkte Verkäufe und Vertriebskanäle in der EU;
• Marktplätze, App-Stores und Downloadkanäle für Nutzer in der EU;
• Importeure und Händler, die das Produkt in bestimmten Mitgliedstaaten auf den Markt bringen oder dort verfügbar machen;
• Produktversionen, Firmware-Releases, cloudabhängige Funktionen oder Modellvarianten, die für die Meldung relevant sind.

Daten für Meldungen bereithalten

ENISA beschreibt die SRP als zentrale Anlaufstelle. Der Hersteller reicht die Meldung einmal ein; die Plattform leitet sie an das koordinierende CSIRT und ENISA weiter. Dafür müssen die internen Produkt- und Sicherheitsdaten weiterhin bereitstehen.

• wer zur Einreichung der Meldung befugt ist;
• welches Produkt, welche Version, Komponente oder Dienstfunktion betroffen ist;
• ob das Ereignis als aktiv ausgenutzte Schwachstelle oder als schwerwiegender Vorfall eingestuft wird;
• was bekannt ist, was noch untersucht wird und welche Abhilfemaßnahmen verfügbar sind;
• welche Nutzer oder Mitgliedstaaten betroffen sein könnten;
• wie der Hersteller betroffene Nutzer informiert, wenn Artikel 14 dies verlangt.

Meldepflichtige Ereignisse erkennen

Die Bedingungen, unter denen eine Meldung verpflichtend ist, werden erläutert in Meldung von Schwachstellen. Der Hersteller muss diese Ereignisse schnell genug erkennen, um die Fristen von 24 und 72 Stunden einzuhalten.