Meldepflicht bei Sicherheitslücken: So erfüllen Sie die 24-Stunden-Frist

Was sich seit dem 11. September 2026 geändert hat und warum es nicht NIS2 ist

Die Verordnung (EU) 2024/2847 legt einheitliche Cybersicherheitsregeln für Produkte mit digitalen Elementen fest, d. h. sowohl für Hardware als auch für Software. Sie gilt als Ganzes ab dem 11. Dezember 2027, aber Artikel 14 über die Meldepflicht gilt bereits ab dem 11. September 2026 (Verordnung (EU) 2024/2847, Art. 71). Noch früher, ab dem 11. Juni 2026, gilt das Kapitel über Konformitätsbewertungsstellen, das die Hersteller jedoch nur indirekt betrifft.

Für Hersteller ist die Meldung nach Artikel 14 eine der wichtigsten Pflichten, die bereits vor der vollständigen Anwendbarkeit der Verordnung in Kraft getreten ist. Ein Unternehmen kann daher nicht bis Dezember 2027 warten. Viele Hersteller verfügen jedoch noch nicht über den erforderlichen Prozess. Wichtig ist auch zu wissen, dass sich diese Pflicht auf das Produkt selbst bezieht und nicht darauf, wie das Unternehmen seine eigenen Netzwerke und Systeme betreibt.

Genau hier unterscheidet sich die Regelung vom tschechischen Cybersicherheitsgesetz. Dieses regelt die Rechte und Pflichten von Personen im Bereich der Gewährleistung der Cybersicherheit, gilt für in der Tschechischen Republik ansässige Personen, setzt die entsprechende Vorschrift der Europäischen Union um und knüpft an direkt anwendbare Vorschriften der Europäischen Union an (§ 1 des Cybersicherheitsgesetzes). Das Gesetz basiert auf der Erbringung eines regulierten Dienstes, während die Verordnung über Cyberresilienz (Cyber-Resilience-Act) Pflichten basierend auf der Rolle des Akteurs in Bezug auf das Produkt auferlegt.

Das bedeutet jedoch nicht, dass produzierende Unternehmen außerhalb von NIS2 stehen. Zu den Sektoren, in denen eine Dienstleistung reguliert sein kann, zählt das tschechische Gesetz ausdrücklich auch die verarbeitende Industrie (§ 4 des Cybersicherheitsgesetzes). Ein Hersteller im Sinne der Verordnung kann somit gleichzeitig Anbieter eines regulierten Dienstes sein. Das neue Gesetz wird im Text über das neue Cybersicherheitsgesetz behandelt. Ein Unternehmen, das unter beide Regelungen fällt, muss diese voneinander trennen, da sie unterschiedliche Adressaten, unterschiedliche Begriffe und unterschiedliche Fristen haben.

Bin ich ein Hersteller, wenn ich meinen Namen auf ein fremdes Produkt setze?

Als Hersteller gilt nach der Verordnung nicht nur, wer ein Produkt selbst entwickelt oder herstellt, sondern auch, wer es entwerfen, entwickeln oder herstellen lässt und unter seinem eigenen Namen oder seiner eigenen Marke anbietet, sei es gegen Entgelt, eine andere Gegenleistung oder unentgeltlich (Verordnung (EU) 2024/2847, Art. 3 Nr. 13). Ein Unternehmen, das ein fremdes Gerät unter der eigenen Marke verkauft, trägt daher die Pflichten eines Herstellers, selbst wenn es keine einzige Zeile Code darin geschrieben hat.

Importeure und Händler gelten in zwei spezifischen Situationen als Hersteller: wenn sie ein Produkt unter ihrem eigenen Namen oder ihrer eigenen Marke in Verkehr bringen oder wenn sie eine wesentliche Veränderung an einem bereits auf dem Markt befindlichen Produkt vornehmen. In diesen Fällen unterliegen sie auch der Meldepflicht nach Artikel 14 (Art. 21 der Verordnung). Die Pflichten des Herstellers gelten nach der Verordnung auch für jede andere Person, die eine wesentliche Veränderung vornimmt und das Produkt auf dem Markt bereitstellt.

Ein Vertrag mit dem ursprünglichen Hersteller sollte daher festlegen, wer die Meldung erstattet und wer wem unverzüglich Informationen über eine ausgenutzte Schwachstelle übermittelt. Die Pflicht des Herstellers ergibt sich jedoch direkt aus der Verordnung, sodass sie in der Regel nicht durch den bloßen Verweis darauf, dass das Produkt tatsächlich von jemand anderem hergestellt wird, als erfüllt angesehen werden kann.

In der Praxis bedeutet dies, dass sich ein Unternehmen zunächst darüber im Klaren sein muss, in welcher Rolle es eigentlich auftritt. Ein Elektronikhändler, der sein Logo auf einem Gerät des Lieferanten anbringt, ein Produktionsbetrieb, der eine Steuerungseinheit mit eigener Software in seine Maschine einbaut, oder ein Integrator, der ein fremdes Produkt modifiziert, können sich bei einer solchen Analyse auf der Seite des Herstellers wiederfinden, obwohl sie sich selbst gar nicht so wahrnehmen.

Was ist eine aktiv ausgenutzte Schwachstelle und wann beginnt die Uhr zu ticken?

Eine aktiv ausgenutzte Schwachstelle ist nach der Verordnung eine Schwachstelle, bei der zuverlässige Beweise dafür vorliegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigentümers in einem System ausgenutzt hat (Art. 3 Nr. 42). Es reicht also nicht aus, dass ein Fehler bloß existiert oder technisch ausnutzbar ist; es muss ein zuverlässiger Beweis für seine tatsächliche böswillige Ausnutzung vorliegen. Dabei ist es keine Voraussetzung, dass bereits eine Sicherheitsverletzung bei den Nutzern aufgetreten ist. Ein Vorfall mit Auswirkungen auf die Sicherheit des Produkts ist in der Verordnung ein eigenständiger Begriff und wird separat gemeldet.

Umgekehrt erfüllt eine ohne böswillige Absicht im Rahmen von autorisierten Tests oder Sicherheitsforschung in gutem Glauben festgestellte Schwachstelle diese Definition nicht, da es an einem böswilligen Akteur und einer unbefugten Ausnutzung fehlt. Ein normaler Fund eines Sicherheitsforschers, der von niemandem ausgenutzt wird, löst daher keine Meldepflicht innerhalb von 24 Stunden aus. Das Unternehmen kann ihn jedoch freiwillig melden.

Achtung bei der Verwechslung von Begriffen. Das tschechische Cybersicherheitsgesetz definiert eine Schwachstelle breiter als eine Schwachstelle eines Assets oder einer Sicherheitsmaßnahme, die durch eine Bedrohung ausgenutzt werden kann, und einen Cybersicherheitsvorfall als eine Verletzung der Informationssicherheit im Cyberspace (§ 2 Abs. 2 des Cybersicherheitsgesetzes). Die Verordnung über Cyberresilienz sieht nur die Meldung einer aktiv ausgenutzten Schwachstelle und eines schwerwiegenden Vorfalls mit Auswirkungen auf die Sicherheit des Produkts vor, sodass dasselbe Ereignis das eine System auslösen kann und das andere nicht.

Die Frist beginnt in dem Moment, in dem der Hersteller von der Schwachstelle erfährt, nicht in dem Moment, in dem der Angreifer sie ausgenutzt hat. Entscheidend ist daher die interne Organisation: Wer im Unternehmen nimmt die Meldung entgegen, wer beurteilt, ob eine aktive Ausnutzung vorliegt, und wer ist berechtigt, die Meldung einzureichen. Wenn diese Rollen nicht im Voraus festgelegt sind, verliert das Unternehmen die ersten Stunden mit der Entscheidung, wer entscheiden soll.

Drei Meldungen, drei Fristen und wohin gemeldet wird

Der Hersteller übermittelt eine Frühwarnung unverzüglich und in jedem Fall innerhalb von 24 Stunden, nachdem er Kenntnis von der Schwachstelle erlangt hat, gegebenenfalls unter Angabe der Mitgliedstaaten, in denen das Produkt bereitgestellt wird. Es folgen eine Meldung der Schwachstelle innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage nach Bereitstellung einer Abhilfe- oder Risikominderungsmaßnahme (Verordnung (EU) 2024/2847, Art. 14 Abs. 2).

Bei schwerwiegenden Vorfällen, die sich auf die Sicherheit des Produkts auswirken, gilt ein ähnliches Verfahren von 24 und 72 Stunden, der Abschlussbericht ist jedoch innerhalb eines Monats nach Einreichung der 72-Stunden-Meldung des Vorfalls vorzulegen (Art. 14 Abs. 4). Als schwerwiegend gilt nach der Verordnung ein Vorfall, der die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann, oder der zur Einschleusung oder Ausführung von Schadcode in das Produkt oder in die Systeme des Nutzers geführt hat oder führen kann. Ein Beispiel hierfür wäre eine Situation, in der ein Angreifer Schadcode in den Kanal einschleust, über den der Hersteller Sicherheitsupdates bereitstellt.

Die Meldung erfolgt gleichzeitig an das als Koordinator benannte CSIRT-Team in dem Mitgliedstaat, in dem der Hersteller seine Hauptniederlassung hat (Art. 14 Abs. 7), und an die ENISA über eine einzige Meldeplattform. Der Hersteller reicht die Meldung also einmal ein, und die Plattform leitet sie weiter. Tschechische offizielle Informationen über die Registrierung und Einreichung über diese Plattform werden vom Nationalen Amt für Cyber- und Informationssicherheit (NÚKIB) auf seinem Portal veröffentlicht, wo unter anderem angegeben ist, dass mit einem EU-Login-Konto gearbeitet wird.

Zusätzlich zur obligatorischen Meldung ermöglicht es die Verordnung Herstellern und anderen Personen, freiwillig jede Schwachstelle des Produkts, Cyberbedrohungen, die sein Risikoprofil beeinflussen könnten, sowie Beinahe-Vorfälle zu melden. Eine freiwillige Meldung kann genutzt werden, wenn sich ein Unternehmen nicht sicher ist, ob eine aktive Ausnutzung vorliegt; dies bedeutet jedoch nicht, dass die Meldepflicht entfällt, sobald die Ausnutzung bestätigt wird.

Es ist ratsam, die Registrierung und den Zugang zur Plattform im Voraus zu regeln, nicht erst in dem Moment, in dem Sie eine Meldung einreichen müssen. Bei einer hohen Anzahl von Registrierungsanträgen kann die Benutzerverifizierung nämlich einige Zeit in Anspruch nehmen, während die Frist bereits läuft.

Dies betrifft auch Produkte, die wir vor Jahren verkauft haben

Ja. Die Übergangsbestimmungen der Verordnung sehen ausdrücklich vor, dass die Pflichten nach Artikel 14 für alle in den Anwendungsbereich der Verordnung fallenden Produkte mit digitalen Elementen gelten, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden (Art. 69 Abs. 3). Dies ist eine Ausnahme von der allgemeinen Regel, nach der die übrigen Anforderungen der Verordnung auf ältere Produkte nur dann Anwendung finden, wenn sie nach diesem Datum einer wesentlichen Veränderung unterzogen werden. Ein älteres Produkt ist daher kein Grund, keine Meldung einzureichen.

Für Unternehmen ergibt sich daraus eine unangenehme Schlussfolgerung: Die Liste der zu überwachenden Produkte umfasst nicht nur neue Produktlinien, sondern auch Geräte und Software, die Kunden seit Jahren nutzen. Besonders sensibel sind langlebige Produkte wie industrielle Steuerungssysteme oder Netzwerkgeräte, bei denen der Hersteller oft nicht weiß, in welcher Version und wo genau sie im Einsatz sind. Der Hersteller benötigt daher Aufzeichnungen darüber, was er wann, in welcher Version und an wen verkauft hat, um zu wissen, wo ein ausgenutzter Fehler auftreten kann und wer zu informieren ist.

Zudem ist die Meldung an die Behörden nicht die einzige Pflicht. Nach Feststellung einer aktiv ausgenutzten Schwachstelle oder eines schwerwiegenden Vorfalls muss der Hersteller die betroffenen Nutzer des Produkts, gegebenenfalls alle Nutzer, und, falls erforderlich, auch über die Maßnahmen zur Risikominderung und Abhilfe informieren, die sie selbst ergreifen können (Art. 14 Abs. 8). Dies ist eine eigenständige rechtliche Verpflichtung, nicht nur eine bewährte Praxis. Wenn der Hersteller dieser nicht rechtzeitig nachkommt, kann das zuständige CSIRT die Nutzer selbst informieren. Die Kommunikation mit den Kunden muss daher ebenso vorbereitet sein wie der technische Teil.

Wie Sie den Prozess einrichten, bevor das Telefon klingelt

Der erste Schritt besteht darin, die verantwortlichen Personen und ihre Stellvertreter zu bestimmen. Die Frist läuft unabhängig von Urlaub, Wochenende oder Feiertagen, sodass ein einziger beauftragter Mitarbeiter nicht ausreicht. Es lohnt sich ein Team von zwei bis drei Personen, von denen mindestens eine technisch beurteilen kann, ob eine aktive Ausnutzung vorliegt, und eine die Befugnis hat, die Meldung einzureichen.

Der zweite Schritt besteht darin, den Entscheidungsprozess von der ersten Meldung bis zur Einreichung der Meldung zu beschreiben. Dazu gehören die Quellen, über die Informationen über Schwachstellen in das Unternehmen gelangen können, die Kriterien für die Bewertung zuverlässiger Beweise für eine Ausnutzung, die Methode zur Erfassung des Zeitpunkts, zu dem das Unternehmen von der Schwachstelle erfahren hat, und Vorlagen für die Frühwarnung und die Meldung, damit diese nicht von Grund auf neu formuliert werden müssen.

Besondere Aufmerksamkeit verdienen die Aufzeichnungen. Wenn sich später herausstellt, dass unklar ist, wann das Unternehmen von der Schwachstelle erfahren hat, entscheiden die Zeitstempel: die E-Mail mit dem ersten Hinweis, das Protokoll der technischen Bewertung, die Bestätigung der Einreichung der Meldung. Ein Unternehmen, das diese Momente kontinuierlich aufzeichnet, kann die Einhaltung der Frist leichter nachweisen als ein Unternehmen, das sie im Nachhinein aus dem Gedächtnis der Beteiligten rekonstruiert.

Der dritte Schritt besteht darin, die Verträge mit den Komponentenlieferanten und den Partnern, die das Produkt vertreiben oder integrieren, anzupassen. Der Lieferant sollte verpflichtet sein, den Hersteller unverzüglich über Schwachstellen und Vorfälle zu informieren, da der Hersteller die 24-Stunden-Frist nicht einhalten kann, wenn er von einem Fehler in einer fremden Komponente mit einer Woche Verzögerung erfährt. Die Haftung für die Verletzung einer solchen Pflicht richtet sich nach den allgemeinen vertraglichen Regeln (§ 2913 des Bürgerlichen Gesetzbuches).

Ab dem 11. Dezember 2027 muss der Hersteller bei der Integration von Komponenten Dritter die gebührende Sorgfalt walten lassen, um sicherzustellen, dass diese die Cybersicherheit des Produkts nicht gefährden. Stellt er eine Schwachstelle in einer Komponente fest, muss er denjenigen informieren, der diese herstellt oder pflegt (Art. 13 Abs. 5 und 6 der Verordnung). Gemäß den Erwägungsgründen der Verordnung soll er dabei beispielsweise überwachen, ob die Komponente regelmäßige Sicherheitsupdates erhält und keine registrierten Schwachstellen aufweist. Für Verträge bedeutet dies, dass der Komponentenlieferant Informationen in beide Richtungen austauschen sollte und der Hersteller eine Übersicht darüber behalten sollte, welche Komponenten sein Produkt enthält, da ohne diese nicht schnell festgestellt werden kann, ob ein ausgenutzter Fehler sein Produkt betrifft.

Der vierte Schritt besteht darin, die Unternehmensleitung einzubinden. Wer das Amt eines Mitglieds eines gewählten Organs übernimmt, verpflichtet sich, dieses mit der erforderlichen Loyalität sowie mit den notwendigen Kenntnissen und der gebotenen Sorgfalt auszuüben (§ 159 Abs. 1 des Bürgerlichen Gesetzbuches). Wie genau sich diese Sorgfaltspflicht eines ordentlichen Geschäftsmanns auf die Cyberrisiken des Produkts auswirkt, hängt von den Umständen ab, aber eine Geschäftsführung, die sich überhaupt nicht mit der Meldepflicht befasst hat, dürfte es in einem späteren Streitfall schwer haben, sich zu verteidigen.

Damit hängen auch die Schäden nach einem Vorfall zusammen, die im Text über die Haftung für Cybersicherheitsvorfälle analysiert werden. Die Geschäftsführung sollte wissen, wer die Meldungen genehmigt, welche Informationen über Vorfälle an das Top-Management gelangen und wer für die Kommunikation mit den Kunden verantwortlich ist.

Der fünfte Schritt besteht darin, das gesamte Verfahren im Trockenlauf zu üben. Eine fiktive Meldung am Freitagabend zeigt, wo die Kommunikation ins Stocken gerät, wer keinen Zugang zur Plattform hat und wem die Berechtigungen fehlen. Es lohnt sich, die Übung bei jeder Änderung im Team oder im Produktportfolio zu wiederholen, da ein Prozess, der nur auf dem Papier funktioniert, bei einem echten Vorfall scheitern wird.

Teil der Vorbereitung ist es auch zu klären, ob das Unternehmen neben der Meldung nach der Verordnung nicht auch unter das Cybersicherheitsgesetz oder die Regelung für kritische Infrastrukturen fällt, da jedes dieser Systeme eigene Meldeadressaten und eigene Fristen hat. Wie die Position des Unternehmens in beiden Systemen praktisch getestet werden kann, beschreibt der Text Kritische Infrastruktur oder NIS2?

Zudem ist die Meldung nur eine der Komponenten der umfassenderen Ausstattung des Herstellers. Die Verordnung verpflichtet Hersteller (Anhang I Teil II Nummern 1 und 5), eine Politik zur koordinierten Offenlegung von Schwachstellen einzuführen, die festlegt, wie Einzelpersonen oder Stellen ihnen Schwachstellen melden können, und die im Produkt enthaltenen Komponenten zu dokumentieren, unter anderem durch eine Software-Stückliste (Software Bill of Materials - SBOM). Diese Pflichten gelten ab dem 11. Dezember 2027, aber ein Unternehmen, das diese bereits beim Aufbau des Meldeprozesses berücksichtigt, spart sich spätere Nachbesserungen.

Wie genau der Prozess für ein bestimmtes Produkt einzurichten ist, hängt davon ab, in welcher Rolle das Unternehmen auftritt und wie komplex seine Lieferkette ist – deshalb beurteilen die Anwälte der Kanzlei ARROWS dies stets individuell für den jeweiligen Hersteller und nicht nach einem universellen Musterverfahren.

Risiken einer ungelösten Meldepflicht

Fazit

Seit dem 11. September 2026 muss der Hersteller eines Produkts mit digitalen Elementen eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden, nachdem er davon erfahren hat, melden. Als Hersteller kann auch ein Unternehmen gelten, das ein fremdes Produkt unter seiner eigenen Marke verkauft. Die Pflicht betrifft ausdrücklich auch früher in Verkehr gebrachte Produkte und es handelt sich um eine andere Regelung als das Cybersicherheitsgesetz, obwohl ein Unternehmen unter beide Regelungen gleichzeitig fallen kann.

Für die Unternehmensleitung ergibt sich daraus eine klare Aufgabe: festzustellen, ob das Unternehmen Hersteller ist, bestimmte Personen mit der Meldung zu beauftragen und das Verfahren zu üben, bevor es im Ernstfall angewendet werden muss. Die 24-Stunden-Frist lässt keinen Raum für Improvisation, und die ersten Stunden entscheiden darüber, ob das Unternehmen sie einhält.

Die Anwälte der Kanzlei ARROWS beurteilen die Stellung von Unternehmen nach der Verordnung über Cyberresilienz, richten interne Meldeprozesse ein und passen Verträge mit Lieferanten und Partnern an. Schreiben Sie uns an beratung@arws.cz oder informieren Sie sich über unsere Praxis für Verträge und Verhandlungen.