Hersteller müssen seit dem 11. September 2026 nach Artikel 14 des Cyber Resilience Act (CRA) aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, die sich auf die Sicherheit ihrer unter den CRA fallenden Produkte auswirken. Das betrifft auch bereits vermarktete Produkte. Für Versicherer und Banken empfiehlt Qvestcon, bei der Beschaffung von Informationstechnik die Produkteinordnung mit dem Hersteller zu klären. Die Meldepflicht der Hersteller bedeutet nicht, dass jedes beschaffende Unternehmen selbst meldepflichtig ist. Für die Einordnung lassen sich Standardprodukte, wichtige Produkte der Klasse I, wichtige Produkte der Klasse II und kritische Produkte unterscheiden. Entscheidend für die Zuordnung zu den Kategorien der Anhänge III und IV ist die Kernfunktion des Produkts. Als praktische Prüfreihenfolge empfiehlt Qvestcon: Zunächst werden Anwendungsbereich und Ausnahmen geprüft. Anschließend wird die Kernfunktion mit den Kategorien der Anhänge III und IV abgeglichen. Der Einkauf kann die begründete Einordnung beim Hersteller anfordern und für die interne Prüfung dokumentieren.
Originalquelle: Verordnung (EU) 2024/2847 (Cyber Resilience Act) →