Wen muss der Hersteller unterrichten?

Die betroffenen Nutzer und gegebenenfalls alle Nutzer des Produkts. Wo sich nicht eingrenzen lässt, wer betroffen ist, führt das in der Praxis dazu, dass alle unterrichtet werden. Nötigenfalls gehört auch die Information über Maßnahmen zur Risikominderung dazu.

In welcher Form muss die Unterrichtung erfolgen?

Die Verordnung nennt ein strukturiertes, maschinenlesbares Format als bevorzugten Weg. In der Praxis ist das CSAF 2.0, gegebenenfalls mit dem VEX-Profil. Ein zusätzlicher Text für Menschen ist damit nicht überflüssig: Das maschinenlesbare Format ist für die Weiterverarbeitung gedacht, nicht für die Person, die die Nachricht morgens liest.

Was passiert, wenn der Hersteller nicht rechtzeitig unterrichtet?

Dann dürfen die CSIRTs die Nutzer selbst unterrichten. Für die meisten Unternehmen ist dieser Kontrollverlust über die eigene Krisenkommunikation die einschneidendere Folge, denn die Nachricht kommt dann von einer Behörde und nicht vom Hersteller.

Muss die Unterrichtung zeitgleich mit der Meldung erfolgen?

Die Verordnung koppelt die Unterrichtung nicht an die Stundenfristen der Meldung, verlangt sie aber und macht sie zur eigenen Pflicht. In der Praxis ist der Entwurf zusammen mit der 72-Stunden-Meldung fertig, weil beide auf denselben Angaben beruhen, insbesondere auf den Maßnahmen, die Nutzer ergreifen können.

Artikel 14 Abs. 8 - läuft neben der Meldung

Nutzer unterrichten nach Artikel 14 Abs. 8

Pflicht, Format und Mustertext

Die Meldung geht an CSIRT und ENISA. Ihre Nutzer erfahren dadurch nichts. Deren Unterrichtung ist eine eigene Pflicht, und sie ist die einzige Stelle des Artikels 14, an der die Verordnung dem Hersteller die Kontrolle entzieht, wenn er sie nicht erfüllt.

Der Maßstab

Wen müssen Sie unterrichten und worüber?

Der Hersteller unterrichtet die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und nötigenfalls über Risikominderungs- und Korrekturmaßnahmen, möglichst in einem strukturierten, maschinenlesbaren Format.

Sinngemäß nach Art. 14 Abs. 8 CRA. Maßgeblich ist der amtliche Wortlaut im Amtsblatt.

Drei Dinge stehen darin, die man einzeln lesen sollte. Erstens: Unterrichtet werden die betroffenen Nutzer, gegebenenfalls alle. Zweitens: Nötigenfalls gehört die Information über Maßnahmen zur Risikominderung dazu. Drittens: Ein strukturiertes, maschinenlesbares Format ist der bevorzugte Weg.

Unterbleibt die Unterrichtung, dürfen die CSIRTs die Nutzer selbst unterrichten. Dann kommt die Nachricht von einer Behörde und nicht von Ihnen.

GrundlageArt. 14 Abs. 8 CRA

Der Weg

In welchem Format?

CSAF für Maschinen, Fließtext für Menschen

Das maschinenlesbare Format ist für die Weiterverarbeitung gedacht: Große Kunden ziehen Sicherheitshinweise automatisiert ein und gleichen sie gegen ihre eigene Stückliste ab. Der Standard dafür ist CSAF 2.0, für die Aussage, ob ein Produkt tatsächlich angreifbar ist, gibt es darin das VEX-Profil.

Der Text für Menschen wird dadurch nicht überflüssig. Er ist das, was der Administrator um sieben Uhr morgens liest, und er entscheidet darüber, ob die Gegenmaßnahme umgesetzt wird oder nicht. Beide beruhen auf denselben Angaben, insbesondere auf dem Block zu den Maßnahmen, die Nutzer ergreifen können.

Zum Übernehmen

Mustertext für die Nutzerinformation, deutsch und englisch

Die Platzhalter in eckigen Klammern sind Absicht: Ein Baustein, der wie eine fertige Aussage aussieht, wird ungeprüft verschickt. Der Meldeassistent füllt dieselbe Vorlage mit Ihren Angaben.

Deutsch

Sicherheitshinweis zu [Produkt]

Sehr geehrte Damen und Herren,

wir informieren Sie über eine Schwachstelle, die [Produkt] betrifft. Betroffen sind nach derzeitigem Stand die Versionen [betroffene Versionen].

Was ist geschehen?
[Sachverhalt in zwei bis drei Sätzen]

Uns liegen Hinweise darauf vor, dass die Schwachstelle aktiv ausgenutzt wird.

Was Sie jetzt tun sollten
[Maßnahmen in der Reihenfolge des Tuns]

Wir haben die Schwachstelle nach Artikel 14 der Verordnung (EU) 2024/2847 (Cyber Resilience Act) gemeldet, und zwar gleichzeitig an die Agentur der Europäischen Union für Cybersicherheit (ENISA) und an das zuständige nationale Team für IT-Sicherheitsvorfälle (CSIRT). Sobald sich der Sachstand ändert, informieren wir Sie erneut.

Für Rückfragen erreichen Sie uns unter [Kontaktadresse].

Mit freundlichen Grüßen
[Ihr Unternehmen]

Englisch

Security advisory for [Produkt]

Dear customer,

We are informing you about a security issue affecting [Produkt]. To the best of our current knowledge, the affected versions are [betroffene Versionen].

What happened
[Sachverhalt in zwei bis drei Sätzen]

We have indications that this vulnerability is being actively exploited.

What you should do now
[Maßnahmen in der Reihenfolge des Tuns]

In accordance with Article 14 of Regulation (EU) 2024/2847 (Cyber Resilience Act), we have notified both the European Union Agency for Cybersecurity (ENISA) and the competent national Computer Security Incident Response Team (CSIRT). We will inform you again as soon as the situation changes.

If you have any questions, please contact us at [Kontaktadresse].

Kind regards
[Ihr Unternehmen]

Ehrlich gesagt

Was das CSAF-Gerüst nicht leistet: den Produktbaum

Ein vollständiges CSAF-Dokument verlangt einen sauber modellierten Produktbaum mit eindeutigen Kennungen, und den kann nur der Hersteller selbst aufstellen. Das Gerüst, das der Assistent erzeugt, spart Ihnen die Struktur und die Formalien, nicht die Produktdaten.

Vor der Veröffentlichung gehört es gegen das offizielle Schema geprüft. Wer regelmäßig Sicherheitshinweise veröffentlicht, baut die Erzeugung ohnehin in die eigene Werkzeugkette ein.

Nachgefragt

Häufige Fragen zur Unterrichtung der Nutzer

Wen muss der Hersteller unterrichten?: Die betroffenen Nutzer und gegebenenfalls alle Nutzer des Produkts. Wo sich nicht eingrenzen lässt, wer betroffen ist, führt das in der Praxis dazu, dass alle unterrichtet werden. Nötigenfalls gehört auch die Information über Maßnahmen zur Risikominderung dazu.
In welcher Form muss die Unterrichtung erfolgen?: Die Verordnung nennt ein strukturiertes, maschinenlesbares Format als bevorzugten Weg. In der Praxis ist das CSAF 2.0, gegebenenfalls mit dem VEX-Profil. Ein zusätzlicher Text für Menschen ist damit nicht überflüssig: Das maschinenlesbare Format ist für die Weiterverarbeitung gedacht, nicht für die Person, die die Nachricht morgens liest.
Was passiert, wenn der Hersteller nicht rechtzeitig unterrichtet?: Dann dürfen die CSIRTs die Nutzer selbst unterrichten. Für die meisten Unternehmen ist dieser Kontrollverlust über die eigene Krisenkommunikation die einschneidendere Folge, denn die Nachricht kommt dann von einer Behörde und nicht vom Hersteller.
Muss die Unterrichtung zeitgleich mit der Meldung erfolgen?: Die Verordnung koppelt die Unterrichtung nicht an die Stundenfristen der Meldung, verlangt sie aber und macht sie zur eigenen Pflicht. In der Praxis ist der Entwurf zusammen mit der 72-Stunden-Meldung fertig, weil beide auf denselben Angaben beruhen, insbesondere auf den Maßnahmen, die Nutzer ergreifen können.

Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847

Art. 14 CRA im Wortlaut

Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen

Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024

Art. 14 Abs. 8 CRA

Der Hersteller unterrichtet die betroffenen Nutzer und gegebenenfalls alle Nutzer über die Schwachstelle oder den Vorfall und nötigenfalls über Risikominderungs- und Korrekturmaßnahmen, möglichst in einem strukturierten, maschinenlesbaren Format.

Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.

Volltext auf EUR-Lex, deutsche Sprachfassung

Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.

Schreiben Sie die Nachricht, bevor Sie sie brauchen

Der Mustertext oben ist in zehn Minuten auf Ihr Produkt angepasst. Im Ernstfall bleibt für diese zehn Minuten keine Zeit, und dann entscheidet die Formulierung darüber, wie Ihre Kunden die Sache in Erinnerung behalten.

Alle Vorlagen ansehen Wie die Meldung selbst eingereicht wird

Checkliste bis zum Stichtag, Notfallkarte für die erste Stunde, Rollenvorlage und dieser Mustertext, alle zum Ausdrucken.