Strang B - Artikel 14 Abs. 5
Wann ist ein Sicherheitsvorfall schwer?
Die zwei Tatbestände des Artikels 14 Abs. 5
Die Definition ist bewusst weit gefasst. Wer sie eng liest, meldet zu selten, und das ist der Fehler, der teuer wird. Diese Seite zeigt, woran die Prüfung wirklich hängt.
Der Maßstab
Die Definition: zwei Tatbestände, mit ODER verbunden
Ein Sicherheitsvorfall ist schwer, wenn einer der beiden folgenden Fälle vorliegt.
Der Vorfall beeinträchtigt die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder er kann sie beeinträchtigen.
Der Vorfall hat zur Einschleusung oder Ausführung von Schadcode im Produkt oder in den Netz- oder Informationssystemen eines Nutzers geführt, oder er kann dazu führen.
Die beiden Tatbestände sind mit oder verbunden. Einer genügt. Und beide enthalten die Möglichkeitsform: kann beeinträchtigen, kann führen.
GrundlageArt. 14 Abs. 5 CRAArt. 14 Abs. 3 CRA
Der Denkfehler
Die richtige Prüffrage lautet: kann es das werden, nicht ist es schlimm
In der Praxis wird gefragt: Ist das schlimm? Das ist die falsche Frage. Die Verordnung fragt: Kann es das? Ein Unterschied, der in der Triage regelmäßig übersehen wird, weil Sicherheitsteams gewohnt sind, nach eingetretenem Schaden zu priorisieren.
Der Grund für die weite Fassung liegt auf der Hand: Innerhalb von 24 Stunden ist fast nie klar, was wirklich passiert ist. Eine Definition, die Gewissheit voraussetzte, wäre in dieser Frist nicht erfüllbar.
Aus der Praxis
Vier Fälle, in denen Hersteller die Meldepflicht zu Unrecht verneinen
Wir wissen noch nicht, ob der Angriff erfolgreich war
Fehlende Gewissheit spricht für die Meldung, nicht dagegen. Die Frist läuft ab Kenntnis vom Vorfall, nicht ab dem Abschluss der Untersuchung. Fehlen die Protokolle oder könnten sie selbst betroffen sein, ist das erst recht ein Grund, die Frühwarnung abzusetzen.
Es ist nur ein einziger Kunde betroffen
Die Verordnung kennt keine Mindestzahl. Ein einzelner Fall kann die Schutzfähigkeit des Produkts genauso in Frage stellen wie tausend. Entscheidend ist, was das Produkt zulässt, nicht wie viele es getroffen hat.
Die Ursache liegt in einer fremden Bibliothek
Meldepflichtig ist der Hersteller des Produkts, in dem die Komponente steckt. Dass ein anderer den Fehler gemacht hat, verschiebt die Pflicht nicht. Der CRA verlangt vom Hersteller ohnehin Sorgfalt bei integrierten Komponenten.
Es gibt schon einen Workaround, also ist es nicht mehr schwer
Ein Behelf ändert nichts daran, ob der Vorfall die Schutzfähigkeit beeinträchtigen konnte. Er gehört in die Meldung, und zwar in das Feld zu den Maßnahmen, die Nutzer ergreifen können. Er ersetzt sie nicht.
GrundlageArt. 14 Abs. 5 CRAArt. 13 CRAArt. 14 Abs. 4 Buchst. b CRA
Zwischenschritt, kostenlos
Zwischenschritt: Ihren Fall an dieser Definition messen
Der Schnelltest stellt genau die fünf Fragen, die aus der Definition und den vier Praxisfällen folgen, und hält dabei die Möglichkeitsform durch. Ergebnis ist eine Einschätzung mit den ausschlaggebenden Punkten, nicht ein Urteil.
Der andere Ausgang
Wenn Sie zu Recht nicht melden: die Entscheidung gehört dokumentiert
Nicht jeder Vorfall ist meldepflichtig, und eine Meldung ins Blaue hinein ist auch kein Selbstzweck. Wichtig ist nur, dass die Entscheidung dokumentiert wird: mit Zeitpunkt, mit der Faktenlage, auf der sie beruhte, und mit dem Namen der Person, die sie getroffen hat.
Wenn eine Marktüberwachungsbehörde Monate später fragt, warum nicht gemeldet wurde, ist diese Notiz die Antwort. Ohne sie steht die Aussage im Raum, es sei gar nicht geprüft worden.
Nachgefragt
Häufige Fragen zum schwerwiegenden Sicherheitsvorfall
- Genügt einer der beiden Tatbestände oder müssen beide erfüllt sein?
- Einer genügt. Die beiden Tatbestände des Artikels 14 Abs. 5 CRA sind mit oder verbunden. Wer prüft, ob beide vorliegen, prüft strenger als die Verordnung und meldet dadurch zu selten.
- Muss der Schaden schon eingetreten sein?
- Nein. Beide Tatbestände stehen in der Möglichkeitsform: Es genügt, dass der Vorfall die Schutzfähigkeit beeinträchtigen kann oder zur Ausführung von Schadcode führen kann. Die praktische Prüffrage lautet deshalb nicht, ob es schlimm ist, sondern ob es das werden kann.
- Was, wenn nur ein einziger Kunde betroffen ist?
- Die Verordnung kennt keine Mindestzahl betroffener Nutzer. Ein einzelner Fall kann die Schutzfähigkeit des Produkts genauso in Frage stellen wie tausend. Eine intern gesetzte Schwelle hat keine Grundlage in der Verordnung und muss im Zweifel begründet werden.
- Ist ein Ausfall ohne Angriff ein schwerwiegender Sicherheitsvorfall?
- Der erste Tatbestand nennt ausdrücklich auch die Verfügbarkeit. Ein Ausfall, der die Fähigkeit des Produkts beeinträchtigt, die Verfügbarkeit wichtiger Funktionen zu schützen, kann darunterfallen, auch ohne dass jemand angegriffen hat. Ein reiner Bedienfehler beim Kunden dagegen berührt die Schutzfähigkeit des Produkts nicht.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 3 CRA
"Ein Hersteller meldet jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt und von dem er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 4 Buchst. a CRA
Frühwarnung binnen 24 Stunden ab Kenntnis des schwerwiegenden Sicherheitsvorfalls, mindestens mit der Angabe, ob der Vorfall im Verdacht steht, auf rechtswidrigem oder böswilligem Handeln zu beruhen.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 14 Abs. 4 Buchst. b CRA
Vorfallmeldung binnen 72 Stunden ab Kenntnis: Art des Vorfalls, erste Bewertung, ergriffene Maßnahmen und Maßnahmen, die Nutzer ergreifen können.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
- Art. 14 Abs. 4 Buchst. c CRA
Abschlussbericht binnen eines Monats nach der Vorfallmeldung: detaillierte Beschreibung samt Schweregrad und Auswirkung, Art der Bedrohung oder wahrscheinliche Grundursache, angewandte und laufende Minderungsmaßnahmen.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA
Die Entscheidung gehört dokumentiert, so oder so
Ob Sie melden oder nicht: Was zählt, ist die nachvollziehbare Bewertung mit Zeitpunkt und Faktenlage. Der Meldeassistent führt Sie durch die Triage und schreibt das Protokoll mit, ohne dass Angaben zum Vorfall übertragen werden.
Sechs Abschnitte im Browser. Am Ende steht eine Fallakte als PDF mit Zeitleiste, Entscheidungsprotokoll und Freigabeblock.