Kostenlos - fünf Fragen - rechnet im Browser
Ist mein Sicherheitsvorfall meldepflichtig?
Schnelltest zu Artikel 14 Abs. 5 CRA
Ein Vorfall ist schwer, wenn er die Schutzfähigkeit des Produkts beeinträchtigen kann oder zur Ausführung von Schadcode führen kann. Beide Tatbestände sind mit oder verbunden, einer genügt, und beide stehen in der Möglichkeitsform. Die Prüffrage lautet deshalb nicht, ob es schlimm ist, sondern ob es das werden kann.
Aktualisiert am:
Das liefert der Schnelltest zur Meldepflicht
- Eine Einschätzung in drei Abstufungen: melden, im Zweifel melden, kein Tatbestand erfüllt
- Die Punkte, die das Ergebnis tragen, als Liste zum Übernehmen in die Akte
- Ihre Angaben und das Ergebnis zum Ausdrucken, als Beleg dafür, dass geprüft und entschieden wurde
5 Fragen - etwa 3 Minuten - ohne Anmeldung
Eine Orientierungshilfe, keine Bewertung Ihres Einzelfalls. Ihre Antworten bleiben im Browserfenster.
Frage 1 von 5
Kann der Vorfall die Fähigkeit des Produkts beeinträchtigen, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen?
Erster Tatbestand des Artikels 14 Abs. 5. Ein Ja genügt für die Meldepflicht.
Der Maßstab: zwei Tatbestände, mit ODER verbunden
Artikel 14 Abs. 5 nennt zwei Fälle. Einer genügt für die Meldepflicht. Wer prüft, ob beide vorliegen, prüft strenger als die Verordnung und meldet dadurch zu selten. Die vier Fälle, die in der Praxis am häufigsten falsch entschieden werden, stehen unter wann ein Vorfall schwerwiegend ist. Kommt der Test zu einem Ergebnis, ist der nächste Schritt der Fristenrechner: Die 24 Stunden laufen ab Kenntnis, nicht ab dieser Prüfung.
Häufige Fragen zum schwerwiegenden Sicherheitsvorfall
- Wann ist ein Sicherheitsvorfall nach dem CRA schwer?
- Wenn er die Fähigkeit des Produkts beeinträchtigt oder beeinträchtigen kann, Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er zur Einschleusung oder Ausführung von Schadcode im Produkt oder bei einem Nutzer geführt hat oder führen kann. Die beiden Tatbestände sind mit oder verbunden, einer genügt.
- Gibt es eine Mindestzahl betroffener Nutzer?
- Nein. Die Verordnung nennt keine Schwelle. Ein einzelner betroffener Kunde kann die Schutzfähigkeit des Produkts genauso in Frage stellen wie tausend. Wer intern eine Schwelle einführt, führt sie ohne Grundlage in der Verordnung ein und muss sie im Zweifel begründen.
- Muss gemeldet werden, wenn noch unklar ist, ob der Angriff erfolgreich war?
- Beide Tatbestände stehen in der Möglichkeitsform. Solange sich nicht ausschließen lässt, dass einer erfüllt ist, ist die Frühwarnung die sichere Handlung. Sie ist ausdrücklich eine Warnung und kein Bericht: Was noch nicht feststeht, darf offenbleiben und wird mit der 72-Stunden-Meldung nachgereicht. Die Frist läuft ab Kenntnis vom Vorfall, nicht ab dem Abschluss der Untersuchung.
- Was gilt, wenn die Ursache in einer fremden Bibliothek liegt?
- Meldepflichtig ist der Hersteller des Produkts, in dem die Komponente steckt. Dass ein anderer den Fehler gemacht hat, verschiebt die Pflicht nicht. Der CRA verlangt vom Hersteller ohnehin die Sorgfalt bei integrierten Komponenten.
Rechtsgrundlage im Wortlaut: Verordnung (EU) 2024/2847
Art. 14 CRA im Wortlaut
Verordnung (EU) 2024/2847 des Europäischen Parlaments und des Rates vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen
Kurz: Cyber Resilience Act (CRA) - ABl. L, 2024/2847, 20.11.2024
- Art. 14 Abs. 3 CRA
"Ein Hersteller meldet jeden schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt und von dem er Kenntnis erlangt, gleichzeitig dem gemäß Absatz 7 als Koordinator benannten CSIRT und der ENISA."
Wörtliches Zitat der deutschen Sprachfassung, abgeglichen am .
- Art. 14 Abs. 5 CRA
Definition des schwerwiegenden Sicherheitsvorfalls über zwei Tatbestände: Beeinträchtigung der Schutzfähigkeit des Produkts oder Einschleusung beziehungsweise Ausführung von Schadcode.
Zusammenfassung, kein Zitat. Der Wortlaut steht im verlinkten Volltext.
Volltext auf EUR-Lex, deutsche Sprachfassung
Maßgeblich ist allein der im Amtsblatt der Europäischen Union veröffentlichte Wortlaut.
Was ein Verstoß kostet
bis 15.000.000 EUR
oder 2,5 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Dieser Rahmen gilt für Verstöße gegen die Meldepflichten des Artikels 14. Für andere Verstöße gegen die Verordnung sieht Artikel 64 abgestufte, niedrigere Rahmen vor. Die Mitgliedstaaten legen die Sanktionen national fest.
- Kleinst- und Kleinunternehmen werden für das Verpassen der reinen 24-Stunden-Frist nicht mit Verwaltungsstrafen belegt. Von der Meldepflicht selbst befreit sie das nicht.
- Die praktisch schärfere Folge steht in Artikel 14 Abs. 8: Unterrichtet der Hersteller seine Nutzer nicht rechtzeitig, dürfen die CSIRTs das selbst tun. Was das bedeutet
Grundlage: Art. 64 CRA