Fachbeitragsreihe 2026 · Monat 9. Nachträglich ergänzt am 13. November 2026; rechtlicher Bearbeitungsstand: 13. November 2026. Das Archivdatum dient der monatlichen Einordnung.
Hersteller digitaler Produkte müssen Sicherheitsvorfälle rechtlich und technisch gemeinsam bearbeiten. Ein vorbereiteter Meldeprozess verbindet Produktwissen, Incident Response und klare Entscheidungen.
Den Produktbezug klären
Zunächst wird geprüft, ob das betroffene Produkt und die eigene Rolle unter die einschlägigen Vorschriften fallen. Nicht jeder Cloud-Dienst und nicht jede Schwachstelle löst dieselben Anforderungen aus. Komponenten und erforderliche Datenfernverarbeitung können für die Einordnung wesentlich sein.
Kenntnis und Bearbeitung dokumentieren
Die seit dem 11. September 2026 anwendbaren Hersteller-Meldepflichten des Artikels 14 CRA benötigen einen verlässlichen Eingang und eine schnelle Bewertung. Zeitpunkt, verfügbare Informationen und Verantwortliche werden festgehalten. Interne Reaktionszeiten müssen Raum für rechtliche Prüfung und technische Abstimmung lassen.
Meldewege auseinanderhalten
Produktbezogene Meldungen sind von Datenschutzverletzungen und weiteren IT-Sicherheitsanforderungen zu unterscheiden. Ein gemeinsamer Vorfall kann mehrere Verfahren auslösen. Abhilfe, Kundeninformation und Behördenkommunikation werden deshalb koordiniert, aber nicht pauschal gleichgesetzt.
Vier Praxisbeispiele
Fiktive Beispiele zur Veranschaulichung; die konkrete Bewertung erfordert die Prüfung des Einzelfalls.
Aktiv ausgenutzte Sicherheitslücke
Ein Hersteller erfährt von Angriffen auf sein Produkt. Anwendungsbereich, Kenntniszeitpunkt und Meldepflicht werden unverzüglich geprüft; Abhilfe und Kommunikationswege laufen abgestimmt weiter.
Software mit Open-Source-Komponenten
Eine kommerzielle Anwendung enthält fremde Bibliotheken. Rollen, Komponentenübersicht und Schwachstellenprozess werden geprüft; das Open-Source-Etikett befreit das Gesamtprodukt nicht pauschal.
Unklarer Supportzeitraum
Vertrieb und Entwicklung nennen unterschiedliche Wartungszeiträume. Zusagen, gesetzliche Anforderungen und technische Lieferfähigkeit werden vor Vertragsabschluss aufeinander abgestimmt.
Produkt oder reiner Dienst?
Ein Anbieter bietet eine App mit erforderlicher Datenfernverarbeitung an. Die Produktabgrenzung wird anhand der Funktionen geprüft, statt jede Cloud-Komponente automatisch auszunehmen.
Vertiefung und rechtliche Grundlage
Cyber Resilience Act: Beratung · Amtliche Rechtsgrundlage
Sie möchten einen konkreten Vorgang prüfen lassen? Anfrage stellen. Umfang und Vergütung werden vor Beauftragung abgestimmt.