In Europa ist das Verschweigen von Hackerangriffen jetzt illegal — Hersteller haben 24 Stunden zur Meldung

Der Verkauf eines vernetzten Geräts in Europa ist jetzt mit einer Verpflichtung verbunden, die es letzte Woche noch nicht gab: Wird ein Hack oder ein schwerwiegender Sicherheitsvorfall entdeckt, müssen die Behörden innerhalb von 24 Stunden benachrichtigt werden. Der Cyber Resilience Act der EU hat diese Woche seine erste große Durchsetzungsschwelle überschritten, und die Kette ist genau festgelegt – eine vollständigere Meldung erfolgt innerhalb von 72 Stunden, mit einem Abschlussbericht, der 14 Tage nach Verfügbarkeit eines Fixes oder innerhalb eines Monats bei größeren Vorfällen fällig ist.

Die Verpflichtung erstreckt sich auf das, was das Gesetz als ‚Produkte mit digitalen Elementen‘ bezeichnet – eine Kategorie, die breit genug ist, um Smartphones, intelligente Thermostate, vernetzte Router, Fitness-Apps und Cloud-Plattformen zu umfassen. Entscheidend ist, dass sie für Produkte gilt, die bereits auf dem EU-Markt sind, nicht nur für Neuerscheinungen. Ein vor zwei Jahren ausgeliefertes Gerät, das noch in Gebrauch ist, fällt in den Anwendungsbereich, wenn es über eine vernetzte Funktionalität verfügt. Kommerziell vertriebene freie Software unterliegt denselben Regeln.

Vor dem 11. September wurde die Beziehung zwischen einem Hersteller und einem Sicherheitsvorfall weitgehend durch interne Richtlinien geregelt. Unternehmen legten Hacks offen, wenn sie es wollten, oft nach Wochen interner Prüfung, rechtlicher Konsultation und Risikobewertung der Marke. Manche legten nie etwas offen. Diese Entscheidungsfreiheit ist in Europa nun verschwunden. Die Meldungen gehen an das nationale Computer Security Incident Response Team des EU-Mitgliedstaats, in dem der Hersteller seinen Hauptsitz hat, mit Kopien an die EU-Agentur für Cybersicherheit, ENISA, über eine dedizierte Single Reporting Platform.

Die Frage der Bereitschaft ist ernst. Als die Meldepflichten finalisiert wurden, hatten die Hersteller etwa drei Monate Zeit, um die interne Infrastruktur aufzubauen – ein Inventar der betroffenen Produkte, klare Eskalationsprotokolle und die technische Integration in die Single Reporting Platform. Rechtsberater, die mit Herstellern zusammenarbeiten, warnen, dass die Fristen kaum Zeit lassen, den Prozess nach Beginn eines Vorfalls zu konstruieren. Ein Unternehmen, das um Mitternacht an einem Freitag einen Verstoß entdeckt, muss seine erste Meldung vor Mitternacht am Samstag einreichen, unabhängig von Wochenende oder Feiertagen.

Der Nutzen für die Verbraucher ist real, aber indirekt. Hersteller müssen betroffene Nutzer auch über Sicherheitsvorfälle und verfügbare Abhilfemaßnahmen informieren. Wenn ein Unternehmen die Nutzer nicht rechtzeitig benachrichtigt, können nationale Cybersicherheitsbehörden eingreifen und die Warnung selbst aussprechen. Dies ist kein Benachrichtigungsregime, das der durchschnittliche Nutzer auf seinem Telefon sehen wird – es funktioniert über regulatorische Kanäle –, aber es schafft eine durchsetzbare Verpflichtung, dass Hacks nicht einfach stillschweigend von einem Rechtsteam absorbiert werden können.

Der 11. September ist der engste Teil der Verpflichtung. Der vollständigere Teil des Cyber Resilience Act – der vorschreibt, dass vernetzte Produkte mit eingebauter Sicherheit entwickelt werden müssen, der Verfahren zur Handhabung von Schwachstellen vorschreibt und Konformitätsbewertungen für die risikoreichsten Produktkategorien auferlegt – gilt erst ab dem 11. Dezember 2027. Diese Frist erfordert Designänderungen, Testprotokolle und Zertifizierungsprozesse, die nicht einfach in wenigen Monaten an bestehende Produktlinien angehängt werden können. Die Branche hat mehr als ein Jahr, aber die technische Arbeit ist bei großen Herstellern bereits im Gange.

Der Ansatz der EU macht Europa zum ersten großen Regulierungsblock, der verbindliche Fristen für die Offenlegung von Schwachstellen über den gesamten Verbrauchertechnologiemarkt hinweg verhängt, nicht nur über kritische Infrastrukturen. Wie schnell die nationalen CSIRTs die Kapazität entwickeln, diese Meldungen zu verarbeiten – und ob die Durchsetzung in den ersten Monaten auf Meldungsversäumnisse folgt – wird bestimmen, ob der 11. September einen echten Wandel oder eine papierne Frist markiert.

Schlagwörter: Cybersicherheit, Europäische Kommission, Cyber Resilience Act, Datenpanne, ENISA, EU-Verordnung