Bereitschaft für die Meldepflicht des Cyber Resilience Act

Betroffen sind Hersteller, Importeure und Händler von Produkten mit digitalen Elementen: die Maschine mit Fernwartung, das Gerät mit App, die verkaufte Software. Reine Cloud-Dienste ohne installierten Teil fallen in der Regel nicht darunter. Eine erste Einschätzung liefert der Betroffenheitscheck, im ersten Gespräch gehen wir Ihre Produkte gemeinsam durch.

Nein. Meldepflichtig sind aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Ob eine Lücke ausgenutzt wird, weiß man aber erst nach der Prüfung. Deshalb muss jede Meldung schnell angesehen werden, auch nachts.

Ihre eigenen Leute, und nur bei wichtigen Mails: wenn eine Meldung auf einen Angriff oder eine Lücke in Ihrem Produkt hindeutet, bei Erpressung, wenn ein CERT oder eine Behörde schreibt oder wenn sich eine Mail nicht lesen lässt. Benachrichtigt wird sofort und rund um die Uhr, wer für das Postfach eingetragen ist, per E-Mail und auf Wunsch zusätzlich per SMS, einmal je Mail. Kein Anruf: Wer das Handy nachts stumm schaltet, liest die Nachricht am Morgen. Ist für ein Postfach niemand eingetragen, warnt das Tool, weil dann die 24-Stunden-Frist unbemerkt ablaufen kann.

Nein. Anmelden muss sich nur die Verwaltung, also wer Postfächer, Personen und Einstellungen pflegt. Alle anderen bekommen bei einer wichtigen Mail eine E-Mail mit einem persönlichen Link: Er zeigt die Einordnung und die Fristen, dort lässt sich der Fall übernehmen, die Kenntnis bestätigen und als erledigt markieren. Wer zusätzlich eine SMS bekommt, findet darin keinen Link, sondern den Verweis auf die E-Mail. Der Link gilt 30 Tage und ist an die Person gebunden; jede Aktion steht mit Name und Uhrzeit im Verlauf.

Zwei Stufen. Feste Regeln erkennen eindeutige Fälle: Behördenpost, behauptete Ausnutzung, Erpressung, verschlüsselte Mails, Hinweise von Zulieferern. Eine KI erkennt zusätzlich Hinweise auf Lücken, auch in holprigem Deutsch, auf Englisch oder als höfliche Frage eines Kunden. Was Ihre Produkte, Dienste und Bauteile sind, weiß sie aus dem Fragenkatalog, den Sie je Domain ausfüllen. Die KI darf nur hochstufen; herabstufen kann nur ein Mensch, immer nur für die eine Mail. Im Zweifel gilt eine Mail als wichtig.

Das Tool und die KI laufen bei einem Hoster in Deutschland. Ihre Mails gehen nie an OpenAI, Anthropic, Google oder einen anderen KI-Anbieter, die Einordnung entsteht vollständig auf Servern in Deutschland. Zum Training von KI-Modellen werden Ihre Mails nicht verwendet. Gespeichert werden Mailtexte verschlüsselt: alle 30 Tage, wichtige bis 3 Monate nach Erledigt, danach nur noch Absender, Betreff und Verlauf. Wir sehen Inhalte nur, wenn Sie uns im Supportfall freigeben, und jeder Zugriff steht im Verlauf. Das Original bleibt in Ihrem Postfach. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen Sie bei der Einrichtung mit ab, die Unterauftragsverarbeiter stehen darin.

Nein. Ein Konto, ein Login, beliebig viele Domains: Hauptseite, Produktmarken, Länderseiten, Tochterfirmen. Jede Domain kostet 190 Euro im Monat und bringt ein überwachtes Postfach mit, jedes weitere Postfach derselben Domain 30 Euro. Personen pflegen Sie einmal; je Postfach legen Sie fest, wer benachrichtigt wird. Die wichtigen Mails aller Domains sehen Sie auf einer Startseite. Weil jede Webseite eine eigene security.txt mit Meldeadresse braucht, prüft das Tool sie täglich je Domain und meldet, wenn eine fehlt oder abgelaufen ist.

Nein. Die Einreichung läuft über das ENISA-Portal und ist Sache des Herstellers, durch eine benannte Person mit eigenem Zugang. Das Tool zeigt die Fristen ab der bestätigten Kenntnis und hält fest, wer wann was getan hat. Vorlagen für den Inhalt der Meldung enthält das kostenlose Meldepflicht-Kit.

Sicherheits-Postfächer ziehen automatisierte Meldungen an, oft verbunden mit der Frage nach einer Prämie (Beg Bounty). Gelöscht wird nichts: Solche Mails landen unter Aussortiert mit dem Schlagwort Bug Bounty, niemand wird dafür benachrichtigt. Enthält eine Meldung einen Hinweis auf Ausnutzung, bleibt sie nach festen Regeln immer wichtig. Die Antworten an Meldende schreiben Sie selbst; wie das geht, steht im Leitfaden Spam im Security-Postfach.

Nein. CRA Response Center ist ein privater Dienstleister und nicht mit ENISA, dem BSI oder der Europäischen Kommission verbunden. Wir ersetzen auch keine Rechtsberatung.