normakte / Schwachstellenmanagement
Der CRA verlangt nicht nur ein sicheres Produkt beim Verkauf, sondern einen Prozess über den gesamten Unterstützungszeitraum.
Komponenten in einer SBOM erfassen, Schwachstellen ohne Verzögerung beheben, Sicherheitsupdates – wo möglich getrennt von Funktionsupdates – kostenlos bereitstellen, regelmäßig testen und behobene Schwachstellen veröffentlichen.
Der Hersteller legt eine Richtlinie zur koordinierten Offenlegung von Schwachstellen fest und nennt eine Kontaktadresse, über die Dritte Schwachstellen melden können. Diese Angaben gehören auch in die Informationen für die Nutzer.
Dann greifen die Meldepflichten: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht – über die Plattform der ENISA.
Register mit allen CRA-Anforderungen, Einstufung, SBOM, Meldungen mit Fristen, Unterstützungszeitraum und Zielseite für die Nutzerinformationen – eine Testakte kostenlos bis 20.01.2027.
Quelle. Verordnung (EU) 2024/2847, ABl. L, 2024/2847 vom 20.11.2024. Sinngemäß wiedergegeben; maßgeblich ist der amtliche Wortlaut. normakte ersetzt keine Rechtsberatung.