Die Meldepflichten gelten bereits. Sind Sie bereit?

Nein. Der Check dient der Information. Er wendet einen festen Satz von Regeln auf Ihre Antworten an und verweist auf die einschlägigen Teile der Cyberresilienz-Verordnung. Er ist kein Rechtsgutachten, begründet kein Mandatsverhältnis und kann die Besonderheiten Ihres Produkts oder Ihrer Verträge nicht berücksichtigen. Verstehen Sie das Ergebnis als Ausgangspunkt für ein Gespräch mit Ihrer eigenen Rechtsberatung.

In der Regel nicht. Der CRA regelt Produkte mit digitalen Elementen, die auf dem Unionsmarkt bereitgestellt werden — Hardware und Software, die Sie ausliefern. Eine Webanwendung, die Sie selbst hosten und betreiben, fällt in der Regel unter NIS-2 und die DSGVO. Die Ausnahme ist aber wichtig: Wo Datenfernverarbeitung zu einem Produkt mit digitalen Elementen gehört, fällt diese Verarbeitung in den Anwendungsbereich des Produkts. Ist Ihr SaaS die Cloud-Hälfte eines Geräts oder einer installierten Anwendung, ist der CRA wahrscheinlich im Spiel. Genau das prüfen die ersten beiden Fragen des Checks.

Die Meldepflichten. Seit diesem Tag muss ein Hersteller, der Kenntnis von einer aktiv ausgenutzten Schwachstelle in seinem Produkt oder von einem schwerwiegenden Sicherheitsvorfall erlangt, der sich auf die Sicherheit des Produkts auswirkt, dies gleichzeitig dem als Koordinator benannten CSIRT und der ENISA melden, über eine einheitliche Meldeplattform. Drei Fristen folgen: eine Frühwarnung innerhalb von 24 Stunden, eine ausführlichere Meldung innerhalb von 72 Stunden und ein Abschlussbericht spätestens 14 Tage, nachdem eine Korrekturmaßnahme verfügbar ist — bei einem schwerwiegenden Sicherheitsvorfall einen Monat nach der Meldung. Der Rest der Verordnung, einschließlich der grundlegenden Cybersicherheitsanforderungen und der CE-Kennzeichnung, gilt ab dem 11. Dezember 2027.

Nichts. Es gibt keine bezahlte Stufe des Checks, keinen ablaufenden Testzeitraum und keine Karte. Er existiert, damit europäische Software- und Hardwareunternehmen herausfinden, wo sie unter dem CRA stehen, und damit diejenigen, die Hilfe wollen, wissen, dass es uns gibt.

Wir schicken Ihnen den Bericht, den Sie angefordert haben. Das ist die einzige E-Mail, die Sie bekommen, außer Sie setzen gesondert das Häkchen für Marketing-E-Mails, das standardmäßig nicht gesetzt ist. Wir speichern Ihre Adresse und Ihre Antworten auf EU-Infrastruktur, um Rückfragen beantworten zu können. Wir verkaufen sie nie und geben sie nicht weiter. Schreiben Sie an privacy@maditon.com, und wir löschen alles, was wir über Sie haben — meist innerhalb weniger Tage, in jedem Fall innerhalb des Monats, den die DSGVO erlaubt. Wir antworten auf Englisch.

Nein. Hersteller tragen die meisten Pflichten, aber Einführer und Händler haben eigene — im Kern zu prüfen, ob das, was sie in Verkehr bringen oder auf dem Markt bereitstellen, die richtige Konformitätskennzeichnung und Dokumentation trägt, und zu handeln, wenn sie erfahren, dass ein Produkt nicht konform ist. Für Verwalter quelloffener Software gilt nochmals eine leichtere, eigene Regelung. Der Check fragt, welche Rolle Sie haben, und passt das Ergebnis an.