CRA-Meldefristen und Meldungsentwurf

Artikel 14 Absatz 5 nennt einen Vorfall schwerwiegend, wenn er die Fähigkeit des Produkts, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, beeinträchtigt oder beeinträchtigen kann — oder wenn er dazu geführt hat oder führen kann, dass Schadcode in das Produkt oder in die Netz- und Informationssysteme eines Nutzers eingebracht oder dort ausgeführt wird.

Das ist Ihre Beurteilung. Dieses Werkzeug stellt den Test dar und beantwortet ihn nicht, denn eine falsche Antwort in Richtung „nicht schwerwiegend“ unterdrückt eine Meldung, für die die 24-Stunden-Frist bereits läuft.

Dies entwirft Inhalte. Es reicht nichts ein. Artikel 14 Absatz 7 verlangt, dass Meldungen über die einheitliche Meldeplattform des Artikels 16 an die elektronische Meldestelle des als Koordinator benannten CSIRT im Mitgliedstaat Ihrer Hauptniederlassung gehen und gleichzeitig der ENISA zugänglich sind — und welches CSIRT das ist, hängt von Tatsachen ab, die nur Sie kennen. Artikel 14 Absatz 6 erlaubt diesem CSIRT, einen Zwischenbericht zu verlangen, drei Stufen sind also das Minimum und nicht das Maximum. Artikel 14 Absatz 8 ist eine gesonderte Pflicht, betroffene Nutzer zu informieren. Artikel 14 Absatz 10 erlaubt der Kommission, das Format durch Durchführungsrechtsakt festzulegen; hier ist keiner berücksichtigt, daher folgt dies dem Wortlaut des Artikels selbst. Nur zur Information, keine Rechtsberatung.