Meldepflichtig sind zwei Fälle: aktiv ausgenutzte Schwachstellen in eigenen Produkten sowie schwerwiegende Sicherheitsvorfälle, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten und Funktionen beeinträchtigen. Darunter kann etwa ein Einbruch in die Lieferkette fallen.
Die Fristen sind eng gestaffelt. Sobald ein Hersteller begründete Anhaltspunkte für eines dieser Ereignisse hat, muss er innerhalb von 24 Stunden eine Erstmeldung über die Single Reporting Platform (SRP) der ENISA absetzen. Innerhalb von 72 Stunden – wobei die ersten 24 Stunden eingerechnet sind, nicht hinzukommen – folgt eine ausführlichere Meldung mit Angaben zu Schweregrad und Auswirkungen sowie zu Zwischenmaßnahmen, die Anwender bis zur Bereitstellung eines Fixes ergreifen können.
Ist eine Korrektur verfügbar, bleiben den Herstellern einige Wochen für einen formellen Sicherheitsbericht und ein Monat für einen umfassenden Abschlussbericht, der den gesamten Vorgang bis dahin dokumentiert.
Eine Ausnahme hat die EU nur für die kleinsten Anbieter geschaffen. Kleinstunternehmen mit weniger als zehn Beschäftigten und unter zwei Millionen Euro Jahresumsatz sowie Kleinunternehmen mit weniger als 50 Beschäftigten und zehn Millionen Euro Umsatz dürfen für ein Verpassen der 24-Stunden-Frist nicht mit Bußgeldern belegt werden. Auch die sogenannten Konformitätsbewertungen sollen bei Klein- und Kleinstunternehmen sowie mittleren Unternehmen „in verhältnismäßiger Weise" erfolgen. Für größere Organisationen gibt es solche Erleichterungen nicht.
In anderer Hinsicht bleibt der CRA vergleichsweise nachsichtig. Für bekannte, aber noch nicht aktiv ausgenutzte Schwachstellen besteht keinerlei Meldepflicht – unabhängig davon, wie schwerwiegend sie sind. Zudem lässt Artikel 16 Absatz 2 eine zeitweise Zurückhaltung von Informationen zu: „In Ausnahmefällen und insbesondere auf Ersuchen des Herstellers sowie angesichts des vom Hersteller nach Artikel 14 Absatz 2 Buchstabe a dieser Verordnung angegebenen Sensibilitätsgrads der gemeldeten Informationen kann die Verbreitung der Meldung aus gerechtfertigten cybersicherheitsbezogenen Gründen für einen unbedingt erforderlichen Zeitraum verzögert werden."
Die hohen Bußgeldrahmen relativiert Dr. Aram Hovsepyan, CEO und Gründer von Codific und Gründungsvorstandsmitglied von OWASP EU: „Die Höchststrafen senden die richtige Botschaft", sagt er, „aber ein Blick auf die seit 2018 verhängten DSGVO-Bußgelder zeigt deutlich, dass die Mehrzahl der Strafen weit unter den in der Verordnung genannten Höchstbeträgen lag."
Entscheidend für die Einhaltung des CRA sei aus seiner Sicht, dass Unternehmen Erkennung und Reaktion auf Vorfälle beherrschen. „Auf Basis quantitativer Daten aus dem OWASP-SAMM-Benchmarking-Projekt wissen wir, dass Organisationen darin tatsächlich ziemlich gut sind, besonders bei der Incident Response. Gerade in großen Organisationen gibt es dedizierte Incident-Response-Teams. Sie sind wie professionelle Feuerwehrleute, jederzeit einsatzbereit und mit klaren Playbooks ausgestattet. Eine weitere Compliance-Vorgabe in dieses Playbook aufzunehmen, ist zumindest prozessual unkompliziert."
Schwieriger werde es in der Praxis: „Leider wird die Realität kompliziert, denn während eines typischen Sicherheitsvorfalls sorgen sich Organisationen mehr um ihre Reputation als um Compliance", ergänzt Hovsepyan. „Wie werden ihre Kunden den Vorfall wahrnehmen? Wie lässt sich der potenzielle Schaden minimieren? Dieser Aspekt wird komplexer sein."