Start der Single Reporting Platform: Was Hersteller jetzt wissen müssen

00:00:02: Rosinus on Air, der Criminal Compliance Podcast.

00:00:11: Herzlich willkommen zu einer neuen Folge des Criminal Complance Podcasts!

00:00:15: Ich bin Volker Pietzsch und bei mir ist Benjamin Dobre.

00:00:18: Am elften September zwanzigundzwanzig ist die sogenannte Single Reporting Platform kurz SAP an den Staat gegangen.

00:00:26: mit ihr kommen neue Vorgaben zum Meldepflichten, die europaweit gelten.

00:00:31: Den Startschuss dafür setzte der Cyber Resilience Act der bereits im Dezember, in Kraft getreten ist und Herstellern von Produkten mit digitalen Elementen – von der smarten Kaffeemaschine bis zur Industriesteuerung – erstmals verbindliche Cyber-Sicherheitspflichten für den gesamten Produktlebenszyklus auferlegt.

00:00:51: Wird nun eine Schwachstelle entdeckt?

00:00:53: Soll diese gemeldet werden?

00:00:54: Und das funktioniert ab sofort über die SAP!

00:00:58: Fangen wir grundlegend an….

00:01:00: Was ist die SAP

00:01:01: überhaupt?!

00:01:02: Die SRP ist die zentrale elektronische Meldplattform der INESA, vielleicht die European Union Agency for Cyber Security.

00:01:12: Und das grundlegende Prinzip dahinter ist dass die Hersteller nur einmal eine Meldung abgeben statt jede nationale Behörde einzeln zu kontaktieren.

00:01:21: Die Meldepflicht betrifft alle Produkte mit digitalen Elementen also praktisch jede Hard- und Software mit Netzwerkanwendungen Und Rechtsgrundlage hierfür ist Artikel XVI des Cyber Resilience Act, gleich CRA.

00:01:36: Und was genau geschah nun am elften September dieses Jahres?

00:01:40: Am Elften September ging die Plattform live.

00:01:44: Gleichzeitig startete die gesetzliche Meldepflicht nach Artikel vierzen CRA und damit fallen ja Plattformstart- und Pflichtbeginn zusammen.

00:01:54: Gehen wir mal detaillierter auf diese Meldpflicht ein!

00:01:57: Wer muss was

00:01:58: melden?!

00:01:59: Meldepflicht gilt für Hersteller von Produkten mit digitalen Elementen, beispielsweise Netzwerkdrucker und außerdem auch für Open Source Software Stewards.

00:02:11: Aber nur soweit sie in solche Produkte eingebründen sind – was sich wiederum aus Artikel-IV Absatz III CRA gibt?

00:02:20: Was sind Open Source Stewards?

00:02:21: Das sind Organisationen die die Entwicklung von Open Source Systematisch unterstützen ohne selbst kommerzieller Hersteller im klassischen Sinn zu sein.

00:02:32: Weltpflichtig ist dabei zum einen insbesondere die aktiv ausgenutzten Schwachstellen, der in etwa belastbare Hinweise vorliegt dass ein Angreifer sie bereits ausnutzt.

00:02:42: Zum anderen aber auch schwerwiegende Sicherheitsverfälle natürlich, etwa wenn verfügbarkeit, Integrität, Authentizität oder die Vertraulichkeit beeinträchtigt sind.

00:02:53: Und zusätzlich sind dabei natürlich auch freiwillige Meldungen möglich, zum Beispiel bei Schwachstellen, Cyberbedrohung, etwaigen Vorfällen wie bei Nahvorfällen.

00:03:02: Auch für jedermann und nicht nur für Hersteller.

00:03:05: Müssen bei der Meldung besondere Fristen beachtet werden?

00:03:09: Ja es gibt mehrere spezifische Fristen.

00:03:13: Zum einen die erste Frist innerhalb von vierundzwanzig Stunden muss eine Frühwarnung erfolgen also spätestens nach vierund zwanzig Stunden und insgesamt auch ohne schuldhaftes Zögern.

00:03:24: Nach seventy-two Stunden spätestens muss so dann eine Meldung mit einer ersten Einschätzung zur Schwachstelle zum Vorfall erfolgen, die Frist für den Abschlussbericht ist spätestens nach vierzehn Tagen der Verfügbarkeit einer Korrekturmaßnahme etwa für aktiv ausgenutzte Schwachstellen.

00:03:44: Und im Rahmen von schwerwiegenden Vorfällen gilt die Frist für den Abschlussbericht spätestens nach einem Monat, nach der ersten Meldung.

00:03:52: Damit sind die Fristen weitestgehend parallel zur DSGVO und derenes Zweirechtlinie.

00:03:59: Wie läuft deine Meldungen über das Portal technisch ab?

00:04:01: Die Meldon geht gleichzeitig an die zuständige CSIRT Das ist das Computer Security Incident Response Team Im Land der Hauptniederlassung sowie an die ENESA.

00:04:14: Die CSIRT leitet die Infos unverzüglich an andere Betroffene, CSIRTs und gegebenenfalls Marktüberwachungsbehörden weiter.

00:04:23: Und die zuständige CSIRTI richtet sich dann wiederum nach dem Hauptsitz des Unternehmens was sich außer Artikel fützt in Absatz sieben CRA ergibt.

00:04:33: Kann der Hersteller diesen Prozess automatisieren?

00:04:36: Derzeit erfolgt Eine Meldung noch manuell über die Plattform, auch wenn interne Workflows vorbereitet werden können.

00:04:43: Denkbar wäre jedoch dass das interne System des Herstellers zum Beispiel ein Vulnerability Management Tool die melde Daten automatisch maschinell an die SRP sendet ohne dass ein Mensch etwas abtippt.

00:04:56: Zum jetzigen Zeitpunkt stellt Nisa allerdings keine solche Programme mir Schnittstelle bereit.

00:05:02: Die Organisationen können ihre Meldewerkfluss zwar automatisieren und in eigene Systeme Datenbanken integrieren, aber am Ende der Kette steht immer ein Mensch, der die Datenmanuelle in eine Webformular auf der SRP-Website einträgt.

00:05:16: Mich immer wird ne Schwachstelle sofort identifiziert.

00:05:19: gilt die Meldepflicht auch rückwirkend?

00:05:21: Die Beldeppflicht gilt ab dem Moment, indem der Hersteller Kenntnis erlangt.

00:05:26: das gilt nicht rückwirkend.

00:05:27: für Wissen, dass schon vor geltungsbeginn der Pflicht bestand Und für Detailfragen zu Altprodukten verweist Denise auf die FAQ der EU-Kommission zur CRA Umsetzung.

00:05:41: Was droht bei Verstößen gegen die Meldepflicht?

00:05:44: Die Rechtsgrundlage für etwaige Verstösse sieht Artikel spektrisch vor.

00:05:50: Bei Verstößern gegen die Grundlegenden Cyber-Sicherheitsanforderungen betrifft auch die Melldepflichten.

00:05:56: Ist ein Bußgeld vorgesehen bis zu fünfzehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist.

00:06:05: Und in diesem Rahmen gibt es einen mehrstufiges System.

00:06:08: neben der Höchststrafe gibt es niedrigere Buß Geldrahmen für andere weniger schwerliegende Pflichtverletzungen etwa Verstöße gegen sonstige Herstellerpflichten oder gegen Auskunftspflichten gegenüber Behörden ähnlich wie in der DSGVO.

00:06:23: Eine Ausnahme hier von Seedartikel-IV, Absatz X CRL vor.

00:06:28: Nach Litera B etwa gibt es eine Ausnahme für Open Source Software Stewards generell nach Litera A für Hersteller die als Kleinst oder Kleinunternehmen die Geld nur in Bezug auf die Nichteanhaltung der Vierundzwanzig Stunden frisst.

00:06:44: und neben Bußgeldern drohen auch nicht monetäre Maßnahmen der Marktüberwachungsbehörden etwa Ein Rückruf, ein Vertriebsverbot oder eben einen Zwang zur Nachbesserung.

00:06:56: Was sollten Unternehmen jetzt konkret tun?

00:06:59: Ja wichtig für die Unternehmer der Praxis ist dass auch wer als Hersteller nur eine Komponente für ein finales Produkt zuliefert in die Pflicht kommen kann und bisher kennt man die Meldepfrissten eher vom Datenschutz oder wenn man als Herster bereits eine Zweipflichtig ist.

00:07:14: Nun werden die MADE-Flichten im Bereich der Produktsicherheit hier natürlich jetzt erweitert und für die Fristen ist es wichtig, vorher interne Prozesse darzulegen sodass im Schadensfall unverzüglich nach einem Protokoll gehandelt werden kann.

00:07:28: Das heißt das sollte intern geklärt werden.

00:07:30: Wer ist Assigned Representedive?

00:07:33: Wer überwacht die Frissten, die vierundzwanzig Stunden, zweiundsebzig Stunden frisst und die vierzehn Tage frisst?

00:07:39: Und hier lohnt es sich einen Blick auf die Initiatheenseite zu werfen.

00:07:44: Die ja FAQ sind sehr hilfreich, das Fact Sheets zum SAP aber auch die Leitfäden für die assigned representatives und ihr seid auch viele weitere Informationen zur Registrierung Einreichungen und dem Interface enthalten.

00:08:00: Danke fürs Gespräch!

00:08:01: Und auch danke an Sie liebe Hörerinnen und Hörern.

00:08:04: wenn sie Fragen oder Anmerkungen haben melden Sie sich wie immer jederzeit gerne unter info at rosinus-on-air.

00:08:11: kommen bis zum nächsten Mal.

00:08:13: Der Podcast stellt lediglich einen allgemeinen Überblick über rechtliche Themen dar und ersetzt selbstverständlich keine Rechtsberatung zu konkreten Fragestellungen im Einzelfall.

00:08:23: Bei Fragen wenden sie sich an Rechtseinwältinnen und Rechtsanwälte ihres Vertrauens, natürlich auch gerne an uns!

00:08:30: www.rosinus-on-r.com oder unter www.rozinus-partner.com.