Was ab dem 11. September gilt

Der Cyber Resilience Act, die Verordnung (EU) 2024/2847, wird gestaffelt anwendbar. Der erste Stichtag mit Wirkung für Hersteller war der 11. September 2026: Seitdem greifen die Meldepflichten nach Art. 14. Wer ein Produkt mit digitalen Elementen auf dem Unionsmarkt bereitstellt, muss eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall an das zuständige CSIRT und die ENISA melden. Die Vollanwendung mit CE-Kennzeichnung und Konformitätsbewertung folgt am 11. Dezember 2027.

Für die Dokumentation heißt das: Die Meldung selbst ist ein Prozess, kein Text. Was daran hängt, sind Texte. Die betroffenen Nutzerinnen und Nutzer müssen nach Art. 14 Abs. 8 informiert werden, und zwar so, dass sie die Information verstehen. Für ein Produkt, das in acht Märkten verkauft wird, bedeutet das acht Sprachfassungen einer Mitteilung, die innerhalb von Stunden entstehen soll. Darstellung der Rechtslage, keine Rechtsberatung.

Die Meldefristen im Überblick

Die Asymmetrie in den letzten beiden Zeilen wird oft übersehen: Bei der Schwachstelle läuft die Frist ab dem Moment, in dem eine Behebung vorliegt, beim Vorfall ab der früheren Meldung. Die Meldungen laufen über die einheitliche Meldeplattform, die die ENISA nach Art. 16 betreibt. Den Verordnungstext finden Sie auf EUR-Lex, eine deutschsprachige Einordnung beim BSI.

Nutzerinformationen nach Anhang II

Anhang II listet die Informationen und Anleitungen, die dem Produkt beiliegen müssen: Bezeichnung und Identifikation des Produkts, Kontaktdaten des Herstellers, die Kontaktstelle für Schwachstellenmeldungen, der Verwendungszweck, die bekannten Risiken bei vorhersehbarer Fehlanwendung, Angaben zu Sicherheitsupdates, Hinweise zur sicheren Inbetriebnahme und Außerbetriebnahme sowie das Enddatum des Unterstützungszeitraums.

Nach Art. 13 Abs. 18 müssen diese Informationen in einer Sprache vorliegen, die von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden kann. In der Praxis heißt das: Landessprache des jeweiligen Zielmarkts. Ein deutschsprachiges Handbuch deckt den französischen Markt nicht ab. Hinzu kommt die Aufbewahrung: Die Informationen bleiben mindestens zehn Jahre nach dem Inverkehrbringen verfügbar oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist. Eine Sprachfassung, die nach drei Jahren offline geht, erfüllt das nicht.

Für die Umsetzung heißt das meist: technische Übersetzung mit einer gepflegten Terminologiebasis, damit Sicherheitshinweise über Produktgenerationen hinweg gleich formuliert bleiben. Was zur technischen Dokumentation gehört und welche Teile übersetzungspflichtig sind, ist im Lexikon beschrieben.

EU-Konformitätserklärung und technische Dokumentation

Die EU-Konformitätserklärung nach Art. 28 folgt dem Muster in Anhang V. Sie wird in den Sprachen abgefasst, die der Mitgliedstaat vorschreibt, in dem das Produkt in Verkehr gebracht oder auf dem Markt bereitgestellt wird. Für Deutschland ist das Deutsch. Bei Software kann die CE-Kennzeichnung auf der Erklärung oder auf der begleitenden Website angebracht werden, was die Website zu einem sprachpflichtigen Dokument macht.

Die technische Dokumentation bleibt in vielen Häusern auf Englisch. Nach Art. 13 Abs. 22 kann die Marktüberwachungsbehörde auf begründetes Verlangen verlangen, dass die Unterlagen in einer für sie leicht verständlichen Sprache vorgelegt werden. Wer in mehreren Mitgliedstaaten verkauft, hält deshalb die am häufigsten angefragten Abschnitte übersetzungsbereit, statt sie im Anlassfall in zwei Wochen zu produzieren.

Vorfallkommunikation unter Zeitdruck

Der schwierigste Teil ist die Kommunikation an die Nutzer. Sie entsteht in dem Moment, in dem alle anderen mit dem Vorfall beschäftigt sind, sie ist rechtlich heikel, und sie muss in kurzer Zeit in mehreren Sprachen vorliegen. Improvisation an dieser Stelle produziert Fassungen, die inhaltlich auseinanderlaufen.

Was in der Vorbereitung hilft, sind freigegebene Textbausteine: eine kurze Erstmitteilung, eine Fassung mit Gegenmaßnahme, eine Entwarnung. Diese drei Bausteine lassen sich vorab in alle Zielsprachen übersetzen und im Ernstfall mit wenigen Variablen befüllen. Für die schnelle Aktualisierung eignet sich Post-Editing nach ISO 18587, weil der Ausgangstext dann bereits geprüft ist. Für die Erstfassung der Bausteine ist Fachübersetzung die passende Wahl.

Betroffen sind auch die Kanäle: Support-Seiten, Release Notes und die Produktoberfläche. Wer die Mitteilung auf der Website veröffentlicht, braucht die Website in denselben Sprachen, und bei Software zusätzlich die Oberfläche, wenn dort ein Hinweis erscheint.

Häufige Fragen

Gilt die Meldepflicht auch für Produkte, die schon im Markt sind?

Die Meldepflicht knüpft an Produkte mit digitalen Elementen an, die auf dem Unionsmarkt bereitgestellt werden. Für die Einordnung Ihres konkreten Portfolios ist der Verordnungstext maßgeblich, ergänzt um die Auslegungshilfen der Kommission. Darstellung der Rechtslage, keine Rechtsberatung.

Muss die Meldung an die Behörde übersetzt werden?

Die Meldung an CSIRT und ENISA ist ein Behördenvorgang mit eigenen Sprachvorgaben. Die Sprachfassungen, um die es in der Praxis geht, betreffen die Information an die Nutzer und die begleitenden Produktdokumente.

Reicht Englisch für den gesamten Binnenmarkt?

Für die Nutzerinformationen in aller Regel nicht. Der Maßstab ist die leichte Verständlichkeit für die Nutzer im jeweiligen Markt, und den bestimmt der Mitgliedstaat. Für die technische Dokumentation ist Englisch häufig ausreichend, solange die Behörde nichts anderes verlangt.

Wie lange dauert eine Sprachfassung der Nutzerinformationen?

Bei gepflegter Terminologie und einem Translation Memory aus der Vorgängerversion liegt eine typische Bedienungsanleitung in wenigen Arbeitstagen je Sprache vor. Ohne Vorarbeit dauert die erste Fassung länger, weil Begriffe erst festgelegt werden. Eine Einschätzung für Ihren Umfang erhalten Sie auf Anfrage, die Konditionen stehen in der Preisübersicht.