Compliance · 6 Min. Lesezeit
Nutzerinformationen nach Anhang II, Sicherheitshinweise, Konformitätserklärung und die Meldefristen im Überblick.
Vier Zeilen: Nutzerinformationen nach Anhang II in der Sprache der Nutzer, EU-Konformitätserklärung in der vom Mitgliedstaat vorgeschriebenen Sprache, technische Dokumentation auf Verlangen in der Sprache der Behörde, Vorfallkommunikation in der Sprache der betroffenen Nutzer. Vier Dokumentarten, vier Sprachregeln Verordnung (EU) 2024/2847, Stand 31. August 2026 Nutzerinformationen Anhang II, Art. 13 Abs. 18 Sprache der Nutzer im Zielmarkt EU-Konformitätserklärung Art. 28, Muster Anhang V Vom Mitgliedstaat vorgeschrieben Technische Dokumentation Art. 13 Abs. 22 Auf Verlangen der Behörde Vorfallkommunikation Art. 14 Abs. 8 Sprache der betroffenen Nutzer Welche Sprachregel für welches Dokument gilt, mit dem jeweiligen Artikelbezug.Der Cyber Resilience Act, die Verordnung (EU) 2024/2847, wird gestaffelt anwendbar. Der erste Stichtag mit Wirkung für Hersteller war der 11. September 2026: Seitdem greifen die Meldepflichten nach Art. 14. Wer ein Produkt mit digitalen Elementen auf dem Unionsmarkt bereitstellt, muss eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall an das zuständige CSIRT und die ENISA melden. Die Vollanwendung mit CE-Kennzeichnung und Konformitätsbewertung folgt am 11. Dezember 2027.
Für die Dokumentation heißt das: Die Meldung selbst ist ein Prozess, kein Text. Was daran hängt, sind Texte. Die betroffenen Nutzerinnen und Nutzer müssen nach Art. 14 Abs. 8 informiert werden, und zwar so, dass sie die Information verstehen. Für ein Produkt, das in acht Märkten verkauft wird, bedeutet das acht Sprachfassungen einer Mitteilung, die innerhalb von Stunden entstehen soll. Darstellung der Rechtslage, keine Rechtsberatung.
| Stufe | Frist | Auslöser | Inhalt |
|---|---|---|---|
| Frühwarnung | 24 Stunden | Kenntniserlangung | knappe Erstinformation, ob eine Schwachstelle aktiv ausgenutzt wird |
| Meldung | 72 Stunden | Kenntniserlangung | Art der Schwachstelle oder des Vorfalls, ergriffene Korrektur- oder Minderungsmaßnahmen |
| Abschlussbericht Schwachstelle | 14 Tage | Verfügbarkeit einer Korrektur- oder Minderungsmaßnahme | Beschreibung, Schweregrad, Auswirkung, Behebung |
| Abschlussbericht Vorfall | 1 Monat | 72-Stunden-Meldung | Vorfallbeschreibung, Art der Bedrohung oder wahrscheinliche Ursache, Gegenmaßnahmen |
Die Asymmetrie in den letzten beiden Zeilen wird oft übersehen: Bei der Schwachstelle läuft die Frist ab dem Moment, in dem eine Behebung vorliegt, beim Vorfall ab der früheren Meldung. Die Meldungen laufen über die einheitliche Meldeplattform, die die ENISA nach Art. 16 betreibt. Den Verordnungstext finden Sie auf EUR-Lex, eine deutschsprachige Einordnung beim BSI.
Anhang II listet die Informationen und Anleitungen, die dem Produkt beiliegen müssen: Bezeichnung und Identifikation des Produkts, Kontaktdaten des Herstellers, die Kontaktstelle für Schwachstellenmeldungen, der Verwendungszweck, die bekannten Risiken bei vorhersehbarer Fehlanwendung, Angaben zu Sicherheitsupdates, Hinweise zur sicheren Inbetriebnahme und Außerbetriebnahme sowie das Enddatum des Unterstützungszeitraums.
Nach Art. 13 Abs. 18 müssen diese Informationen in einer Sprache vorliegen, die von den Nutzern und den Marktüberwachungsbehörden leicht verstanden werden kann. In der Praxis heißt das: Landessprache des jeweiligen Zielmarkts. Ein deutschsprachiges Handbuch deckt den französischen Markt nicht ab. Hinzu kommt die Aufbewahrung: Die Informationen bleiben mindestens zehn Jahre nach dem Inverkehrbringen verfügbar oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist. Eine Sprachfassung, die nach drei Jahren offline geht, erfüllt das nicht.
Für die Umsetzung heißt das meist: technische Übersetzung mit einer gepflegten Terminologiebasis, damit Sicherheitshinweise über Produktgenerationen hinweg gleich formuliert bleiben. Was zur technischen Dokumentation gehört und welche Teile übersetzungspflichtig sind, ist im Lexikon beschrieben.
Die EU-Konformitätserklärung nach Art. 28 folgt dem Muster in Anhang V. Sie wird in den Sprachen abgefasst, die der Mitgliedstaat vorschreibt, in dem das Produkt in Verkehr gebracht oder auf dem Markt bereitgestellt wird. Für Deutschland ist das Deutsch. Bei Software kann die CE-Kennzeichnung auf der Erklärung oder auf der begleitenden Website angebracht werden, was die Website zu einem sprachpflichtigen Dokument macht.
Die technische Dokumentation bleibt in vielen Häusern auf Englisch. Nach Art. 13 Abs. 22 kann die Marktüberwachungsbehörde auf begründetes Verlangen verlangen, dass die Unterlagen in einer für sie leicht verständlichen Sprache vorgelegt werden. Wer in mehreren Mitgliedstaaten verkauft, hält deshalb die am häufigsten angefragten Abschnitte übersetzungsbereit, statt sie im Anlassfall in zwei Wochen zu produzieren.
Vernetzte Maschinen fallen ab dem 20. Januar 2027 zusätzlich unter die Verordnung (EU) 2023/1230. Deren Sprachregeln sind eigenständig und im Überblick zur Maschinenverordnung beschrieben, die Dokumentenlage im Maschinenbau ist entsprechend doppelt betroffen. Beide Verordnungen verlangen eigene Erklärungen, eine gemeinsame Terminologie spart trotzdem Arbeit.
Der schwierigste Teil ist die Kommunikation an die Nutzer. Sie entsteht in dem Moment, in dem alle anderen mit dem Vorfall beschäftigt sind, sie ist rechtlich heikel, und sie muss in kurzer Zeit in mehreren Sprachen vorliegen. Improvisation an dieser Stelle produziert Fassungen, die inhaltlich auseinanderlaufen.
Was in der Vorbereitung hilft, sind freigegebene Textbausteine: eine kurze Erstmitteilung, eine Fassung mit Gegenmaßnahme, eine Entwarnung. Diese drei Bausteine lassen sich vorab in alle Zielsprachen übersetzen und im Ernstfall mit wenigen Variablen befüllen. Für die schnelle Aktualisierung eignet sich Post-Editing nach ISO 18587, weil der Ausgangstext dann bereits geprüft ist. Für die Erstfassung der Bausteine ist Fachübersetzung die passende Wahl.
Betroffen sind auch die Kanäle: Support-Seiten, Release Notes und die Produktoberfläche. Wer die Mitteilung auf der Website veröffentlicht, braucht die Website in denselben Sprachen, und bei Software zusätzlich die Oberfläche, wenn dort ein Hinweis erscheint.
Die Meldepflicht knüpft an Produkte mit digitalen Elementen an, die auf dem Unionsmarkt bereitgestellt werden. Für die Einordnung Ihres konkreten Portfolios ist der Verordnungstext maßgeblich, ergänzt um die Auslegungshilfen der Kommission. Darstellung der Rechtslage, keine Rechtsberatung.
Die Meldung an CSIRT und ENISA ist ein Behördenvorgang mit eigenen Sprachvorgaben. Die Sprachfassungen, um die es in der Praxis geht, betreffen die Information an die Nutzer und die begleitenden Produktdokumente.
Für die Nutzerinformationen in aller Regel nicht. Der Maßstab ist die leichte Verständlichkeit für die Nutzer im jeweiligen Markt, und den bestimmt der Mitgliedstaat. Für die technische Dokumentation ist Englisch häufig ausreichend, solange die Behörde nichts anderes verlangt.
Bei gepflegter Terminologie und einem Translation Memory aus der Vorgängerversion liegt eine typische Bedienungsanleitung in wenigen Arbeitstagen je Sprache vor. Ohne Vorarbeit dauert die erste Fassung länger, weil Begriffe erst festgelegt werden. Eine Einschätzung für Ihren Umfang erhalten Sie auf Anfrage, die Konditionen stehen in der Preisübersicht.
Wenn Sie wissen möchten, welche Ihrer Dokumente in welchen Sprachen fehlen, genügt eine Liste der Zielmärkte und ein Beispieldokument. Wir gleichen ab, welche Fassungen vorliegen und welche für den 11. Dezember 2027 nachzuziehen sind.
Zur Einordnung Ihrer Dokumentenlage: Leistungsübersicht und Zertifizierungen.