Die Normen mögen sich verschieben. Der Meldetermin nicht.

Im Cyber Resilience Act öffnet sich eine Lücke, und es lohnt sich, hier präzise zu sein — denn Präzision ist an dieser Stelle der Unterschied zwischen Planen und Hoffen.

Was feststeht

Zwei Termine der Verordnung (EU) 2024/2847 sind durch Artikel 71 gesetzt und werden von nichts berührt, was in der Normung geschieht:

• 11. September 2026 — Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Sicherheitsvorfälle nach Artikel 14, an das koordinierende CSIRT und die ENISA.
• 11. Dezember 2027 — die Verordnung gilt vollständig. Anhang I bindet, einschließlich Teil II Nummer 3: Hersteller müssen „die Sicherheit des Produkts mit digitalen Elementen regelmäßig und wirksam testen und überprüfen."

Was sich bewegt

Die harmonisierten Normen im Rahmen des Normungsauftrags M/606 der Kommission (C(2025)618) sind die Instrumente, die sagen werden, was „regelmäßig und wirksam" tatsächlich verlangt. Ein im Juli 2026 zirkulierter Änderungsentwurf würde die Liefertermine für die Schwachstellenmanagement-Normen später ansetzen als ursprünglich angefordert.

Wir drucken bewusst keinen Nachfolgetermin ab. Zum Datum dieser Notiz haben wir keinen im Amtsblatt veröffentlichten, angenommenen Änderungsbeschluss gesehen, und die Normungsseite der Kommission verweist weiterhin auf C(2025)618. Ein Vorschlag ist kein Zeitplan — und einen als solchen auszugeben, ist die Art kleiner Fehler, die einen Leser das Vertrauen in alles Umliegende kostet.

Der Teil, der nicht vom Datum abhängt

Selbst wenn eine Norm geliefert ist, ist die Lieferung nicht der maßgebliche Moment. Nach Artikel 27 Absatz 1 begründet eine harmonisierte Norm die Konformitätsvermutung erst, wenn ihre Fundstelle im Amtsblatt der Europäischen Union veröffentlicht ist — und das liegt nach jedem Liefertermin, um ein Intervall, das niemand kontrolliert.

Die Form des Problems ist also stabil, egal welche Termine wohin fallen:

Hersteller werden für eine gewisse Zeit die Einhaltung einer Prüfpflicht dokumentieren, bevor die Norm, die diese Pflicht definiert, zitierfähig ist.

Aufzeichnungen aus diesem Intervall können sich nicht auf die Konformität mit einer veröffentlichten Norm stützen, denn es gibt noch keine, der man entsprechen könnte. Sie müssen aus eigener Kraft stehen — rückführbar auf eine Revision, ehrlich darüber, was geprüft wurde und was nicht, und lesbar für jemanden, der nicht im Raum war.

Was wir tatsächlich tun würden

Nichts Dramatisches. Drei Dinge, geordnet danach, wie billig sie sind:

1. Kennen Sie Ihre Einstufung. Der Konformitätsweg ist keine Frage der Unternehmensgröße oder der Verbreitung — er folgt aus der Einstufung nach Anhang III / Anhang IV, und die Antwort ändert, was Sie schulden. Produkte des Anhangs III, die als freie und quelloffene Software gelten, haben nach Artikel 32 Absatz 5 einen eigenen Weg, sofern die technische Dokumentation öffentlich ist; diese Ausnahme reicht nicht bis Anhang IV.
2. Beginnen Sie die technische Dokumentation jetzt, nicht 2027. Anhang VII Nummer 6 verlangt „Berichte über die Tests und Prüfungen, die durchgeführt wurden, um die Konformität des Produkts mit digitalen Elementen und der Verfahren zur Behandlung von Schwachstellen … zu überprüfen." Solche Berichte entstehen Release für Release — oder sie werden unter Termindruck aus dem Gedächtnis rekonstruiert. Das Erste ist Evidenz; das Zweite ist eine Erzählung.
3. Halten Sie die Aufbewahrungsregel gerade. Es ist Artikel 13 Absatz 13 — technische Dokumentation und EU-Konformitätserklärung werden mindestens zehn Jahre lang oder für die Dauer des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist, aufbewahrt. Bei Infrastruktur mit langen Support-Zusagen ist meist der zweite Halbsatz der maßgebliche — und er ist der, den man fallen lässt.

Korrekturen

Ist ein Datum oder eine Fundstelle in dieser Notiz falsch, hören wir es lieber, als öffentlich recht zu behalten. Schreiben Sie uns, und wir korrigieren es hier — sichtbar, statt das Original stillschweigend zu ändern.

Bestimmungen geprüft gegen Verordnung (EU) 2024/2847; deutsche Zitate folgen der amtlichen deutschen Sprachfassung. Normungszeitpläne bewegen sich; prüfen Sie den aktuellen M/606-Zeitplan, bevor Sie sich darauf verlassen. Nichts hier ist Rechtsberatung.