CRA-Glossar

Für Gerätehersteller

Bei einer Schwachstelle spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht; bei einem schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt, innerhalb eines Monats nach der Meldung des Sicherheitsvorfalls.

Bestimmung · Art. 14(2)(c) (Schwachstellen); Art. 14(4)(c) (Sicherheitsvorfälle) auf EUR-Lex

sofern die einschlägigen Informationen nicht bereits vorgelegt wurden, spätestens 14 Tage, nachdem eine Korrektur- oder Risikominderungsmaßnahme zur Verfügung steht, einen Abschlussbericht, der mindestens Folgendes enthält: i) eine Beschreibung der Schwachstelle, einschließlich ihres Schweregrads und ihrer Auswirkungen, ii) falls verfügbar, Informationen über jeden böswilligen Akteur, der die Schwachstelle ausgenutzt hat oder ausnutzt, iii) Informationen über die Sicherheitsaktualisierung oder andere Korrekturmaßnahmen, die zur Behebung der Schwachstelle zur Verfügung gestellt wurden.

Für Gerätehersteller

Eine Schwachstelle, für die verlässliche Nachweise belegen, dass ein böswilliger Akteur sie ohne Zustimmung des Systemeigners in einem System ausgenutzt hat; sie löst die Meldepflicht nach Art. 14 Abs. 1 aus. Ein Listeneintrag oder ein Befund ist ein Signal; ob verlässliche Nachweise vorliegen, bewertet der Hersteller.

Definition · Art. 3(42) auf EUR-Lex

„aktiv ausgenutzte Schwachstelle“ eine Schwachstelle, zu der verlässliche Nachweise dafür vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat;

Für Gerätehersteller

Eine Schwachstelle, die ein Angreifer unter praktischen Betriebsbedingungen tatsächlich ausnutzen könnte; nach Anhang I Teil I Nr. 2 Buchst. a müssen Geräte ohne bekannte ausnutzbare Schwachstellen bereitgestellt werden.

Definition · Art. 3(41) auf EUR-Lex

„ausnutzbare Schwachstelle“ eine Schwachstelle, die von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden kann;

Für Gerätehersteller

Jede entgeltliche oder unentgeltliche Abgabe eines Geräts zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit.

Definition · Art. 3(22) auf EUR-Lex

„Bereitstellung auf dem Markt“ die entgeltliche oder unentgeltliche Abgabe eines Produkts mit digitalen Elementen zum Vertrieb oder zur Verwendung auf dem Unionsmarkt im Rahmen einer Geschäftstätigkeit;

Für Gerätehersteller

Eine in der Union ansässige Person oder ein dort ansässiges Unternehmen mit einem schriftlichen Auftrag des Herstellers, bestimmte Aufgaben in dessen Namen wahrzunehmen.

Definition · Art. 3(15) auf EUR-Lex

„Bevollmächtigter“ eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die von einem Hersteller schriftlich beauftragt wurde, in seinem Namen bestimmte Aufgaben wahrzunehmen;

Für Gerätehersteller

Die Kennzeichnung, mit der der Hersteller angibt, dass das Gerät und seine Verfahren Anhang I sowie den anderen Harmonisierungsrechtsvorschriften der Union entsprechen, die diese Kennzeichnung vorsehen.

Definition · Art. 3(31) auf EUR-Lex

„CE-Kennzeichnung“ eine Kennzeichnung, durch die ein Hersteller erklärt, dass ein Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I und anderen geltenden Harmonisierungsrechtsvorschriften der Union über ihre Anbringung genügen;

Für Gerätehersteller

Das nationale als Koordinator benannte CSIRT, das zusammen mit der ENISA die Meldungen des Herstellers nach Art. 14 erhält; Art. 14 Abs. 7 legt fest, aus welchem Mitgliedstaat dieses CSIRT stammt.

Definition · Art. 3(51); Art. 14(1), (7) auf EUR-Lex

„als Koordinator benanntes CSIRT“ ein CSIRT, das gemäß Artikel 12 Absatz 1 der Richtlinie (EU) 2022/2555 als Koordinator benannt wurde.

Für Gerätehersteller

Der mögliche Verlust oder die mögliche Störung durch einen Sicherheitsvorfall, ausgedrückt als Kombination aus Ausmaß und Eintrittswahrscheinlichkeit; die Grundlage der Risikobewertung nach Art. 13 Abs. 2.

Definition · Art. 3(37) auf EUR-Lex

„Cybersicherheitsrisiko“ das Potenzial für Verluste oder Störungen, die durch einen Sicherheitsvorfall verursacht werden, das als eine Kombination des Ausmaßes eines solchen Verlusts oder einer solchen Störung und der Wahrscheinlichkeit des Eintretens des Sicherheitsvorfalls zum Ausdruck gebracht wird;

Für Gerätehersteller

Die Serverseite, die der Hersteller selbst konzipiert hat oder unter seiner Verantwortung konzipieren ließ, wenn eine Funktion des Geräts ohne sie ausfallen würde.

Definition · Art. 3(2) auf EUR-Lex

„Datenfernverarbeitung“ entfernt stattfindende Datenverarbeitung, für die eine Software vom Hersteller selbst oder unter dessen Verantwortung konzipiert und entwickelt wird und ohne die das Produkt mit digitalen Elementen eine seiner Funktionen nicht erfüllen könnte;

Für Gerätehersteller

Eine in der Union ansässige Person oder ein dort ansässiges Unternehmen, die oder das ein Gerät mit dem Namen oder der Marke eines außerhalb der Union ansässigen Herstellers auf dem Unionsmarkt in Verkehr bringt.

Definition · Art. 3(16) auf EUR-Lex

„Einführer“ eine in der Union ansässige oder niedergelassene natürliche oder juristische Person, die ein Produkt mit digitalen Elementen unter dem Namen oder der Marke einer außerhalb der Union ansässigen oder niedergelassenen natürlichen oder juristischen Person in der Union in den Verkehr bringt;

Für Gerätehersteller

Die von ENISA eingerichtete und betriebene Plattform, über die Meldungen nach Art. 14 das als Koordinator benannte CSIRT und ENISA gleichzeitig erreichen (Art. 14 Abs. 1).

Bestimmung · Art. 16(1); Art. 14(1), (3); Art. 15 auf EUR-Lex

Für die Zwecke der Meldungen gemäß Artikel 14 Absätze 1 und 3 und Artikel 15 Absätze1 und 2 und zur Vereinfachung der Meldepflichten der Hersteller richtet die ENISA eine einheitliche Meldeplattform ein. Der laufende Betrieb dieser einheitlichen Meldeplattform wird von der ENISA gesteuert und aufrechterhalten. Die Architektur der einheitlichen Meldeplattform muss es den Mitgliedstaaten und der ENISA ermöglichen, ihre eigenen Endpunkte für die elektronische Meldung einzurichten.

Für Gerätehersteller

Das vom Hersteller nach Art. 13 Abs. 12 erstellte Dokument, das festhält, dass die Erfüllung der anwendbaren Anforderungen aus Anhang I nachgewiesen wurde; das Muster steht in Anhang V.

Bestimmung · Art. 28(1); Art. 13(12), (20); Anhang V (Muster), Anhang VI (vereinfacht) auf EUR-Lex

Die EU-Konformitätserklärung wird vom Hersteller gemäß Artikel 13 Absatz 12 ausgestellt und besagt, dass die Erfüllung der grundlegenden Cybersicherheitsanforderungen in Anhang I nachgewiesen worden ist.

Für Gerätehersteller

Die erste Meldung, innerhalb von 24 Stunden, nachdem der Hersteller von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit des Produkts mit digitalen Elementen auswirkt, Kenntnis erlangt hat; gegebenenfalls sind die Mitgliedstaaten anzugeben, in denen das Gerät bereitgestellt wurde.

Bestimmung · Art. 14(2)(a); bei Sicherheitsvorfällen Art. 14(4)(a) auf EUR-Lex

unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, nachdem der Hersteller davon Kenntnis erlangt hat, eine Frühwarnung über eine aktiv ausgenutzte Schwachstelle unter Angabe der Mitgliedstaaten, in deren Hoheitsgebiet das Produkt mit digitalen Elementen des Herstellers seiner Kenntnis nach bereitgestellt wurde;

Für Gerätehersteller

Anhang I besteht aus zwei Teilen: Teil I betrifft die Eigenschaften des Geräts selbst, etwa eine sichere Standardkonfiguration und den Schutz gespeicherter und übertragener Daten; Teil II betrifft die Behandlung von Schwachstellen durch den Hersteller, einschließlich der Software-Stückliste und der Sicherheitsaktualisierungen.

Bestimmung · Anhang I (Teil I und Teil II); Art. 3(27); Art. 13(1), (8) auf EUR-Lex

Produkte mit digitalen Elementen werden so konzipiert, entwickelt und hergestellt, dass sie angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten.

Für Gerätehersteller

Ein Wiederverkäufer oder Großhändler in der Lieferkette, der das Gerät bereitstellt, ohne seine Eigenschaften zu ändern; weder Hersteller noch Einführer.

Definition · Art. 3(17) auf EUR-Lex

„Händler“ eine natürliche oder juristische Person in der Lieferkette, die ein Produkt mit digitalen Elementen ohne Änderung seiner Eigenschaften auf dem Unionsmarkt bereitstellt, mit Ausnahme des Herstellers oder des Einführers;

Für Gerätehersteller

Eine Norm nach der Verordnung (EU) Nr. 1025/2012; ihre Anwendung begründet eine Konformitätsvermutung für die von ihr abgedeckten Anforderungen (Art. 27 Abs. 1).

Definition · Art. 3(36) auf EUR-Lex

„harmonisierte Norm“ eine harmonisierte Norm gemäß der Begriffsbestimmung in Artikel 2 Nummer 1 Buchstabe c der Verordnung (EU) Nr. 1025/2012;

Für Gerätehersteller

Wer das Gerät unter eigenem Namen oder eigener Marke in Verkehr bringt (Art. 3 Nr. 13), auch wenn andere es entworfen oder hergestellt haben; ein Entwicklungsdienstleister ist in der Regel nicht der Hersteller.

Definition · Art. 3(13) auf EUR-Lex

„Hersteller“ eine natürliche oder juristische Person, die Produkte mit digitalen Elementen entwickelt oder herstellt oder die Produkte mit digitalen Elementen konzipieren, entwickeln oder herstellen lässt und sie unter ihrem Namen oder ihrer Marke vermarktet, sei es gegen Bezahlung, zur Monetarisierung oder unentgeltlich;

Für Gerätehersteller

Die Informationen nach Anhang II, die dem Gerät in Papierform oder elektronisch beigefügt sind, einschließlich der zentralen Anlaufstelle, des Enddatums des Unterstützungszeitraums und, falls der Hersteller die Software-Stückliste bereitstellt, ihres Fundorts.

Bestimmung · Anhang II; Art. 13(18) auf EUR-Lex

Die Hersteller gewährleisten, dass den Produkten mit digitalen Elementen die in Anhang II genannten Informationen und Anleitungen für den Nutzer in Papierform oder elektronischer Form beigefügt sind.

Für Gerätehersteller

Die erstmalige Bereitstellung eines Produkts auf dem Unionsmarkt, im Unterschied zur Bereitstellung auf dem Markt, die auch jede spätere Abgabe umfasst.

Definition · Art. 3(21) auf EUR-Lex

„Inverkehrbringen“ bzw. „in den Verkehr bringen“ die erstmalige Bereitstellung eines Produkts mit digitalen Elementen auf dem Unionsmarkt;

Für Gerätehersteller

Klasse I in Anhang III nennt unter 19 Positionen Netzschnittstellen, Betriebssysteme, Router und Modems, Mikroprozessoren und Mikrocontroller mit sicherheitsrelevanten Funktionen sowie Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen; Art. 32 Abs. 2 legt das Bewertungsverfahren fest.

Auszug · Anhang III, Klasse I auf EUR-Lex

10. physische und virtuelle Netzschnittstellen
11. Betriebssysteme
12. Router, Modems für die Internetanbindung und Switches
13. Mikroprozessoren mit sicherheitsrelevanten Funktionen
14. Mikrocontroller mit sicherheitsrelevanten Funktionen
15. anwendungsspezifische integrierte Schaltungen (ASIC) und FPGA (Field Programmable Gate Array) mit sicherheitsrelevanten Funktionen [...]
17. Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen

Für Gerätehersteller

Klasse II in Anhang III nennt Hypervisoren und Container-Runtime-Systeme, Firewalls und Intrusion-Detection-Systeme oder Intrusion-Prevention-Systeme sowie manipulationssichere Mikroprozessoren und Mikrocontroller; Art. 32 Abs. 3 legt das Bewertungsverfahren fest, ohne die Möglichkeit einer internen Kontrolle.

Auszug · Anhang III, Klasse II auf EUR-Lex

1. Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen
2. Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme
3. manipulationssichere Mikroprozessoren
4. manipulationssichere Mikrocontroller

Für Gerätehersteller

Software oder Hardware, die zum Einbau in ein elektronisches Informationssystem bestimmt ist: ein Funkmodul, ein Chipsatz mit seiner Firmware, eine Bibliothek im Firmware-Image.

Definition · Art. 3(6) auf EUR-Lex

„Komponente“ Software oder Hardware, die für die Integration in ein elektronisches Informationssystem bestimmt ist;

Für Gerätehersteller

Das Verfahren zur Prüfung, ob das Gerät die grundlegenden Cybersicherheitsanforderungen aus Anhang I erfüllt (Art. 32); die verpflichtende Konformitätsbewertung nach der CRA gilt ab dem 11. Dezember 2027.

Definition · Art. 3(27) auf EUR-Lex

„Konformitätsbewertung“ das Verfahren, mit dem überprüft wird, ob die grundlegenden Cybersicherheitsanforderungen in Anhang I erfüllt werden;

Für Gerätehersteller

Anhang IV nennt drei Kategorien: Hardwaregeräte mit Sicherheitsboxen, Smart-Meter-Gateways sowie andere Geräte für fortgeschrittene Sicherheitszwecke und Chipkarten oder ähnliche Geräte einschließlich Sicherheitselementen; Art. 8 erlaubt der Kommission, dafür ein europäisches Cybersicherheitszertifikat zu verlangen.

Auszug · Art. 8(1)-(2); Anhang IV auf EUR-Lex

1. Hardwaregeräte mit Sicherheitsboxen
2. Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (1) sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung
3. Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente

Für Gerätehersteller

Die zweite Meldung, innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis erlangt hat: allgemeine Informationen über das Gerät, die Art der Ausnutzung und der Schwachstelle, die ergriffenen Korrektur- oder Risikominderungsmaßnahmen und diejenigen, die Nutzer ergreifen können. Bei Sicherheitsvorfällen: die Meldung des Sicherheitsvorfalls nach Art. 14 Abs. 4 Buchst. b.

Bestimmung · Art. 14(2)(b); bei Sicherheitsvorfällen Art. 14(4)(b) (Meldung des Sicherheitsvorfalls) auf EUR-Lex

sofern die einschlägigen Informationen nicht bereits vorgelegt wurden, unverzüglich, in jedem Fall aber innerhalb von 72 Stunden, nachdem der Hersteller Kenntnis von der aktiv ausgenutzten Schwachstelle erlangt hat, eine Meldung von Schwachstellen, die allgemeine Informationen, soweit verfügbar, über das betreffende Produkt mit digitalen Elementen, über die allgemeine Art der Ausnutzung und der betreffenden Schwachstelle sowie über alle ergriffenen Korrektur- oder Risikominderungsmaßnahmen sowie Korrektur- oder Abhilfemaßnahmen, die Nutzer ergreifen können, enthält und in der gegebenenfalls auch angegeben wird, als wie sensibel der Hersteller die gemeldeten Informationen ansieht;

Für Gerätehersteller

Eine nach Kapitel IV notifizierte Konformitätsbewertungsstelle; Stellen können seit dem 11. Juni 2026 notifiziert werden, und die verpflichtende Konformitätsbewertung nach der CRA gilt ab dem 11. Dezember 2027.

Definition · Art. 3(29) auf EUR-Lex

„notifizierte Stelle“ eine Konformitätsbewertungsstelle, die nach Artikel 43 dieser Verordnung und anderen einschlägigen Harmonisierungsrechtsvorschriften der Union benannt wurde;

Für Gerätehersteller

Ein vernetztes Gerät samt der Datenfernverarbeitung, die es zum Funktionieren benötigt; ein separat verkauftes Modul oder eine separat verkaufte Firmwarekomponente ist ein eigenständiges Produkt.

Definition · Art. 3(1) auf EUR-Lex

„Produkt mit digitalen Elementen“ ein Software- oder Hardwareprodukt und dessen Datenfernverarbeitungslösungen, einschließlich Software- oder Hardwarekomponenten, die getrennt in den Verkehr gebracht werden;

Für Gerätehersteller

Eine Schwäche, Anfälligkeit oder Fehlfunktion des Geräts, die eine Cyberbedrohung ausnutzen kann, in der Firmware, einer Komponente oder der Hardware selbst; ein Scannerbefund ist ein Signal dafür, dass eine solche Schwachstelle vorliegen könnte.

Definition · Art. 3(40) auf EUR-Lex

„Schwachstelle“ eine Schwäche, Anfälligkeit oder Fehlfunktion eines Produkts mit digitalen Elementen, die bei einer Cyberbedrohung ausgenutzt werden kann;

Für Gerätehersteller

Ein Sicherheitsvorfall, der die Fähigkeit des Geräts beeinträchtigt oder beeinträchtigen kann, sensible oder wichtige Daten oder Funktionen zu schützen, oder der zur Einschleusung oder Ausführung von Schadcode geführt hat oder führen kann; Art. 14 Abs. 5 legt die Kriterien fest, und nach Art. 14 Abs. 3 sind nur schwerwiegende Sicherheitsvorfälle meldepflichtig.

Bestimmung · Art. 14(3), (5) auf EUR-Lex

Für die Zwecke von Absatz 3 gilt ein Sicherheitsvorfall, der Auswirkungen auf die Sicherheit des Produkts mit digitalen Elementen hat, als schwerwiegend, wenn a) er sich negativ auf die Fähigkeit eines Produkts mit digitalen Elementen auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von sensiblen oder wichtigen Daten oder Funktionen zu schützen, oder b) er zur Einführung oder Ausführung eines böswilligen Codes in einem Produkt mit digitalen Elementen oder im Netzwerk und Informationssystem eines Nutzers des Produkts mit digitalen Elementen geführt hat oder dazu führen kann.

Für Gerätehersteller

Das Gerät wird mit einer sicheren Standardkonfiguration bereitgestellt und kann in seinen ursprünglichen Zustand zurückgesetzt werden; für ein maßgeschneidertes Produkt kann mit einem gewerblichen Nutzer eine andere Konfiguration vereinbart werden (Anhang I Teil I Nr. 2 Buchst. b).

Bestimmung · Anhang I Teil I(2)(b) auf EUR-Lex

mit einer sicheren Standardkonfiguration auf dem Markt bereitgestellt werden, sofern zwischen dem Hersteller und dem gewerblichen Nutzer in Bezug auf ein maßgeschneidertes Produkt mit digitalen Elementen nichts anderes vereinbart wurde, und die Möglichkeit bieten, das Produkt in seinen ursprünglichen Zustand zurückzusetzen,

Für Gerätehersteller

Eine Firmware- oder Softwareaktualisierung, die ein erkanntes Sicherheitsproblem behebt; nach Anhang I Teil II Nr. 8 muss sie unverzüglich und, außer bei entsprechend vereinbarten maßgeschneiderten Produkten, unentgeltlich zusammen mit einem Hinweis verbreitet werden.

Bestimmung · Anhang I Teil II(2) und (8); Art. 13(9) auf EUR-Lex

dafür sorgen, dass Sicherheitsaktualisierungen, die zur Bewältigung festgestellter Sicherheitsprobleme zur Verfügung stehen, unverzüglich und — sofern zwischen dem Hersteller und dem gewerblichen Nutzer in Bezug auf ein maßgeschneidertes Produkt mit digitalen Elementen nichts anderes vereinbart wurde — kostenlos verbreitet werden, zusammen mit Hinweisen und einschlägigen Informationen, auch über zu treffende mögliche Maßnahmen.

Für Gerätehersteller

Ein Sicherheitsvorfall, der die Fähigkeit des Geräts beeinträchtigt oder beeinträchtigen kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Funktionen zu schützen; nach Art. 14 Abs. 3 sind nur schwerwiegende Sicherheitsvorfälle meldepflichtig.

Definition · Art. 3(44); Art. 14(3), (5) auf EUR-Lex

„Sicherheitsvorfall mit Auswirkungen auf die Sicherheit des Produkts mit digitalen Elementen“ einen Sicherheitsvorfall, der sich negativ auf die Fähigkeit eines Produkts mit digitalen Elementen auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit von Daten oder Funktionen zu schützen;

Für Gerätehersteller

Eine formale Aufzeichnung der Komponenten in der Software des Geräts und ihrer Beziehungen innerhalb der Lieferkette; Anhang I Teil II Nr. 1 verlangt ein maschinenlesbares Format, das mindestens die Abhängigkeiten auf oberster Ebene abdeckt.

Definition · Art. 3(39); Anhang I Teil II(1); Art. 13(24) auf EUR-Lex

„Software-Stückliste“ eine formale Aufzeichnung der Einzelheiten und Lieferkettenbeziehungen der Komponenten, die in den Softwareelementen eines Produkts mit digitalen Elementen enthalten sind;

Für Gerätehersteller

Eine Strategie für die koordinierte Offenlegung von Schwachstellen, die der Hersteller aufstellt und umsetzt (Anhang I Teil II Nr. 5); Teil II Nr. 6 verlangt zusätzlich eine Kontaktadresse für die Meldung von Schwachstellen.

Bestimmung · Anhang I Teil II(5); Art. 13(8) letzter Unterabsatz; Anhang VII Nummer 2(b); Erwägungsgrund 76 auf EUR-Lex

eine Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und umsetzen;

Für Gerätehersteller

Die Dokumentation darüber, wie das Gerät und die Verfahren des Herstellers Anhang I erfüllen, mit mindestens den Inhalten aus Anhang VII; sie wird zehn Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum aufbewahrt, je nachdem, welcher Zeitraum länger ist (Art. 13 Abs. 13).

Bestimmung · Art. 31(1); Anhang VII; Art. 13(12)-(13) auf EUR-Lex

Die technische Dokumentation enthält alle einschlägigen Daten oder Einzelheiten darüber, wie der Hersteller sicherstellt, dass das Produkt mit digitalen Elementen und die vom Hersteller festgelegten Verfahren den grundlegenden Cybersicherheitsanforderungen in Anhang I genügen. Sie enthält zumindest die in Anhang VII genannten Angaben.

Für Gerätehersteller

Der Zeitraum, in dem der Hersteller die Schwachstellen des Geräts nach Anhang I Teil II behandeln muss; der Hersteller legt ihn nach Art. 13 Abs. 8 fest.

Definition · Art. 3(20); Art. 13(8), (9), (19) auf EUR-Lex

„Unterstützungszeitraum“ den Zeitraum, in dem der Hersteller sicherstellen muss, dass die Schwachstellen des Produkts mit digitalen Elementen wirksam und im Einklang mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II behandelt werden;

Für Gerätehersteller

Eine Änderung nach dem Inverkehrbringen, die sich auf die Konformität mit Anhang I Teil I auswirkt oder die bewertete Zweckbestimmung ändert; nach Erwägungsgrund 39 gilt eine Sicherheitsaktualisierung, die lediglich das Risiko senkt, in der Regel nicht als wesentlich.

Definition · Art. 3(30) auf EUR-Lex

„wesentliche Änderung“ eine Änderung des Produkts mit digitalen Elementen nach dessen Inverkehrbringen, die sich auf die Konformität des Produkts mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I auswirkt oder zu einer Änderung des bestimmungsgemäßen Zwecks, für den das Produkt geprüft wurde, führt;

Für Gerätehersteller

Ein Produkt, dessen Kernfunktionen einer der Kategorien aus Anhang III entsprechen, etwa ein Router oder ein Mikrocontroller mit sicherheitsrelevanten Funktionen; es unterliegt den Konformitätsbewertungsverfahren nach Art. 32 Abs. 2 und 3. Art. 7 knüpft den Status an die eigenen Kernfunktionen des Produkts.

Bestimmung · Art. 7(1)-(2); Anhang III (Klasse I und Klasse II) auf EUR-Lex

Produkte mit digitalen Elementen, die die Kernfunktionen einer in Anhang III aufgeführten Produktkategorie aufweisen, gelten als wichtige Produkte mit digitalen Elementen und unterliegen den in Artikel 32 Absätze 2 und 3 genannten Konformitätsbewertungsverfahren.

Für Gerätehersteller

Die eigene Anlaufstelle des Herstellers, über die Nutzer ihn direkt und schnell erreichen können, auch um Schwachstellen des Geräts zu melden; sie wird in den Informationen nach Anhang II genannt. Nicht die Meldeplattform von ENISA.

Bestimmung · Art. 13(17); Anhang II auf EUR-Lex

Für die Zwecke dieser Verordnung benennen die Hersteller eine zentrale Anlaufstelle, die es den Nutzern ermöglicht, direkt und schnell mit ihnen zu kommunizieren, auch um die Meldung von Schwachstellen des Produkts mit digitalen Elementen zu erleichtern.

Für Gerätehersteller

Die vom Hersteller in der Gebrauchsanweisung, den Verkaufsunterlagen und der technischen Dokumentation angegebene Verwendung, einschließlich des Nutzungskontexts und der Nutzungsbedingungen.

Definition · Art. 3(23) auf EUR-Lex

„Zweckbestimmung“ die Verwendung, für die ein Produkt mit digitalen Elementen laut Hersteller bestimmt ist, einschließlich der besonderen Nutzungsumstände und Nutzungsbedingungen entsprechend den Angaben des Herstellers in der Gebrauchsanleitung, im Werbe- oder Verkaufsmaterial und in Erklärungen sowie in der technischen Dokumentation;