Begriffe · Art. 3 Nr. 40 bis 42, Art. 14(5)
Bekannt ist nicht ausgenutzt: die drei Stufen einer Schwachstelle
Der häufigste Irrtum im Gespräch: Nicht jede bekannte Lücke löst eine Meldung aus. Die Verordnung unterscheidet drei Stufen, und nur die dritte startet die 24 Stunden.
Drei Begriffe, die im Alltag durcheinandergehen
Nummer 40 ist die Schwachstelle: eine Schwäche, Anfälligkeit oder Fehlfunktion, die bei einer Cyberbedrohung ausgenutzt werden kann.
Nummer 41 ist die ausnutzbare Schwachstelle: eine, die von einem unbefugten Dritten unter praktischen Betriebsbedingungen wirksam genutzt werden kann.
Nummer 42 ist die aktiv ausgenutzte Schwachstelle: eine, zu der verlässliche Nachweise vorliegen, dass ein böswilliger Akteur sie in einem System ohne Zustimmung des Systemeigners ausgenutzt hat.
- Stufe 40 ist ein Schloss, das sich knacken lässt.
- Stufe 41 ist ein Schloss, für das jemand ein passendes Werkzeug gebaut hat.
- Stufe 42 ist ein Schloss, das nachweislich schon geknackt wurde.
Drei Feinheiten, die oft entscheiden
Erstens heisst es "in einem System", nicht "in Ihrem System". Es genügt, dass die Lücke irgendwo ausgenutzt wurde. Wenn Ihr Steuerungshersteller das schreibt, ist die Voraussetzung erfüllt, auch wenn bei Ihren Kunden nichts geschehen ist.
Zweitens genügen verlässliche Nachweise, kein Beweis vor Gericht. Eine glaubwürdige Zuliefermeldung oder ein Eintrag in einem Katalog bekannter ausgenutzter Schwachstellen reicht.
Drittens muss kein Schaden entstanden sein.
Der schwerwiegende Sicherheitsvorfall
Ein Vorfall ist keine Lücke, sondern ein Ereignis. Artikel 14 Absatz 5 nennt zwei Fälle, und einer genügt: Der Vorfall beeinträchtigt die Fähigkeit des Produkts, wichtige Daten oder Funktionen zu schützen, oder er hat zur Einführung von Schadcode geführt.
Beides zählt auch dann, wenn es erst dazu kommen kann. Wer wartet, bis der Schaden eingetreten ist, hat die Frist längst verpasst.
Folge
Die normale Flut von Schwachstellenmeldungen müssen Sie behandeln, aber nicht melden. Behandlung ist Alltag, eine Meldung kommt selten vor. Deshalb ist der Ablauf im Ernstfall ungeübt.
Stand August 2026. Massgeblich ist der Wortlaut im Amtsblatt der Europäischen Union. Dieser Beitrag ersetzt keine Rechtsberatung.
Weitere Beiträge
Die Meldepflicht gilt auch für Maschinen von 2019
Der Punkt, den die meisten übersehen: Für Bestandsprodukte greifen die Produktanforderungen erst nach einer wesentlichen Änderung. Die Meldepflichten nimmt die Verordnung davon ausdrücklich aus.
Wem meldet ein Hersteller ohne Niederlassung in der Union?
Für Schweizer und andere Hersteller aus Drittstaaten ist das die erste Frage, und sie muss vor dem Ernstfall beantwortet sein.
Fünf Jahre ab der einzelnen Maschine, nicht ab der Baureihe
Die Rechnung, die kein Werkzeug ausser diesem aufmacht, und die Zahl, die einem Geschäftsführer den Abend verdirbt.