Der größte Teil des Textes des Cyber Resilience Act handelt vom System um ein Produkt herum: notifizierte Stellen, Marktüberwachung, delegierte Rechtsakte, die zentrale Meldeplattform. Der Teil, nach dem ein Softwarehersteller handeln muss, ist viel kürzer, und das meiste davon steht in einem Artikel. Artikel 13, "Pflichten der Hersteller", hat fünfundzwanzig Absätze, und sie der Reihe nach zu lesen ist der schnellste Weg zu wissen, was die Verordnung von einem Unternehmen verlangt, das Software ausliefert. Einundzwanzig davon sind Pflichten, zwei sind Optionen, die ein Hersteller wahrnehmen kann, und zwei gehören der Kommission und den Marktüberwachungsbehörden. Die kostenlose Seite listet jede der fünfundachtzig Zeilen, die die Verordnung einem Hersteller, einem Einführer, einem Händler oder einem Verwalter quelloffener Software auferlegt, im Wortlaut des Amtsblatts in der Sprache des Lesers, mit einem Status je Zeile; dieser Artikel ist die Lektüre dazu.

Absätze 1 bis 7: das Produkt und seine Komponenten

Absatz 1 ist die ganze Verordnung in einem Satz: Ein in Verkehr gebrachtes Produkt muss im Einklang mit den grundlegenden Cybersicherheitsanforderungen von Teil I des Anhangs I konzipiert, entwickelt und hergestellt sein. Die Absätze 2 bis 4 sind die Risikobewertung, die entscheidet, wie: für das Produkt durchgeführt, dokumentiert und während des Unterstützungszeitraums aktuell gehalten, auf Grundlage der Zweckbestimmung und der vernünftigerweise vorhersehbaren Verwendung, mit der Angabe, welche der Eigenschaften von Teil I Nummer 2 gelten und wie, und in die technische Dokumentation aufgenommen mit einer klaren Begründung für jede als nicht anwendbar beurteilte Anforderung. Absatz 5 ist die Sorgfaltspflicht bei von Dritten bezogenen Komponenten, quelloffene eingeschlossen, damit sie das Produkt nicht beeinträchtigen; Absatz 6 sagt, was beim Fund einer Schwachstelle in einer solchen Komponente zu tun ist: sie dem melden, der die Komponente pflegt, sie nach Teil II beheben und die Korrektur teilen, wo eine entwickelt wurde. Absatz 7 verlangt die systematische Dokumentation der Cybersicherheitsaspekte des Produkts, der Schwachstellen, von denen der Hersteller erfährt, und der Informationen, die Dritte liefern, und die Aktualisierung der Risikobewertung, wenn sich das ändert.

Absätze 8 bis 11: der Unterstützungszeitraum und die Updates

Absatz 8 ist der längste und trägt drei getrennte Pflichten. Erstens werden Schwachstellen während des Unterstützungszeitraums wirksam behandelt, nach den acht Anforderungen von Teil II des Anhangs I. Zweitens bestimmt der Hersteller den Unterstützungszeitraum so, dass er die erwartete Nutzungsdauer des Produkts widerspiegelt, mindestens fünf Jahre, sofern die erwartete Nutzung nicht kürzer ist, mit der Begründung in der technischen Dokumentation. Drittens hat der Hersteller Konzepte und Verfahren, darunter das Konzept zur koordinierten Offenlegung von Schwachstellen, um von innen und außen gemeldete Schwachstellen zu bearbeiten und zu beheben. Absatz 9 hält jedes Sicherheitsupdate nach seiner Herausgabe zehn Jahre lang oder für den Rest des Unterstützungszeitraums verfügbar, je nachdem, was länger ist. Die Absätze 10 und 11 sind die zwei Optionen: Ein Hersteller, der wesentlich veränderte Versionen eines Softwareprodukts in Verkehr gebracht hat, kann die Behebungsanforderung von Teil II Nummer 2 nur für die neueste Version erfüllen, sofern die Nutzer der früheren Versionen die neueste kostenlos und ohne Anpassung ihrer Umgebung erhalten; und er kann öffentliche Archive historischer Versionen führen, solange die Nutzer klar über die Risiken der Nutzung nicht unterstützter Software informiert werden.

Absätze 12 bis 20: die Dokumentation, die Kennzeichnung und was das Produkt begleitet

Absatz 12 ist die Konformitätsabfolge: die technische Dokumentation nach Artikel 31 vor dem Inverkehrbringen erstellt, die Konformitätsbewertung nach Artikel 32 durchgeführt, die EU-Konformitätserklärung nach Artikel 28 ausgestellt und die CE-Kennzeichnung nach Artikel 30 angebracht. Absatz 13 hält Dokumentation und Erklärung mindestens zehn Jahre oder für den Unterstützungszeitraum, je nachdem, was länger ist, für die Marktüberwachungsbehörden bereit. Absatz 14 will Verfahren, damit die Serienfertigung konform bleibt, wenn sich Prozess, Entwurf oder harmonisierte Normen ändern. Die Absätze 15 und 16 sind Identifikation: eine Typen-, Chargen- oder Seriennummer sowie Name, Anschrift und Kontaktdaten des Herstellers auf dem Produkt, seiner Verpackung oder einem beiliegenden Dokument. Absatz 17 ist die zentrale Kontaktstelle, die Nutzer direkt erreichen können, auch um Schwachstellen zu melden, nicht auf automatisierte Werkzeuge beschränkt. Absatz 18 sind die Informationen und Anleitungen nach Anhang II, in einer für Nutzer verständlichen Sprache, zehn Jahre aufbewahrt; Absatz 19 das beim Kauf angegebene Enddatum des Unterstützungszeitraums, mindestens Monat und Jahr, mit einer Benachrichtigung, wenn das Produkt es erreicht, wo machbar; Absatz 20 die mit dem Produkt gelieferte Konformitätserklärung oder ihre vereinfachte Form mit einer Adresse.

Absätze 21 bis 25: wenn etwas nicht stimmt, und die zwei, die nicht Ihre sind

Absatz 21 ist die Korrekturpflicht: Ein Hersteller, der weiß oder Grund zu der Annahme hat, dass das Produkt oder seine Prozesse nicht mehr konform sind, ergreift unverzüglich die Korrekturmaßnahmen und nimmt das Produkt gegebenenfalls zurück oder ruft es zurück. Absatz 22 beantwortet ein begründetes Verlangen einer Marktüberwachungsbehörde mit den Informationen, die die Konformität belegen, in einer für die Behörde verständlichen Sprache, und kooperiert bei den ergriffenen Maßnahmen. Absatz 23 wird leicht übersehen: Ein Hersteller, der seine Tätigkeit einstellt und die Verordnung nicht mehr einhalten kann, informiert die Behörden und, soweit möglich, die Nutzer, bevor die Einstellung wirksam wird. Die letzten zwei Absätze gehören nicht dem Hersteller. Absatz 24 erlaubt der Kommission, Format und Elemente der Software-Stückliste per Durchführungsrechtsakt festzulegen, und Absatz 25 erlaubt den Marktüberwachungsbehörden, die Stückliste von Herstellern einer Produktkategorie anzufordern, wenn die ADCO, die Gruppe für Verwaltungszusammenarbeit, eine unionsweite Abhängigkeitsbewertung durchführt; der vierte Unterabsatz von Absatz 8 erlaubt der Kommission ebenso, per delegiertem Rechtsakt Mindestunterstützungszeiträume für Produktkategorien festzulegen. Nichts davon ist eine Zeile der Checkliste, bevor der Rechtsakt oder das Verlangen existiert.

Über Artikel 13 hinaus: die Zeilen, die die Seite hinzufügt

Artikel 13 ist nicht die ganze Liste. Artikel 14 fügt die Meldepflichten hinzu, die aktiv ausgenutzte Schwachstelle und der schwerwiegende Sicherheitsvorfall, jeweils mit einer Frühwarnung innerhalb von 24 Stunden, einer Meldung innerhalb von 72 Stunden und einem Abschlussbericht, der erste 14 Tage nach Verfügbarkeit einer Korrekturmaßnahme und der zweite einen Monat nach der Meldung, alles über die zentrale Meldeplattform an das koordinierende CSIRT der Hauptniederlassung des Herstellers. Anhang I fügt die zweiundzwanzig Anforderungen hinzu, die das Produkt und seine Prozesse erfüllen müssen, und dort braucht "nicht anwendbar" die Begründung nach Absatz 4. Die Artikel 19 und 20 geben Einführer und Händler ihre eigenen kürzeren Listen, Artikel 21 macht beide zum Hersteller, wenn sie unter eigenem Namen verkaufen oder das Produkt wesentlich verändern, Artikel 22 tut dasselbe für jeden anderen, der wesentlich verändert, Artikel 23 verlangt von jedem Wirtschaftsakteur, seine Lieferanten und Abnehmer zehn Jahre lang nennen zu können, und Artikel 24 gibt einem Verwalter quelloffener Software ein Cybersicherheitskonzept, die Zusammenarbeit mit den Behörden und die Pflichten aus Artikel 14 im Umfang von Absatz 3. Artikel 69 hält vor dem 11. Dezember 2027 in Verkehr gebrachte Produkte aus der Verordnung heraus, bis sie wesentlich verändert werden, außer für Artikel 14, der ab dem 11. September 2026 für alle gilt. Die kostenlose Seite hält diese fünfundachtzig Zeilen nach Rolle mit je einem Status und einer Nachweiszeile, das Werkzeug zum Anwendungsbereich sagt, welche Rolle Sie einnehmen, der Fristenrechner lässt die Fristen von Artikel 14 laufen, und die Zuordnung von Anhang I sagt, für welche der Anforderungen ein ISO 27001-System den Prozess betreibt.