Cyber Resilience Act: alle Werkzeuge und Artikel
Etwas ist passiert. Wann haben Sie davon erfahren?
- Für wen es gilt
- Ein Hersteller, der von einer aktiv ausgenutzten Schwachstelle oder einem schwerwiegenden Vorfall in einem Produkt erfahren hat, das er in der EU in Verkehr bringt.
- Die Termine
- Eine Frühwarnung binnen 24 Stunden, eine Meldung binnen 72 Stunden und ein Abschlussbericht binnen 14 Tagen, nachdem eine Korrektur- oder Abhilfemaßnahme verfügbar ist.
- Das eine, was zu tun ist
- Geben Sie den Zeitpunkt Ihrer Kenntnis ein: diese Seite rechnet die drei Fristen in Ihrer Zeitzone aus und nennt das CSIRT, an das die Meldung geht.
24h
Frühwarnung
das Datum der Kenntnisnahme ist nicht erfasst.
72h
Meldung der Schwachstelle
das Datum der Kenntnisnahme ist nicht erfasst.
14Tage
Abschlussbericht
keine Frist, bis eine Abhilfemaßnahme verfügbar ist.
Ihre CRA-Meldefristen
Ab dem 11. September 2026 setzt die Kenntnisnahme einer aktiv ausgenutzten Schwachstelle in einem Produkt, das Sie auf dem EU-Markt in Verkehr bringen, eine 24-Stunden-Uhr in Gang. Diese Seite berechnet alle drei Fristen, auch die, die die meisten Darstellungen falsch wiedergeben.
Die drei Uhren haben nicht denselben Startpunkt
Die 24-Stunden- und die 72-Stunden-Frist laufen beide ab dem Moment der Kenntnisnahme. Der Abschlussbericht nicht. Bei einer Schwachstelle läuft er 14 Tage ab Verfügbarkeit einer Abhilfe- oder Minderungsmaßnahme, ein Datum, das es womöglich noch nicht gibt: Ein dokumentierter Workaround setzt ihn in Gang, nicht nur ein Fix. Bei einem Vorfall läuft er einen Monat ab der 72-Stunden-Meldung, er existiert also erst, wenn diese Meldung eingereicht ist. Wo es kein Datum gibt, nennt diese Seite den fehlenden Anker, statt eine Zahl auszugeben.
Startet die 24-Stunden- und die 72-Stunden-Uhr.
Frühwarnung
Art. 14(2)(a)
das Datum der Kenntnisnahme ist nicht erfasst.
24 Stunden ab Kenntnisnahme
Meldung der Schwachstelle
Art. 14(2)(b)
das Datum der Kenntnisnahme ist nicht erfasst.
72 Stunden ab Kenntnisnahme
Abschlussbericht
Art. 14(2)(c)
keine Frist, bis eine Abhilfemaßnahme verfügbar ist.
14 Tage, nachdem eine Abhilfe- oder Minderungsmaßnahme verfügbar ist
Geben Sie den Moment der Kenntnisnahme ein, um die Uhren zu starten.
Für wen das gilt
Hersteller von Produkten mit digitalen Elementen, die auf dem EU-Markt in Verkehr gebracht werden, und Verwalter quelloffener Software. Keine Größenschwelle und keine KMU-Ausnahme findet sich nirgends im CRA, und nach Artikel 69 Absatz 3 erfasst die Meldepflicht Produkte, die schon vor der vollständigen Anwendung der Verordnung im Dezember 2027 auf dem Markt waren.
Erwägungsgrund 12 stellt Cloud-Dienstmodelle, einschließlich Software as a Service, außerhalb des CRA und innerhalb von NIS2, sehr viele Softwareunternehmen liegen also vollständig außerhalb des Anwendungsbereichs. Diese Feststellung hängt davon ab, was Sie tatsächlich in Verkehr bringen, und sie zu treffen und festzuhalten ist Ihre Sache. Wir treffen sie nicht für Sie auf einer Marketingseite.
Fällt Ihr Produkt darunter? Sechs Fragen, eine schriftliche FeststellungDie Pflicht gilt. Fünf Dinge, die heute bereitstehen sollten
Keines davon dauert lange. Alle sind in der ersten Stunde eines Vorfalls unmöglich gut zu erledigen, und genau dann entdeckt ein Unternehmen ohne sie, dass es sie gebraucht hätte.
- 1Entscheiden Sie, ob Sie im Anwendungsbereich sind, und halten Sie die Entscheidung schriftlich fest. Software, die Sie installieren oder herunterladen, Mobil- und Desktop-Apps, Bibliotheken und Geräte sind drin. Reine Software as a Service ist draußen. Fernverarbeitung, ohne die ein Produkt nicht funktioniert, ist wieder drin. Eine festgehaltene Feststellung ist das, was Sie vorzeigen, wenn jemand fragt, warum Sie gemeldet haben oder nicht.
- 2Finden Sie Ihr CSIRT. Meldungen gehen an das als Koordinator benannte CSIRT des Mitgliedstaats Ihrer Hauptniederlassung. Liegt Ihre Hauptniederlassung außerhalb der EU, wählt Artikel 14 den Mitgliedstaat Ihres Bevollmächtigten, dann Ihres größten Einführers, dann Ihres größten Händlers, dann den, in dem die meisten Ihrer Nutzer sind. Die Koordinatoren sind unten aufgeführt.
- 3Geben Sie der Person, die melden wird, ein EU-Login mit Zwei-Faktor-Authentifizierung. Die zentrale Meldeplattform der ENISA verlangt ein persönliches EU-Login-Konto mit eingeschalteter Multi-Faktor-Authentifizierung. An einem ruhigen Tag ist das eine Aufgabe von zehn Minuten, in Stunde dreiundzwanzig eine sehr lange.
- 4Benennen Sie diese Person, und eine Vertretung. Die 24-Stunden-Uhr pausiert nicht für den Jahresurlaub.
- 5Einigen Sie sich, was "Kenntnis erlangt" für Sie bedeutet. Dieser Moment startet die Uhr, und ein Team, das nicht entschieden hat, ob eine Kunden-E-Mail, ein Scanner-Alarm oder ein bestätigter Exploit der Auslöser ist, wird darüber streiten, während die Stunden laufen.
Wohin Meldungen gehen
An das als Koordinator für Ihre Hauptniederlassung benannte CSIRT und an die ENISA, beides über die zentrale Meldeplattform der ENISA, die am 11. September 2026 in Betrieb ging, dem Tag, an dem die Pflicht begann, und die laut den FAQ der ENISA am 21. September 2026 nur auf Englisch läuft, keine API hat und ein persönliches EU-Login mit Multi-Faktor-Authentifizierung verlangt. Nichts auf dieser Seite reicht etwas ein; sie sagt Ihnen, wann Sie es müssten. Die Plattform ist unter portal.cra-srp.enisa.europa.eu FAQ der ENISA
Die Tabelle ist die Liste der als Koordinator benannten CSIRTs, wie die ENISA sie am 10. September 2026 veröffentlicht hat, dem Tag vor der Eröffnung der Plattform, abgelesen am 12. September 2026; der Link ist die erste Kontaktseite, die die ENISA für jeden Staat angibt. In den meisten Staaten ist es das nationale CSIRT, das der Staat in das EU-CSIRTs-Netzwerk entsandt hat. Eine andere Stelle ist es in Kroatien (NCSC-HR), Tschechien (NÚKIB). Die ENISA sagt, eine beim falschen Koordinator eingereichte Meldung könne für ungültig erklärt werden und müsse erneut eingereicht werden; die Zeile Ihrer Hauptniederlassung gehört daher in Ihr Vorfallsverfahren. Liste der ENISA.
| Mitgliedstaat | Als Koordinator benanntes CSIRT | Kontaktseite |
|---|---|---|
| Österreich | CERT.at · Computer Emergency Response Team Austria | www.cert.at |
| Belgien | CCB · Centre for Cybersecurity Belgium | ccb.belgium.be |
| Bulgarien | CERT Bulgaria · CERT Bulgaria | www.govcert.bg |
| Kroatien | NCSC-HR · National Cyber Security Centre of Croatia | ncsc.hr |
| Zypern | CSIRT-CY · National CSIRT-CY | www.csirt.cy |
| Tschechien | NÚKIB · National Cyber and Information Security Agency | nukib.gov.cz |
| Dänemark | FE DDIS · Danish Defence Intelligence Service, formerly CFCS | www.fe-ddis.dk |
| Estland | CERT-EE · CERT Estonia | www.ria.ee |
| Finnland | NCSC-FI · National Cyber Security Centre Finland | www.kyberturvallisuuskeskus.fi |
| Frankreich | CERT-FR · CERT-FR | www.cert.ssi.gouv.fr |
| Deutschland | CERT-Bund · CERT-Bund at the BSI | www.bsi.bund.de |
| Griechenland | EL-CSIRT · National Cyber Security Authority CSIRT | cyber.gov.gr |
| Ungarn | NCSC Hungary · National Cyber Security Center of Hungary | ncsc.gov.hu |
| Irland | CSIRT-IE · National Cyber Security Centre Ireland | www.ncsc.gov.ie |
| Italien | CSIRT Italia · Computer Security Incident Response Team Italia | www.acn.gov.it |
| Lettland | CERT.LV · Information Technologies Security Incident Response Institution | cert.lv |
| Litauen | CERT-LT · National CERT of Lithuania | www.nksc.lt |
| Luxemburg | CIRCL · Computer Incident Response Center Luxembourg | www.circl.lu |
| Malta | MT-CSIRT · MT-CSIRT | www.mita.gov.mt |
| Niederlande | NCSC-NL · Nationaal Cyber Security Centrum | www.ncsc.nl |
| Polen | CERT Polska · CERT Polska | cert.pl |
| Portugal | CERT.PT · CERT.PT at the CNCS | www.cncs.gov.pt |
| Rumänien | DNSC · Romanian National Cyber Security Directorate | www.dnsc.ro |
| Slowakei | SK-CERT · SK-CERT | www.sk-cert.sk |
| Slowenien | SI-CERT · Slovenian Computer Emergency Response Team | www.cert.si |
| Spanien | INCIBE-CERT · INCIBE-CERT | www.incibe.es |
| Schweden | CERT-SE · CERT-SE | cert.se |
Wer sie durchsetzt, Mitgliedstaat für Mitgliedstaat
Bußgelder verhängt national die Marktüberwachungsbehörde, die jeder Mitgliedstaat nach Artikel 52 benennt und bei der Kommission registriert. Am 13. Oktober 2026 hatten 7 von 27 eine registriert. Die übrigen erscheinen als nicht registriert: Das ist der Stand des Registers der Kommission an diesem Tag, keine Aussage darüber, dass der Staat keinen Plan hat. Die Namen stehen wörtlich so im Register.
| Mitgliedstaat | Marktüberwachungsbehörde (Art. 52) | Notifizierende Behörde (Art. 36) |
|---|---|---|
| Österreich | nicht registriert | nicht registriert |
| Belgien | Belgian Institute for Postal services and Telecommunications | CCB – Centre for Cybersecurity Belgium |
| Bulgarien | nicht registriert | nicht registriert |
| Kroatien | nicht registriert | Information Systems Security Bureau |
| Zypern | Office of the Commissioner of Communications - Digital Security Authority (DSA) | Digital Security Authority - National Cybersecurity Certification Authority |
| Tschechien | nicht registriert | nicht registriert |
| Dänemark | nicht registriert | nicht registriert |
| Estland | nicht registriert | Consumer Protection and Technical Regulatory Authority |
| Finnland | Finnish Transport and Communications Agency (Traficom) | National Cyber Security Centre, Finnish Transport and Communications Agency Traficom |
| Frankreich | Agence Nationale des Fréquences | Agence nationale de la sécurité des systèmes d’information |
| Deutschland | Bundesamt für Sicherheit in der Informationstechnik (BSI) | Bundesamt für Sicherheit in der Informationstechnik - Referat S 14 – Befugniserteilung und Aufsicht über Konformitätsbewertungsstellen |
| Griechenland | nicht registriert | nicht registriert |
| Ungarn | nicht registriert | Supervisory Authority for Regulatory Affairs |
| Irland | nicht registriert | National Cyber Security Centre |
| Italien | nicht registriert | nicht registriert |
| Lettland | Consumer Rights Protection Centre (Patērētāju tiesību aizsardzības centrs) | nicht registriert |
| Litauen | nicht registriert | Ministry of National Defence of the Republic of Lithuania |
| Luxemburg | nicht registriert | nicht registriert |
| Malta | nicht registriert | Malta Digital Innovation Authority |
| Niederlande | nicht registriert | Ministry of Economic Affairs – Dutch Authority for Digital Infrastructure |
| Polen | nicht registriert | Ministry of Digital Affairs - Cybersecurity Department |
| Portugal | nicht registriert | nicht registriert |
| Rumänien | nicht registriert | nicht registriert |
| Slowakei | National Security Authority | Slovak Office of Standards, Metrology and Testing |
| Slowenien | nicht registriert | nicht registriert |
| Spanien | nicht registriert | nicht registriert |
| Schweden | nicht registriert | SWEDAC - Swedish Board for Accreditation and Conformity Assessment |
Als Nächstes: die Fristen ab dem Zeitpunkt der Kenntnis, und die Meldung als Entwurf.
7 Tage kostenlos, keine Karte.
Oder das CRA Readiness Toolkit, 199 €, Dateien per E-Mail
Oder mit Ihnen gemeinsam erledigt: CRA-Bereitschaft, 1.500 €, 10 Arbeitstage
Bis Dezember 2027 brauchen Sie auch die technische Dokumentation
Artikel 13 Absatz 12 verlangt technische Dokumentation für jedes Produkt mit digitalen Elementen, bevor es in Verkehr gebracht wird, aufbewahrt für mindestens zehn Jahre oder den Unterstützungszeitraum, je nachdem, was länger ist, mit den Inhalten, die Anhang VII aufführt. Kaufen Sie sie für ein Produkt, wird sie beim Bezahlen in Ihre Organisation hinein entworfen.
Die technische Dokumentation, 2.000 € einmaligWer weiterverkauft statt herstellt, wird von Artikel 19 bis 21 trotzdem erfasst
Ein Einführer prüft, dass der Hersteller seinen Teil erledigt hat, bevor das Produkt in Verkehr gebracht wird. Ein Händler prüft die CE-Kennzeichnung und die Konformität von Hersteller und Einführer. Setzen Sie Ihre eigene Marke auf ein Produkt, macht Artikel 21 Sie zu dessen Hersteller.
Pflichten für Einführer und Händler, 1.200 €Was eine versäumte Meldung tatsächlich kostet
Artikel 14 liegt in der obersten Sanktionsstufe des CRA, neben den Sicherheitsanforderungen aus Anhang I: bis zu 15 000 000 EUR oder 2,5 % des weltweiten Jahresumsatzes. Es gibt drei Stufen, nationale Behörden setzen sie durch, und die Verordnung nennt kleine Hersteller zweimal.
Die drei Sanktionsstufen, und wer sie anwendetDie Fragen, die diese Seite aufwirft, ausführlich beantwortet
Der Cyber Resilience Act für einen kleinen Softwarehersteller, in zwölf Schritten
Alles, was ein Zehn-Personen-Unternehmen, das installierte Software oder ein Gerät ausliefert, nach dem CRA tun muss, in der Reihenfolge, in der es zu tun ist: die Feststellung des Anwendungsbereichs, die Stufe, das CSIRT und die Durchsetzungsbehörde, das Meldeverfahren, das seit dem 11.
An welches CSIRT melden Sie nach dem CRA? An den Koordinator Ihrer Hauptniederlassung, alle 27 mit Namen
Artikel 14 schickt die Meldung an das CSIRT, das der Mitgliedstaat Ihrer Hauptniederlassung als Koordinator benannt hat; die ENISA hat alle 27 am 10.
CRA-Meldung auf der ENISA-Plattform einreichen: ein persönliches EU Login, ein Koordinator, drei Reiter, keine API
portal.cra-srp.enisa.europa.eu ist am 11.
Wann beginnt die 24-Stunden-Uhr des CRA? Bei hinreichender Gewissheit nach einer zügigen Erstbewertung, laut Leitfaden der Kommission
Artikel 14 zählt 24 und 72 Stunden ab „Kenntnis erlangen“ und definiert den Begriff nie.
Die Frist für den CRA-Abschlussbericht beginnt nicht, wenn Sie Kenntnis erlangen
Die meisten Darstellungen von Artikel 14 des Cyber Resilience Act nennen drei Fristen ab einem Startpunkt: 24 Stunden, 72 Stunden, 14 Tage.
Fällt Ihr Produkt unter den Cyber Resilience Act? Wo SaaS steht
Die meistgestellte CRA-Frage ist nicht, wie man meldet, sondern ob die Verordnung überhaupt für Sie gilt.
Wann ist Software nach dem CRA „in Verkehr gebracht“, und welcher Ihrer Builds ist ein Produkt? Die Regel der Leitlinien für eigenständige Software
Alles im CRA hängt an einem Datum und einem Substantiv: dem Datum, an dem ein Produkt in Verkehr gebracht wird, und der Frage, ob das, was Sie ausliefern, überhaupt ein Produkt ist.
Welche Teile Ihres Backends liegen im CRA? Datenfernverarbeitung, aus den Leitlinien der Kommission
Ein Produkt mit digitalen Elementen umfasst seine Lösungen zur Datenfernverarbeitung, und die Verordnung definiert sie in einem Satz.
Wer setzt den Cyber Resilience Act in Ihrem Mitgliedstaat durch? 7 von 27 haben es gesagt
Der CRA wird national durchgesetzt, durch eine Marktüberwachungsbehörde, die jeder Mitgliedstaat benennt und bei der Kommission registriert.
Ist Ihr Produkt wichtig oder kritisch nach dem CRA? Standard, sofern es nicht eine der 19, 4 oder 3 Kategorien der Anhänge III und IV ist
Im Anwendungsbereich des CRA heißt Standard, wichtig Klasse I (19 Kategorien), wichtig Klasse II (4) oder kritisch (3), und die Stufe entscheidet, ob Sie selbst bewerten oder eine notifizierte Stelle nach Artikel 32 brauchen.
Standard, wichtig oder kritisch: die 26 technischen Beschreibungen der Durchführungsverordnung 2025/2392 und der Kernfunktionalitätstest
Anhang III und IV des CRA nennen 26 Produktkategorien in je einer Zeile.
CRA Anhang 1: die 22 grundlegenden Anforderungen als Checkliste, 14 Produktanforderungen und 8 zur Schwachstellenbehandlung
Was Ihr Produkt ab dem 11. Dezember 2027 erfüllen und die technische Dokumentation zeigen muss: Teil I, 14 Produktanforderungen, 13 davon „soweit anwendbar“ auf Grundlage Ihrer Risikobewertung; Teil II, 8 Anforderungen an die Schwachstellenbehandlung, die immer gelten.
Was in die technische Dokumentation nach dem CRA gehört: Anhang VII, Punkt für Punkt
Ab dem 11. Dezember 2027 braucht jedes Produkt mit digitalen Elementen, das auf dem EU-Markt in Verkehr gebracht wird, vor dem Inverkehrbringen eine technische Dokumentation, aufzubewahren für zehn Jahre oder den Unterstützungszeitraum, je nachdem, was länger ist.
Verlangt der CRA eine SBOM? Ja, und hier steht genau, was er sagt
Anhang I Teil II Nummer 1 des Cyber Resilience Act verlangt eine Software-Stückliste in einem gebräuchlichen, maschinenlesbaren Format, die mindestens die obersten Abhängigkeiten abdeckt.
Was der CRA für Ihre Abhängigkeiten verlangt: Sorgfaltspflicht, Meldung nach oben und bekannte ausnutzbare Schwachstellen, aus den Leitlinien der Kommission
Ein Softwareprodukt besteht überwiegend aus fremdem Code.
CRA oder NIS2: Was gilt für ein Softwareunternehmen, und kann es beides sein?
Der Cyber Resilience Act regelt Produkte, die in Verkehr gebracht werden; NIS2 regelt Einrichtungen, die Dienste erbringen.
NIS2 oder CRA: Welche Vorfalls-Uhr läuft für ein Softwareunternehmen, und was macht einen Vorfall „erheblich“
Beide Gesetze geben Ihnen 24 Stunden, 72 Stunden und einen Monat, und beide starten die Uhr, wenn Sie „Kenntnis erlangen“.
Braucht Software nach dem CRA eine CE-Kennzeichnung? Ja, und Artikel 30 sagt, wohin sie gehört
Ab dem 11. Dezember 2027 ist auf jedem Produkt mit digitalen Elementen, das auf dem EU-Markt in Verkehr gebracht wird, eine CE-Kennzeichnung erforderlich, Software eingeschlossen.
Die EU-Konformitätserklärung nach dem CRA: Anhang V Punkt für Punkt, die vereinfachte Form und ein ausgearbeitetes Beispiel
Artikel 28 verpflichtet den Hersteller, vor dem Inverkehrbringen eine EU-Konformitätserklärung nach dem Muster in Anhang V auszustellen, und Artikel 28(4) macht die Unterschrift zu dem Akt, mit dem der Hersteller die Verantwortung für das Produkt übernimmt.
Selbstbewertung nach dem CRA: Was Modul A tatsächlich verlangt, aus Anhang VIII und den FAQ der Kommission
Die meisten Softwareprodukte werden nie eine notifizierte Stelle sehen.
Harmonisierte Normen für den CRA: noch keine im Amtsblatt, 41 beauftragt, die ersten zwei waren zum 30. August 2026 fällig
Der Normungsauftrag M/606 vom 3. Februar 2025 verlangt von CEN, CENELEC und ETSI 41 Normen: zwei horizontale bis zum 30.
Wie lang ist der Unterstützungszeitraum nach dem CRA? Mindestens fünf Jahre, das Enddatum beim Kauf angegeben, jedes Update zehn Jahre verfügbar
Artikel 13 Absatz 8 des Cyber Resilience Act: ein Unterstützungszeitraum von mindestens fünf Jahren oder, wenn kürzer, der erwarteten Nutzungsdauer; sein Enddatum, mindestens Monat und Jahr, beim Kauf angegeben; jedes Sicherheitsupdate zehn Jahre oder für den Rest des Zeitraums verfügbar; die technische Dokumentation, die Erklärung und die Nutzerinformationen zehn Jahre nach dem Inverkehrbringen oder für den Unterstützungszeitraum aufbewahrt.
Welches Update bringt Ihre bestehende Software unter den CRA? Wesentliche Änderungen, aus den Leitlinien der Kommission
Software, die vor dem 11. Dezember 2027 in Verkehr gebracht wurde, bleibt außerhalb der Design- und Konformitätspflichten des CRA, bis sie wesentlich geändert wird.
Was Sie nach dem CRA melden müssen: die zwei Auslöser, wie die Verordnung sie definiert
Artikel 14 hat zwei Auslöser, und beide sind im Text definiert.
Gilt der CRA für Open-Source-Software? Drei Fälle, und die leichte Regelung für Verwalter
Der Cyber Resilience Act erreicht freie und quelloffene Software nur, wenn sie im Rahmen einer gewerblichen Tätigkeit bereitgestellt wird.
Ist Ihr Open-Source-Projekt „kommerziell“ im Sinne des CRA? Die sieben Tests der Kommission, mit ihren Beispielen
Der CRA erfasst freie und quelloffene Software nur, wo sie im Rahmen einer Geschäftstätigkeit bereitgestellt wird, und die Verordnung überlässt „kommerziell“ zwei Erwägungsgründen.
Was der CRA von Einführern und Händlern verlangt, und wann er sie zum Hersteller macht
Wer Software oder Geräte in die EU weiterverkauft, statt sie zu bauen, bekommt von den Artikeln 19 und 20 des Cyber Resilience Act eine Checkliste vor dem Verkauf, eine Pflicht, Schwachstellen an den Hersteller weiterzugeben, eine Pflicht, Behörden über erhebliche Risiken zu informieren, und zehn Jahre Aufbewahrung.
Die eigene CRA-Maschinerie der EU am Tag, an dem die Pflicht begann: 0 notifizierte Stellen, 0 harmonisierte Normen, 7 von 27 Durchsetzungsbehörden
Der Cyber Resilience Act verlangt von Herstellern, bereit zu sein.
Die Cybersicherheitsrisikobewertung nach dem CRA: Was Artikel 13 tatsächlich verlangt, und das eine Ergebnis, das sie liefern muss
Artikel 13 Absätze 2 bis 4 des Cyber Resilience Act machen die Risikobewertung zu dem Dokument, an dem jede andere CRA-Pflicht hängt.
Die Richtlinie zur koordinierten Offenlegung von Schwachstellen, die der CRA verlangt: drei Vorschriften, und eine einseitige Richtlinie, die sie erfüllt
Anhang I Teil II Nummer 5 des Cyber Resilience Act verlangt von jedem Hersteller im Anwendungsbereich, eine Richtlinie zur koordinierten Offenlegung von Schwachstellen einzuführen und durchzusetzen.
Die Rechnung hier ist dieselbe Funktion, die das Produkt ausführt, keine für diese Seite geschriebene Kopie. Das gilt auch für die Begrenzung auf Kalendermonate: eine Meldung am 31. Januar wird am 28. Februar beantwortet und rutscht nicht in den März. Das ist keine Rechtsberatung, und Artikel 14 ist kurz genug, um ihn selbst zu lesen: Verordnung (EU) 2024/2847.