Anhang I (grundlegende Cybersicherheitsanforderungen)
Anhang I ist der Kern der Verordnung. Jede Konformitätserklärung, jede Prüfung durch eine notifizierte Stelle und ein Großteil der Bußgelder beziehen sich auf diesen Katalog.
Anhang I ist der Teil der Verordnung (EU) 2024/2847, der die grundlegenden Cybersicherheitsanforderungen an Produkte mit digitalen Elementen aufzählt: Teil I für die Eigenschaften des Produkts, Teil II für den Umgang mit Schwachstellen.
Definition in der Verordnung
Artikel 13 Absatz 1 verpflichtet Hersteller, ihre Produkte nach Anhang I Teil I zu konzipieren, zu entwickeln und herzustellen. Teil I verlangt in Nummer 1 ein angemessenes Cybersicherheitsniveau. Nummer 2 zählt dreizehn Anforderungen auf, die auf Basis der Risikobewertung "soweit zutreffend" umzusetzen sind. Dazu gehören Auslieferung ohne bekannte ausnutzbare Schwachstellen, sichere Standardkonfiguration, Schutz vor unbefugtem Zugriff, Verschlüsselung, Datenminimierung, geringe Angriffsfläche, Protokollierung und sicheres Löschen.
Teil II regelt die Schwachstellenbehandlung in acht Nummern. Hersteller dokumentieren Komponenten inklusive Software-Stückliste (SBOM), beheben Schwachstellen unverzüglich, testen die Sicherheit regelmäßig und veröffentlichen behobene Schwachstellen. Außerdem stellen sie eine Strategie für die koordinierte Offenlegung auf (Nummer 5), geben eine Kontaktadresse für Schwachstellenmeldungen an (Nummer 6), verteilen Updates sicher und stellen Sicherheitsaktualisierungen kostenlos bereit. Nach Artikel 13 Absatz 8 gelten diese Pflichten während des gesamten Unterstützungszeitraums.
Was das für Hersteller bedeutet
Anhang I gilt ab dem 11. Dezember 2027 für jedes Produkt, das ab diesem Tag in Verkehr gebracht wird. Welche Anforderungen aus Teil I zutreffen, entscheidet die dokumentierte Risikobewertung; nicht anwendbare Punkte sind nach Artikel 13 Absatz 4 in der technischen Dokumentation zu begründen. Da im Oktober 2026 keine harmonisierte Norm im Amtsblatt steht, müssen Hersteller ihre Lösungen selbst beschreiben. Verstöße gegen Anhang I fallen nach Artikel 64 in den höchsten Bußgeldrahmen.
Verwandte Begriffe
- Secure by Design und Secure by Default
- Cybersicherheits-Risikobewertung
- Software Bill of Materials (SBOM)
- Coordinated Vulnerability Disclosure (CVD)
- Konformitätsvermutung