Kenntnis (Fristbeginn)
Alle drei Fristen der Meldepflicht laufen "nachdem der Hersteller davon Kenntnis erlangt hat". Wann das ist, sagt die Verordnung nicht, aber die Kommissionsleitlinie: nach einer sofortigen Erstbewertung mit hinreichender Gewissheit. Den Zeitpunkt muss der Hersteller selbst festhalten.
Kenntnis ist der Zeitpunkt, ab dem die Meldefristen nach Artikel 14 laufen. Sie liegt vor, wenn der Hersteller nach einer Erstbewertung mit hinreichender Gewissheit weiß, dass eine Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Sicherheitsvorfall eingetreten ist.
Definition in der Verordnung
Der Begriff wird in der Verordnung nicht eigens definiert. Artikel 14 Absatz 2 und Absatz 4 der Verordnung (EU) 2024/2847 lassen die Fristen laufen, "nachdem der Hersteller davon Kenntnis erlangt hat". Die Kommissionsleitlinie C(2026) 5252 legt in Randnummer 213 aus: Entdeckt der Hersteller ein verdächtiges Ereignis oder weist ihn ein Kunde, eine Behörde oder ein Medium darauf hin, soll er es sofort bewerten. Kenntnis liegt vor, wenn er nach dieser Erstbewertung mit hinreichender Gewissheit ("reasonable degree of certainty") weiß, dass die Schwachstelle in seinem Produkt aktiv ausgenutzt wird oder ein schwerwiegender Vorfall die Produktsicherheit beeinträchtigt hat. Die Auslegung ist nach Randnummer 212 bewusst an NIS2 und DSGVO angeglichen. Nach Randnummer 217 gibt es keine Rückwirkung: Ausnutzungen, die vor dem 11. September 2026 bekannt waren, sind nicht nachzumelden.
Was das für Hersteller bedeutet
Die Uhr startet nicht mit dem Eingang einer Meldung und nicht erst mit der vollständigen Ursachenanalyse, sondern dazwischen. Die Erstbewertung muss sofort beginnen; wer sie liegen lässt, verschiebt die Kenntnis nicht glaubwürdig. Die Meldeplattform der ENISA hat bislang kein Feld für den Kenntniszeitpunkt, und ihr Zähler rechnet die 72-Stunden-Frist derzeit ab der Frühwarnung. Deshalb braucht jeder Hersteller ein eigenes Protokoll mit vier Zeitstempeln: erste Beobachtung, Abschluss der Erstbewertung, interne Eskalation, Einreichung. Diese Zeitstempel sind später der Nachweis gegenüber der Marktüberwachung.
Verwandte Begriffe
- Frühwarnung
- Aktiv ausgenutzte Schwachstelle
- Schwachstellenmeldung (72-Stunden-Meldung)
- Single Reporting Platform (SRP)