Informationen und Anleitung für Nutzer (Anhang II)
Jedes Produkt muss Informationen mitbringen, mit denen Nutzer es sicher betreiben können. Anhang II zählt auf, was mindestens dazugehört, vom Enddatum des Supports bis zur Meldeadresse für Schwachstellen.
Informationen und Anleitung für Nutzer sind die Angaben nach Anhang II, die der Hersteller jedem Produkt beifügen muss. Sie sollen Nutzer in die Lage versetzen, das Produkt sicher einzurichten, zu betreiben und außer Betrieb zu nehmen.
Definition in der Verordnung
Artikel 13 Absatz 18 der Verordnung (EU) 2024/2847 verlangt, die Informationen nach Anhang II in Papierform oder elektronisch beizufügen, verständlich und in einer geeigneten Sprache, und sie mindestens zehn Jahre oder für den Unterstützungszeitraum verfügbar zu halten. Anhang II nennt den Mindestinhalt:
- Hersteller mit Kontaktangaben (Nummer 1)
- zentrale Kontaktstelle für Schwachstellenmeldungen und Fundort der Offenlegungsstrategie (Nummer 2)
- Name und Typ des Produkts (Nummer 3)
- Zweckbestimmung, Sicherheitsumfeld und Sicherheitseigenschaften (Nummer 4)
- bekannte Umstände mit erheblichen Risiken einschließlich vorhersehbarer Fehlanwendung (Nummer 5)
- gegebenenfalls die Internetadresse der Konformitätserklärung (Nummer 6)
- Art der Sicherheitsunterstützung und Enddatum des Unterstützungszeitraums (Nummer 7)
- Anleitungen zu Inbetriebnahme, Updates, Außerbetriebnahme und Datenlöschung (Nummer 8)
- Zugriffsort der Software-Stückliste, falls der Hersteller sie Nutzern bereitstellt (Nummer 9)
Artikel 13 Absatz 17 verlangt, dass die Kontaktstelle leicht auffindbar ist und Nutzer das Kommunikationsmittel wählen können.
Was das für Hersteller bedeutet
Vieles davon steht schon in Betriebsanleitungen, drei Punkte sind meist neu: das Enddatum des Supports, die Meldeadresse für Schwachstellen und die Anleitung zum sicheren Löschen aller Daten. Die Kontaktstelle darf nicht nur ein Webformular sein; nach Absatz 17 müssen Nutzer zwischen Wegen wählen können, nicht nur automatisierte Werkzeuge nutzen. Die Software-Stückliste muss nicht an Nutzer weitergegeben werden; wer es tut, nennt den Fundort. Händler prüfen nach Artikel 20 Absatz 2, ob die Informationen beiliegen. Die Pflicht gilt für Produkte, die ab dem 11. Dezember 2027 in Verkehr gebracht werden.
Verwandte Begriffe
- Unterstützungszeitraum
- Single Point of Contact für Schwachstellen
- EU-Konformitätserklärung
- Software Bill of Materials (SBOM)