Edit obligation

Approval Due Diligence Governance Other Record Keeping Reporting Stakeholder Engagement

Annual Biennial Continuous Event-triggered Monthly One-time Other Quarterly Weekly

Annual Biennial Continuous Event-triggered Monthly One-time Other Quarterly Weekly

Regulation-wide (no rule set) Manufacturers of products with digital elements Manufacturers of products with digital elements, including products already on the market Authorised representatives of a manufacturer Importers of products with digital elements Distributors of products with digital elements Economic operators — manufacturers, authorised representatives, importers and distributors Importers and distributors Manufacturers of critical products with digital elements Open-source software stewards Manufacturers, authorised representatives and importers of products with digital elements Manufacturers of important products with digital elements, class I Manufacturers of important products with digital elements, class II

A manufacturer that becomes aware of a severe incident having an impact on the security of its product with digital elements submits an early warning without undue delay and in any event within 24 hours, simultaneously to the coordinator CSIRT and to ENISA through the single reporting platform, stating at least whether the incident is suspected of being caused by unlawful or malicious acts. The obligation applies from 11 September 2026, including to products placed on the market before 11 December 2027.

Erlangt ein Hersteller Kenntnis von einem schwerwiegenden Sicherheitsvorfall, der sich auf die Sicherheit seines Produkts mit digitalen Elementen auswirkt, übermittelt er unverzüglich, in jedem Fall aber innerhalb von 24 Stunden, gleichzeitig dem als Koordinator benannten CSIRT und der ENISA über die einheitliche Meldeplattform eine Frühwarnung. Sie gibt zumindest an, ob der Verdacht besteht, dass der Vorfall auf rechtswidrige oder böswillige Handlungen zurückzuführen ist, und gegebenenfalls die Mitgliedstaaten, in denen das Produkt bereitgestellt wurde. Schwerwiegend ist ein Vorfall, wenn er sich negativ auf die Fähigkeit des Produkts auswirkt oder auswirken kann, die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit sensibler oder wichtiger Daten oder Funktionen zu schützen, oder wenn er zur Einführung oder Ausführung böswilligen Codes im Produkt oder im Netz- und Informationssystem eines Nutzers geführt hat oder führen kann. Zuständig ist das als Koordinator benannte CSIRT des Mitgliedstaats der Hauptniederlassung in der Union; ohne Hauptniederlassung in der Union bestimmt es sich in fester Reihenfolge nach dem Bevollmächtigten, dem Einführer, dem Händler und der Zahl der Nutzer. Die Pflicht gilt ab dem 11. September 2026, auch für Produkte, die vor dem 11. Dezember 2027 in den Verkehr gebracht wurden. Verwalter quelloffener Software trifft sie, soweit der Vorfall Netz- und Informationssysteme beeinträchtigt, die sie für die Entwicklung der Produkte bereitstellen.

All products with digital elements the company makes available on the Union market.

Alle Produkte mit digitalen Elementen, die das Unternehmen auf dem Unionsmarkt bereitstellt.

Product security incident response team or an equivalent function on standby.

Product Security Incident Response Team oder eine gleichwertige Stelle mit Rufbereitschaft.

Notification through the single reporting platform under Article 16; classification of the incident against the two criteria in Article 14(5).

Meldung über die einheitliche Meldeplattform nach Artikel 16; Einstufung des Vorfalls anhand der beiden Kriterien des Artikels 14 Absatz 5.