Fernwartung:
Hersteller melden an die ENISA, Betreiber an das BSI

Im Schaltschrank einer Kälteanlage sitzt ein Gateway mit Mobilfunkkarte. Darüber liest die Servicefirma Störmeldungen aus, ihr Techniker ändert mit einem Servicetool vom Laptop aus Parameter, ohne anzufahren. An einem Montag veröffentlicht der Hersteller des Gateways einen Sicherheitshinweis. Eine Lücke im VPN-Zugang wird aktiv ausgenutzt.

Seit dem 11. September 2026 hängen an diesem Gerät zwei Meldepflichten mit derselben Frist. Der Hersteller muss die Lücke nach dem Cyber Resilience Act, kurz CRA, innerhalb von 24 Stunden bei der EU-Agentur für Cybersicherheit ENISA melden. Kommt es dadurch beim Betreiber zu einem erheblichen Sicherheitsvorfall, muss er diesen nach dem neuen BSI-Gesetz ebenfalls binnen 24 Stunden dem Bundesamt für Sicherheit in der Informationstechnik (BSI) melden, sofern er unter das Gesetz fällt. Die Servicefirma, die den Zugang täglich nutzt, ist nicht automatisch selbst verpflichtet.

Gateway und Servicetool sind Produkte, ihr Hersteller meldet

Der CRA, die Verordnung (EU) 2024/2847, erfasst nach Artikel 3 jedes Software- oder Hardwareprodukt mit digitalen Elementen samt seiner Datenfernverarbeitung. Dazu zählen das Gateway im Schaltschrank, der Router mit VPN-Funktion und die Wartungssoftware auf dem Laptop. Eine Cloud-Plattform zählt nur mit, wenn das Produkt ohne sie eine Funktion nicht erfüllen könnte. Ausgenommen sind Produkte, für die schon die EU-Verordnungen über Medizinprodukte oder über die Typgenehmigung von Fahrzeugen gelten. Hersteller ist, wer ein solches Produkt entwickelt oder entwickeln lässt und unter eigenem Namen vermarktet. Das kann auch eine Servicefirma mit eigener Fernwartungssoftware sein.

Seit dem 11. September gilt Artikel 14. Wird eine Schwachstelle aktiv ausgenutzt, gibt der Hersteller binnen 24 Stunden eine Frühwarnung ab, binnen 72 Stunden folgt die Meldung, spätestens 14 Tage nach Verfügbarkeit einer Korrektur der Abschlussbericht. Bei schwerwiegenden Sicherheitsvorfällen hat er für den Abschlussbericht einen Monat Zeit. Die Meldung geht gleichzeitig an das als Koordinator benannte nationale Computer-Notfallteam (CSIRT) und an die ENISA. Deren Meldeplattform ist am 11. September in einer ersten Ausbaustufe gestartet. Nach Artikel 69 Absatz 3 gilt die Pflicht auch für Gateways, die schon vor Jahren in Verkehr gebracht wurden.

Für Betreiber zählt vor allem Artikel 14 Absatz 8. Danach muss der Hersteller die betroffenen Nutzer informieren und ihnen Maßnahmen zur Abhilfe nennen. Kennt der Hersteller nur die Servicefirma, die das Gerät eingebaut hat, landet sein Hinweis dort und nicht beim Betreiber.

Der Betreiber meldet ans BSI, wenn er die Schwellen überschreitet

Das deutsche Gesetz zur Umsetzung der NIS-2-Richtlinie (EU) 2022/2555 hat das BSI-Gesetz neu gefasst. Es wurde am 5. Dezember 2025 im Bundesgesetzblatt verkündet (BGBl. 2025 I Nr. 301), die Pflichten gelten seit dem Tag danach. Wichtige Einrichtung ist nach § 28 BSIG, wer in einem Sektor der Anlagen 1 oder 2 tätig ist und mindestens 50 Beschäftigte hat oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Als besonders wichtig gelten Unternehmen der Sektoren aus Anlage 1, darunter Energie, Gesundheit, Transport und Wasser, ab 250 Beschäftigten oder ab mehr als 50 Millionen Euro Umsatz bei mehr als 43 Millionen Euro Bilanzsumme. Anlage 2 nennt unter anderem den Maschinenbau, die Herstellung elektrischer Ausrüstungen, den Fahrzeugbau und Medizinprodukte.

Betroffene mussten sich nach § 33 binnen drei Monaten beim BSI registrieren. Diese Frist ist abgelaufen, stellt das BSI fest. Zum 30. September zählte das BSI 20.373 Registrierungen. Erwartet hatte es knapp 30.000, und noch im vierten Quartal will die Behörde säumige Unternehmen gezielt ansprechen, zunächst mit einer Anhörung, berichtet ChannelPartner. Für eine versäumte Registrierung sieht § 65 bis zu 500.000 Euro Bußgeld vor.

Melden muss der Betreiber einen erheblichen Sicherheitsvorfall, also einen, der schwere Betriebsstörungen oder finanzielle Verluste verursacht oder verursachen kann. Das BSI nennt drei Stufen: Erstmeldung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat danach.

Für den Betreiber zählt die Servicefirma zur Lieferkette

Welche Maßnahmen der Betreiber treffen muss, steht in § 30 BSIG. Sie sollen dem Stand der Technik entsprechen und sind zu dokumentieren. Zum Mindestumfang gehören die Sicherheit der Lieferkette, der Umgang mit Schwachstellen bei Erwerb und Wartung von IT-Systemen, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Ein Fernwartungszugang berührt jeden dieser Punkte. Das BSI empfiehlt, Zulieferer vertraglich auf Sicherheitsanforderungen zu verpflichten und mit ihnen Service Level Agreements zu Vorfallbewältigung und Patchmanagement zu schließen. Einwahllösungen über analoge oder ISDN-Modems und direkt ans Internet angebundene Steuerungen entsprechen nach der BSI-Empfehlung zur Fernwartung im industriellen Umfeld nicht dem Stand der Technik.

Nach § 38 muss die Geschäftsleitung die Maßnahmen umsetzen und überwachen. Verletzt sie diese Pflicht schuldhaft, haftet sie der Einrichtung nach Gesellschaftsrecht. Außerdem muss sie regelmäßig an Schulungen teilnehmen, ein Beispielcurriculum dafür hat das BSI am 28. Oktober vorgestellt. Verstöße gegen Risikomanagement- und Meldepflichten können nach § 65 besonders wichtige Einrichtungen bis zu 10 Millionen Euro oder 2 Prozent des Gesamtumsatzes kosten, wichtige bis zu 7 Millionen Euro oder 1,4 Prozent, jeweils der höhere Betrag.

Ab Dezember 2027 muss der Hersteller Updates zusagen

Ab dem 11. Dezember 2027 muss der Hersteller nach Artikel 13 einen Unterstützungszeitraum festlegen, der mindestens fünf Jahre beträgt, außer das Produkt wird voraussichtlich kürzer genutzt. Nach Anhang I sind Updates kostenlos und unverzüglich bereitzustellen, nach Anhang II liegt dem Produkt das Enddatum der Unterstützung bei. Eine Ausnahme ist für gewerbliche Kunden wichtig: Bei maßgeschneiderten Produkten dürfen Hersteller und gewerblicher Nutzer etwas anderes vereinbaren.

Router, Modems für die Internetanbindung und Produkte mit VPN-Funktion führt Anhang III als wichtige Produkte der Klasse I. Wendet ihr Hersteller keine harmonisierten Normen an oder gibt es noch keine, muss er nach Artikel 32 ein Verfahren mit externer Prüfung durchlaufen, etwa die EU-Baumusterprüfung. Diese Normen kommen später als geplant. Am 10. November hat die EU-Kommission die Lieferfristen für alle produktspezifischen und einige übergreifende Normen um drei Monate verlängert. Ob sie bis Dezember 2027 im Amtsblatt stehen, ist offen.

Ein gemeinsames Meldeportal ist vorerst nicht in Sicht

Im Digital Omnibus hat die EU-Kommission am 19. November 2025 vorgeschlagen, Vorfallmeldungen nach NIS2 und weiteren Regelwerken bei einer zentralen Stelle der ENISA zu bündeln. Die Mitgliedstaaten wollen stattdessen nationale Meldestellen, die ENISA soll nur einen Informationspunkt ohne Meldefunktion betreiben. Bis das gilt, sollen 30 Monate vergehen. So steht es in der Position des Rates vom 21. Oktober 2026, berichtet die Kanzlei Cuatrecasas. Das Europäische Parlament hat sich noch nicht festgelegt. Bis auf Weiteres melden Hersteller und Betreiber über getrennte Portale.

Was Betreiber jetzt mit ihrer Servicefirma klären sollten

• Zugangsprotokoll: Jede Fernsitzung läuft über ein persönliches Konto mit Multi-Faktor-Anmeldung, wird vom Betreiber freigegeben und mit Person, Zeit und Anlage protokolliert. Neue Produkte müssen Zugriffe ab Dezember 2027 ohnehin aufzeichnen können (Anhang I CRA).
• Bestand: eine Liste aller Gateways, Router, Modems und Servicetools mit Hersteller und Softwarestand. Einwahlmodems und offen erreichbare Steuerungen gehören auf die Austauschliste.
• Update-Zusage: für jedes Gerät das Ende des Unterstützungszeitraums, die Frist, in der Sicherheitsupdates eingespielt werden, und wer das bezahlt. Bei Sonderanfertigungen festhalten, ob Updates kostenlos bleiben.
• Meldeweg: Die Servicefirma gibt Sicherheitshinweise von Herstellern und eigene Vorfälle unverzüglich weiter, mit einer Frist in Stunden, die zur 24-Stunden-Frist des Betreibers passt.
• Ansprechpartner: auf beiden Seiten eine benannte Person für Sicherheitsfragen, auch nachts und am Wochenende erreichbar. Dazu die Kontaktstelle des Herstellers für Schwachstellenmeldungen.

Betreiber unterhalb der Schwellen müssen dem BSI nichts melden. Die Herstellerhinweise nach Artikel 14 betreffen sie trotzdem, denn das verwundbare Gateway hängt in ihrem Schaltschrank. Ob ein solcher Hinweis rechtzeitig dort ankommt, lässt sich im Servicevertrag festlegen.