Cyber Resilience Act: Die Meldepflicht für Player-Hersteller gilt bereits

Die Verordnung (EU) 2024/2847, bekannt als Cyber Resilience Act, ist seit dem 10. Dezember 2024 in Kraft. Sie verpflichtet Hersteller vernetzter Produkte zu einem Mindestmaß an Cybersicherheit, und zwar über Planung, Entwicklung und Pflege hinweg. Wirksam wird sie in zwei Stufen. Die Meldepflichten gelten seit dem 11. September 2026, die übrigen Pflichten ab dem 11. Dezember 2027. So steht es auf der Seite der Europäischen Kommission zur Verordnung (abgerufen am 3. Oktober 2026).

Für Digital Signage ist das keine Randnotiz. Ein Media-Player hängt am Netz, lädt Inhalte nach und wird aus der Ferne gesteuert. Die Software, die auf dem Gerät eines Kunden installiert wird, gehört damit zu den Produkten, um die es geht.

Was seit September gilt

Wird eine Schwachstelle in einem Produkt aktiv ausgenutzt, muss der Hersteller das melden. Das Bundesamt für Sicherheit in der Informationstechnik nennt drei Fristen:

• binnen 24 Stunden eine Frühwarnung,
• binnen 72 Stunden weitere Angaben,
• spätestens 14 Tage, nachdem eine Korrektur bereitsteht, ein Abschlussbericht.

Gemeldet wird über eine zentrale Plattform der EU-Agentur ENISA; die nationalen Reaktionsteams (CSIRTs) sind eingebunden. Wer als Hersteller heute keine Stelle hat, an der solche Hinweise ankommen, kann die erste Frist kaum halten.

Was ab Dezember 2027 dazukommt

Dann gelten die Anforderungen an das Produkt selbst. Die Kommission nennt den Umgang mit Schwachstellen über die gesamte Lebensdauer und die CE-Kennzeichnung als sichtbaren Nachweis. Das BSI beziffert den Zeitraum, in dem ein Hersteller Sicherheitsupdates liefern muss, auf mindestens fünf Jahre.

Fünf Fragen an den Lieferanten

Betreiber von Bildschirmen sind in der Regel keine Hersteller. Sie tragen aber das Risiko, wenn ein Gerät im Schaufenster oder im Wartezimmer übernommen wird. Diese Fragen lassen sich heute schon stellen:

1. Wohin melde ich eine Sicherheitslücke, und wie schnell bekomme ich eine Antwort?
2. Bis zu welchem Datum gibt es Sicherheitsupdates für die Fassung, die bei mir läuft?
3. Wie kommt ein Update auf das Gerät: aus der Verwaltung heraus oder nur mit einem Techniker vor Ort?
4. Woran erkenne ich, dass eine Installationsdatei unverändert vom Hersteller stammt?
5. Für welche Produkte liegt eine Konformitätserklärung vor, und für welche Fassung gilt sie?

Ein Hersteller, der diese Punkte öffentlich beantwortet, erspart seinen Kunden die Nachfrage.

Wie eine öffentliche Antwort aussehen kann

Die Kapaso GmbH, Herausgeber dieses Magazins, führt dafür eine eigene Seite unter kapaso.de/sicherheit. Dort steht eine Meldeadresse; der Eingang wird nach Angaben des Unternehmens innerhalb von drei Werktagen bestätigt, eine erste Einschätzung folgt spätestens nach zehn Werktagen. Dieselben Angaben liegen maschinenlesbar als security.txt vor.

Eine Tabelle nennt je Produkt die Fassung, das Datum, bis zu dem Sicherheitsupdates zugesagt sind, und die EU-Konformitätserklärung. Für die Player und die Verwaltungssoftware liegen diese Daten im Jahr 2031. Zu jeder Installationsdatei steht eine SHA-256-Prüfsumme; der Windows-Player trägt zusätzlich eine Windows-Signatur, die Android-App lässt sich am Fingerabdruck ihres Zertifikats prüfen.

Die Seite zieht auch eine Grenze. Software, die ein Anbieter ausschließlich selbst als Dienst betreibt, behandelt Kapaso nicht als Produkt im Sinne der Verordnung. Für diese Dienste gilt dieselbe Meldestelle.

Was das für die Planung heißt

Wer 2027 neue Bildschirme ausschreibt, sollte den Unterstützungszeitraum in die Ausschreibung aufnehmen. Ein Player läuft oft länger als der Vertrag, mit dem er gekauft wurde. Für den Bestand genügt eine Liste: welches Gerät, welche Fassung, Updates bis wann. Lücken in dieser Liste sind die Stellen, an denen nachzufragen ist.

Dieser Beitrag gibt den Stand der genannten Quellen wieder und ersetzt keine Rechtsberatung.