## 1. Geltungsbereich

Dieses Schreiben gilt für Lieferanten von Hard- oder Software mit digitalen Elementen, einschließlich Firmware, Bibliotheken, Betriebssystem-Images, Netzwerkkomponenten sowie zugehörigen Cloud- und Fernwartungsdiensten.

## 2. Pflichten des Lieferanten

Der Lieferant muss ab dem **11.09.2026** die Meldepflichten aus Artikel 14 der EU-Verordnung 2024/2847 (Cyber Resilience Act, CRA) erfüllen. Bei einer **aktiv ausgenutzten Schwachstelle** oder einem **schwerwiegenden Sicherheitsvorfall** in einem gelieferten Produkt muss er:

  • innerhalb von 24 Stunden eine Frühwarnung über die CRA-Meldeplattform an das zuständige CSIRT und die ENISA senden;
  • innerhalb von 72 Stunden die dort vorgeschriebene Folgemeldung abgeben;
  • den vorgeschriebenen Abschlussbericht fristgerecht einreichen;
  • Multiweigh als betroffenen Nutzer unverzüglich, spätestens innerhalb von 24 Stunden nach eigener Kenntnis, unter psirt@multiweigh.com informieren;
  • verfügbare Abhilfe- und Risikominderungsmaßnahmen sowie spätere Erkenntnisse ohne schuldhaftes Zögern nachreichen.

Die gesetzlichen Meldepflichten gelten nach Artikel 69 Absatz 2 CRA auch für bereits vor dem 11.12.2027 in Verkehr gebrachte Produkte.

Andere sicherheitsrelevante Schwachstellen in gelieferten Produkten soll der Lieferant Multiweigh innerhalb von 72 Stunden, spätestens jedoch gleichzeitig mit einer eigenen Veröffentlichung, mitteilen. Diese Frist ist eine Bitte von Multiweigh und keine Pflicht aus Artikel 14 CRA.

## 3. Inhalt einer Meldung

Eine Erstmeldung soll, soweit bekannt, enthalten:

  • Produkt, Version und mögliche Betroffenheit von Multiweigh;
  • Art, Auswirkungen und Ausnutzungsstatus der Schwachstelle oder des Vorfalls;
  • CVE-Nummer oder andere Referenz;
  • verfügbare Gegenmaßnahmen, Updates und deren Zeitplan;
  • geplanten Veröffentlichungstermin und Ansprechpartner.

Eine unvollständige Erstmeldung ist ausdrücklich erwünscht; fehlende Angaben können nachgereicht werden.

## 4. Sicherheitsadresse des Lieferanten

Der Lieferant nennt Multiweigh eine **dauerhaft überwachte E-Mail-Adresse seiner zuständigen Sicherheitsstelle**, beispielsweise `psirt@lieferant.example` oder `security@lieferant.example`. An diese Adresse kann Multiweigh Schwachstellenmeldungen zu Produkten des Lieferanten vertraulich weitergeben.
Änderungen oder der Wegfall dieser Adresse sind Multiweigh unverzüglich unter psirt@multiweigh.com mitzuteilen.
Optional können ein PGP-Schlüssel, ein Meldeportal und ein Ansprechpartner angegeben werden.

## 5. Umgang mit Meldungen

Multiweigh behandelt Meldungen vertraulich und gibt Informationen nur weiter, soweit dies gesetzlich erforderlich ist oder betroffene Betreiber informiert werden müssen. Veröffentlichungen, die das Produkt des Lieferanten benennen, werden nach Möglichkeit vorab abgestimmt. Gesetzliche Melde- und Handlungsfristen bleiben unberührt.

Dieses Schreiben informiert über gesetzliche Pflichten und legt die gegenseitigen Meldewege fest.
Fragen und Mitteilungen richten Sie bitte an psirt@multiweigh.com.