Sicherheit und Pflichten des Herstellers

graph TD
  M[Hersteller des Starters] --> R[Fassung mit Änderungsprotokoll und Dokumentation]
  M --> V[Bearbeitung gemeldeter Schwachstellen]
  V --> C[Koordinierendes CSIRT und ENISA]
  V --> N[Sicherheitshinweis an die Nutzer]
  R --> S[Starter auf dem Rechner des Benutzers]
  S --> K[Prüft jede Auslieferung: Größe, SHA-256, Signatur, Version]
  E[Kunde als NIS-2-Einrichtung] --> A[Bewertet seine Lieferanten]
  A --> M

Der Starter ist ein Produkt mit digitalen Elementen im Sinne der Verordnung (EU) 2024/2847, der Cyberresilienz-Verordnung (Cyber Resilience Act, CRA). Diese Seite beschreibt, welche Pflichten sein Hersteller nach dieser Verordnung und als Lieferant von Einrichtungen hat, die unter die NIS-2-Richtlinie fallen, wie Sie eine Schwachstelle melden und welche dieser Pflichten der Starter heute unterstützt.

• Schwachstellen melden Sie an Wolfgang.van.der.Stille@gmail.com und zp@datecpro.de; siehe Eine Schwachstelle melden.
• Die Meldepflichten gelten bereits. Art. 14 der Cyberresilienz-Verordnung gilt seit dem 11. September 2026, die übrigen Pflichten gelten ab dem 11. Dezember 2027 (Art. 71 Abs. 2).
• Sicherheitskorrekturen erscheinen als eigene Fassung. Eine Sicherheitskorrektur kommt als eigene, kostenlose Korrekturfassung, und das Änderungsprotokoll weist sie als solche aus. Die Fassung 2.2.4 ist eine solche Fassung.
• Auslieferungen werden geprüft. Der Starter legt nur Kopien ab, deren Größe und SHA-256 zur Auslieferung passen, installiert bei einem Projekt mit Lieferschlüssel nur damit signierte Auslieferungen und kehrt ab 2.2.4 nicht zu einer älteren signierten Auslieferung zurück.
• Konformität bis 11. Dezember 2027. Bis dahin stellt der Hersteller für den Starter die EU-Konformitätserklärung mit CE-Kennzeichnung aus; siehe Weg zur Konformität.

Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet (Art. 3 Nr. 13). Hersteller des Starters ist EMSR DATA, D.O.O., Trg komandanta Staneta 8, 1000 Ljubljana, Slowenien, https://wvds.it, auch wenn Sie den Starter über einen Vertriebspartner erhalten. The White Knight Labs und WKL sind Marken von EMSR DATA, D.O.O. Die Anwendung, die der Starter installiert und startet, hat einen eigenen Hersteller: ihren Herausgeber. Der Starter ist ein Bestandteil dieser Auslieferung. Findet ein Herausgeber eine Schwachstelle im Starter, meldet er sie dem Hersteller des Starters (Art. 13 Abs. 6); für seine Anwendung bleibt er selbst verantwortlich.

Senden Sie die Meldung per E-Mail an beide Adressen:

• Wolfgang.van.der.Stille@gmail.com
• zp@datecpro.de

Nennen Sie die Fassung des Starters (Wkl.Bootstrapper.exe /version oder die Eigenschaften der Datei), die Schritte, mit denen sich das Problem nachstellen lässt, was ein Angreifer damit erreicht und ob Ihnen eine Ausnutzung bekannt ist. Veröffentlichen Sie keine Einzelheiten, bevor eine korrigierte Fassung vorliegt; den Zeitpunkt der Veröffentlichung stimmt der Hersteller mit Ihnen ab.

Der Hersteller erfasst die Meldung, bewertet sie, behebt die Schwachstelle in einer Korrekturfassung und veröffentlicht danach einen Sicherheitshinweis mit den betroffenen und den korrigierten Fassungen, der Auswirkung und den Schritten, die Sie unternehmen sollten (Anhang I Teil II Nr. 2 und 4). Eine Sicherheitskorrektur bleibt mindestens zehn Jahre oder für den Rest des Unterstützungszeitraums verfügbar, je nachdem, was länger ist (Art. 13 Abs. 9).

Der Hersteller meldet über die einheitliche Meldeplattform der ENISA an das CSIRT, das der Mitgliedstaat seiner Hauptniederlassung als Koordinator benannt hat; die ENISA erhält die Meldung gleichzeitig (Art. 14 Abs. 7, Art. 16). Betroffene Nutzer werden über den Vorfall oder die Schwachstelle und über die Maßnahmen informiert, die sie ergreifen können (Art. 14 Abs. 8).

Die Cyberresilienz-Verordnung gilt als Verordnung in allen Mitgliedstaaten unmittelbar und gleich; der Hersteller hat dieselben Pflichten, gleich in welchem Mitgliedstaat der Starter vertrieben wird. Die NIS-2-Richtlinie wirkt dagegen erst über die nationalen Umsetzungsgesetze. Eine Einrichtung unterliegt in der Regel dem Gesetz des Mitgliedstaats, in dem sie niedergelassen ist (Richtlinie (EU) 2022/2555, Art. 26 Abs. 1); Sonderregeln gelten unter anderem für Anbieter elektronischer Kommunikation, Cloud-Computing-Dienste, Rechenzentren und verwaltete Dienste. Ein Lieferant ist durch die Richtlinie nicht selbst verpflichtet; er erhält Anforderungen von seinem Kunden nach dem Recht, das für den Kunden gilt.

• Deutschland: Koordinierendes CSIRT ist CERT-Bund im Bundesamt für Sicherheit in der Informationstechnik (BSI). Das NIS-2-Umsetzungsgesetz (in Kraft seit 6. Dezember 2025) hat das BSI-Gesetz neu gefasst; § 30 Abs. 2 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen unter anderem die Sicherheit der Lieferkette (Nr. 4) sowie Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung informationstechnischer Systeme einschließlich des Umgangs mit Schwachstellen (Nr. 5).
• Österreich: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025, in Kraft seit 1. Oktober 2026) setzt die NIS-2-Richtlinie um; § 32 Abs. 4 lit. d verlangt von wesentlichen und wichtigen Einrichtungen die Sicherheit der Lieferkette.
• Schweiz: Die Cyberresilienz-Verordnung und die NIS-2-Richtlinie gelten nicht. Betreiber kritischer Infrastrukturen melden Cyberangriffe nach dem Informationssicherheitsgesetz seit dem 1. April 2025 innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS). Eine Meldung über eine Schwachstelle im Starter nimmt der Hersteller auch aus der Schweiz an.
• Ob Ihre Organisation eine Einrichtung im Sinne dieser Gesetze ist, entscheidet das jeweilige Gesetz; der Hersteller des Starters prüft das nicht für Sie.

Wesentliche und wichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern, einschließlich der sicherheitsbezogenen Aspekte der Beziehung zu jedem unmittelbaren Lieferanten (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 Buchst. d). Sie berücksichtigen dabei die spezifischen Schwachstellen jedes Lieferanten sowie die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis einschließlich der Sicherheit seiner Entwicklungsprozesse (Art. 21 Abs. 3). Ist Ihre Organisation eine solche Einrichtung, ist der Hersteller des Starters einer Ihrer Lieferanten. Für Ihre Bewertung beschreiben diese Quellen das Produkt und den Umgang damit:

• diese Seite, das Änderungsprotokoll mit jeder Fassung und ihren Sicherheitskorrekturen sowie die Referenzseiten dazu, was der Starter schreibt und prüft;
• die Fehlercodes, jeder mit Ursache und Lösung;
• Fragen im Rahmen einer Lieferantenbewertung richten Sie an die Adressen unter Eine Schwachstelle melden.

Die übrigen Pflichten der Verordnung gelten ab dem 11. Dezember 2027. Der Hersteller entwickelt den Starter schon heute mit Blick auf die grundlegenden Cybersicherheitsanforderungen aus Anhang I und erfüllt bis zu diesem Tag alle Pflichten, die ihn als Hersteller treffen (Art. 13). Für den Starter heißt das:

• Einstufung: Nach Einschätzung des Herstellers gehört der Starter zu keiner Kategorie wichtiger oder kritischer Produkte (Anhänge III und IV). Bootmanager im Sinne dieser Kategorien steuern den Systemstart bis zum Betriebssystem (Durchführungsverordnung (EU) 2025/2392, Anhang I Nr. 8); der Starter läuft erst danach und startet Anwendungen.
• Konformitätsbewertung: Der Hersteller bewertet die Konformität selbst, im Verfahren der internen Kontrolle (Modul A, Anhang VIII Teil I); eine benannte Stelle ist dafür nicht vorgeschrieben (Art. 32 Abs. 1).
• Technische Dokumentation: Sie enthält unter anderem die Bewertung der Cybersicherheitsrisiken, die Software-Stückliste (SBOM), also eine maschinenlesbare Liste der im Starter enthaltenen Komponenten, die Prüfberichte und die Begründung des Unterstützungszeitraums (Art. 31, Anhang VII). Sie ist nicht öffentlich: Der Hersteller legt sie der Marktüberwachungsbehörde auf Verlangen vor und bewahrt sie mindestens zehn Jahre auf (Art. 13 Abs. 13).
• EU-Konformitätserklärung und CE-Kennzeichnung: Jeder Fassung liegt die Erklärung bei oder eine vereinfachte Erklärung mit der Internetadresse der vollständigen (Art. 13 Abs. 20, Art. 28). Bei Software steht die CE-Kennzeichnung auf der Erklärung oder auf der Website zum Produkt (Art. 30 Abs. 1).
• Unterstützungszeitraum: Jede Fassung ist ab ihrem Auslieferungsmonat fünf Jahre unterstützt; das Enddatum steht mit Monat und Jahr bei jeder Fassung (Art. 13 Abs. 8 und 19). Sicherheitskorrekturen erscheinen für die neueste Fassung der Hauptversion; eine neuere Fassung derselben Hauptversion ist kostenlos und verlangt keine Anpassungen (Art. 13 Abs. 10).

Für Fassungen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten diese Anforderungen nur, wenn sie danach wesentlich geändert werden; die Meldepflichten nach Art. 14 gelten für alle Fassungen (Art. 69 Abs. 2 und 3).

Die Fassung 3.2.0 trägt noch keine EU-Konformitätserklärung und keine CE-Kennzeichnung. Software-Stückliste und Enddatum des Unterstützungszeitraums entstehen mit der Konformitätsbewertung.

Diese Seite fasst die Pflichten des Herstellers und den Beitrag des Starters zusammen, etwa als Grundlage für Ihre Lieferantenbewertung. Verbindlich sind die unten genannten Rechtstexte. Ob Ihre Organisation eine wesentliche oder wichtige Einrichtung ist und welche Pflichten sie selbst treffen, beurteilen Sie selbst oder mit Ihrer Rechtsberatung. Quellen: Verordnung (EU) 2024/2847, ABl. L vom 20.11.2024, http://data.europa.eu/eli/reg/2024/2847/oj (Art. 3 Nr. 13, Art. 13, 14, 16, 28, 30 bis 32, 69, 71 Abs. 2, Anhänge I bis III, V, VII und VIII); Durchführungsverordnung (EU) 2025/2392, ABl. L vom 1.12.2025, http://data.europa.eu/eli/reg_impl/2025/2392/oj (Anhang I Nr. 8); Richtlinie (EU) 2022/2555, ABl. L 333 vom 27.12.2022, http://data.europa.eu/eli/dir/2022/2555/oj (Art. 21, 26); BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (§ 30); NISG 2026 (§ 32); Schweizer Informationssicherheitsgesetz (Meldepflicht für Betreiber kritischer Infrastrukturen).

• Signierte Auslieferung veröffentlichen
• Die Projektdatei: Signierte Auslieferungen
• Der Ordner der Anwendung bietet eine ältere Version an als die bereits installierte (Code 52)
• Der Installer
• Pflichten von Herausgebern, die Anwendungen mit dem SDK ausliefern: „Pflichten als Herausgeber nach der Cyberresilienz-Verordnung“ in der Dokumentation des WKL Office SDK