Sicherheit und Pflichten des Herstellers

graph TD
  M[Hersteller von WKL Forms Object Library] --> R[Fassung mit Änderungsprotokoll, Dokumentation, Software-Stückliste]
  M --> V[Bearbeitung gemeldeter Schwachstellen]
  V --> C[Koordinierendes CSIRT und ENISA]
  V --> N[Sicherheitshinweis an die Nutzer]
  R --> P[Steuerelemente in der Access-Anwendung des Herausgebers]
  E[Kunde als NIS-2-Einrichtung] --> A[Bewertet seine Lieferanten]
  A --> M

WKL Forms Object Library ist ein Produkt mit digitalen Elementen im Sinne der Verordnung (EU) 2024/2847, der Cyberresilienz-Verordnung (Cyber Resilience Act, CRA). Diese Seite beschreibt, welche Pflichten sein Hersteller nach dieser Verordnung und als Lieferant von Einrichtungen hat, die unter die NIS-2-Richtlinie fallen, wie Sie eine Schwachstelle melden und was WKL Forms Object Library für den Schutz der Daten und Zugangsdaten Ihrer Anwendung tut.

• Schwachstellen melden Sie an Wolfgang.van.der.Stille@gmail.com und zp@datecpro.de; siehe Eine Schwachstelle melden.
• Die Meldepflichten gelten bereits. Art. 14 der Cyberresilienz-Verordnung gilt seit dem 11. September 2026, die übrigen Pflichten gelten ab dem 11. Dezember 2027 (Art. 71 Abs. 2).
• Sicherheitskorrekturen erscheinen als eigene Fassung. Eine Sicherheitskorrektur kommt als eigene, kostenlose Korrekturfassung, und das Änderungsprotokoll weist sie als solche aus.
• Ohne Auftrag verlässt nichts den Rechner. Die Steuerelemente öffnen eine Netzwerkverbindung nur, wenn Ihre Anwendung eine Webanfrage sendet, senden das Windows-Konto nur mit UseWindowsLogin und halten API-Schlüssel und Token nur im Speicher.
• Konformität bis 11. Dezember 2027. Bis dahin stellt der Hersteller für WKL Forms Object Library die EU-Konformitätserklärung mit CE-Kennzeichnung aus; siehe Weg zur Konformität.

Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet (Art. 3 Nr. 13). Hersteller von WKL Forms Object Library ist EMSR DATA, D.O.O., Trg komandanta Staneta 8, 1000 Ljubljana, Slowenien, https://wvds.it, auch wenn Sie das Produkt über einen Vertriebspartner erhalten. The White Knight Labs und WKL sind Marken von EMSR DATA, D.O.O. Anwendungen, die die Steuerelemente verwenden, haben einen eigenen Hersteller: ihren Herausgeber. WKL Forms Object Library ist ein Bestandteil einer solchen Anwendung. Findet ein Herausgeber eine Schwachstelle in der Bibliothek, meldet er sie ihrem Hersteller (Art. 13 Abs. 6); für seine Anwendung bleibt er selbst verantwortlich.

Senden Sie die Meldung per E-Mail an beide Adressen:

• Wolfgang.van.der.Stille@gmail.com
• zp@datecpro.de

Nennen Sie die Fassung von WKL Forms Object Library (die Version von Wkl.Forms.ObjectLibrary.dll in den Eigenschaften der Datei), die Schritte, mit denen sich das Problem nachstellen lässt, was ein Angreifer damit erreicht und ob Ihnen eine Ausnutzung bekannt ist. Veröffentlichen Sie keine Einzelheiten, bevor eine korrigierte Fassung vorliegt; den Zeitpunkt der Veröffentlichung stimmt der Hersteller mit Ihnen ab.

Der Hersteller erfasst die Meldung, bewertet sie, behebt die Schwachstelle in einer Korrekturfassung und veröffentlicht danach einen Sicherheitshinweis mit den betroffenen und den korrigierten Fassungen, der Auswirkung und den Schritten, die Sie unternehmen sollten (Anhang I Teil II Nr. 2 und 4). Eine Sicherheitskorrektur bleibt mindestens zehn Jahre oder für den Rest des Unterstützungszeitraums verfügbar, je nachdem, was länger ist (Art. 13 Abs. 9).

Der Hersteller meldet über die einheitliche Meldeplattform der ENISA an das CSIRT, das der Mitgliedstaat seiner Hauptniederlassung als Koordinator benannt hat; die ENISA erhält die Meldung gleichzeitig (Art. 14 Abs. 7, Art. 16). Betroffene Nutzer werden über den Vorfall oder die Schwachstelle und über die Maßnahmen informiert, die sie ergreifen können (Art. 14 Abs. 8).

Die Cyberresilienz-Verordnung gilt als Verordnung in allen Mitgliedstaaten unmittelbar und gleich; der Hersteller hat dieselben Pflichten, gleich in welchem Mitgliedstaat WKL Forms Object Library vertrieben wird. Die NIS-2-Richtlinie wirkt dagegen erst über die nationalen Umsetzungsgesetze. Eine Einrichtung unterliegt in der Regel dem Gesetz des Mitgliedstaats, in dem sie niedergelassen ist (Richtlinie (EU) 2022/2555, Art. 26 Abs. 1); Sonderregeln gelten unter anderem für Anbieter elektronischer Kommunikation, Cloud-Computing-Dienste, Rechenzentren und verwaltete Dienste. Ein Lieferant ist durch die Richtlinie nicht selbst verpflichtet; er erhält Anforderungen von seinem Kunden nach dem Recht, das für den Kunden gilt.

• Deutschland: Koordinierendes CSIRT ist CERT-Bund im Bundesamt für Sicherheit in der Informationstechnik (BSI). Das NIS-2-Umsetzungsgesetz (in Kraft seit 6. Dezember 2025) hat das BSI-Gesetz neu gefasst; § 30 Abs. 2 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen unter anderem die Sicherheit der Lieferkette (Nr. 4) sowie Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung informationstechnischer Systeme einschließlich des Umgangs mit Schwachstellen (Nr. 5).
• Österreich: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025, in Kraft seit 1. Oktober 2026) setzt die NIS-2-Richtlinie um; § 32 Abs. 4 lit. d verlangt von wesentlichen und wichtigen Einrichtungen die Sicherheit der Lieferkette.
• Schweiz: Die Cyberresilienz-Verordnung und die NIS-2-Richtlinie gelten nicht. Betreiber kritischer Infrastrukturen melden Cyberangriffe nach dem Informationssicherheitsgesetz seit dem 1. April 2025 innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS). Eine Meldung über eine Schwachstelle in WKL Forms Object Library nimmt der Hersteller auch aus der Schweiz an.
• Ob Ihre Organisation eine Einrichtung im Sinne dieser Gesetze ist, entscheidet das jeweilige Gesetz; der Hersteller von WKL Forms Object Library prüft das nicht für Sie.

Wesentliche und wichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern, einschließlich der sicherheitsbezogenen Aspekte der Beziehung zu jedem unmittelbaren Lieferanten (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 Buchst. d). Sie berücksichtigen dabei die spezifischen Schwachstellen jedes Lieferanten sowie die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis einschließlich der Sicherheit seiner Entwicklungsprozesse (Art. 21 Abs. 3). Ist Ihre Organisation eine solche Einrichtung, ist der Hersteller von WKL Forms Object Library einer Ihrer Lieferanten. Für Ihre Bewertung beschreiben diese Quellen das Produkt und den Umgang damit:

• diese Seite, das Änderungsprotokoll mit jeder Fassung und ihren Sicherheitskorrekturen sowie die Referenz der Registrierung pro Benutzer;
• die festen Fehlernummern der Steuerelemente, jede mit ihrer Bedeutung (Fehler von WKL-Steuerelementen in VBA behandeln);
• Fragen im Rahmen einer Lieferantenbewertung richten Sie an die Adressen unter Eine Schwachstelle melden.

Die übrigen Pflichten der Verordnung gelten ab dem 11. Dezember 2027. Der Hersteller entwickelt WKL Forms Object Library schon heute mit Blick auf die grundlegenden Cybersicherheitsanforderungen aus Anhang I und erfüllt bis zu diesem Tag alle Pflichten, die ihn als Hersteller treffen (Art. 13). Für WKL Forms Object Library heißt das:

• Einstufung: Nach Einschätzung des Herstellers gehört WKL Forms Object Library zu keiner Kategorie wichtiger oder kritischer Produkte (Anhänge III und IV): Die Bibliothek verwaltet weder Identitäten noch Zugänge (ihre Webanfragen können das Windows-Konto weitergeben, verwalten aber keines), zeigt keine Webinhalte an und ist weder Sicherheitssoftware noch Netzwerkverwaltung.
• Konformitätsbewertung: Der Hersteller bewertet die Konformität selbst, im Verfahren der internen Kontrolle (Modul A, Anhang VIII Teil I); eine benannte Stelle ist dafür nicht vorgeschrieben (Art. 32 Abs. 1).
• Technische Dokumentation: Sie enthält unter anderem die Bewertung der Cybersicherheitsrisiken, die Prüfberichte und die Begründung des Unterstützungszeitraums (Art. 31, Anhang VII). Sie ist nicht öffentlich: Der Hersteller legt sie der Marktüberwachungsbehörde auf Verlangen vor und bewahrt sie mindestens zehn Jahre auf (Art. 13 Abs. 13). Die Software-Stückliste liegt zusätzlich im Release-Paket (sbom.cdx.json).
• EU-Konformitätserklärung und CE-Kennzeichnung: Jeder Fassung liegt die Erklärung bei oder eine vereinfachte Erklärung mit der Internetadresse der vollständigen (Art. 13 Abs. 20, Art. 28). Bei Software steht die CE-Kennzeichnung auf der Erklärung oder auf der Website zum Produkt (Art. 30 Abs. 1).
• Unterstützungszeitraum: Jede Fassung ist ab ihrem Auslieferungsmonat fünf Jahre unterstützt; das Enddatum steht mit Monat und Jahr bei jeder Fassung (Art. 13 Abs. 8 und 19). Sicherheitskorrekturen erscheinen für die neueste Fassung der Hauptversion; eine neuere Fassung derselben Hauptversion ist kostenlos und verlangt keine Anpassungen (Art. 13 Abs. 10).

Für Fassungen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten diese Anforderungen nur, wenn sie danach wesentlich geändert werden; die Meldepflichten nach Art. 14 gelten für alle Fassungen (Art. 69 Abs. 2 und 3).

Diese Fassung trägt noch keine EU-Konformitätserklärung und keine CE-Kennzeichnung. Das Enddatum des Unterstützungszeitraums entsteht mit der Konformitätsbewertung.

Diese Seite fasst die Pflichten des Herstellers und den Beitrag von WKL Forms Object Library zusammen, etwa als Grundlage für Ihre Lieferantenbewertung. Verbindlich sind die unten genannten Rechtstexte. Ob Ihre Organisation eine wesentliche oder wichtige Einrichtung ist und welche Pflichten sie selbst treffen, beurteilen Sie selbst oder mit Ihrer Rechtsberatung. Quellen: Verordnung (EU) 2024/2847, ABl. L vom 20.11.2024, http://data.europa.eu/eli/reg/2024/2847/oj (Art. 3 Nr. 13, Art. 13, 14, 16, 28, 30 bis 32, 69, 71 Abs. 2, Anhänge I bis III, V, VII und VIII); Richtlinie (EU) 2022/2555, ABl. L 333 vom 27.12.2022, http://data.europa.eu/eli/dir/2022/2555/oj (Art. 21, 26); BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (§ 30); NISG 2026 (§ 32); Schweizer Informationssicherheitsgesetz (Meldepflicht für Betreiber kritischer Infrastrukturen).

• Freigegebenes Paket installieren
• Was die Registrierung pro Benutzer schreibt
• Fehler von WKL-Steuerelementen in VBA behandeln
• Pflichten von Herausgebern, die Anwendungen mit dem SDK ausliefern: „Pflichten als Herausgeber nach der Cyberresilienz-Verordnung“ in der Dokumentation des WKL Office SDK
• Sicherheit des Starters ausgelieferter Anwendungen: „Sicherheit und Pflichten des Herstellers“ in der Dokumentation von WKL Bootstrapper