Sicherheit und Pflichten des Herstellers

graph TD
  M[Hersteller von WKL Office JSON] --> R[Fassung mit Änderungsprotokoll, Dokumentation, Software-Stückliste]
  M --> V[Bearbeitung gemeldeter Schwachstellen]
  V --> C[Koordinierendes CSIRT und ENISA]
  V --> N[Sicherheitshinweis an die Nutzer]
  R --> P[Bibliothek in der Office-Anwendung des Herausgebers]
  E[Kunde als NIS-2-Einrichtung] --> A[Bewertet seine Lieferanten]
  A --> M

WKL Office JSON ist ein Produkt mit digitalen Elementen im Sinne der Verordnung (EU) 2024/2847, der Cyberresilienz-Verordnung (Cyber Resilience Act, CRA). Diese Seite beschreibt, welche Pflichten sein Hersteller nach dieser Verordnung und als Lieferant von Einrichtungen hat, die unter die NIS-2-Richtlinie fallen, wie Sie eine Schwachstelle melden und was WKL Office JSON für den sicheren Umgang mit JSON aus nicht vertrauenswürdigen Quellen tut.

• Schwachstellen melden Sie an Wolfgang.van.der.Stille@gmail.com und zp@datecpro.de; siehe Eine Schwachstelle melden.
• Die Meldepflichten gelten bereits. Art. 14 der Cyberresilienz-Verordnung gilt seit dem 11. September 2026, die übrigen Pflichten gelten ab dem 11. Dezember 2027 (Art. 71 Abs. 2).
• Sicherheitskorrekturen erscheinen als eigene Fassung. Eine Sicherheitskorrektur kommt als eigene, kostenlose Korrekturfassung, und das Änderungsprotokoll weist sie als solche aus.
• JSON von außen ist eine nicht vertrauenswürdige Eingabe. Der Parser bricht bei 512 Verschachtelungsebenen mit einem Fehler ab, statt Office abstürzen zu lassen, weist ungültiges JSON mit der Fehlerstelle ab und hält Zahlen exakt.
• Konformität bis 11. Dezember 2027. Bis dahin stellt der Hersteller für WKL Office JSON die EU-Konformitätserklärung mit CE-Kennzeichnung aus; siehe Weg zur Konformität.

Hersteller ist, wer ein Produkt mit digitalen Elementen entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke vermarktet (Art. 3 Nr. 13). Hersteller von WKL Office JSON ist EMSR DATA, D.O.O., Trg komandanta Staneta 8, 1000 Ljubljana, Slowenien, https://wvds.it, auch wenn Sie das Produkt über einen Vertriebspartner erhalten. The White Knight Labs und WKL sind Marken von EMSR DATA, D.O.O. Anwendungen, die die Bibliothek verwenden, haben einen eigenen Hersteller: ihren Herausgeber. WKL Office JSON ist ein Bestandteil einer solchen Anwendung. Findet ein Herausgeber eine Schwachstelle in der Bibliothek, meldet er sie ihrem Hersteller (Art. 13 Abs. 6); für seine Anwendung bleibt er selbst verantwortlich.

Senden Sie die Meldung per E-Mail an beide Adressen:

• Wolfgang.van.der.Stille@gmail.com
• zp@datecpro.de

Nennen Sie die Fassung von WKL Office JSON (die Version von Wkl.Office.JSON.dll in den Eigenschaften der Datei), die Schritte, mit denen sich das Problem nachstellen lässt, was ein Angreifer damit erreicht und ob Ihnen eine Ausnutzung bekannt ist. Veröffentlichen Sie keine Einzelheiten, bevor eine korrigierte Fassung vorliegt; den Zeitpunkt der Veröffentlichung stimmt der Hersteller mit Ihnen ab.

Der Hersteller erfasst die Meldung, bewertet sie, behebt die Schwachstelle in einer Korrekturfassung und veröffentlicht danach einen Sicherheitshinweis mit den betroffenen und den korrigierten Fassungen, der Auswirkung und den Schritten, die Sie unternehmen sollten (Anhang I Teil II Nr. 2 und 4). Eine Sicherheitskorrektur bleibt mindestens zehn Jahre oder für den Rest des Unterstützungszeitraums verfügbar, je nachdem, was länger ist (Art. 13 Abs. 9).

Der Hersteller meldet über die einheitliche Meldeplattform der ENISA an das CSIRT, das der Mitgliedstaat seiner Hauptniederlassung als Koordinator benannt hat; die ENISA erhält die Meldung gleichzeitig (Art. 14 Abs. 7, Art. 16). Betroffene Nutzer werden über den Vorfall oder die Schwachstelle und über die Maßnahmen informiert, die sie ergreifen können (Art. 14 Abs. 8).

Die Cyberresilienz-Verordnung gilt als Verordnung in allen Mitgliedstaaten unmittelbar und gleich; der Hersteller hat dieselben Pflichten, gleich in welchem Mitgliedstaat WKL Office JSON vertrieben wird. Die NIS-2-Richtlinie wirkt dagegen erst über die nationalen Umsetzungsgesetze. Eine Einrichtung unterliegt in der Regel dem Gesetz des Mitgliedstaats, in dem sie niedergelassen ist (Richtlinie (EU) 2022/2555, Art. 26 Abs. 1); Sonderregeln gelten unter anderem für Anbieter elektronischer Kommunikation, Cloud-Computing-Dienste, Rechenzentren und verwaltete Dienste. Ein Lieferant ist durch die Richtlinie nicht selbst verpflichtet; er erhält Anforderungen von seinem Kunden nach dem Recht, das für den Kunden gilt.

• Deutschland: Koordinierendes CSIRT ist CERT-Bund im Bundesamt für Sicherheit in der Informationstechnik (BSI). Das NIS-2-Umsetzungsgesetz (in Kraft seit 6. Dezember 2025) hat das BSI-Gesetz neu gefasst; § 30 Abs. 2 BSIG verlangt von besonders wichtigen und wichtigen Einrichtungen unter anderem die Sicherheit der Lieferkette (Nr. 4) sowie Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung informationstechnischer Systeme einschließlich des Umgangs mit Schwachstellen (Nr. 5).
• Österreich: Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026, BGBl. I Nr. 94/2025, in Kraft seit 1. Oktober 2026) setzt die NIS-2-Richtlinie um; § 32 Abs. 4 lit. d verlangt von wesentlichen und wichtigen Einrichtungen die Sicherheit der Lieferkette.
• Schweiz: Die Cyberresilienz-Verordnung und die NIS-2-Richtlinie gelten nicht. Betreiber kritischer Infrastrukturen melden Cyberangriffe nach dem Informationssicherheitsgesetz seit dem 1. April 2025 innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS). Eine Meldung über eine Schwachstelle in WKL Office JSON nimmt der Hersteller auch aus der Schweiz an.
• Ob Ihre Organisation eine Einrichtung im Sinne dieser Gesetze ist, entscheidet das jeweilige Gesetz; der Hersteller von WKL Office JSON prüft das nicht für Sie.

Wesentliche und wichtige Einrichtungen müssen die Sicherheit ihrer Lieferkette steuern, einschließlich der sicherheitsbezogenen Aspekte der Beziehung zu jedem unmittelbaren Lieferanten (Richtlinie (EU) 2022/2555, Art. 21 Abs. 2 Buchst. d). Sie berücksichtigen dabei die spezifischen Schwachstellen jedes Lieferanten sowie die Gesamtqualität seiner Produkte und seiner Cybersicherheitspraxis einschließlich der Sicherheit seiner Entwicklungsprozesse (Art. 21 Abs. 3). Ist Ihre Organisation eine solche Einrichtung, ist der Hersteller von WKL Office JSON einer Ihrer Lieferanten. Für Ihre Bewertung beschreiben diese Quellen das Produkt und den Umgang damit:

• diese Seite, das Änderungsprotokoll mit jeder Fassung und ihren Sicherheitskorrekturen sowie die Seite Werte und Grenzen mit jeder Grenze und jeder abgewiesenen Umwandlung;
• die Seite WKL Office JSON installieren und verteilen dazu, was die Registrierung schreibt und wie sie entfernt wird;
• Fragen im Rahmen einer Lieferantenbewertung richten Sie an die Adressen unter Eine Schwachstelle melden.

Die übrigen Pflichten der Verordnung gelten ab dem 11. Dezember 2027. Der Hersteller entwickelt WKL Office JSON schon heute mit Blick auf die grundlegenden Cybersicherheitsanforderungen aus Anhang I und erfüllt bis zu diesem Tag alle Pflichten, die ihn als Hersteller treffen (Art. 13). Für WKL Office JSON heißt das:

• Einstufung: Nach Einschätzung des Herstellers gehört WKL Office JSON zu keiner Kategorie wichtiger oder kritischer Produkte (Anhänge III und IV): Die Bibliothek hat keine Sicherheitsfunktion und keinen Netzwerkzugriff und verwaltet weder Identitäten noch Schlüssel.
• Konformitätsbewertung: Der Hersteller bewertet die Konformität selbst, im Verfahren der internen Kontrolle (Modul A, Anhang VIII Teil I); eine benannte Stelle ist dafür nicht vorgeschrieben (Art. 32 Abs. 1).
• Technische Dokumentation: Sie enthält unter anderem die Bewertung der Cybersicherheitsrisiken, die Prüfberichte und die Begründung des Unterstützungszeitraums (Art. 31, Anhang VII). Sie ist nicht öffentlich: Der Hersteller legt sie der Marktüberwachungsbehörde auf Verlangen vor und bewahrt sie mindestens zehn Jahre auf (Art. 13 Abs. 13). Die Software-Stückliste liegt zusätzlich im Release-Paket (sbom.cdx.json).
• EU-Konformitätserklärung und CE-Kennzeichnung: Jeder Fassung liegt die Erklärung bei oder eine vereinfachte Erklärung mit der Internetadresse der vollständigen (Art. 13 Abs. 20, Art. 28). Bei Software steht die CE-Kennzeichnung auf der Erklärung oder auf der Website zum Produkt (Art. 30 Abs. 1).
• Unterstützungszeitraum: Jede Fassung ist ab ihrem Auslieferungsmonat fünf Jahre unterstützt; das Enddatum steht mit Monat und Jahr bei jeder Fassung (Art. 13 Abs. 8 und 19). Sicherheitskorrekturen erscheinen für die neueste Fassung der Hauptversion; eine neuere Fassung derselben Hauptversion ist kostenlos und verlangt keine Anpassungen (Art. 13 Abs. 10).

Für Fassungen, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden, gelten diese Anforderungen nur, wenn sie danach wesentlich geändert werden; die Meldepflichten nach Art. 14 gelten für alle Fassungen (Art. 69 Abs. 2 und 3).

Diese Fassung trägt noch keine EU-Konformitätserklärung und keine CE-Kennzeichnung. Das Enddatum des Unterstützungszeitraums entsteht mit der Konformitätsbewertung.

Diese Seite fasst die Pflichten des Herstellers und den Beitrag von WKL Office JSON zusammen, etwa als Grundlage für Ihre Lieferantenbewertung. Verbindlich sind die unten genannten Rechtstexte. Ob Ihre Organisation eine wesentliche oder wichtige Einrichtung ist und welche Pflichten sie selbst treffen, beurteilen Sie selbst oder mit Ihrer Rechtsberatung. Quellen: Verordnung (EU) 2024/2847, ABl. L vom 20.11.2024, http://data.europa.eu/eli/reg/2024/2847/oj (Art. 3 Nr. 13, Art. 13, 14, 16, 28, 30 bis 32, 69, 71 Abs. 2, Anhänge I bis III, V, VII und VIII); Richtlinie (EU) 2022/2555, ABl. L 333 vom 27.12.2022, http://data.europa.eu/eli/dir/2022/2555/oj (Art. 21, 26); BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes (§ 30); NISG 2026 (§ 32); Schweizer Informationssicherheitsgesetz (Meldepflicht für Betreiber kritischer Infrastrukturen).

• WKL Office JSON installieren und verteilen
• Werte und Grenzen
• Pflichten von Herausgebern, die Anwendungen mit dem SDK ausliefern: „Pflichten als Herausgeber nach der Cyberresilienz-Verordnung“ in der Dokumentation des WKL Office SDK
• Sicherheit des Starters ausgelieferter Anwendungen: „Sicherheit und Pflichten des Herstellers“ in der Dokumentation von WKL Bootstrapper