EU setzt 24-Stunden-Frist für Exploit-Offenlegung bei Krypto-Wallets

Hersteller von Krypto-Wallets, die Produkte in der Europäischen Union verkaufen, haben nun nur noch 24 Stunden Zeit, um Behörden zu benachrichtigen, nachdem sie entdeckt haben, dass eine Sicherheitslücke in ihrer Software oder Hardware aktiv von Angreifern ausgenutzt wird.

Die Frist begann am 11. September, als Artikel 14 des Cyber Resilience Act (CRA) der EU in Kraft trat. Die Bestimmung deckt jedes „Produkt mit digitalen Elementen“ ab, das auf dem EU-Markt bereitgestellt wird – eine Kategorie, die nach Ansicht von Rechtsexperten wahrscheinlich kommerzielle Hardware-Wallets sowie Desktop- oder mobile Wallet-Anwendungen umfasst. Die Verpflichtung gilt für Hersteller unabhängig von ihrem Standort.

Unter den neuen Regeln muss ein Unternehmen, das von einer aktiv ausgenutzten Schwachstelle erfährt, innerhalb von 24 Stunden eine Frühwarnung über die von der ENISA, der Cybersicherheitsagentur der EU, betriebene zentrale Meldeplattform einreichen. Eine detailliertere Meldung ist innerhalb von 72 Stunden fällig, gefolgt von einem Abschlussbericht innerhalb von 14 Tagen, nachdem eine Korrekturmaßnahme verfügbar wurde. Für schwerwiegende Sicherheitsvorfälle gelten dieselben anfänglichen Fristen, wobei der Abschlussbericht einen Monat nach der ersten Einreichung fällig ist.