Die Überwachung nach dem Inverkehrbringen (Post-market Surveillance, PMS) ist der systematische Prozess, mit dem ein Hersteller die Leistung und Sicherheit seiner Produkte aktiv überwacht, nachdem diese auf dem EU-Markt in Verkehr gebracht wurden. PMS ist eine gesetzliche Verpflichtung im Rahmen praktisch aller CE-Kennzeichnungsrichtlinien und keine optionale Maßnahme zur Qualitätsverbesserung. Die EU-Cyberresilienz-Verordnung (Cyber Resilience Act, CRA) hat die Anforderungen erheblich verschärft und PMS von einer passiven Funktion zur Sammlung von Beschwerden in ein aktives, kontinuierliches Programm zur Cybersicherheitsüberwachung umgewandelt.
Rechtsgrundlage
Verpflichtungen zur Überwachung nach dem Inverkehrbringen ergeben sich aus:
- Der Verordnung über die allgemeine Produktsicherheit (GPSR, EU 2023/988) – gilt für alle Verbraucherprodukte; Hersteller müssen Informationen aus der Praxis sammeln und analysieren, Vorfälle untersuchen und Korrekturmaßnahmen ergreifen.
- Sektorspezifische Richtlinien – EMV-, Niederspannungs-, Funkanlagen- und Maschinenrichtlinie fordern alle von den Herstellern, Berichte aus der Praxis zu überwachen und sicherheitsrelevante Probleme zu untersuchen.
- Medizinprodukteverordnung (EU 2017/745) – das vorschriftsreichste PMS-System; erfordert einen formellen PMS-Plan, PMS-Berichte (PSUR für Klasse IIa und höher), die Analyse von Signalen aus der Praxis und regelmäßige Sicherheitsberichte (Periodic Safety Update Reports).
- EU-Cyberresilienz-Verordnung (EU 2024/2847) – erfordert die Behandlung von Schwachstellen während des gesamten Unterstützungszeitraums (mindestens 5 Jahre, sofern das Produkt nicht voraussichtlich kürzer genutzt wird) sowie die gestufte Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle – 24-Stunden-Frühwarnung, 72-Stunden-Meldung und Abschlussbericht – an das als Koordinator benannte CSIRT und die ENISA.
Detaillierte Pflichten nach dem CRA nach dem Inverkehrbringen
Die Anforderungen des CRA an die Überwachung nach dem Inverkehrbringen sind die operativ anspruchsvollsten im EU-Recht für Hardware:
| Verpflichtung | Frist | Wer muss handeln |
|---|---|---|
| Frühwarnung – aktiv ausgenutzte Schwachstelle oder schwerer Vorfall | Innerhalb von 24 Stunden nach Kenntniserlangung | Hersteller → als Koordinator benanntes CSIRT und ENISA (über die einheitliche Meldeplattform) |
| Meldung der Schwachstelle / des Vorfalls | Innerhalb von 72 Stunden nach Kenntniserlangung | Hersteller → als Koordinator benanntes CSIRT und ENISA |
| Abschlussbericht | Schwachstelle: innerhalb von 14 Tagen, nachdem eine Korrektur- oder Minderungsmaßnahme verfügbar ist; schwerer Vorfall: innerhalb eines Monats nach der Meldung | Hersteller → als Koordinator benanntes CSIRT und ENISA |
| Pflege der SBOM | In der technischen Dokumentation aktuell gehalten; mindestens Abhängigkeiten der obersten Ebene | Hersteller |
| Richtlinie zum Umgang mit Schwachstellen | Muss veröffentlicht und gepflegt werden | Hersteller |
| Sicherheitsupdates | Müssen während des Unterstützungszeitraums kostenlos bereitgestellt werden | Hersteller → Nutzer |
| Ende des Unterstützungszeitraums | Enddatum wird beim Kauf angegeben; soweit technisch machbar, werden die Nutzer benachrichtigt, wenn der Unterstützungszeitraum abgelaufen ist | Hersteller → Nutzer |
PMS-Infrastruktur für Hardwareprodukte
Eine effektive Überwachung nach dem Inverkehrbringen für vernetzte Hardware erfordert:
1. Überwachung der Softwarestückliste (SBOM) Die SBOM muss kontinuierlich mit öffentlichen Schwachstellendatenbanken (CVE/NVD, OSV.dev, GitHub Advisory Database, Sicherheitshinweise von Anbietern) abgeglichen werden. Wenn eine CVE eine Komponente in der SBOM betrifft, muss die Auswirkung auf die spezifische Produktkonfiguration bewertet werden.
2. Bewertung und Triage von Schwachstellen Nicht jede CVE in einer Abhängigkeit ist in einer spezifischen Produktkonfiguration ausnutzbar. Eine proprietäre Bibliothek, die mit spezifischen Flags kompiliert wurde und in einer Sandbox-Umgebung ausgeführt wird, ist möglicherweise nicht von einer in der CVE beschriebenen Schwachstelle betroffen. Die Triage erfordert produktspezifisches Fachwissen – generische CVE-Scanner erzeugen Fehlalarme (falsch-positive Meldungen), denen dieser Kontext fehlt.
3. OTA-Update-Infrastruktur Sicherheitspatches müssen die im Feld befindlichen Geräte zuverlässig erreichen. Dies erfordert eine authentifizierte OTA-Infrastruktur (SUIT-manifestbasierte Firmware-Updates oder gleichwertige Verfahren), einen Staging-/Rollback-Mechanismus und Telemetrie, die die Annahme von Updates in der installierten Basis bestätigt.
4. Prozess zur Reaktion auf Sicherheitsvorfälle Ein dokumentierter Prozess zum Empfang, zur Triage und zur Reaktion auf extern gemeldete Schwachstellen (koordinierte Offenlegung von Schwachstellen) muss existieren und in der Produktdokumentation öffentlich referenziert sein.
5. CRA-Meldeprozess Die 24-Stunden-Meldefrist ist operativ anspruchsvoll. Automatisierte Benachrichtigungen von SBOM-Überwachungstools, die in einen definierten Eskalationspfad einfließen, sind erforderlich – eine manuelle tägliche Überprüfung reicht für die Konformität nicht aus.
PMS vs. Qualitätsmanagement
Die Überwachung nach dem Inverkehrbringen unterscheidet sich vom Qualitätsmanagement, speist aber Informationen in dieses ein:
| PMS | Qualitätsmanagement (QMS) | |
|---|---|---|
| Umfang | Leistung spezifischer Produkte im Feld | Prozesse und Systeme, die diese Produkte herstellen |
| Rechtsgrundlage | Produktrichtlinien | ISO 9001, ISO 13485 (MDR), IEC 62443 (CRA) |
| Auslöser | Marktdaten, Vorfälle im Feld, Offenlegung von Schwachstellen | Nichtkonformitäten, Audits, Managementbewertung |
| Ergebnis | Korrekturmaßnahmen, CRA-Meldungen, Sicherheitswarnungen | CAPA, Prozessverbesserungen, Lieferantenbewertungen |