Ab heute greift der Cyber Resilience Act, doch nur 29 Prozent der Unternehmen in Deutschland wissen, was das für sie bedeutet, so eine Bitkom-Umfrage. 38 Prozent hätten vom Gesetz gehört, aber ohne die Folgen einschätzen zu können, 28 Prozent kennen es gar nicht. Hersteller von Software und vernetzten Geräten müssen aktiv ausgenutzte Sicherheitslücken und schwere Vorfälle binnen 24 Stunden auf einer zentralen EU-Plattform melden, nach 72 Stunden nachlegen und einen Abschlussbericht liefern. Allerdings starte auch die zentrale EU-Meldeplattform erst heute, Probeläufe würden also ausfallen.
Mit dem Start der ersten Pflichten aus dem Cyber Resilience Act wächst der Druck auf Hersteller von Software und vernetzten Geräten. Ab dem 11. September müssen aktiv ausgenutzte Sicherheitslücken und schwerwiegende Sicherheitsvorfälle innerhalb von 24 Stunden gemeldet werden. Innerhalb von 72 Stunden sind weitere Informationen nachzureichen, anschließend ist ein Abschlussbericht verpflichtend. Betroffen sind Produkte mit digitalen Funktionen; zuständig ist in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI).
Die Vorbereitung in der Wirtschaft bleibt jedoch lückenhaft. Laut einer Bitkom-Umfrage unter 1.003 Unternehmen ab zehn Beschäftigten wissen nur 29 Prozent, was der CRA konkret für sie bedeutet. Zwar haben insgesamt 67 Prozent bereits vom Gesetz gehört, doch 38 Prozent können die Folgen für den eigenen Betrieb nicht einschätzen. Weitere 28 Prozent kennen den CRA gar nicht.
Neue Meldepflichten ohne Vorlauf auf der Plattform
Für die Meldungen ist eine zentrale europäische Plattform vorgesehen. Sie soll den sicheren Austausch zwischen Unternehmen, national zuständigen Stellen und der EU-Cybersicherheitsagentur ENISA ermöglichen. Ein praktisches Problem liegt im Startzeitpunkt: Die Plattform geht erst zum Stichtag live. Selbst gut vorbereitete Unternehmen konnten sich daher vorab nicht registrieren und die Meldewege nicht testen. Probeläufe entfallen damit genau in dem Moment, in dem die 24-Stunden-Frist erstmals greift.
Bitkom-Präsident Dr. Ralf Wintergerst bewertet den Cyber Resilience Act grundsätzlich als wichtigen Schritt für mehr Cybersicherheit in Europa. Er verweist auf erstmals EU-weit verbindliche Mindestanforderungen für Produkte mit digitalen Funktionen und auf Security by Design als neuen Grundsatz. Höhere Standards sollen Unternehmen, Verbraucherinnen und Verbraucher, Lieferketten sowie kritische Infrastrukturen besser schützen. Zugleich kritisiert Bitkom Defizite bei der praxistauglichen Umsetzung: Vertrauen in europäische Produkte könne nur entstehen, wenn Unternehmen die Vorgaben auch umsetzen wollen und umsetzen können.
Was Unternehmen jetzt prüfen müssen
Für betroffene Hersteller rückt nun die operative Vorbereitung in den Mittelpunkt. Dazu gehören interne Zuständigkeiten, klare Eskalationswege, die Bewertung aktiv ausgenutzter Schwachstellen und die Fähigkeit, binnen kurzer Zeit belastbare Informationen für die Meldung zusammenzustellen. Besonders relevant ist die Abgrenzung zwischen meldepflichtigen Sicherheitslücken, schwerwiegenden Vorfällen und Sachverhalten, die zunächst intern bewertet werden müssen.
Bitkom empfiehlt, sich umgehend mit Anwendungsbereich, Pflichten und Fristen des CRA auseinanderzusetzen. Eine Informationsseite stellt der Verband unter www.bitkom.org/Cyber-Resilience-Act-CRA bereit. Hinweise zur ab dem 11. September erreichbaren Meldeplattform finden sich bei ENISA unter www.enisa.europa.eu/topics/product-security/single-reporting-platform-srp. Der Start erfolgt damit mit verbindlichen Fristen, einer neuen zentralen Plattform und einer Wirtschaft, in der 38 Prozent die Folgen noch nicht einschätzen können.
etailment
Unter dem Namen Redaktion veröffentlicht das Team von etailment.de gemeinsam recherchierte Nachrichten und Analysen aus dem digitalen Handel.
Alle Beiträge