Der europäische Cyber Resilience Act startet seine erste Umsetzungsphase und bringt bedeutende neue Anforderungen für alle IT-Hersteller mit sich. Ab sofort greifen verbindliche Meldepflichten: Unternehmen müssen Sicherheitslücken und kritische Incidents der EU-Behörden innerhalb von nur 24 Stunden berichten. Dies ist eine deutlich kürzere Frist als in vielen bestehenden nationalen Regulierungsrahmen üblich.
Der CRA ist ein ambitioniertes Regelwerk der Europäischen Union, das die Cybersicherheit von Produkten und Diensten grundlegend neu strukturieren soll. Es verfolgt das Ziel, Hersteller zu verpflichten, bereits bei der Produktentwicklung Sicherheit als wesentliches Designmerkmal einzubeziehen, nicht erst als nachgelagerte Massnahme. Die 24-Stunden-Meldepflicht ist nur eine Komponente eines umfassenden regulatorischen Ansatzes.
Eine Studie des Bitkom zeigt jedoch, dass viele Unternehmen, insbesondere auch kleinere und mittlere Betriebe, diese neuen Anforderungen noch nicht vollständig umgesetzt haben. Dies liegt oft nicht an mangelndem Willen, sondern an der Komplexität der Anforderungen und begrenzten Ressourcen. Unternehmen müssen neue interne Prozesse etablieren, ihre Incident-Response-Teams aufbauen oder verstärken und sicherstellen, dass sie Lücken wirklich innerhalb der geforderten Frist erkennen und klassifizieren können.
Für KMU-Betriebe ist es jetzt essentiell, ihre Prozesse zur Sicherheitsforschung und zum Incident Management zu überprüfen und anzupassen. Dies umfasst nicht nur technische Massnahmen, sondern auch organisatorische Veränderungen. Unternehmen sollten klare Verantwortlichkeiten definieren, automatisierte Monitoring-Systeme einführen und etablierte Meldewege zu den zuständigen EU-Behörden dokumentieren. Die gute Nachricht ist, dass diese Anforderungen auch dazu führen, dass die gesamte Softwarelandschaft in Europa langfristig sicherer wird, da Hersteller zusätzliche Anreize haben, vulnerabilities schneller zu beheben.