Schwachstellenmanagement: Neue Pflichten ab September

Ob Fahrradcomputer mit Bluetooth-Schnittstelle, Staubsauger oder Maschine in der Produktion: Hersteller konnten bislang selbst entscheiden, wie schnell sie auf entdeckte Schwachstellen reagieren. Ab 11. September 2026 gelten nach dem Cyber Resilience Act neue Vorgaben.

Unternehmen müssen Schwachstellen innerhalb von 24 Stunden an die Agentur der Europäischen Union für Cybersicherheit (ENSIA) melden. Die Behörde sammelt und veröffentlicht die Meldungen. Einmal veröffentlichte Schwachstellen bleiben sichtbar. Eine häufige Listung kann daher zu Reputationsverlusten führen. Nach Einschätzung von Matthias Springer, Senior Vice President Functional Safety & Security bei TÜV Nord, sind etliche Unternehmen darauf noch nicht ausreichend vorbereitet.

Was Hersteller an die ENISA melden müssen

Hersteller müssen betroffene Produkte benennen, die Art der Schwachstelle beschreiben, deren Schwere einordnen und Lösungen zur Behebung anbieten. Werden diese Anforderungen nicht erfüllt, drohen empfindliche Geldbußen. Die Verpflichtung betrifft laut Springer auch zugekaufte Komponenten und zugekaufte Software. Unternehmen benötigen deshalb eine Koordinationsfunktion für das Schwachstellenmanagement sowie klar definierte Abläufe für den Krisenfall. Managementsysteme nach ISO/IEC 27001 oder IEC 62443-4-1 können dafür eine Grundlage bilden. Eine eigene Norm für das Schwachstellenmanagement gibt es jedoch nicht. Die notwendigen Prozesse müssen dennoch zum 11. September stehen.

Wie Assessments kritische Prozesse prüfen

Dienstleister wie TÜV Nord können die vorgesehenen Prozesse bewerten. Dabei geht es unter anderem um eindeutig geregelte Verantwortlichkeiten, Ressourcenmanagement, Schnittstellen und das prozessuale Vorgehen. „Unser Assessment analysiert genau diese Prozesse und Schnittstellen“, erklärt Springer. „Das Thema Cybersicherheit betrachten wir schon seit den 90er-Jahren, wir zertifizieren schon fast zehn Jahre nach der IEC 62443-Reihe.“

TÜV Nord prüft Prozesse für Schwachstellenmanagement

Nach Angaben von TÜV Nord arbeiten rund 70 Spezialisten in diesem Themenfeld, davon mehr als 40 in Deutschland. Beim Assessment werden Prozesse und zugehörige Dokumente analysiert. Ein technischer Bericht zeigt anschließend mögliche Verbesserungen auf und kann als Nachweis dienen, dass der eingerichtete Prozess zuverlässig und konform funktioniert.

Welche Standards TÜV NORD zugrunde legt

Unterschiedliche Anbieter können bei Assessments verschiedene Schwerpunkte setzen. TÜV Nord orientiert sich bis zur Veröffentlichung einer harmonisierten Norm an den Standards, die von der ENISA als vorgesehene harmonisierte Standards veröffentlicht werden sollen. „Wir bei TÜV Nord warten auf die Veröffentlichung der harmonisierten Norm und arbeiten so lange nach den Standards, die von der ENISA als vorgesehene harmonisierte Standards veröffentlicht werden sollen. So sind wir ganz nah am State of the Art.“

Quelle: Mit Material von TÜV Nord