Ein Kommentar von Shane Barney, CISO Keeper Security
Ab dem 11. September 2026 gilt für Hersteller von Hardware- und Softwareprodukten, die in der EU verkauft werden, eine 24-Stunden-Frist. Jede aktiv ausgenutzte Schwachstelle und jeder schwerwiegende Sicherheitsvorfall, der ein Produkt mit digitalen Elementen betrifft, muss innerhalb eines Tages sowohl der Agentur der Europäischen Union für Cybersicherheit (ENISA) als auch dem deutschen CERT-Bund gemeldet werden. Das gilt auch für bereits auf dem Markt befindliche Bestandsprodukte. Die vollständige Meldung muss spätestens innerhalb von 72 Stunden über die Single Reporting Platform erfolgen.
Die Meldefrist von 24 Stunden stellt Unternehmen operativ vor eine Herausforderung. Sie setzt voraus, dass ein Unternehmen in Echtzeit weiß, wer wann und mit welchem Berechtigungsniveau mit einem verwundbaren Build interagiert hat. Bei den meisten Herstellern ist diese Voraussetzung nicht erfüllt. Das Schwachstellenmanagement und die CI/CD-Pipelines sind häufig die Bereiche der Software-Lieferkette mit den geringsten Zugriffskontrollen. Sie arbeiten mit gemeinsam genutzten Zugangsdaten, fest hinterlegten Secrets und dauerhaft bestehenden Zugriffsrechten, die niemand regelmäßig überprüft.
In der Keeper-Studie aus dem Jahr 2026 benennen bereits 25 Prozent der deutschen Unternehmen eine eingeschränkte Kontrolle über Zugriffe von Drittanbietern und Dienstleistern als Governance-Lücke. Genau diese Lücke berührt unmittelbar die neue Meldepflicht, denn ein Hersteller kann innerhalb von 24 Stunden keine belastbare Meldung erstellen, wenn er nicht in der Lage ist festzustellen, wer über privilegierte Zugriffsrechte auf die betroffene Komponente verfügte.
Um die Frist in der Praxis einhalten zu können, müssen Unternehmen fest hinterlegte Zugangsdaten aus Build- und DevOps-Pipelines entfernen, die für den Zugriff auf Systeme zur Schwachstellenverwaltung verwendeten Zugangsdaten in einem sicheren Vault verwalten und eine ausreichend detaillierte Audit-Trail-Dokumentation führen, die eine Meldung noch am selben Tag unterstützt. Die grundlegenden Anforderungen des Cyber Resilience Act gehen noch weiter: Sie verlangen unter anderem eine angemessene Zugriffskontrolle sowie den Schutz von Authentifizierungsdaten innerhalb des Produkts selbst.
Die Frist im September begünstigt somit Hersteller, die sich rechtzeitig vorbereitet haben, und macht sichtbar, wo entsprechende Vorkehrungen fehlen. Mit der Frist im Dezember 2027 steigen die Anforderungen erneut: Dann müssen diese Erwartungen bereits bei der Entwicklung und Gestaltung des Produkts berücksichtigt sein – also bevor es überhaupt zu einem Sicherheitsvorfall kommt.
Über Keeper Security Inc.
Keeper Security verändert weltweit die Cybersicherheit für Menschen und Organisationen. Die erschwinglichen und benutzerfreundlichen Lösungen von Keeper basieren auf der Grundlage von Zero-Trust- und Zero-Knowledge-Sicherheit, um jeden Benutzer auf jedem Gerät zu schützen. Unsere Privileged-Access-Management-Lösung der nächsten Generation ist in wenigen Minuten einsatzbereit und lässt sich nahtlos in jede Technologieumgebung integrieren, um Sicherheitsverletzungen zu verhindern, Helpdesk-Kosten zu senken und die Compliance zu gewährleisten. Keeper genießt das Vertrauen von Millionen von Einzelnutzern sowie Tausenden von Unternehmen und ist der führende Anbieter von erstklassigem Passwort- und Passkey-Management, Geheimnisverwaltung, privilegiertem Zugriff, sicherem Fernzugriff und verschlüsseltem Messaging.
Kontakt
Keeper Security Inc.
Anne Cutler
820 W Jackson Blvd Ste 400
60607 Chicago
001 872 401 6721
http://www.keeper.com
- CRA (Wikipedia)
CRA steht für: California Republican Assembly Canada Revenue Agency Carry-Ripple-Addierer Clinical Research Associate, siehe Klinischer Monitor Community Reinvestment Act Contingent Reserve Arrangement der BRICS-Staaten Coordination de la Résistance Armée, ein Zusammenschluss paramilitärischer Organisationen in Niger Flughafen Craiova, rumänischer Verkehrsflughafen (IATA-Code) Credit Rating Agency, siehe Ratingagentur Creu Roja Andorrana, siehe Andorranisches Rotes Kreuz Cronos Airlines, eine Fluggesellschaft in Äquatorialguinea (ICAO-Code) Cyber Resilience Act, deutsch Cyberresilienz-Verordnung (CRV) der Europäischen Union Powiat Radziejowski in der Woiwodschaft Kujawien-Pommern, Polen (Kfz-Kennzeichen) CrA steht für: das Sternbild Südliche Krone in der Nomenklatur der Fixsterne CR-A steht für: Provinz Alajuela, ISO-3166-2-Code der Provinz in Costa Rica Crá steht für: Crá, Originaltitel der irischen Miniserie Boglands – Die Tote im Moor von 2024 - Cybersecurity (Wikipedia)
Informationssicherheit ist ein Zustand von technischen oder nicht-technischen Systemen zur Informationsverarbeitung und -speicherung, der die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen soll. Informationssicherheit dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit im Rahmen des IT-Sicherheitsmanagements unter anderem an der internationalen ISO/IEC-27000-Reihe oder dem US-System der System and Organization Controls (SOC). Im deutschsprachigen Raum ist ein Vorgehen nach IT-Grundschutz verbreitet. Im Bereich der Evaluierung und Zertifizierung von IT-Produkten und -systemen findet die Norm ISO/IEC 15408 (Common Criteria) häufig Anwendung. Die Normenreihe IEC 62443 befasst sich mit der Informationssicherheit von „Industrial Automation and Control Systems“ (IACS) und verfolgt dabei einen ganzheitlichen Ansatz für Betreiber, Integratoren und Hersteller. Die Umsetzung aus der Cyberresilienz-Verordnung schafft dabei auch Sicherheit auf Hardwareebene und schützt dadurch auch die Betreiber von Anlagen und Maschinen, indirekt auch die Verbraucher. - EU (Wikipedia)
Die Europäische Union, kurz EU, ist ein Staatenverbund aus 27 Staaten, davon 26 in Europa und mit Zypern einem geographisch in Asien liegenden Land. Zur EU gehören geographisch zudem einige Überseegebiete außerhalb des Kontinents. Sie hat insgesamt etwa 450 Millionen Einwohner. Die verbreitetsten Sprachen in der EU sind Deutsch und Französisch unter den Muttersprachen und Englisch als Zweit- oder Fremdsprache. Die EU ist supranational organisiert und stellt eine eigenständige Rechtspersönlichkeit dar, weshalb sie Einsichts- und Rederecht bei den Vereinten Nationen hat. Das politische System der EU, das sich im Zuge der europäischen Integration herausgebildet hat, basiert auf dem Vertrag über die Europäische Union und dem Vertrag über die Arbeitsweise der Europäischen Union. Es enthält sowohl überstaatliche als auch zwischenstaatliche Elemente. Während im Europäischen Rat und im Rat der Europäischen Union die einzelnen Staaten mit ihren Regierungen vertreten sind, repräsentiert das Europäische Parlament bei der Rechtsetzung der EU unmittelbar die Unionsbürger. Die Europäische Kommission als Exekutivorgan und der EU-Gerichtshof als Rechtsprechungsinstanz sind ebenfalls überstaatliche Einrichtungen. Die Anfänge der EU gehen auf die 1950er-Jahre zurück, als zunächst sechs Staaten die Europäische Gemeinschaft für Kohle und Stahl (EGKS) gründeten. Eine gezielte wirtschaftliche Verflechtung sollte militärische Konflikte für die Zukunft verhindern und durch den größeren Markt das Wirtschaftswachstum beschleunigen und damit den Wohlstand der Bürger steigern. Im Lauf der folgenden Jahrzehnte traten in mehreren Erweiterungsrunden weitere Staaten den Gemeinschaften (EG) bei. Ab 1985 wurden mit dem Schengener Übereinkommen die Binnengrenzen zwischen den Mitgliedstaaten geöffnet. Nach der Öffnung des Eisernen Vorhangs 1989 folgten mehrere Erweiterungen im Osten des Kontinents. Mit dem Vertrag von Maastricht wurde 1992 die Europäische Union gegründet, die damit Zuständigkeiten in neuen Politikbereichen bekam. In mehreren Reformverträgen, zuletzt im Vertrag von Lissabon von 2007, wurden die überstaatlichen Zuständigkeiten der EU ausgebaut und die demokratische Verankerung der … - Meldepflicht (Wikipedia)
Eine Meldepflicht ist der in der Regel durch Gesetz begründete Zwang, bestimmte Sachverhalte an Behörden (Meldestellen) des Staates zu melden. - Passwortsicherheit (Wikipedia)
Ein Passwort oder Kennwort ist eine geheime Zeichenfolge, die zur Zutritts-, Zugangs- oder Zugriffskontrolle eingesetzt wird. In der Informationssicherheit werden Passwörter zur Authentifizierung von Personen oder IT-Systemen genutzt.
