Schwachstellenmanagement wird für vernetzte Produkte zur Pflicht

Wenn am 11. September die Meldepflicht von Schwachstellen vernetzter Geräte greift, stehen etliche Unternehmen „blank“ da. Das ist die Einschätzung von Matthias Springer, Senior Vice President Functional Safety & Security bei TÜV NORD. Ab diesem Datum müssen alle Unternehmen entdeckte Schwachstellen ihrer vernetzten Produkte innerhalb von 24 Stunden an eine zentrale Stelle melden und Lösungen zum Beheben dieser anbieten. Tun sie das nicht, riskieren sie erhebliche Strafen. Diese Haftungsrisiken können Unternehmen deutlich reduzieren, wenn sie ihre Krisenmanagement-Prozesse durch ein Assessment haben prüfen lassen: Es spielt den Prozess durch und erkennt kritische Pfade oder Abweichungen und leitet so Verbesserungen ab.

Ob Fahrradcomputer mit Bluetooth-Schnittstelle, Staubsauger oder Maschine in der Produktion: Hersteller konnten bislang in eigener Verantwortung bei entdeckten Schwachstellen ihrer Produkte tätig werden, ohne dass sie Fristen dafür einhalten mussten. Künftig müssen sie innerhalb von 24 Stunden reagieren und den Fall an die Agentur der Europäischen Union für Cybersicherheit (ENISA) melden. Die Behörde sammelt die Meldungen und veröffentlicht sie. Diese Listeneinträge werden allerdings nicht gelöscht; einmal veröffentliche Schwachstellen bleiben dort für alle sichtbar. So sehen es die Regeln des Cyber Resilience Act vor, die ab dem 11. September 2026 gelten. Das kann zu einem Reputationsverlust führen, wenn ein Unternehmen dort häufig gelistet ist.

Hersteller müssen der ENISA von Schwachstellen betroffene Produkte benennen, die Art der Schwachstelle, die Schwere einordnen und Lösungen zur Behebung des Problems anbieten. Tun sie das nicht, riskieren sie empfindliche Geldbußen. Die Herausforderung ist, dass die Meldung auch für zugekaufte Komponenten oder zugekaufte Software gilt, so Springer. Folge: Unternehmen brauchen eine Koordinationsfunktion, die Schwachstellenmanagement betreibt. Auf der sicheren Seite sind die Unternehmen, die Prozesse aufgesetzt haben, die im Krisenfall abgearbeitet werden. Idealerweise verfügen sie schon über ein zertifiziertes Managementsystem nach ISO/IEC 27001 oder IEC 62443-4-1, die eine sehr gute Grundlage für das Schwachstellenmanagement sind. Für dieses gibt es allerdings keine eigene Norm, was die Sache schwierig macht für Hersteller, insbesondere vor dem Hintergrund, dass die Prozesse am 11. September „stehen“ müssen.

Genau hier kommen Dienstleister wie TÜV NORD ins Spiel: Sie können die festgelegten Prozesse bewerten, also prüfen, ob die Verantwortlichkeiten eindeutig geregelt sind, ob das Ressourcenmanagement stimmt, ob das prozessuale Vorgehen als solches schlüssig ist. „Unser Assessment analysiert genau diese Prozesse und Schnittstellen“, so Springer. „Das Thema Cybersicherheit betrachten wir schon seit den 90er-Jahren, wir zertifizieren schon fast zehn Jahre nach der IEC 62443-Reihe.“ Etwa 70 Spezialisten arbeiten bei TÜV NORD in diesem Themenfeld, davon über 40 in Deutschland. Bei einem Assessment werden alle Prozesse und zugehörigen Dokumente analysiert. Daraus werden im abschließenden technischen Bericht gegebenenfalls Verbesserungsmöglichkeiten abgeleitet. So erhalten Hersteller einen Nachweis darüber, dass der aufgesetzte Prozess zuverlässig und konform funktioniert. Allerdings mögen unterschiedliche Anbieter derartiger Assessments unterschiedliche Schwerpunkte setzen. „Wir bei TÜV NORD warten auf die Veröffentlichung der harmonisierten Norm und arbeiten so lange nach den Standards, die von der ENISA als vorgesehene harmonisierte Standards veröffentlicht werden sollen. So sind wir ganz nah am State-of-the-Art.“