Wenn am 11. September die Meldepflicht von Schwachstellen vernetzter Geräte greift, stehen etliche Unternehmen „blank“ da. Das ist die Einschätzung von Matthias Springer, Senior Vice President Functional Safety & Security bei TÜV NORD. Ab diesem Datum müssen alle Unternehmen entdeckte Schwachstellen ihrer vernetzten Produkte innerhalb von 24 Stunden an eine zentrale Stelle melden und Lösungen zum Beheben dieser anbieten. Tun sie das nicht, riskieren sie erhebliche Strafen. Diese Haftungsrisiken können Unternehmen deutlich reduzieren, wenn sie ihre Krisenmanagement-Prozesse durch ein Assessment haben prüfen lassen: Es spielt den Prozess durch und erkennt kritische Pfade oder Abweichungen und leitet so Verbesserungen ab.
Hersteller konnten bislang in eigener Verantwortung bei entdeckten Schwachstellen ihrer Produkte tätig werden, ohne dass sie Fristen dafür einhalten mussten. Künftig müssen sie innerhalb von 24 Stunden reagieren und den Fall an die Agentur der Europäischen Union für Cybersicherheit (ENISA) melden. Die Behörde sammelt die Meldungen und veröffentlicht sie. Diese Listeneinträge werden allerdings nicht gelöscht; einmal veröffentliche Schwachstellen bleiben dort für alle sichtbar. So sehen es die Regeln des Cyber Resilience Act vor, die ab dem 11. September 2026 gelten. Das kann zu einem Reputationsverlust führen, wenn ein Unternehmen dort häufig gelistet ist.
Genau hier kommen Dienstleister wie TÜV NORD ins Spiel: Sie können die festgelegten Prozesse bewerten, also prüfen, ob die Verantwortlichkeiten eindeutig geregelt sind, ob das Ressourcenmanagement stimmt, ob das prozessuale Vorgehen als solches schlüssig ist. Etwa 70 Spezialisten arbeiten bei TÜV NORD in diesem Themenfeld, davon über 40 in Deutschland.
