Die ersten gesetzlichen Anforderungen des Cyber Resilience Acts (CRA) gelten seit dem 11. September. Daran erinnert der Verband der Elektrotechnik Elektronik Informationstechnik (VDE). „Ab sofort müssen Hersteller Prozesse eingerichtet haben, mit denen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle erkennen, bewerten und fristgerecht melden können“, sagt Alexander Matheus (Bild), Senior Expert Smart Technologies und Information Security beim VDE Institut. Werden die vorgeschriebenen Meldungen nicht fristgerecht abgegeben, drohen Sanktionen durch die Marktaufsichtsbehörden. Der CRA sieht Bußgelder von bis zu 15Mio.€ oder 2,5% des weltweiten Jahresumsatzes vor.
„Gemeldet werden müssen aktiv ausgenutzte Sicherheitslücken sowie schwerwiegende Sicherheitsvorfälle, die die Sicherheit eines Produkts mit digitalen Elementen beeinträchtigen“, erklärt Matheus. „Die Fristen sind dabei sehr kurz. Unternehmen müssen innerhalb enger Zeitfenster reagieren und entsprechende Meldungen an die zuständigen Stellen übermitteln. Deshalb sind klare Prozesse und Verantwortlichkeiten entscheidend.“
