Cyber Resilience Act: Technische Vorbereitung für Software-Hersteller
Der Cyber Resilience Act betrifft Produkte mit digitalen Elementen und verschiebt Security stärker in den Produktlebenszyklus. Für Software-Anbieter ist die wichtigste Vorbereitung kein einmaliges Audit, sondern nachvollziehbare Produkt- und Schwachstellenprozesse.
Eine belastbare technische Basis
Produktinventar: Versionen, Komponenten, Abhängigkeiten, unterstützte Plattformen und Verantwortliche müssen bekannt sein.
Secure Development: Reviews, automatisierte Tests, Secrets-Prüfung und klare Freigaben gehören in die Delivery-Pipeline.
Schwachstellenmanagement: Definiere Eingangskanal, Triage, Priorisierung, Behebung, Kommunikation und koordinierte Offenlegung.
Updates: Kunden müssen Sicherheitsupdates zuverlässig erhalten können. Supportzeitraum, Signierung, Rollback und Ende der Unterstützung sind Produktentscheidungen.
SBOM und Abhängigkeiten: Eine Software Bill of Materials schafft Übersicht, ist aber nur nützlich, wenn neue Schwachstellen bewertet und betroffene Versionen ermittelt werden können.
In 60 Tagen starten
Erfasse zuerst Produkte und kritische Abhängigkeiten. Prüfe dann zwei reale Schwachstellen vom Eingang bis zum veröffentlichten Fix. Schließe Prozesslücken, benenne Product Security Ownership und sammle die dabei entstehende Evidenz. Erst danach lohnt sich die breitere Tool-Auswahl.
Der IT-Sicherheits-Check bewertet die betriebliche Basis; für Roadmap und Verantwortungsmodell eignet sich der Technical-Founder-Check.
Primärquelle
Dieser Beitrag ist keine Rechtsberatung. Geltungsbereich und konkrete Pflichten sollten anhand des aktuellen Rechtsstands geprüft werden.