Ab 11. September läuft die Uhr. Und zwar 24 Stunden.
- Kunde
- anonymisiert
- Branche
- Maschinen- und Anlagenbau, DACH
- Zeitraum
- April bis September 2026
- Rahmen
- Verordnung (EU) 2024/2847, Orientierung an IEC 62443
Ausgangslage
Wer vernetzte Produkte in Verkehr bringt, fällt unter den Cyber Resilience Act. Ab 11. September 2026 gelten die Meldepflichten aus Artikel 14: aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle sind gleichzeitig an das zuständige CSIRT und an die ENISA zu melden — gestaffelt, mit sehr kurzen Fristen.
- 24 h Frühwarnung an CSIRT und ENISA über die Single Reporting Platform
- 72 h Detaillierte Meldung: betroffenes Produkt, Art der Ausnutzung, ergriffene Maßnahmen
- 14 Tage Abschlussbericht nach Verfügbarkeit der Korrektur; bei Sicherheitsvorfällen ein Monat
Vorgehen
Zuerst eine Gap-Analyse gegen die Anforderungen der Verordnung: Welche Produkte sind betroffen, was fehlt an Strukturen, Prozessen und Nachweisen. Darauf ein Cyber-Risk-Assessment an einem realen Anlagenprojekt statt an einem Musterbeispiel — Risiken, Auswirkungen, Maßnahmen, dokumentiert und wiederholbar. Aus den Lücken wurde ein Maßnahmenplan mit Verantwortlichkeiten und Terminen.
Meldefähig in 24 Stunden
Aufbau eines Incident-Response-Teams mit benannten Rollen, Erreichbarkeit und Entscheidungsbefugnis — plus der Prozess dahinter: von der eingehenden Meldung über die Bewertung bis zur fristgerechten Meldung. Die Vorbewertung, ob eine Meldung überhaupt relevant ist, lässt sich KI-gestützt abbilden — rund um die Uhr, ohne Bereitschaftsdienst am Erstkontakt.
Sicherheit in der Entwicklung
SecDev und SecDevOps: Sicherheitsanforderungen aus dem Risk Assessment wandern in die Entwicklung, Abhängigkeiten und Lieferkette werden nachvollziehbar, Schwachstellenmanagement läuft über den gesamten Supportzeitraum statt bis zur Auslieferung.
Der Ernstfall, einmal geprobt
Zum Abschluss ein Planspiel: eine aktiv ausgenutzte Schwachstelle, gemeldet an einem Freitagnachmittag. Genau dort zeigt sich, was ein Prozess auf Papier nicht zeigt — wer erreichbar ist, wer entscheiden darf, wann die Uhr zu laufen beginnt und wie mit Kunden kommuniziert wird, solange noch keine Korrektur verfügbar ist. Die Lücken aus dem Planspiel sind in den Prozess zurückgeflossen, bevor sie im Ernstfall aufgefallen wären.
Ob eine eingehende Meldung überhaupt relevant ist, kann heute KI vorbewerten — rund um die Uhr, ohne Bereitschaftsdienst. Reagieren muss trotzdem das Team: Entscheiden, melden, korrigieren bleibt bei Menschen mit Befugnis.