Das EU-Cyber-Resilienz-Gesetz (CRA) verpflichtet ab dem 11. September 2026 Hersteller von Produkten mit digitalen Komponenten, die in die EU verkauft werden, zu strikten Meldepflichten bei Sicherheitslücken. Unternehmen müssen ENISA innerhalb von 24 Stunden benachrichtigen, sobald sie von aktiv ausgenutzte Sicherheitslücken erfahren, und einen vollständigen Bericht innerhalb von 72 Stunden einreichen. Dies stellt eine erhebliche Herausforderung dar, da die durchschnittliche Behebungszeit für kritische Sicherheitslücken etwa 55 Tage beträgt. Der Artikel unterstreicht die Notwendigkeit robuster Softwarekomponentenlisten (SBOM) und Prozesse zur Schwachstellenbehandlung und vergleicht die Anforderungen mit Herausforderungen, denen sich bereits Open-Source-Maintainer gegenübersehen.

Kernpunkte:

• Die Meldepflichten des EU-Cyber-Resilienz-Gesetzes treten am 11. September 2026 in Kraft.
• Jeder Hersteller mit einem Produkt mit digitalen Komponenten, das in die EU verkauft wird, muss ENISA innerhalb von 24 Stunden benachrichtigen, sobald er erfährt, dass eine Sicherheitslücke in diesem Produkt aktiv ausgenutzt wird, mit einem vollständigen Bericht innerhalb von 72 Stunden.
• Der Teil des Gesetzes, der vorschreibt, wie Produkte gebaut und gewartet werden müssen (technische Anforderungen), beginnt am 11. Dezember 2027 zu gelten.

Quelle: BleepingComputer (Englisch)