Schwachstellenmanagement: Neue Pflichten ab September

Ab dem 11. September 2026 gelten für Hersteller vernetzter Produkte neue Meldepflichten nach dem Cyber Resilience Act. Entdeckte Schwachstellen müssen innerhalb von 24 Stunden an die Agentur der Europäischen Union für Cybersicherheit (ENISA) gemeldet werden. Betroffen sind auch zugekaufte Komponenten und Software. Bei Verstößen drohen Geldbußen. Laut Matthias Springer von TÜV Nord sind viele Unternehmen noch unzureichend vorbereitet. TÜV Nord bietet Assessments an, die die Prozesse des Schwachstellenmanagements prüfen, Verantwortlichkeiten, Schnittstellen und Dokumente analysieren und Verbesserungen aufzeigen. Bis zur Veröffentlichung einer harmonisierten Norm orientiert sich TÜV Nord an den von der ENISA vorgesehenen Standards. Ein technischer Bericht kann als Nachweis für ein konformes Schwachstellenmanagement dienen.