|
Die Softwareprodukte der GEO DIGITAL GmbH wurden auch in der Vergangenheit bereits unter dem Aspekt eines
ganzheitlichen Sicherheitsansatzes über den gesamten Produktlebenszyklus entwickelt. Dabei standen langjährig
Konzeptionsgrundsätze wie Security by Design (u.a. Integrität und Vertraulichkeit der verarbeiteten Daten durch
Verschlüsselung, geringstmögliche Angriffsflächen) und Security by Default (u.a. sichere Standardeinstellungen,
Bereitstellung von Sicherheitspatches) stets im Vordergrund unserer Geschäftstätigkeit.
Der EU Cyber Resilience Act (CRA)
ist bereits seit Dezember 2024 in Kraft und die erste europäische Verordnung, die ein Mindestmaß an Cybersicherheit für alle vernetzten Produkte festlegt, die auf dem EU-Markt erhältlich sind. Ziel ist es, die Cybersicherheit innerhalb der Europäischen
Union zu erhöhen. Die neuen Vorschriften gelten in allen EU-Mitgliedstaaten und werden schrittweise umgesetzt. Der CRA ist eine EU-Verordnung (keine Richtlinie) und somit nach Inkrafttreten unmittelbar in allen Mitgliedstaaten, ohne nationale Umsetzung,
gültig. Zielsetzung sind einheitliche Anforderungen im EU-Binnenmarkt und die Vermeidung von Fragmentierung.
Am 11. September 2026 greift die Meldepflicht nach Artikel 14.
Ab diesem Tag müssen Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle mit Auswirkungen auf die Sicherheit von Produkten (z. B. Manipulationsmöglichkeit von Programmcode, kompromittierter Update-Mechanismus) innerhalb enger Fristen an die
Behörden melden. Die Meldepflicht des CRA richtet sich an Hersteller von Produkten mit digitalen Elementen. Darunter fällt sowohl Software als auch vernetzte Hardware, vom industriellen Gateway über die IoT-Komponente bis zur Anwendungssoftware, die in der EU auf den Markt gebracht wird. Weitere Details zu den
Berichtspflichten im Rahmen des Cyberresilienzgesetzes finden Sie auch auf der offiziellen Website der Europäischen Union.
Erläuterung:
Der entscheidende und oft missverstandene Begriff ist "aktiv ausgenutzt". Gemeint ist nicht die theoretische Ausnutzbarkeit einer Schwachstelle, wie sie ein CVSS-Score beschreibt, sondern der Nachweis, dass Angreifer die Lücke real ausnutzen. Es braucht Belege für tatsächliche Angriffe, etwa aus Telemetrie,
aus einer Incident-Analyse oder aus verlässlicher Threat Intelligence. Eine kritische, aber bislang nur potenziell ausnutzbare Schwachstelle fällt für sich genommen nicht unter diese Meldepflicht.
Sie haben eine aktive Sicherheitslücke entdeckt und möchten diese melden? |
Eingereichte Meldungen über aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle werden gesetzeskonform unternehmensintern bewertet und -sofern die Voraussetzungen erfüllt sind- fristgerecht (innerhalb 24 Stunden
nach Kenntniserlangung) über die neue einheitliche Berichtsplattform (SRP) der europäischen IT-Sicherheitsbehörde ENISA gemeldet.
Selbstverständlich gilt dies auch für die von der GEO DIGITAL GmbH im Rahmen des Selbst-Monitoring entdeckte aktive Sicherheitslücken.
Die Meldung erfolgt insgesamt mehrstufig, d.h. binnen 72 Stunden folgt durch die GEO DIGITAL GmbH eine ausführlichere Meldung mit den bis dahin bekannten Details zur Schwachstelle oder zum Vorfall und zu ersten Gegenmaßnahmen.
In der letzten Stufe ist bei Schwachstellen ein Abschlussbericht spätestens 14 Tage nach dem Zeitpunkt fällig, zu dem eine Korrekturmaßnahme, also in der Regel ein Patch, verfügbar ist. Diese Sicherheitspatches werden dem Endanwender
entgeltfrei zur Verfügung gestellt. Bei schwerwiegenden Vorfällen ist der Abschlussbericht innerhalb eines Monats nach der detaillierten Meldung vorzulegen.
Zur Erhöhung der Transparenz werden für externe Hinweisgeber zukünftig alle von der GEO DIGITAL GmbH eingereichten Meldungen hier an dieser Stelle veröffentlicht.
Eine Übersicht bekannt gewordener Schwachstellen aller Hersteller finden Sie übrigens in der von der ENISA aufgebauten European Vulnerability Database.
HINWEIS:
Der EU Cyber Resilience Act (CRA) sieht keine Vergütungen oder Prämien für das Einreichen von Meldungen über aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle vor. Seitens der GEO DIGITAL GmbH werden ebenfalls
keine Vergütungen oder Prämien für das Einreichen von Meldungen über aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle gezahlt.
