Ab dem 11. September steht Europas Software-Lieferkette unter einer 24-Stunden Meldefrist

Ein Kommentar von Shane Barney, CISO Keeper Security

Ab dem 11. September 2026 gilt für Hersteller von Hardware- und Softwareprodukten, die in der EU verkauft werden, eine 24-Stunden-Frist. Jede aktiv ausgenutzte Schwachstelle und jeder schwerwiegende Sicherheitsvorfall, der ein Produkt mit digitalen Elementen betrifft, muss innerhalb eines Tages sowohl der Agentur der Europäischen Union für Cybersicherheit (ENISA) als auch dem deutschen CERT-Bund gemeldet werden. Das gilt auch für bereits auf dem Markt befindliche Bestandsprodukte. Die vollständige Meldung muss spätestens innerhalb von 72 Stunden über die Single Reporting Platform erfolgen.

Die Meldefrist von 24 Stunden stellt Unternehmen operativ vor eine Herausforderung. Sie setzt voraus, dass ein Unternehmen in Echtzeit weiß, wer wann und mit welchem Berechtigungsniveau mit einem verwundbaren Build interagiert hat. Bei den meisten Herstellern ist diese Voraussetzung nicht erfüllt. Das Schwachstellenmanagement und die CI/CD-Pipelines sind häufig die Bereiche der Software-Lieferkette mit den geringsten Zugriffskontrollen. Sie arbeiten mit gemeinsam genutzten Zugangsdaten, fest hinterlegten Secrets und dauerhaft bestehenden Zugriffsrechten, die niemand regelmäßig überprüft.

In der Keeper-Studie aus dem Jahr 2026 benennen bereits 25 Prozent der deutschen Unternehmen eine eingeschränkte Kontrolle über Zugriffe von Drittanbietern und Dienstleistern als Governance-Lücke. Genau diese Lücke berührt unmittelbar die neue Meldepflicht, denn ein Hersteller kann innerhalb von 24 Stunden keine belastbare Meldung erstellen, wenn er nicht in der Lage ist festzustellen, wer über privilegierte Zugriffsrechte auf die betroffene Komponente verfügte.

Um die Frist in der Praxis einhalten zu können, müssen Unternehmen fest hinterlegte Zugangsdaten aus Build- und DevOps-Pipelines entfernen, die für den Zugriff auf Systeme zur Schwachstellenverwaltung verwendeten Zugangsdaten in einem sicheren Vault verwalten und eine ausreichend detaillierte Audit-Trail-Dokumentation führen, die eine Meldung noch am selben Tag unterstützt. Die grundlegenden Anforderungen des Cyber Resilience Act gehen noch weiter: Sie verlangen unter anderem eine angemessene Zugriffskontrolle sowie den Schutz von Authentifizierungsdaten innerhalb des Produkts selbst.

Die Frist im September begünstigt somit Hersteller, die sich rechtzeitig vorbereitet haben, und macht sichtbar, wo entsprechende Vorkehrungen fehlen. Mit der Frist im Dezember 2027 steigen die Anforderungen erneut: Dann müssen diese Erwartungen bereits bei der Entwicklung und Gestaltung des Produkts berücksichtigt sein – also bevor es überhaupt zu einem Sicherheitsvorfall kommt.

Über Keeper Security Inc.
Keeper Security verändert weltweit die Cybersicherheit für Menschen und Organisationen. Die erschwinglichen und benutzerfreundlichen Lösungen von Keeper basieren auf der Grundlage von Zero-Trust- und Zero-Knowledge-Sicherheit, um jeden Benutzer auf jedem Gerät zu schützen. Unsere Privileged-Access-Management-Lösung der nächsten Generation ist in wenigen Minuten einsatzbereit und lässt sich nahtlos in jede Technologieumgebung integrieren, um Sicherheitsverletzungen zu verhindern, Helpdesk-Kosten zu senken und die Compliance zu gewährleisten. Keeper genießt das Vertrauen von Millionen von Einzelnutzern sowie Tausenden von Unternehmen und ist der führende Anbieter von erstklassigem Passwort- und Passkey-Management, Geheimnisverwaltung, privilegiertem Zugriff, sicherem Fernzugriff und verschlüsseltem Messaging.

Kontakt
Keeper Security Inc.
Anne Cutler
820 W Jackson Blvd Ste 400
60607 Chicago
001 872 401 6721

http://www.keeper.com

Die Bildrechte liegen bei dem Verfasser der Mitteilung.