Cyber Resilience Act
Alle 6 isidaten-Artikel zum Thema Cyber Resilience Act, die neuesten zuerst.
Wer eine Lücke findet, braucht eine Adresse
Eine Sicherheitsforscherin findet eine Schwachstelle in Ihrem Produkt und sucht einen Kontakt. Sie findet das Impressum, info@ und einen Chatbot. Der Cyber Resilience Act verlangt ab Dezember 2027 eine Kontaktadresse für Schwachstellenmeldungen und ein Konzept zur koordinierten Offenlegung. Die security.txt nach RFC 9116 ist der Ort, an dem Forscher zuerst nachsehen, und sie veraltet still.
Weiterlesen
Die zweite Stückliste
Die Software-Stückliste kennt inzwischen jeder, der Cyber Resilience Act verlangt sie. Die zweite Stückliste kennt kaum jemand: Welche kryptografischen Verfahren laufen wo? Seit 2024 gibt es dafür ein Format, und in isidaten drei Wege, sie zu füllen.
Weiterlesen
Bestandsschutz endet beim Melden
Für den Cyber Resilience Act kennen alle den 11. Dezember 2027. Der Termin, der zählt, ist der 11. September 2026. An diesem Tag beginnen die Meldepflichten der Hersteller. Und anders als der Rest der Verordnung kennen sie keinen Bestandsschutz.
Weiterlesen
Alt heißt nicht ausgenommen
Der Cyber Resilience Act gilt ab Dezember 2027, und Bestandsprodukte sind bis dahin geschont. Für die Meldepflicht ab dem 11. September gilt genau das nicht: Ein eigener Absatz nimmt die Schonung ausdrücklich zurück.
Weiterlesen
Unverbindlich, aber maschinenlesbar
Das BSI hat die TR-03183-1 in Version 1.0.0 veröffentlicht: eine Einstiegshilfe in den Cyber Resilience Act, ohne Konformitätsvermutung. Der interessanteste Teil steht am Rand: Die Maßnahmenauswahl kommt zusätzlich im maschinenlesbaren Format OSCAL, allerdings nur auf Anfrage.
Weiterlesen
Ausnutzbar ist nicht ausgenutzt
Am 11. September greift die Meldepflicht aus dem Cyber Resilience Act, zwei Jahre bevor die Verordnung vollständig gilt. 24 Stunden ab Kenntnis. Nur: Kenntnis wovon genau? Die Verordnung unterscheidet drei Sorten Schwachstelle, und meldepflichtig ist allein die dritte.
Weiterlesen