Pressemitteilung von Keeper Security Inc.

Ab dem 11. September steht Europas Software-Lieferkette unter einer 24-Stunden Meldefrist

---

---

Ab dem 11. September 2026 gilt für Hersteller von Hardware- und Softwareprodukten, die in der EU verkauft werden, eine 24-Stunden-Frist. Jede aktiv ausgenutzte Schwachstelle und jeder schwerwiegende Sicherheitsvorfall, der ein Produkt mit digitalen Elementen betrifft, muss innerhalb eines Tages sowohl der Agentur der Europäischen Union für Cybersicherheit (ENISA) als auch dem deutschen CERT-Bund gemeldet werden. Das gilt auch für bereits auf dem Markt befindliche Bestandsprodukte. Die vollständige Meldung muss spätestens innerhalb von 72 Stunden über die Single Reporting Platform erfolgen.

Die Meldefrist von 24 Stunden stellt Unternehmen operativ vor eine Herausforderung. Sie setzt voraus, dass ein Unternehmen in Echtzeit weiß, wer wann und mit welchem Berechtigungsniveau mit einem verwundbaren Build interagiert hat. Bei den meisten Herstellern ist diese Voraussetzung nicht erfüllt. Das Schwachstellenmanagement und die CI/CD-Pipelines sind häufig die Bereiche der Software-Lieferkette mit den geringsten Zugriffskontrollen. Sie arbeiten mit gemeinsam genutzten Zugangsdaten, fest hinterlegten Secrets und dauerhaft bestehenden Zugriffsrechten, die niemand regelmäßig überprüft.

In der Keeper-Studie aus dem Jahr 2026 benennen bereits 25 Prozent der deutschen Unternehmen eine eingeschränkte Kontrolle über Zugriffe von Drittanbietern und Dienstleistern als Governance-Lücke. Genau diese Lücke berührt unmittelbar die neue Meldepflicht, denn ein Hersteller kann innerhalb von 24 Stunden keine belastbare Meldung erstellen, wenn er nicht in der Lage ist festzustellen, wer über privilegierte Zugriffsrechte auf die betroffene Komponente verfügte.

Um die Frist in der Praxis einhalten zu können, müssen Unternehmen fest hinterlegte Zugangsdaten aus Build- und DevOps-Pipelines entfernen, die für den Zugriff auf Systeme zur Schwachstellenverwaltung verwendeten Zugangsdaten in einem sicheren Vault verwalten und eine ausreichend detaillierte Audit-Trail-Dokumentation führen, die eine Meldung noch am selben Tag unterstützt. Die grundlegenden Anforderungen des Cyber Resilience Act gehen noch weiter: Sie verlangen unter anderem eine angemessene Zugriffskontrolle sowie den Schutz von Authentifizierungsdaten innerhalb des Produkts selbst.

Die Frist im September begünstigt somit Hersteller, die sich rechtzeitig vorbereitet haben, und macht sichtbar, wo entsprechende Vorkehrungen fehlen. Mit der Frist im Dezember 2027 steigen die Anforderungen erneut: Dann müssen diese Erwartungen bereits bei der Entwicklung und Gestaltung des Produkts berücksichtigt sein – also bevor es überhaupt zu einem Sicherheitsvorfall kommt.

(Die Bildrechte liegen bei dem Verfasser der Mitteilung.) Firmen- & Pressekontakt