Seit heute gilt die erste Stufe des europäischen Cyber Resilience Act. Wer ein vernetztes Produkt herstellt und in die EU liefert, muss eine aktiv ausgenutzte Schwachstelle innerhalb von 24 Stunden melden. Danach folgen 72 Stunden für die ausführliche Meldung und 14 Tage für den Abschlussbericht, gerechnet ab dem Moment, in dem eine Korrektur bereitsteht.
Wen das betrifft und wen nicht, haben wir Ende August in zwei Fragen geklärt — die meisten Schweizer KMU sind nicht gemeint. Wer dort zweimal Nein angekreuzt hat, kann auch diesen Beitrag überspringen.
Für alle anderen ist heute etwas Bemerkenswertes passiert.
Die Meldestelle öffnet am Tag der Pflicht
Gemeldet wird über eine zentrale europäische Plattform, die Single Reporting Platform der EU-Agentur ENISA. Sie soll ab dem 11. September in Betrieb sein.
Also ab heute. Demselben Tag, an dem die Pflicht beginnt.
Anfang September war sie noch nicht erreichbar, und es gab nicht einmal eine veröffentlichte Adresse. Fachpublikationen haben das unabhängig voneinander festgehalten; eine überschrieb es sinngemäss mit «Das Meldeportal startet an dem Tag, an dem es Pflicht wird».
Das heisst: Niemand, der ab heute meldepflichtig ist, konnte den Weg vorher ausprobieren. Kein Testlauf, kein Blick auf das Formular, keine Möglichkeit, vorher zu klären, welche Angaben verlangt werden.
Und es gibt keine Schnittstelle
Der zweite Punkt wiegt schwerer und steht in den Antworten der Agentur selbst: Die Plattform bietet zum Start keine Programmierschnittstelle.
Alle Pflichtmeldungen laufen über das Webformular. Von Hand. Es gibt keine Möglichkeit, die Meldung aus dem eigenen Fehlerverfolgungssystem heraus abzusetzen oder sie zu automatisieren.
Für ein grosses Unternehmen mit einem Bereitschaftsdienst ist das umständlich. Für einen Betrieb mit zwölf Leuten, der nebenbei ein vernetztes Gerät verkauft, ist es die entscheidende Nachricht.
Warum das die Frist verändert
Vierundzwanzig Stunden klingen nach viel. Sie sind es nicht, wenn man sich ansieht, was in dieser Zeit passieren muss:
jemand bemerkt, dass eine Luecke ausgenutzt wird
diese Person erreicht die zustaendige Person im Betrieb
jemand entscheidet, dass es meldepflichtig ist
jemand fuellt ein Formular aus, das er noch nie gesehen hat
und schickt es ab
Fünf Schritte, und keiner davon lässt sich automatisieren. Jeder hängt daran, dass ein Mensch erreichbar ist und weiss, was zu tun ist.
Damit ist die Frage, die vor dem Stichtag zu beantworten gewesen wäre, keine technische. Sie lautet: Wer macht das am Sonntagabend?
Dieselbe Frage haben wir Ende August gestellt. Sie ist seither nicht kleiner geworden — sie ist konkreter geworden, weil jetzt feststeht, dass niemand die Arbeit abnehmen kann.
Was jetzt noch zu tun ist
Falls Sie betroffen sind und bisher nichts vorbereitet haben, sind das die drei Dinge, die heute noch gehen:
Eine Person benennen, die meldet. Mit Namen, nicht mit Funktion. Und eine Vertretung. Wenn beide gleichzeitig in den Ferien sind, ist das eine Lücke, die man kennen sollte.
Die Angaben vorbereiten, die sicher verlangt werden. Produktbezeichnung, Version, Hersteller, Kontaktweg, Beschreibung der Lücke, betroffene Stückzahl oder Verbreitung. Wer das einmal in einem Dokument sammelt, spart im Ernstfall die halbe Frist.
Den eigenen Meldeweg klären. Wie erfahren Sie überhaupt, dass jemand eine Lücke in Ihrem Produkt gefunden hat? Wenn es dafür keine Adresse auf der Website gibt, erfahren Sie es zuletzt — und die 24 Stunden laufen ab Kenntnis, nicht ab dem Zeitpunkt, an dem es Ihnen jemand zufällig erzählt.
Ein Wort zur Einordnung
Es wäre einfach, daraus eine Behördenschelte zu machen. Das greift zu kurz.
Die Frist ist sachlich begründet: Eine ausgenutzte Lücke betrifft alle, die dasselbe Produkt einsetzen, und je später sie davon erfahren, desto länger stehen sie offen. Dass die Plattform knapp wird, ändert daran nichts.
Was sich ändert, ist die Vorbereitung. Wer auf eine Schnittstelle gewartet hat, um die Meldung in seine Abläufe einzubauen, wartet weiter — und muss in der Zwischenzeit den Weg von Hand gangbar halten. Das ist keine grosse Sache, aber es ist eine, die man einmal aufschreiben sollte, bevor man sie braucht.