Was dabei in der Praxis unterschätzt wird ist nicht die Frist selbst. Es ist der Startpunkt.
24 Stunden. 72 Stunden. 14 Tage.
Das sind keine Fristen aus einem internen Qualitätshandbuch. Das sind die gesetzlichen Meldefristen des Cyber Resilience Act für den Fall dass eine Schwachstelle in einem digitalen Produkt aktiv ausgenutzt wird.
Vierundzwanzig Stunden für die Frühwarnung an ENISA und das nationale CERT. Zweiundsiebzig Stunden für die detaillierte Meldung mit technischen Informationen und ergriffenen Maßnahmen. Vierzehn Tage nach Verfügbarkeit einer Korrekturmaßnahme für den Abschlussbericht.
Was dabei in der Praxis unterschätzt wird ist nicht die Frist selbst. Es ist der Startpunkt.
Die Uhr beginnt nicht wenn jemand entschieden hat dass ein Vorfall meldepflichtig ist. Sie beginnt mit der Kenntnisnahme. Das klingt simpel. Es ist es nicht. Wer keinen strukturierten Prozess hat der einen Vorfall erkennt klassifiziert und innerhalb von Stunden die richtigen Personen informiert steht vor einem Problem das nicht in vierundzwanzig Stunden gelöst werden kann – weil es schon in den ersten vier Stunden verloren geht.
Praxistests zeigen dass die meisten Unternehmen nicht an der Meldung scheitern. Sie scheitern daran zu erkennen dass die Uhr überhaupt zu laufen begonnen hat.
Was diese Fristen für mittelständische Hersteller digitaler Produkte konkret bedeuten ist eine strukturelle Frage. Wer erkennt den Vorfall? Über welchen Kanal wird er intern eskaliert? Wer entscheidet ob die Meldepflicht ausgelöst wird? Wer formuliert die Frühwarnung? Wer hat Zugang zur Meldeplattform? All das muss vorab geklärt sein – nicht weil es bürokratisch ist sondern weil vierundzwanzig Stunden unter Druck sehr kurz sind wenn niemand weiß wer als erstes anruft.
Die gute Nachricht: Ein funktionierender Meldeprozess ist überschaubar. Er braucht keine große IT-Abteilung. Er braucht Klarheit. Wer ist zuständig. Was löst die Pflicht aus. Wer meldet. Wie wird dokumentiert.
Wer diesen Prozess heute aufbaut hat ihn wenn er gebraucht wird. Wer wartet bis ein Vorfall eintritt baut ihn unter den schlechtesten möglichen Bedingungen.
Wenn Sie mehr zum Thema CRA und digitale Resilienz wissen möchten – kurze DM genügt.