Die EU-Kommission hat praktische Leitlinien zum Cyber Resilience Act veröffentlicht. Keeper-Security-CEO Darren Guccione ordnet ein, warum die Sorgfaltspflicht gegenüber Drittanbietern zur zentralen Compliance-Herausforderung wird.
Die Europäische Kommission hat praktische Leitlinien zum Cyber Resilience Act (CRA) veröffentlicht, die Herstellern, Softwareanbietern und Unternehmen jeder Größe eine klarere Orientierung bei der Umsetzung des EU-Gesetzes zur Cybersicherheit geben sollen. Darren Guccione, CEO und Mitbegründer von Keeper Security, ordnet die neuen Vorgaben in einem Kommentar ein.
Laut Guccione schaffen die Leitlinien Klarheit in mehreren bislang kontrovers diskutierten Punkten. Dazu zählen der Umgang mit Open-Source-Software, die Frage, wann ein Software-Update als „substantial modification“ gilt, sowie die Festlegung von Supportzeiträumen. Zugleich verdeutlichten die Leitlinien einen Aspekt, den betroffene Unternehmen bislang eher zurückhaltend angegangen seien: die Sorgfaltspflicht gegenüber Drittanbietern, Open-Source-Komponenten sowie Abhängigkeiten von Remote-Datenverarbeitung und Cloud-Diensten, die in ein vernetztes Produkt integriert sind. Genau hier liege die eigentliche Compliance-Herausforderung.
Verantwortung endet nicht beim eigenen Code
Nach dem CRA endet die Verantwortung eines Herstellers nicht bei dem Code, den er selbst entwickelt. Sie erstreckt sich laut Guccione auch auf integrierte Komponenten, genutzte Infrastrukturanbieter sowie auf die Maschinenidentitäten und Zugangsdaten, über die Daten zwischen diesen Elementen ausgetauscht werden. Er verweist auf eine Keeper-Studie aus dem Jahr 2026, wonach bereits 25 Prozent der deutschen Unternehmen die unzureichende Kontrolle über den Zugriff von Drittanbietern und Lieferanten als Schwachstelle ihrer Governance benennen.
Die neuen Leitlinien beseitigten diese Lücke nicht, so Guccione, sie setzten jedoch eine verbindliche Frist, bis zu der sie geschlossen werden müsse. So gelten die Meldepflichten für aktiv ausgenutzte Schwachstellen bereits ab dem 11. September 2026 – deutlich vor dem allgemeinen Stichtag für die Einhaltung der CRA-Vorgaben im Dezember 2027.
Der Cyber Resilience Act gilt als eines der bislang umfassendsten EU-Gesetze zur Cybersicherheit. Er verpflichtet Hersteller vernetzter Produkte, Sicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg einzuhalten – von der Entwicklung über die Auslieferung bis zur Wartung. Mit den nun veröffentlichten Leitlinien reagiert die Europäische Kommission auf Rückmeldungen aus der Industrie, die in der praktischen Auslegung des Gesetzestextes bislang erhebliche Unsicherheit gesehen hatte, insbesondere im Umgang mit Software-Lieferketten und quelloffenen Komponenten.
Nicht-menschliche Identitäten als Compliance-Faktor
Unternehmen, die sich auf diesen Zeitplan vorbereiten, sollten Transparenz über nicht-menschliche Identitäten und Geheimnisse – also API-Schlüssel, Tokens und Servicekonten, die ein Produkt mit seinen Abhängigkeiten verbinden – nach Ansicht Gucciones nicht als technische Randfrage betrachten, sondern als zentralen Bestandteil ihrer Compliance-Infrastruktur. Die zentrale Verwaltung dieser Zugangsdaten über Entwicklungs- und Integrationsprozesse hinweg ermögliche es Herstellern erst, die von den Leitlinien geforderte Sorgfalt nachzuweisen. Wer erst 2027 mit dem Aufbau dieser Transparenz beginne, laufe Gefahr, die bereits im September 2026 geltenden Meldepflichten nicht erfüllen zu können.
Für Unternehmen, die dem Anwendungsbereich des CRA unterliegen, verkürzt sich damit der praktisch verfügbare Vorbereitungszeitraum erheblich: Wer die Meldepflicht ab September 2026 erfüllen will, muss die entsprechenden Prozesse und Systeme bereits deutlich vor dem allgemeinen Compliance-Stichtag im Dezember 2027 aufgebaut haben.
Keeper Security ist nach eigenen Angaben ein Anbieter von Zero-Trust- und Zero-Knowledge-Lösungen für Identitätssicherheit. Die Plattform KeeperPAM bündelt laut Unternehmensangaben Passwort- und Passkeymanagement, Geheimnisverwaltung, privilegiertes Sitzungsmanagement und Endpoint Privilege Management. Die Zusatzfunktion KeeperAI soll KI-basierte Bedrohungserkennung für privilegierte Sitzungen bereitstellen.
Die Meldepflichten für aktiv ausgenutzte Schwachstellen greifen bereits ab dem 11. September 2026 – über ein Jahr vor dem allgemeinen CRA-Stichtag im Dezember 2027. Unternehmen, die ihre Transparenz über Drittanbieter, Open-Source-Komponenten und nicht-menschliche Identitäten nicht rechtzeitig herstellen, laufen Gefahr, diese Frist zu verfehlen.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de