Schwachstellenmeldung mit dem umfassenderen Produkt- und Risikomanagement verknüpfen

Die Meldung nach Artikel 14 als eigenständige Pflicht zu behandeln, ist der teuerste Weg, sie zu erfüllen. Die Hersteller, die den CRA gut bewältigen, behandeln eine Meldung als sichtbares Ergebnis eines Programms, das bereits funktioniert, sodass die Meldung zu einem Nebenprodukt guter Governance wird statt zu einer Krisenimprovisation.

Die Meldung hängt von der darunterliegenden Schwachstellenbehandlung nach Artikel 13 ab: dem Offenlegungskanal, an dem die Kenntnis oft zuerst entsteht, dem Behebungsprozess, der die Korrekturmaßnahme hervorbringt, und der Koordination, die aus einer Korrektur eine öffentliche Sicherheitsmeldung macht. Eine gepflegte Software-Stückliste erlaubt es einem Hersteller, betroffene Produkte und Versionen in Minuten zu identifizieren, was für genaue Meldungen und die Nutzerkommunikation unerlässlich ist. Sichere Entwicklung senkt die Rate ausnutzbarer Schwachstellen und macht meldepflichtige Ereignisse von vornherein selten.

Die Marktüberwachung schließt den Kreis, indem sie Signale aus dem Feld zurück in Behandlung und Entwicklung speist, während ein einziger, nur erweiterbarer Prüfpfad den gesamten Lebenszyklus jedes Ereignisses belegt und die Personen schützt, die unter Druck in gutem Glauben gute Entscheidungen getroffen haben. So aufgebaut, ist die Einreichung einer Meldung ein natürlicher Schritt in einem Prozess, den die Organisation bereits betreibt.

Dies ist der letzte Artikel unserer sechsteiligen Serie zur CRA-Meldung.