CRA Cyber Resilience Act: Überfordert die 24-Stunden-Meldepflicht Unternehmen?
Seit dem 11. September gilt die 24-Stunden-Meldepflicht für IT-Sicherheitslücken und Cybervorfälle. Auch wenn dies schon lang bekannt war, so wird noch nimmer heftig diskutiert, wie praktikabel eine solche Frist ist.
Zusammenfassung (TL; DR):
- Die neue 24-Stunden-Meldepflicht des CRA für Cybervorfälle ist zwar machbar, da die Frist erst ab der tatsächlichen Kenntnisnahme läuft. Sie wirft jedoch in der Praxis schwierige Fragen zur genauen Protokollierung dieses Zeitpunkts auf.
- Das hohe Aufkommen an Sicherheitsmeldungen und der Einsatz autonomer KI-Workflows, die Probleme im Hintergrund selbstständig lösen, erschweren es Unternehmen zusätzlich, den Überblick zu behalten.
- Obwohl die Rechenschaftspflicht und drohende Sanktionen für mehr Sicherheit sorgen sollen, bleibt die Datenbasis nach nur 24 Stunden oft lückenhaft, da selbst spezialisierte KI-Unternehmen Tage oder Wochen für eine vollständige Ursachenanalyse benötigen
Wann beginnt er Zeitmesser zu laufen?
Die 24-Stunden-Frist ist machbar, wenn man bedenkt, wann der Zeitmesser tatsächlich zu laufen beginnt: nämlich erst, nachdem man Kenntnis von einem Vorfall erlangt hat. Kompliziert ist die Frage, „wann man davon wusste“. Denn das Bewusstsein für einen Vorfall hängt davon ab, wie man den Kommunikationsfluss im Rahmen des Erkennungsprozesses protokolliert und nachverfolgt. Ein Vorfall könnte zwar seit vier Tagen entdeckt sein, doch erst an Tag 5 hat man festgestellt, dass es sich um eine Bedrohung handelt – wenn auch noch nicht um einen bestätigten Angriff.
In der heutigen Cybersicherheitsbranche herrscht viel Rauschen – unzählige Meldungen und Störfaktoren, selbst angesichts der Bemühungen, Abläufe durch KI zu optimieren und Cyber-Operationen zu beschleunigen. Dies wirft eine weitere Frage auf: Was passiert bei der Nutzung vollautonomer KI-Workflows? Ein KI-Agent könnte bereits an der Lösung des Problems arbeiten, ohne dass man davon erfährt, bis die Risikominderung bereits abgeschlossen ist.
Rechenschaftspflicht und Berichtswesen für alle Beteiligten
Ich bin fest davon überzeugt, dass Rechenschaftspflicht und Berichtswesen für alle Beteiligten von Vorteil sind. Das gilt insbesondere dann, wenn es um den sicheren Austausch von Informationen geht, um großflächige Probleme zu verhindern. Auch Sanktionen als Durchsetzungsmechanismus sind sinnvoll, um Unternehmen zur Einhaltung dieser Vorgaben zu bewegen. Allerdings ist zu erwarten, dass der Informationsstand nach nur 24 Stunden noch sehr lückenhaft ist; es dauert Tage oder gar Wochen, um sich ein vollständiges Bild zu machen. Selbst KI-Unternehmen benötigten Tage für eine umfassende Analyse von KI-Angriffsvektoren und um die Vorgänge in ihrer eigenen Umgebung vollständig zu verstehen – und das, obwohl ihnen die volle KI-Funktionalität zur Verfügung stand.
Häufige Fragen (FAQ)
Die Frist des CRA startet erst in dem Moment, in dem ein Unternehmen tatsächliche Kenntnis von einem Vorfall erlangt, und nicht schon zum Zeitpunkt des eigentlichen Angriffs. Die Herausforderung liegt jedoch darin, diesen exakten Moment der Erkenntnis im internen Kommunikationsfluss sauber zu protokollieren.
Vollautonome KI-Workflows können Sicherheitslücken im Hintergrund bereits selbstständig beheben, ohne dass die Verantwortlichen sofort davon erfahren. Zudem erzeugt die Technik oft zu viele irrelevante Warnungen („Rauschen“), was das Erkennen des echten Startzeitpunkts verzögert.
Die ersten Berichte sind oft sehr lückenhaft und unvollständig, da eine umfassende Analyse von Cyberattacken meist Tage oder Wochen dauert. Selbst spezialisierte KI-Unternehmen mit modernster Technik benötigen deutlich mehr als 24 Stunden, um die genauen Ursachen und Vektoren eines Angriffs vollständig zu verstehen.
