Seit dem 11. September 2026 gelten für Hersteller CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Entscheidend ist ein belastbarer Prozess ab Kenntniserlangung – von Triage und Frühwarnung bis zu Abschlussbericht, Nachweisführung und SRP-Übermittlung.
Der LiteLLM-Vorfall zeigt, wie ein offengelegtes, nicht widerrufenes Secret zur Übernahme einer Release-Kette führen kann. Entscheidend sind getrennte Release-Identitäten, kontrollierte CI/CD-Workflows, überprüfbare Artefakt-Provenance und ein Incident-Runbook für bereits verteilte Pakete und Images.
Nach dem ersten Meldejahr wird DORA zum dauerhaften Steuerungs- und Prüfungsthema. Incident-Daten, Audit-Follow-up und die laufende Kontrolle von IKT-Drittdienstleistern müssen zu einer belastbaren Resilienzsteuerung verbunden werden.
Seit dem 11. September 2026 gelten die vorgezogenen CRA-Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Entscheidend ist ein belastbarer Prozess ab Kenntniserlangung – von der Triage über die SRP-Meldung bis zur Nutzerinformation.
Die ENISA Threat Landscape 2026 legt nahe, Sicherheitsprogramme entlang wiederkehrender Eintrittswege und kritischer digitaler Abhängigkeiten zu priorisieren. Entscheidend sind Identitätsschutz, Lieferkettensteuerung sowie belastbare Wiederanlauf- und Krisenprozesse.
CRA-Meldungen beginnen nicht mit jeder neuen CVE oder jedem Lieferantenhinweis. Entscheidend sind eine belastbare Triage, der dokumentierte Kenntniszeitpunkt sowie der Produkt-, Versions- und Komponentenbezug.
MSPs und MSSPs verbinden Kunden mit Cloud-, Software- und weiteren Lieferanten. Belastbare Verträge machen Sicherheitsleistungen, Nachweise, Unterauftragnehmer und Incident-Schnittstellen überprüfbar.
Die finale ESA-Q&A konkretisiert die Bewertung erfolgreicher, böswilliger und unbefugter Zugriffe bei DORA-Vorfällen. Entscheidend ist eine zweistufige Triage und ein versioniertes Berichtsobjekt, das Klassifikation, Evidenzen, Meldedaten und Abhilfemaßnahmen konsistent verbindet.
DORA und die finalen EBA-Leitlinien behandeln ICT- und Non-ICT-Drittrisiken in unterschiedlichen Regimen. Für gemischte Leistungsbeziehungen benötigen Finanzunternehmen eine belastbare Klassifikation, gemeinsame Datenmodelle und funktionale Exit-Szenarien.
Die ENISA Threat Landscape 2026 zeigt, wie stark Ransomware, Social Engineering und digitale Abhängigkeiten die Leistungserbringung gefährden können. Entscheidend ist eine Steuerung nach kritischen Geschäftsservices – einschließlich ihrer Identitäts-, Cloud-, Software- und Dienstleisterabhängigkeiten.