#114 CRA & NIS 2: Zusammen Zeit und Aufwand sparen!

Synogien zwischen das 2 und Cyber Resilience Act. Der Security Inside-A podcast. Der Podcast für Security-Profis mit Infos, News und Meinungen rund um IT-Sicherheit. Und hier sind Peter Schmitts und Melanie Staudacher. Hi Peter. Hi Melly. Heute haben wir mal wieder eine Folgezone des 2. Das ist jetzt unsere vierte Folge, oder? Genau. Im Januar hat uns sehr Professor Denise Kenji Kippker einen groben Überblick über alle wichtigen Fragen zündestwo gegeben. Im Februar hatten wir dann Dr. Fabian Teichmann, der hat uns erläutert, wer bei Verstößen gegen Nistwo haftet. Und im März war dann einer meiner persönlichen Lieblingsgeiste mit uns im virtuellen Podcaststudio. Die nämlich Janik Christ, der seine Tipps für pragmatische Umsetzungsansätze für Nistwo gegeben hat. Und heute sprechen wir mit Stefan Hessel Rechtsanwalt für Cyber-Sicherheit und Sebastian Knittler. Sicherheitsvorsturg über die Gemeinsamkeiten von Nist2 und dem Cyber-Resilience Act. Und für Unternehmen, die von beiden Gesetzen betroffen sind, sich Dank Synagien hoffentlich etwas Zeit bei der Umsetzung strahlen können. Zeit und Ressourcen denke ich. Aber dazu will ich noch ganz kurz erwähnen, dass wir die Folge am 9. März aufgenommen haben. Das heißt, die Zahlen, die wir gleich zum Nistwo-Riesierungsportal des BSI genannt bekommen, werden mittlerweile nicht mehr stimmen. Entschuldigt das bitte, aber so ist es eben, wenn es um noch junge Gesetze geht, da ändert sich schnell mal was. Aber jetzt trotzdem viel Spaß bei der Folge. Hallo zusammen. Ich habe heute das große Vergnügen gleich zwei Gäste in meinem virtuellen Podcaststudio zu haben. Eimal Stefan Hessel und einmal Sebastian Knittler wollt ihr euch einmal vorstellen, Stefan Maxz zu starten. Ja, Stefan Hessel ist im Rechtsanwalt leider die Digital-Bestation mit bei der ganzlei Räuschelor. Das ist unser Team hier, das ist unser Sicherheits-Bestation, und keine Kommat. Ja, mein Name ist Sebastian Knittler. Ich bin Ressourcen-Societ im Cyber Intelligence-Institut. Wir vorstellen dort zu aktuellen Teamen in der Cyber-Sicherheit. Zuletzt hatte ich am 4.02. März gewirkt. Wir haben dort die Datenbasis geschaffen. Um einfach den Unternehmensium ein bisschen aus der komplexen rechtlichen Welt, das in eine Sprache zu übersetzen, mit der vielleicht auch ein Geschäftsführer, ohne tieferes nach au-Amen etwas anfangen kann. Das sind so meine Aufgang dort. Perfekt das erklärt mir auch direkt, wie es kommt, dass ihr beide beide der Digital Business Conference in Würzburg am 7. Mai ein gemeinsamen Vortrag haltet. Der da heißt Update zum Cyber-Sicherheitsrecht, praktische Umsetzung von NIS-2 und CRA. Und darüber wollen wir heute auch sprechen. Wir wollen so ein bisschen herausdröseln, wie können da Synagien geschaffen werden, um ja Doppelarbeiten, das wird ja genug Arbeiten geben, für die Betroffenenunternehmen, um eben Doppeltearbeit und den größmöglichen Aufwand zu vermeiden, den Cyber-Resilience-Ekt gibt's ja jetzt auch schon in welchen Länge der gilt, seit dezenber 2024 schon deutlich länger als NIS-2, wo ja jetzt am 6. Dezember erst quasi das bestätigt wurde. Trotzdem vielleicht als kleine Aufrischung in einem Satz steffern, was ist denn der Cyber-Resilience-Ekt? Der Cyber-Resilience-Ekt ist ein produkbezogenes Verrocknung, und die Cyber-Sicherheit von Produkt- und Wittigitalen-Elementen redet also über Produkte bezogenen Anforderungen an IoT-Gewerte Software und alles andere, wobei ein Produkt-Wittigital in der Menden ist. Sebastian, würdest du für uns einmal die NIS-2-Richtlinie so ähnlich zusammenfassen? NIS-2-versuch, den Unternehmen, die Unternehmen da einzu unterstützen, ihre Cyber-Sicherheit im Agenzheitlich zu betrachten und Maßnahmen einzuführen. Das ganze Fuß ist eigentlich immer ein assobiner das Informationssicherheitsmanagement-System, wie der Name schon sagt, das ist eine Management-Aufgabe in Management-System, das dort eingeführt und gepflegt werden soll. Stichwort "Management ganz wichtig", das ist nicht so, dass man sich dann eine Lösung kauft, die implementiert und zackkompleinend hekchen ist da, dass es wirklich Stefan hebt von ganz zu störenden Augenbrauen. Das ist wirklich eine etwas andere Geschichte, in dem Fall und gerade bei NIS-2 tut sich ja da auch in der Gesetzeslage trotz offizieller Verkündung im Bundesgesetz blatt immer noch was. Da hat die EU-Kommission Ende Januar ein neues Cyber-Sicherheitspaket angekündigt, wo auch Anpassungen an NIS-2-Richtlinie vorgesehen sein könnten. So jetzt ist es so, wir nehmen am 9. März auf. Am 7. Mai ist die DBC in Würzburg, also knapp zwei Monate noch, wie nervig ist es für euch? Da hingehend gerade eure Präsentation ab to date zu halten oder sagt, ihr macht die erst kurz vorher finalfertig, falls da noch was kommt. Ja, es kann sich manchmal gar keine Präsentationen. Insofern müssen wir auch nichts abdäten, weil wir in offenes Kührende gehen wollen, sondern wir müssen heute machen, auch aus der Praxis die Themen mitzunehmen, was man vielleicht sagen kann, auch zu dem, was sich alles tut. Wir lieben ja insgesamt unabhängig davon, ob das jetzt über den Israelichtlinie noch mal Änderungen haben, und Gesetzestext gibt oder umhaufen von den pöhrtlichen Stellungnahmen, Ergänzungen, Dwingen oder Learning by Progress, Learning by Dwing. Wie bei der Falleszeit die Themen sind unheben, wahnsinnig dynamisch. Da kommt es jetzt aus meiner Sicht aber nicht so stark darauf an, ob die Kommission sich bis dahin eine geworden ist mit dem Parlament und dem Rad, ob denen es sei, dass es noch mal angepasst wird. Es geht da ja auf ihr um einen Feintuning, weil die Richtlinie selber, ja sehr viele Unklarheiten mit sich bringt, und man verschiebt den Steigen jetzt schon auch mal die Dinge klarstellen will, um sozusagen auch recht sicherheit zu bringen. Auch dort ist es so, und das ist auch das große Thema, weil wir es zweiblich auch diesen Zeitstellteferenzen haben, dass auch von der gelten Daterichtlinie noch mal nationales Recht umgesetzt werden muss. Das heißt, wir hätten da ohnehin selbst, denn die Änderung an der Richtlinie bis dahin durchgesprochen, weil wir eine Nationalumsetzung, und wir haben ja gesehen, dass in Deutschland einen Sitzungen von Richtlinien umsetpert sich ja vielleicht gerne mal ein Jahr länger dauern, könnten, als sie eigentlich stürften. Das heißt, vielleicht reden wir dann bei einer Anpassung, denn das ist da richtig, den ihr auch eher übernächstes, oder übernächstes Jahr. Okay, das klingt nach einer cleveren Strategie, dass als offenes Kühlen echt halten. Ja, vor dem Cyberresilience-Ekts sind ja Hersteller von digitalen Produkten und Dienstleistungen betroffen, dass es für mich jetzt relativ eindeutig, obwohl es da wahrscheinlich in den Spezifikationen vom Gesetz auch noch mal deutlicher Unterschiede gibt. Wer ist denn jetzt aber von des zwei konkret betroffen und wie groß ist die Überschneidung der Zielgruppen, Stefan Maxuda, gerade noch mal weiter, sprechen? Also, der Anbietbarkeit von des Zweisepf, den Gruppel genommen, ist einfach eine Dinge vorwauß. Ich muss erst mal als Unternehmen Nötätigkeit repringen, die in einem der Sekuren stattfindet, das sind insgesamt 18 Stück. Dazu gehört ein klanzlicher Dinge, wie der Maschinenbau, wo natürlich auch Produkte hergestellt werden, das heißt da, man kann es praktischerweise schon mal eine Überschneidung mit dem Cyberresilience-Ekt, weil ganz viele Maschinen natürlich heute so ein paar Rauchprodukte mit digitalen Elementen sind. Es gibt aber auch andere Sekuren, die betroffen sind. Forschung, wo jetzt vielleicht der Cyberresilience-Ekt nicht unmittelbar, anbietbar, anbietbar ist. Aber es gibt schon deutliches Überschneidungen. Zweit vor Aussetzung bei der Nüsse 2-Ektinie ist, dass man die sogenannte Zeiskebrügel erfüllt, beziehungsweise überschreitet. Das heißt, man muss wenn es das 15.000 Euro mehr mit dabei haben und in der Jahresungsabhalte, im Jahr des Landesummer von über 10 m Euro. Das heißt, da haben wir als seinen größten Schwellen liert, abhängig davon, wie groß bei dem Unternehmen ist, fertig ist, unter oder fange ich nicht unter. Und die dritte entscheidende Voraussetzungen ist, das Ganze muss irgendeine Nigupel zu haben. Das heißt, es werden natürlich Teppigkeiten in der EU reguliert. Und auf der anderen Seite, aber auch ins die in der EU angebruten werden, das ist ein bisschen wie ein Datenschutz. Das ist auch ein chinesischer Klautdienst, wie Thomas Dindes 2-Ektinie einheit und die Anforderungen werden die Dienstaufnahme-Präschten angewohlen werden. Und da haben wir auch eine gewisse Überschneidung. Kannst du euch mal mal mit dem Reisidienznek, weil das auch eine händliche Logik hat. Das heißt, es geht immer nur Produkte, die auf dem europäischen Markt und Verkehr gegeben werden. Was auch seinen stringenten oder logisches, weil die Grunde genommen sind, ist bei einem Zellen, wo recht haben. Den Begriff Zeiskebrügel, den du gerade genannt hast, den kannte ich jetzt noch nicht, obwohl ich jetzt schon einige Gespräche zu Nes 2 hatte. Kannst du mir den noch mal erklären. Also, die Nes 2-Ektinie enthält eine Regelung, die sagt, das sind unternehmen, ab nach der größten Größe zu trocken. Man will damit vermeiden, dass jetzt mal ein Handwerkstbetrieb mit das Fortschmitterbeitern und ein Fotovoltaikanlage in den Anwendungsbereich, denn es ist 2-Ektiniefeld, weil er eben Energie erzeugt mit der Fotovoltaikanlage. Deswegen hat die Kommission gesagt, es gibt eben diesen größten Schwellenwert, das Zeiskebrügel, mindestens 50 Witkerbeiter oder 10 Millionen Euro, Jahresumsatz und Jahresbilanzumme. In der Praxis ist wichtiger, dann heißt tatsächlich die 50 Witkerbeiter, wenn man schon sehr spitz organisiert sein muss, um mit weniger 50 Witkerbeitern 10 Millionen Euro Jahresumsatz und Jahresbilanzumme zu haben, gibt es auch, aber eher selbst nicht würde sein, die meisten sind betroffen, weil es 50 oder mehr Mitarbeiter haben. Und das ist dann sozusagen die Eintriffskarte für die Nes 2-Ektinie, was die Größe angeht. Diesen größten Schwellenwert dürft es ja dann eigentlich beim Cyber-Restiliensekt nicht geben, weil letztendlich habe ich ja dann trotzdem immer ein Risiko, wenn ich ein digitales Produkt kaufe, dass das anfällig ist für Cyber-Sicherheitsrisiken, ob das jetzt von der Firma mit 3 Leuten oder mit 3000 hergestellt wird. Das ist ganz richtig, da gibt es tatsächlich keine größten Schwellenwert. Es sind ein paar Erleichterungen für Startups vorgesehen, das darf man sich aber tatsächlich auch nicht so vorstellen, dass es da jetzt 3.000 Ausnahmen gibt, sondern es ist eher so, dass wir bei der Beratungsfunktion der Begürden betrunken, werden wir so ein bisschen versucht durch Erleichterungen oder Hilfe bei der Umsetzung, Planarbutanehmunik. und Sadabs dabei zu unterstützen, den Saar-Resilien-Sekt umzusetzen. Aber das ist ganz haresklassisches Produktsicherheitsrecht. Das seht man an der CE-Kanz-Zeichnung, wenn ich das nicht erfüllen als Hersteller, dann kann ich meine Produktteller in der Eben nicht in Verkehr leben. Beim Saar-Resilien-Exiversion, wo stehen wir denn da in der Umsetzung? Müssen alle Betroffenen in den CAA jetzt schon umgesetzt haben? Gibt es da Umsetzungsfristen? Wurden da vielleicht schon Sanktionen ausgesprochen? Also, ob sanationisch und Hausgespruchen wurden, das kann ich leider nicht beantworten. Es gibt allerdings verschiedene Schritte, die erfüllt werden müssen. Also das ist aufgeteilt. Dann muss das Domingo zu besser steffen. Ich glaube, im Dezember 20/27 ist das Entgrültig, soweit das alles umgesetzt werden, sein Muss für die Unternehmen. Ob es dahin gibt, verschiedene Abstufungen. Es ist auch so, dass die Produkte, die dieses Jahr noch auf den Markt kommen, diese Antworten nicht zwangensweise erfüllen müssen. Aber dann Abführung abgreifen der Richtlinie als legarsi Produkte gelten. Das bedeutet, dass sie sind Altprodukte und müssten dann, wenn Major Updates kommen, also große Änderungen von der Software, müsste diese noch mal angepasst werden und die Anforderungen entsprechend erfüllen für den CAA. Beines zwei gibt es aber keine Umsetzungsfrist oder und beim CAA ist die ja dann relativ lange. Wie kommt denn das? Was ich sagen kann, das Zweisende Richtlinie und die CAA ist eine Verordnung. Das heißt, das greift sofort eigentlich. Und dann hast du diese Umsetzungsfristung für die Unternehmen. Bei dann ist es zweises so, dass die Länder entsprechend die Gesetze dafür schaffen müssen. Und dann ist es zum Beispiel das PSI-Gesetz für die Nuss II, wo diese Regelungen übernommen wurden und beim CAA gilt das quasi sofort. Und dann haben die Unternehmen aber Zeit, das umzusetzen. Also das ist schon so ein bisschen eben in der Petite-Logen, ein bisschen mit drin. Ja, es ist in Grundmigenorm schon die EU hat der zwei Weg auf den sie gesetzliche Vorgaben erlassen kann. Das eine ist die Richtlinie, die im Voraussetz, dass das eine nationale Umsetzung gibt. Das ist bei den zwei Wichtlinien der Fall. Das heißt dort braucht jeder EU-Wit-Git-Staaten-Nationales-Unsetzungsgesetz. Dafür hatten die Mitgliedstaaten in die zwei Jahre lang Zeit. Wenn sie es direkt getan hätten, hätten sie auch zwei Jahre Umsetzungsfrist vorsehen können. Jetzt haben wir einen Wortschlandheit der Situation, dass wir es nicht nur nicht frisst, sondern ein Jahr später umgesetzt haben. Mit dem Ergebnis, dass ich dann natürlich auch meinen Betroffenen nicht mehr so einen großen Umsetzungsspiel war, ein wollen kann. Deswegen hätte der Deutsche Gesetz jeweil gesagt, wir sind schon so spät dran, dass Gesetz muss einen Tag in einem Verkündung im Bundesgesetzplatt und Kraft treten. Auch wenn darauf, dass die Nichtumsetzung von Richtlinien eben auch im Vertrag zur Letzungsverfahren nach sich ziehen kann. Das durft auch im Fall. Denn es sei richtig, die Nussione, das kann sehr, sehr vorher werden für alle die Bundesrepublik Deutschland. Im Gis urechtlich umzusetzen, weil das eine Verstoß gegen die europäischen Verträge ist. Und weil es aber Resultanzekt haben, wir eben eine Verordnung. Die Verordnung gilt in allen Mitgliedstaaten unmittelbar. Und wir haben auch ein bisschen andere Rechtssetzung. Es geht ja da tatsächlich darum, dass, so zu sagen, dass die Struktur der Ertüchtigt werden müssen, die Anforderungen heizen zu halten und weniger darum geht, die von der Nämten Kernprozesse auch zu setzen. Deswegen haben wir so ein abgestuftes Prozess dieses Jahr. Das werden die Stand, die Nachhafte Konformität zuwertungen, zuständig dann scharf gescheitert. Es gibt gleichzeitig die Nähdifristen für Hersteller, das ist ja im September anwendbar werden. Und dann eben 27 arbeitet man sozusagen darauf hin, dass dann ab dem Stichstag im Dezember alle Produkte dieser Anforderungen, diese Anforderungen erfüllen. Und da gibt es eben, wie Sebastian auch schon richtig gesagt hat, keine Rückwirkung. So lange ich keine wesentliche Änderung an Produkt vornehme, aber wir reden eigentlich, weil auch wenn in beiden Fans, dass sicherheit gewickelt wird, und in beiden Fans auch, dass sich als Management geht, wenn man uns daneben und einmal an Produktes und schon ein Stück weit andere Anforderungen und mit an der Regelungstechniken verbunden. Ergänzt sich hier aber ganz gut, um eben eine allumfassende Cyber-Sicherheit sowohl B2B, wie auch das Unternehmen selber, wie auch B2C beim Endnutzern herzustellen. Ich hatte schon kurz erwähnt, dass die EU-Kommission im Januar ein neues Cyber-Sicherheitspaket angedroht hat, sage ich jetzt mal sogar. Stefan, kannst du da noch mal kurz zusammenfassen, wie sich das auf NIS2 auswirken würde? Man muss tatsächlich sagen, der Cyber-Sicherheitsbereich ist wieder mitbekommen auf den NIS2-Richt, die wir noch mitbekommen auf den Cyber-Resilience Act jetzt so ganz grundlegend von Änderungen getroffen. Da gibt es sicherlich den ganze Reihe von anderen Rechtsakten im Digital-Richt, das Wort Data-Ex-Tichwort, KI-Verordnung, wo diese vorgeschlagenen Pakete der EU-Kommission die Regulierung abbauen soll, die Bürokratie vor allem auch abbauen soll, die Wirtschaftalkurbeln sollen, wo die den deutlich größeren Impact haben. Also wir reden eigentlich gerade auch im Bereich NIS2-Richt, die wirklich nicht über die Jörsen. In der Anpassung, der gibt es vor allem darum zum Beispiel Stichwort Energieerzeugung, das ist in der NIS2-Richt-Dinja und auch im RTI-Gesetz sozusagen, der letzten Endes völlig offen reguliert, das heißt, wir gründe genommen, kann man sagen, in der Geschäftsführer mit der Weiteren, der auf dem Fahrrad sitzt und mit dem Dünner Strom erzeugt, das potentiell Energieerzeuger, gerade bei Photovoltaikern lagen wir aber auch das Problem, dass selbst die kleine Photovoltaikern nage, weil der man irgendwie ins Setzeitspeist, meine Theorie nach in den Anwendungsbereich reichsällt. Und da sagt jetzt die U-Comission zum Beispiel, wir finden, schwellen Wert ein, Energieerzeugen muss nur fast, wenn das mehr als ein megawatt ist. Oder auch die Diskussion, ob zum Beispiel die langzeitflegende Gesundheitsleistung ist, das wird noch mal angepasst. Wenn wir so ein bisschen die Meldeprüsten für Sicherheitsvorfall harmonisieren, dafür sorgen, dass man in Zukunft nicht an fünf verschiedene Behörden ermeldet, sondern es ein einheitliches Meldeportal gibt, dass dann aber dann auch wieder diese Meldung an fünf verschiedene Behörden verteilt. Also es ist da auch nicht unbedingt der Weitewurf mit so ganz kumprierenen Abhahrung, was geht schon darum, einen tatschigenen Stellen, Erleichterung, Erleichterung zu schaffen. Und dann will auch mal mal bei der Einordnung, wir unternehmen ein bisschen das Endern, dass man da als eigentlich ein Mittler aus Unternehmen, zum mal mit Zeiß, nicht dass die Kommission, dass man bei denen verhebenen will, dass die jetzt wesentliche Einrichtungen in den es zweiecht, in den einen gestuft werden, sondern die sollen dann nur wohl sie sieben 150 Mitarbeiter haben, oder bis zu 750 Mitarbeiter noch in diese kleinen Akatskuri, die Reitfein, was dann Erleichterung bei der Aufsicht bringt. Und zum Beispiel auch mal Ausführungen hat gerade auf Unternehmen, die wegen Konzaneitiness zwei Betroffen sind, dass sie sich da so ein bisschen rausnehmen, rausnehmen können. Also, da wird schon eine Reihe von Plänen, die durchaus auch Sinn machen. Ich würde sagen, sehr, sehr viel von denen, was in den Paket Künste, da hätte eigentlich schon um eine Zwei-Rechstinde prüncht stehen müssen. Und was halt auch leider nochmal bestätigt, ist ein besonderer, den es zweirecht, den wir wirklich handwerklich sehr, sehr schwierig ist, viele Menge enthält, viele offene Fragen enthält. Was natürlich, und das sieht man ja auch ganz aktuell jetzt an der Registrierungszeit, auch beim BSE, unternehmen wir wirklich bei hebtlicher Herausforderungen. Ja, die Registrierungszeilen, ich habe gerade schon gesagt, wir haben heute den 9. März, am 6. März war quasi frisstende für die Registrierung beim BSE-Portal. Stand, ich glaube, SIPTER, März hat die deutsche Presseagentur durchgegeben, dass 11.500 Unternehmen sich registriert haben und da hat man ganz nett lesen können in der Meldung vor dem 6. Dritten, war ans irgendwie gerade zu 5000 Unternehmen, die sich registriert hatten und dann kurz vor frisstende, kamen noch mal 6.600 oder so dazu. Also da gab es dann einen ganz schönen Run. Da würde ich auch dann direkt sagen, gehen wir mal ins Eingemachte. Wir haben jetzt drüber gesprochen, allgemein, was ist das 2, was ist Cyber-Resilience Act so richtig klar wurde für mich jetzt allerdings noch nicht, was die Gemeinsamkeiten von CAA und NISS 2 sind und welche Synagien ich als Unternehmen habe, das von beiden betroffen ist. Habt ihr da konkrete Beispiele für mich? Ich kann gerade mal starten, was man auf jeden Fall sagen kann. Es geht meides mal um Cyber-Sicherheit, es geht beide Mal um Cyber-Sicherheitsmanagement, einmal das bezogen aus Unternehmen, einmal das Bezogen aus Produkt, aber ich kann tatsächlich schon davon profitieren, dass ich mal Grundlegend verstanden habe, wie Risikommentagement im Bereich der Cyber-Sicherheits-Nationen. Also sind wir gerade auch viele dann des 3 Umsetzungen, das ist insbesondere broschen, die bist ja relativ wenig mit Risikommentagement zu tun hatten, wie zum Beispiel liebend. Da ist ein paar ganz so großes Thema. Natürlich im Produkt sicher klar, aber irgendwie Risikommentagement aus meiner Sicht guter Klick wird. Und die haben besonders große Herausforderungen, ein Linus 2-Wicht in die Koalition umzusetzen, anders setzt jetzt zum Beispiel im Finanzbereich, wo wir kühlze 20 bis 30 Jahren absolut robuste Regulierung haben, die sehr sehr stark auf an Risikommentisch wird angelehnt ist, mit dem Ergebnis, dass ich das relativ einfach umsetzen kann. Wo man weiteres so ein Erkieben hat, was bei der Frage, was ist denn eigentlich wo anwendbar? Wir haben ja einen Cyber-Resilinsakt Ausnahmen für Software Service mit drin. Aber diese Ausnahmen passen dann wieder um zu den Kaltcomputing-Insten, die dann das zwei Richtlinie reguliert sind. Das heißt, man kann eben auch durch diese Einordnung oder paraliete Betrastung gerade bei der Frage, wo bin ich betroffen, eben auch relativ schön sehen, okay, das Produkt-Digitaren-Elementen, das legt das aus, das zwei raus. Und in anderer Stelle bin ich eben nochmal kün. Ist zum Beispiel auch ein sehr häufig gefreutverung, ist eigentlich Softwareentwicklung, in den Anhängen, der das zwei Richtlinie nicht als künchischer Sektproben an, weil Software im genanitotale Basisthetschigkeit ist. Da hat sich aber die Umsatzgebägen was anderes gedacht, der gesagt, wir regulieren der Stelle nicht den Prozess der Restellung von Software, sondern wir regulieren das Entdeckgebnis. Das Entdeckgebnis muss der Anforderung des CAA standeilt, in denziehungsweise die Anforderungen eben erfüllen. Die Tätigkeit ist Softwareentwick uns selbst, das ist an der Stelle als Gesetzgebäger erst mal egal. Und das ist man eigentlich auch nicht. mit dieser Rechtsaktion miteinander greifen. Ich glaube schon, dass man wirklich sehr viel auch auf der NIS-2-Umsetzung lernen kann, für den Cyber-Resilience Act oder umgekehrt, wenn man mit dem Cyber-Resilience Act beschäftigt, auch sehr viel lernen kann, für die NIS-2-Umsetzung. Würde das aber nicht Sinn machen, schon den Prozess der Software-Entwicklung. Stichwort Shift Left und Security bei Design gesetzlich zu verankern, eben in NIS-2. Also, ja, ich sehe auch, dass das schön ineinander greift, aber habe ich dann nicht die Gefahr, dass ich eine Lücke habe? Ja, in Cyber-Resilience Act werden die Anforderungen gründen, dass die Cyber-Sicherheit über den kompletten Lebensstück das Produkt mitbetraftet werden muss. Das heißt, ich muss schon bei der Software-Entwicklung in meinem Produkt Cyber-Sicherheit mitdenken. Aber man würde sozusagen diesen Prozess der Software-Herstellung, den würde man nicht regulieren, sondern sagen, es kommt eben wirklich auf das Produkt an. Ob man das jetzt in einem Facettenfeld über Zeugung hält, weiß ich nicht, man hat natürlich auch Schwierigkeiten abgrenzt, so zum Beispiel bei Software-Sys-Ausangeboten, die fein klassischer Weize als Cloud Computing-Dienste, unter den NIS-2-Wicht-In-Jer. Auf der anderen Seite gibt es natürlich James ganz viele Software-Sys-Ausangebote, bei denen es zeitbeich noch die Möglichkeit gibt, irgendwas on-Prem zu installieren oder sich der App runterzuladen über den App Store und Apps und on-Prem Software. Feinheit, natürlich, dann wieder unter den Cyber-Resilience Act. Das heißt, ich würde sagen, und das ist dabei auch bei Regulierungen immer so. Man hat halt eine gewisse Schwierigkeiten, die Lieblingswirklichkeit oder die Realität des Marktes, wo einzufangen, weil dir natürlich viel viel Facettenreicher ist, als man das dazu in der Regulierung abgebötet bekommt. Und das gilt aber für andere Sektoren, Energieerzeugung, zum Beispiel, wo dieser einheitliche Begriff der regulierten Einrichtung, wie wir sehen, dass es zwei Ritzen hier haben, mit der Realität überhaupt nicht für beeinstellt, bei putzen, so von Unternehmen, zum Beispiel an Betrieb von einer sonalen Lage beteiligt sind, weil man eben dort auch riesigen Versuchtabzuschichten zu steuern. Und dann habe ich eben auch Portugierigkeiten. Das heißt, so ein bisschen Holzschnittartige Regulierungen und Probleme im Hintergrund der Lieblingsrealität, das Wund bei den Rechteiten sich ja nicht auch nennen. Sie wastern, du hast jetzt vorhin gerade schon ganz gut erklärt, was denn die Software Bill of Material ist. Das ist ja auch ein Punkt, wo ich definitiv zu einer Gen schaffen kann zwischen das Zwei und Cyber-Resilience Act, oder? Ich muss bei beiden die Lübekette betrachten. Es ist sowohl eine Aufgabe, bei dann das Zwei-Mayer-Lübekette blick zu haben. Und wie Stefan richtig gesagt hat, diese gehört zur Risiko, oder diese Zulieferer, der mir kritischen Bins zur Verfügung stellt. Es ist Teil vom Risiko-Management, denn außer ist das die Software Bill of Material. Ich muss schauen, welche Abhängigkeiten habe ich, welche Abhängigkeit der Lücke. Und wie kann ich die möglichen schnell schließen? Oder auch im schlimmsten Fall, im Ausfall, wie bekomme ich dann in Esatia. In sehr grüßes Beispiel ist immer der B.E.R.H.H. Also, Herr Galina, Flughafen. Da sind ja, was Mastenhaft früher ausgefallen, aber es war kein Verstrügen vom Flughafen, sondern ein Zulieferer vom Flughafen wurde direkt. Und dadurch hat man dann einen Ausfall in der Kritte schnell von der Struktur. Und in sehr grünes Beispiel wo man sieht, wie wichtig dieses Verständnis für die Lieferkette an der Stelle ist. Aber wie weit gefasst ist denn der Scope, wie verantwortlich bin ich, denn als CAA oder des Zwei betroffenes Unternehmen, für drittan wie das Software und Komponenten? Also bin ich dann auch haftbar tatsächlich? Ja, ganz einfach. Als Hersteller des Produkts mit digitalen Elementen heilt sich den Kopf nach außen für alles hin, was in dem Produkt drin ist. Das heißt, da habe ich 100% verantwortlich. Es ist meiner Aufgabe, sicherzustellen, dass dieses Produkt mit digitalen Elementen konform ist. Dafür muss ich im Grunde genommen mit jedem in meiner Lieferkette alle sprechen. Und ich muss sicher stellen, dass alle Komponenten, die ich verbauere, dann auch sicher sind, oder mit Sicherheitsabdates versorgt werden. Das heißt, das ist sehr absolut. Bei deines Zwei-Richt-Diener sind wir ein bisschen flexikler. Da gibt es Erstbau und gerade ein vertraglichen Vereinbarung. Nur die erste Ebene, wo man dann natürlich sagen muss, üblicherweise hat, wenn diese Wasserfallklauseln dann mit dazu, dass jeder, der zu sagen, sub-contractiert wird, auch die gleichen Anforderungen dafür, und muss, was natürlich auch Sinn macht. Aber da bin ich natürlich auch bei der Frage, was das denn jetzt sozusagen ist, eine Levante, eine Risiko für meine Lieferkette, bin ich ein bisschen flexibler. Das heißt, wir haben natürlich über die Anhänge vor allem, aber auch über das Risiko Manage-Münd und die Frage, was sind denn meine kritischen Ärzte, das Steuermöglichkeiten noch und mit Blick auf die Lieferkette? Also der Getränkelieferrand ist vielleicht nicht ganz so relevant, wie jemand, der mehr Pautenverschrutten bereitsteht, um selber die Sekunde zu werden. Dementsprechend wird ich mit dem Getränkelieferrand weniger. Und bereicht ich auch gar nichts. In dem Bereich der Cyber-Sicherheit regeln müssen, die mit einem zentralen Dienstleister jetzt vielleicht sicherheit oder IT-Infraschupur. Dementsprechend muss man das eben dann auch im Risiko Manage-Betrachten, was bei einem mit wem. Heißt jetzt aber auch der andere Seite nicht, dass ich vielleicht mit dem Dienstleister, der auch physische Dinge tut. Klar, sicherlich fallen es immer die Weinigung, die zum Beispiel zutritt zu allen Zeilen des Unternehmens hat oder eben auch mit dem Entzorgert, der dann irgendwie die ganzen ausgekritischen Dokumente entsorgt. Da kannst natürlich durchaus auch Fälle geben, in denen ich dort entsprechende Weinbeumung treffen muss. Und das muss man dann einfach anschauen als Betroffenesunternehmen im Rahmen des Risiko Manage-Schwanz. Vereinbarungen, heißt ich würde dann im Vertrag eine Klausel einfügen. Sollte mein Zulieferar in Komponente X Y eine Schwachstelle im Code haben, dann folgende Strafe? Das kann eine Ansatz sein, mit einer Klausel ist es in einem seltenen Fällen getan. Also es ist tatsächlich schon wo, dass man sich sehr viele Gedanken darüber machen muss, was auch nicht eigentlich, wenn wir über den Cyber-Resilience-Ektreten gibt es ja tatsächlich eine Anforderung an der Software-Komponente, die bereitgestellt werden. Da würde man aber auch von versuchen, das ganze so zu definieren, dass man keine Flichten, die im Cyber-Resilience-Ektekrit sind, natürlich dem Software die Verwandten mitgibt. Ja, das heißt, da soll bitte auch, wenn sich an Entwicklungsprozess haben, wir soll seine Komponente selbst auf Schwachstellenmonitoren, wenn das Schwachstelle auftauchen, dann soll der die mir kommunizieren, damit ich sie in die Ausdruckstelle kommunizieren kann. Das heißt, bei Regen da schon ein paar mehr Dinge als Mutianforderungen an die Komponente, aber natürlich kann auch ein Sicherheitsversprechen an die Komponente gegebenenfalls auch mit der Fachstrahl- oder der Haftungssübernahme, auf Komponente-Reichstellung, eine Regelung sein, die man da trifft. Das muss man sich anschauen, dass man häufig aussieht, wenn jemand auf dem Sourcekomponente nutzt, dass man dem auch würdet, die Sicherheit des Orten Sourcekomponenten zu garantieren, weil ich natürlich mit der Orten Sourcekomponente schlecht und verprachst dientzen kann, weil natürlich niemanden der Community bereit ist, so eine Erachtung dann auch zu übernehmen. Und ähnlich ist es tatsächlich im Bereich eines Zwei-Richt, die ja auch gerade wenn ich Dienste beziehe oder Tätigkeit kürzlich sind, dann hat man dann eine Art von SLA, dann fahren wir vielleicht auch eine Zatikützierung. Das Dienste heißt, dass obwohl der jetzt nicht nur zwei Selbstbedroffungen ist, sagt aber halt wird nicht trotzdem gar nicht ein Informationssicherheitsmanagement, da fragt ab, ist der ISO 27001, die zertifiziert oder eine Nackenmiete-Kundschutz, wenn das nicht ist, muss er dann die Zufrage gebrochen, beantworten, man hat Aute, also die ganze Reihe von Möglichkeiten, du hast auch selber sich halt ganz gut zu gewährleisten und war in die Vertrebe, damit mit aufzunehmen. Was aus meiner Sicht zentral ist, wenn das stellen wir auch wieder in der Beratung, ganz praktisch fest ist, dass man überhaupt weiter übers Spricht und versucht, Sachen klar zu definieren, hilft schon mal im End, dann feststellt, zum Beispiel, wenn es darum geht, wer teilte mir jetzt wem was mit, dass man sich auch Gedanken darüber machen muss, die nämlich dann zum Beispiel jetzt von Verraten-Meldungen entgegen, kriege ich die per E-Bee, ein bisschen die an, was passiert, wenn die per E-Meldung immer in der Wischen, wir hatten eine Eindfalle dem eine so eine Benarrichtigung, wir sind von einem Cyberangriff betroffen, einfach mal per Post verschickt wurde. Da geht natürlich ziemlich viel Zeit ins Land, das ist dann schwierig, das heißt, man muss sich da wirklich Gedanken darüber machen und das kann auch dann auch bünden, dass man sagt und das finde ich es noch mal eine Chance auch, also wohl bei Cyber-Resilience als auch bei einem Zwei, dass man so ein bisschen in diesen Gedanken reinkommt, Plastenfests gemeint, so als Unternehmen, die naivte Lieferkette und man versucht, so ein bisschen die kleineren Unternehmen eben auch in den größeren Cyberschutzschirm, die schon in die Klinik kreieren. Und es gibt dann ganz, ganz viele Poolzorren, bereichtesten Verratenmanagements, die mit so automatisiertem Sicherheitsüberprüfung im Grunde genommen genau in diese Richtung gehen, das man sagt, die Screenmail, die haben das nicht erreicht bei relativem Systeme, mit Blick auf die Sicherheitsmütter, von Schülsefestschränken, geben da Bescheid, also da gibt es auch noch mal eine interessante Möglichkeit aus meiner Sicht für so eine Gifettbeut, auch für die Open Source Community im Bereich Cyber-Resilience Act, weil natürlich, wenn ich als Herstellern das Produkt mit den getanen, oder als Zuliefer, die Verantwortung dafür prägt, dass die Open Source-Koponenten nicht nur so sicher sind, dann ist die einfachste Möglichkeit, das zu tun, dass sich die Open Source-Projekte entsprechend unterstützen. Da gibt es seine Möglichkeiten, dann finde ich, unterstützt die finanzielle und organisatorische, indem ich in Teil meiner Integle geprägt schicke, was meiner Sicht der riesen Chance auch für die Open Source Community dort auch ein bisschen sozusagen die Teilzwickt zu bekommen, von der Wertschöpfung die Open Source-Aicherminfochtabfindet. Und habe ich da auch als Abnehmer gewisse Rechte, zum Beispiel, dass ich das Recht haben, outed bei meinem Zulieferat zu machen oder dass der quasi mir ISO 27001 nachweisen muss innerhalb von NIS2 oder Cyber-Resilience Act oder ist es halt zu. wenn es nicht macht, dann zurück mehr ein. Genau, wenn es nicht macht, zurück mehr in das macht. Der Ansatz ist natürlich auch in der Regel eher umgekehrt. Da wir haben große Hersteller, die nach dem Motto Frist oder Stürb, ist halt bei Sicherheitsanforderungen definieren, was stellenweise zu Problemen führt. Da wir jetzt auch schon gesehen haben, da ein oder andere in den Flichtenkatalog aus dem Cyberrisalionsack geht zu seinen Tijuana und sagt, wird das alles um mit dem Ergebnis, dass natürlich funktioniert, weil der Hersteller, die kane Entworteung am Ende des Tages trägt. Aber man muss sich glaube ich schon als kleineres Unternehmen sehr sehr intensiv gedacht, indem wir machen, ob man indirekt von des Zeilen oder dem Cyberrisalionsack betroffen ist, weil man im Grunde genommen muss, wenn ich diese Anforderungen nicht erfüge, da bin ich wahrscheinlich nicht mehr marktfähig und ganz ganz viel, ganz ganz viel, ganz viel in Stellen, das heißt, der Druck ist da schon hoch. Ich kann ja auch aus der Herstellerperspektive nicht anders, ich muss ja Ende diese Sicherheit garantieren, wenn ich das nicht kann, dann schalbe der Zudievereignen nicht nur die Stuttgetrunken aus. Das heißt, da muss man naßt an den Kreisen und es gibt keine gesetzliche Verpflichtung, aber sie folgt die Bereitfaktlichung der Regel, wird das dann auch über die Verträge entsprechend abgebildet, dass man als sich ordentlich rechte vornimmt, dass man auch Regelungen zur Kostenträgung hat. Zum Beispiel, wenn nichts beanstandet wird, direkt die Kosten der Hersteller, wenn es beansteht, dann gibt es dann direkt die Kosten der Zudieverein. Der hat ja auch natürlich auch diese gefundenen Sicherheitswürttemberg- oder Fachstellen, der Umsetzung muss dann sprechen, muss dann sprechen schließen, aber das ist alles Verhandlungsverfahren. Und das führt natürlich auch dazu, dass ich die ökonomisch Grundlagen für Softwareentwicklung oder für die Entwicklung von Produkten mit digitalen Elementen gerade sehr, sehr stark drehen, beziehungsweise beeinflusst werden, bei der Hersteller der Kosten muss sich als Updates bereitstellen muss, für die ich vorher Geld vernannt habe und dass dieses Geld natürlich auch irgendwo in der Lieferkette zu hoch spielen konnte. Jetzt muss halt diese Updates-Kosten-Must-Reit-Stellen, dann wird richtig die Diskussion mit den Zudieverein groß gehen. Muss sich das denn auch und was muss ich dann davon? Da gibt es dann vermutlich keine Must-Up-Verträge. Das sind dann jeweils komplett individuelle Geschichten. So klingt das zumindest. Genau, es gibt schon Ansätze zu versuchen, dass man das Thema einheitlich regelt. Der gibt es natürlich auch einen Schick-Bread-Biss-Practice. Man kann es auch einen Bad-Chups orientieren, also überall dort Personen mit sogenannten Daten auf der Track-Warbeit. Man kann ja schon ein paar Träge, die auf dem Stück Webpers zur Cyber-Sicherheit wehkeln. Aber ich würde auch empfehlen, dass wir sehr genau anzuschauen und noch anzuschauen gemeinsam. Wir nehmen die für die Artisigkeit im Unternehmen, beantwortlich ist als Joghwitschallig und durch Zwischen-Richterbteilungen und an den Leuten, die Artisigkeit im Unternehmen machen. Das man tatsächlich schaut, dass das vom Bad-In-Hier auf Stimme, weil es natürlich die Stimme ist, als ich über welches Net-Schot so oder Back-ups zu einigen. Aber das freut sich aber krisverständlich, das zu Grunde zu legen. Beide, dass falsche Krisverstände es haben und es identisch ist, das ist kein Problem. Aber das kann natürlich auseinanderfallen. Wir haben ein Dementar von Haus, das Gits, das Gits, das Gits, das ist ein Back-Up. Und das wird so ein Vertrag vereinbart. Die Daten sind dann weg und dann sind die Tränen umfangreich. Das sollte man natürlich mal vorne rein vermeiden, indem man sich gedacht, da wo machten, dass einfach auch Sauber regelt. Gemeinsamens-Krisverständnis auch erdickelt, in Verschissachen Sauber. Und Risiko angewäht, zu definieren. Vor allem natürlich dort, das auch immer diese Risiko-Management-Getallen-Kobo-Welker-Kritische-Essatzgebiet. Die Synagien sind ja doch auf jeden Fall vorhanden im Business Continuity-Management, im Risk-Management, in diesem ganzen "Essit-Management" eben auch, was die Meldungen angeht, was meine Entwicklung und Herstellung überhaupt angeht, eben mit Fokus auf die Zulieferer ganz besonders. Der Aufwand klingt irgendwie jetzt wahnsinnig groß, auch wo wir jetzt über die Vertragsinhaltemals so grob drüber gesprochen haben. Wen muss sich denn dann, wenn ich als Unternehmen vom CAA, wie auch von das zwei Betroffen bin, wen hole ich denn da an den Tisch in meinem Unternehmen jetzt mal nur intern, also alles an Zulieferern noch nicht, aber natürlich auch im Unternehmen, die sich mit den Zulieferern beschaffen, also muss ja eine Risikonferenzhalle buchen. Das fußt auch alles auf der S-Sat-Underview-Sanach-Rodisekomanagement. Ich schau, welcher S-Sat-Sat-Sat-Underview-Sanach-Rodisekomanagement, dann habe ich irgendwie ein Steakholder-Kie, wo sei irgendjemand der für diesen Prozess für die Armlin im Verantwortlich ist. Diese Personen muss sich mir entweder alle auf einmal an den Tisch holen, zumindest in diesem Rahmen von dem Kick-Off, irgendwann muss das Ganze einmal erinnern. Und dann muss ich mit den anderen Personen sprechen. Ich kenne es aus der Praxis, ich ragen Karte-Luge an die Einzeländer-Pteidungen, denn dieses Tool, warum nutzt ihr das, wie auch das Risiko in das Ausfeld? Und dann muss ich das Ganze bewerten und meine Maßnahmen dafür definieren. Das geht nicht mehr in einem schlimmsten Fall. Wir diskutieren immer über die gesamte Richtlinie und wie viel Aufwand. Und es sei alles so unfassbar viel und ja, das ist inhaltlich richtig. Aber es ist keinem geholfen, sich alles anzuschauen und sofort zu versuchen, irgendwie ein Dokument zu schreiben und fertig zu sein. Das funktioniert einfach nicht. Ich muss irgendwann anfangen. Ich muss mich darum kümmern. Und wenn ich das schrittweise mache, dann setzt man sich, wie man es klassischer im Projektmanagement macht, malensteine. Heute möchte ich alle meine S-Herm, oder dann muss ich mit der IT sprechen, welche Computer habe ich, welche es überhaupt habe. Und dann kann ich, wie wir, dann kann ich Maßnahmen ergriffen. Es ist kein Projekt, das ich irgendwie in einem Jahr abschließere. Und dann bin ich fertig und schon seukte. Die Unternehmen müssen anfangen, sich an dem zu kümmern, sich Gedanken zu machen, welche Ressourcen habe ich zur Verfügung. Also Personal, Geld vor allem ist ja immer so ein Thema. Brauche ich externe Unterstützung, kann ich es intern. Brauche, welche Personen brauche ich dafür und die Dinge anzugehen. Das ist viel wichtiger als, weil es der Woche ein Münching auf eine Veranstaltung da ging es auch ganz viel darum, die Schömmen, denn diese Gesetzgebung ist ein komplizierer als es ist. Aber jetzt wirst du ja nicht, ständig darüber zu diskutieren, wie viel um Komplex es ist. Wenn ich nicht anfange, die Gesetzgebung ist da, wir müssen es machen. Und ich bin auch der festen Überzeugung, dass das ein enormen Mehrwert in der EU bringt, wenn wir das alle gemeinsam machen, wenn ein Niedesunternehmen sich ein bisschen Gedanken dazu macht, was kann ich dazu beitragen, welche Maßnahmen so ein schönes sinnvoll? Und dann muss ich auf keine sofort enorme Summen investieren, sondern lieber kleine Hyppien, aber dafür reglermäßig. Und es verlangt auch jemand, dass ich morgen damit fertig bin. Ich muss mich jetzt wieder registrieren und dann starte ich beim Plan in PTT-Azio-Cluster, ein Plan ist das ganze einmal. Schwierig wird es, wenn ich gar nichts gemacht habe. Wenn wirklich im Vorfall ist und es stellt sich raus, es gab noch keine Schuhungen, Geschäftsführerschuhungen. Und habe mir noch gar nicht darüber gesprochen. Aber in diesem Thema gibt es einen Handreifung von Bieres, ich kann nicht nur im PJ, die mal zu lesen, was da alles gefordert wird von an die Schuhungen, welche Forderungen dargestellt werden. Und dann einfach machen, es hilft nichts. Sebastian, was würdest du denn sagen, wie viel Zeit können sich oder auf- und und und und und Unternehmen sich sparen, wenn sie eben die genannten Synagien zwischen das Zwei und CAA nutzen, anstelle das als Einzelgeschichten zu behandeln? Also ich denke, wenn ein Unternehmen von beiden Betroffen ist, dann sind es genau die gleichen Herausforderungen. Ich muss mir genannten bei meinen Risiko-Management und meine Leverkette machen. Das ist darauf, wo es dir alles ist. Und wenn ich das einmal gemacht habe, dann kann nichts für die anderen nutzen. Auch wenn ich, es gibt ja auch andere Regelungen über die Nis-2-Azio-Ahin-Naus. Es gibt für die Farm-Abranche, gibt es die Regelungen zum Beispiel, die ebenfalls Leverkettenmanagement mit Abfallangeln. Also ich habe einen Kunden, der hat Leverk, der das Farm-Abranche-Nus-Titie, das heißt, der hat ein vollstelliges Leverkettenverzeichnis. Da muss ich dann eine Spalte hinzufügen, wo ich sage, wie kritisch ist dieser Zulieberer für meine Erdilung-Krustruktur? Dann bewertigt es das Ganze wieder. Also da ist es durchaus anzuraten gerade für Unternehmen, die schon betroffen sind, die vielleicht der B3S schon im Einsatz haben, die mal genau zu lesen und dort die Synagien zu suchen, für Dinge, die ich schon hab und weiter nutzen kann für meine Information-Sicherheit-Statige. Stefan, was würdest du sagen? Sind so deine top drei Maßnahmen, die Unternehmen, die von beiden Betroffen sind, jetzt anpacken sollten? Ja, ich glaube, man muss da tatsächlich ein bisschen trennen, weil da nix, dass ich die nicht denke, das ist genau das, was wir was gesagt haben, also erst weil das aus meiner Sicht ganz wichtig, zeitnah verbindlich feststrahlen, wir nicht betroffen oder nicht, dass wir sagen, ich als ein Drittel der Betroffenen unternehmen und ich würde sagen, die sind 29.500, die der Bundesgesetzgeber da ermittelt haben, dass es ja sehr konservativ geschätzt, weil man in der Grunde genommen so Sachen wie Konzern IT und interne Bereitschellung von IT-Dienst, den da fast sind, da ja gar nicht mit reingerechnet haben, sondern dass es sehr wirklich relativ hart, weil ich wie groß sind total nehmen, wäre es in den Sekuren tätig, also da gehe ich mal davon aus, dass ganz ganz viele Unternehmen, da war ich noch in der Betroffenen, als in der Nutzufhesterstättung, kann ich auch niemanden verdenken, weil es das wahnsinnig kompliziert und aufwendig ist. Aber da muss man zur Punkt kommen, weil es meiner Sicht ganz viele eben auch da feststecken in dieser Betroffenen als Analyse und das hilft natürlich auch niemanden. Weil der größte Mehrwert, die umsetzelt von das Zwei oder auch beim Thema Resulienz-Eck-Dereich, ist ja das auf der anderen Seite Geld sparfer und auch Reputationsverlust, zwar aber ich eben sage, was sicher das vorfälle vermeide, ich glaube sozusagen, diesen Mehrwert muss ich natürlich auch ein kalkulierende Deputivokatie, dass diese beiden regelwarken mit sich kriegen, ist ja jetzt zu einer Cyber-Sicherheit im Kern und Treiten. Das heißt, da würde ich sagen, da ist zwei Profenheitsanalysen abschließend und dann Zeit bei die Inselzungen gehen, denn deshalb bei Resulienz-Eck-Dereich sieht es aus meiner Sicht ein bisschen anders aus. Dort habe ich mir harte Deadline, ich kann ein Produkt, das nicht magkonform ist, eigentlich über die Deadline hinaus nicht mehr verkehrt bringen. Und da bin ich mir auch sehr sicher, dass das weniger weich und smart sein wird, bei den Beinusses 2, weil ich natürlich ganz andere von der Aufsicht habe. Jetzt kann man sagen, das PSI wird aber auch ein bisschen reinsteubar. Das sind jetzt auch nicht die Experten der Lackenbewachung von Produkting, aber das wird sich dann relativ herauskristabilisiert. Und die Aufsichtsbürate ja auch mehr Zeit. Also anders als aktuell bei den PSI, dass PSI natürlich da auch viel weniger rein. Das heißt, ich muss als Hersteller von einem Produkt mit digitalen in den Metlench ganz, ganz trinken, anfangen auch da, meine Betroffenheitsprüfung, eine Gapanalysie zu machen und dann mit der Erdicklung zu starten, weil dort, wo ich Schwachstellen habe, Schwachstellen in Sinne von Lücken, die mitgeklaftigen auf die Anforderungen des CAA, damit mein Produkt im Dezember 27 CAA ready ist. Oder damit ich mir bis dahin die Gleibverschaft habe, dass sich das Produkt über den Tag hinaus nicht mehr verkehrt geht. Also das sehen wir natürlich auf Auf das Unternehmen am Ende von der Betroffenheitsanlage zu sagen, Softwaek-Sypse-Wond. Die wird einfach abgekündigt, weil den Besten im Maß haben, als Hoch ist, aber diese Entscheidung muss sich treffen und zwar lieber heute als Morgen. Das ist aus meiner Sicht auch so ein bisschen der Unterschied. Das eine ist im wirklich dann am Produkt hangen, das andere in den Unternehmen Prozessen, da habe ich bei uns 20 mehr Stil als bei einem als Eier-Sypse-Russetinsekt. Jetzt ist es ja so, dass am Freitag, das war der Set Sechste mehr. Hat der Bundesrat ja auch noch dem Krittesdachgesetz zumindest mal zugestimmt. Das ist jetzt noch nicht final in Stein gemeistelt als Gesetz, aber mal deutlich mit einem großen Schritt auf den Weg gebracht. Wie können Unternehmen, die vielleicht jetzt von zwei Betroffen sind, vom CERA betroffen sind und dann möglicherweise auch noch unter das Krittesdachgesetz fallen, sich mit welchen Handlungen vorbereiten auf eben diesen Fall, dass sie von allen drei Richtlinien betroffen sind. Sebastian magst du da mal ansetzen. Es ist die Anforderungen sind wieder ähnlich. Ich muss mich die Maßnahmen kümmern um die Umsetzung im Unternehmen. Es heißt, ich kann auch dort wieder zu der Ginschaffen und schauen, was habe ich denn schon alles und was kann ich an Anforderungen damit reinbringen. Krittes wird noch mal ein bisschen böre Anforderungen stellen an die Unternehmen, aber es ist grundsätzlich auch dort, wenn ich das eine umgesetzt habe und da schon auch einen guten Weg bin, ist der Schritt dort in wesentlich einfacher, als ich erst dann damit zu beschäftigen, wenn es so weit ist. Stefan, was würdest du sagen, ist das überhaupt realistisch, dass ein Unternehmen von allen drei betroffen ist? Das kann durchaus sein. Das Krittesdachgesetz bzw. die CR-Richtlinien ist ja sozusagen noch mal für die Spersturze, denn es ist zwei Betroffenen unternehmen, wo gedacht, das ist eine physische Sicherheit. Wenn redet da immer von einem bübigen Betrohungenschutz, also das ist zwei für die RTI-Systeme, Krittesdachgesetz, eigentlich mal für Mauern, Zäune, Tronigüber, Flüge und alles, was man sich sonst doch an physischen Betrohungen vorstellen kann, das an zu den Kabel, wie der Lied zum Beispiel. Das sind so Dinge, die hier unter das Krittesdachgesetz sein, die Kurbe der Bekochenunternehmen ist deutlich kleiner, aber es kann natürlich schon sein, dass ich irgendwo als seit ich mal energiezeuge in das Krittesdachgesetz sein fahle, aber wenn wir eine guten noch eine App-Reihtstelle, die dann unter dieser, weil wir jetzt selber Resulienz eckfalten und das drei betroffen bin, ich bin das Krittesdachgesetz, fahle eine Tore-Rescheinlichkeit auch, also ich hätte jetzt irgendwie überhaupt keine Tietesheil-Tie, ich habe heute zum Tage für Kaupvorscheinbar, das heißt, dass wird's geben, dass da alle drei Fachbetroffen sind, wahrscheinlich wird man dann ein bisschen abschichten, müssen sagen müssen, bis 2 und CER bzw. BSI-Gesetz, das ist das Krittesdachgesetz, das passt sehr gut in einem Topf und ich würde jetzt mal ermuten, dass man wahrscheinlich von CER, ADD, ADD, in so einem Randbereich, in der Kunden-App oder so betroffen ist, wo ich vielleicht dann sagen muss, okay, darum kümmert sich jetzt sich mehr der Geschäftsführer, sondern eher als die Produkt-Auner, der das entwickeln muss, aber das geht auf jeden Fall in diese Richtung dann. Ihr habt gesagt, bei der Digital Business Conference, wenn ihr am 7. Mai euern Kschärtenvortrag haltet, ihr wollt das eher als offene Q&A-Runde halten, was glaubt ihr, was werden so die größten Schmerzpunkte, eurer Zuhörerinnen und Zuhörer sein? Ich möchte ganz fest damit, dass wir noch extra in zur Betroffenheit beantworten müssen, vielleicht auch im Hinblick auf die Novellheit hier jetzt auch mal geplant ist, selbstverständlich ist das auch das Security Package, aber ich sehe tatsächlich nicht also aus dem, was ich den ganzen Tag sehe, dass wir das mit die Kant weiter sind. Das wird sicherlich ein Schwerpunkt sein, könnte mir auch vorstellen, dass das Thema die verkämpftet, dann auch mal stärker und fokussiert, vielleicht auch, dass es, du hast jetzt gar nicht so stark diskutiert, aber dann seid man sicherheit von KI, die ja auch betroffen ist, durch den Cyber-Resilience Act, okay, ich kann einen Cloud Computing dienst, im Rahmen eines Zweirechting-Design, das da kann ich mir schon vorstellen, dass wir da ein bisschen intensiver in die Diskussion geben, was ich nicht glaube ist, dass wir schon über Brustgelder diskutieren müssen, oder über andere Rundgemah, vielleicht aber über das Thema Versicherung und eine zwei Durchsetzung, das kann ich mir auch gut vorstellen, dass wir da ein Fokus kriegen, die Richtung, die in dem O-Fasicherung oder auch Cyber-Riss-Fansicherung, das ist ja auch das, glaub ich, das Schaffendes BSI angekündigt hat, wir sind nicht der große Hebel, sondern der große Hebel, das wird die versichere, das wird sicherlich nochmal spannend, das Thema sein, das ist sehr, sehr gut verschwenden, dass wir da über das Projekte haben. Ja, hätten wir das alles heute auch noch mit reingenommen, dann würden wir glaube ich noch mal zwei, drei Stühlen kwatschen, aber vielleicht an dich Sebastian noch die abschließende Frage, was sollten denn so die ersten Anlaufstellen für Unternehmen sein, die eben von das zwei und Cyber-Resilience Act und oder betroffen sind sein. Wir hatten eben schon diverse Leitfäden vom BSI, ISO 27.01 und IT Grundschutz als Frameworks, was ist noch Pflichtlektüre, sage ich jetzt mal. Ich habe da ganz verschiedene internationale Frameworks, die wird da noch ansätze, aber ich denke, wenn man sich als Unternehmen erst mal mit dem BSI IT Grundschutz auseinandersetzt, der auch vollständig kostenlos auf der Webseite abrufbar ist, dann kann man sich damit mal auseinandersetzen. Es wird immer irgendjemanden brauchen, der diese Themen schon kennt. Also im Idealfall habe ich jemand im Unternehmen, der sich mit diesen Themen auskennt. Da muss ich auch entsprechend budgetbereit stellen, damit das alles umgesetzt werden kann. Das ist, denke ich, auch mal noch eine große Herausforderung für die Unternehmen wirklich gelte zu investieren. Ich muss das investieren und wenn ich keinen Internt haben, dann sollte ich mir dringend jemanden holen, der mir von exzern mit diesen Standards hilft, weil diese Tausende Seiten nur zu lesen. Ich habe auch nicht weita ich, muss mich dran setzen und es umsetzen. Die ISO kostet Geld, wenn man sich gekauft, kann man sich aber auch einiges im Internet dazu finden und dann darin orientieren und die Dinge umsetzen. Alleine die Türe lesen, glaube ich, löst das Problem im Unternehmen allerdings auch nicht. Da gibt es viele Standards, wo man sich orientieren kann. Als Unternehmen erst mal PSU orientieren, ich finde, die Dinge, die sie bereitstellen sind, sind sehr cool. Es gibt auch technische Richtlinien, wo ich noch mal detailliertere Einschlauen kann, z.B. z.B. die Grafie. Was ist da genau gefordert, wie kann sowas aussehen? Und dann habe ich da einen guten Boot nachdem ich auch bauen kann. Ja, super. Dann danke euch beiden an diesen Überblick und das ihr für mich und unsere Zuhörerin und Zuhörer, diese beiden Themen, Nist 2 und Cyber Resilienz-Ekt, die jetzt auf den ersten Blick gar nicht so viel miteinander zu tun haben, verheiratet haben. Ich hoffe, da waren ein paar spannende Inhalte und Empfehlungen dabei für betroffene Unternehmen und ich würde sagen, wir sehen uns am 7. Mal in Würzburg. Ich komme nämlich auch. Ja, schön. Ja, wunderbar. Das war der Security Insider-Potcast. Der Podcast für Security-Profis mit Infos, News und Meinungen rund um IT-Sicherheit.